Justement j'ai une question : c'est quoi les problèmes que ça va résoudre ? Dans PKI, le principal problème à l'origine de beaucoup d'autres c'est que c'est un système centralisé.
Pas tout à fait, ce n'est pas un système avec un centre mais avec plusieurs centres mal contrôlés.
Est-ce que tu n'a pas l'impression que DANE ne fait que déplacer la centralisation du système CA+navigateurs vers le DNS (racines+registrars) ?
C'est un façon de voir les choses, et effectivement la responsabilité est placée sur les registres, la fraude correspondant l'émission d'un faux certificat par une autorité reconnue ayant pour équivalent le transfert illégitime d'un nom de domaine par son registre.
Mais une autre façon de voir les choses est de reconnaître que, de toute façon, on se fie déjà aux registres du DNS. On passe alors d'un système basée sur la confiance en les registres des TLD et les autorités de certification X.509, à un système basé sur la confiance en les seuls registres de TLD.
Par ailleurs, DANE permet d'indiquer des contraintes sur les certificats ou sur les clefs qui peuvent, au choix de l'administrateur, se substituer ou s'ajouter à celles liées à la validation X.509.
Autre question : comment ça va se passer si je veux faire un certif sur une machine sans nom de domaine (juste avec l'IP) ?
[^] # Re: DANE
Posté par 🚲 Tanguy Ortolo (site web personnel) . En réponse au journal HTTP poussé vers la sortie ?. Évalué à 4.
Pas tout à fait, ce n'est pas un système avec un centre mais avec plusieurs centres mal contrôlés.
C'est un façon de voir les choses, et effectivement la responsabilité est placée sur les registres, la fraude correspondant l'émission d'un faux certificat par une autorité reconnue ayant pour équivalent le transfert illégitime d'un nom de domaine par son registre.
Mais une autre façon de voir les choses est de reconnaître que, de toute façon, on se fie déjà aux registres du DNS. On passe alors d'un système basée sur la confiance en les registres des TLD et les autorités de certification X.509, à un système basé sur la confiance en les seuls registres de TLD.
Par ailleurs, DANE permet d'indiquer des contraintes sur les certificats ou sur les clefs qui peuvent, au choix de l'administrateur, se substituer ou s'ajouter à celles liées à la validation X.509.
Je ne pense pas que tu le puisse en effet.