L’idée est globalement la même, à savoir publier les clefs dans le DNS. Je ne sais pas à quels enregistrements DNS ils font référence, mais il s’agit probablement des enregistrements de type CERT (RFC 4398), qui sont précisément conçus pour ça. (DANE de son côté utilise des enregistrements TLSA (RFC 6698).)
Le principe est que si je cherche un certificat (X.509 ou OpenPGP, les enregistrements CERT sont utilisables pour les deux) pour Monsieur Michu michu@example.net, je peux le trouver dans le DNS sous la forme d’un enregistrement CERT pour le nom michu.example.net..
C’est une approche intéressante et en théorie prometteuse de la distribution des clefs, dans la mesure où elle pourrait être réalisée automatiquement par les fournisseurs de messagerie (qui ont logiquement le contrôle de la zone DNS dans laquelle se trouve les adresses de leurs utilisateurs). En théorie seulement car 1 je ne connais aucun fournisseur de messagerie qui fasse cela ou même qui ait exprimé un quelconque intérêt à cette technique, et 2 ce n’est fiable que si les zones DNS des fournisseurs de messagerie sont signées, ce qui n’est le cas de pratiquement aucune.
[^] # Re: DANE
Posté par gouttegd . En réponse au journal HTTP poussé vers la sortie ?. Évalué à 4.
L’idée est globalement la même, à savoir publier les clefs dans le DNS. Je ne sais pas à quels enregistrements DNS ils font référence, mais il s’agit probablement des enregistrements de type CERT (RFC 4398), qui sont précisément conçus pour ça. (DANE de son côté utilise des enregistrements TLSA (RFC 6698).)
Le principe est que si je cherche un certificat (X.509 ou OpenPGP, les enregistrements CERT sont utilisables pour les deux) pour Monsieur Michu michu@example.net, je peux le trouver dans le DNS sous la forme d’un enregistrement CERT pour le nom
michu.example.net..C’est une approche intéressante et en théorie prometteuse de la distribution des clefs, dans la mesure où elle pourrait être réalisée automatiquement par les fournisseurs de messagerie (qui ont logiquement le contrôle de la zone DNS dans laquelle se trouve les adresses de leurs utilisateurs). En théorie seulement car 1 je ne connais aucun fournisseur de messagerie qui fasse cela ou même qui ait exprimé un quelconque intérêt à cette technique, et 2 ce n’est fiable que si les zones DNS des fournisseurs de messagerie sont signées, ce qui n’est le cas de pratiquement aucune.