Euh, dans ton hypothèse où « DNSSEC est déployé partout et que ça marche bien », la première connexion n’est plus critique. Tu récupères l’empreinte du certificat du serveur dans le DNS avant la première connexion au serveur TLS, donc le serveur est correctement authentifié dès le départ, il n’y a pas besoin de leap of faith ou de trust on first use.
Le seul « acte de foi » requis est envers le gérant de la zone DNS : s’il te raconte n’importe quoi (par malveillance, incompétence ou parce que son système d’avitaillement a été piraté — ce qu’on peut ranger dans l’incompétence en un sens, il lui appartient de savoir se protéger), ce n’est pas DNSSEC qui va te protéger de ça.
C’est l’équivalent, dans le monde DNSSEC/DANE, de l’acte de foi envers les autorités de certification du monde PKIX. À celà près que dans le monde PKIX, tu dois faire confiance à toutes les CA reconnues, quand DNSSEC/DANE te demande de faire confiance au seul bureau d’enregistrement du domaine que tu visites.
[^] # Re: shttp
Posté par gouttegd . En réponse au journal HTTP poussé vers la sortie ?. Évalué à 2.
Euh, dans ton hypothèse où « DNSSEC est déployé partout et que ça marche bien », la première connexion n’est plus critique. Tu récupères l’empreinte du certificat du serveur dans le DNS avant la première connexion au serveur TLS, donc le serveur est correctement authentifié dès le départ, il n’y a pas besoin de leap of faith ou de trust on first use.
Le seul « acte de foi » requis est envers le gérant de la zone DNS : s’il te raconte n’importe quoi (par malveillance, incompétence ou parce que son système d’avitaillement a été piraté — ce qu’on peut ranger dans l’incompétence en un sens, il lui appartient de savoir se protéger), ce n’est pas DNSSEC qui va te protéger de ça.
C’est l’équivalent, dans le monde DNSSEC/DANE, de l’acte de foi envers les autorités de certification du monde PKIX. À celà près que dans le monde PKIX, tu dois faire confiance à toutes les CA reconnues, quand DNSSEC/DANE te demande de faire confiance au seul bureau d’enregistrement du domaine que tu visites.