Aucune chance. Google se moque éperdument de DANE.
Aucune zone dépendant de Google (google.com, gmail.com, youtube.com, etc.) n’est signée. Pour Google, DNSSEC (dont DANE dépend : un enregistrement TLSA ne sert à rien s’il n’est pas signé) n’existe pas. Raison avancée : il y a trop de RSA 1024-bits dans DNSSEC, et ce n’est pas assez fort à leur goût.
Google promeut à la place son propre Certificate Transparency (qui ne résoud aucun problème), qui s’oppose explicitement à la possibilité offerte par DANE d’utiliser des certificats qui ne soient pas émis par des CA reconnues. Le site de CT peut bien prétendre que DANE could also be used with CT, ce n’est vrai que si DANE est utilisé pour publier un certificat émis par une CA participant à CT (donc les mêmes CA que celles acceptées par les navigateurs). Les logs CT refusent d’enregistrer les certificats émis de façon indépendante.
Google n’hésite pas à faire preuve de mauvaise foi quand il s’agit de promouvoir Certificate Transparency par rapport à DANE, par exemple lorsqu’ils affirment que « DANE nécessite de modifier les serveurs » parce qu’il faut bien « servir les enregistrements DNS nécessaires » — faisant semblant d’oublier que 1 n’importe quel service web a déjà besoin d’un serveur DNS pour distribuer son adresse, 2 n’importe quel serveur DNS est déjà capable de servir des enregistrements TLSA, 3 Certificate Transparency de son côté nécessite rien de moins que de modifier le format X.509 (ajout d’une extension représentant le jeton CT), le protocole TLS (ajout d’une extension pour fournir le jeton CT), le protocole OCSP (idem), et les clients qui doivent supporter toutes ces extensions...
Bref, si tu veux du DANE, tu auras plus vite fait de le mettre en place toi-même que d’attendre que GMail le fasse. Je l’ai fait, ce n’est pas trivial mais ça ne demande pas non plus d’être ingénieur chez Google.
[^] # Re: DANE
Posté par gouttegd . En réponse au journal Gmail cherche à pousser les autres fournisseurs de courriel à envoyer/recevoir de manière chiffrée. Évalué à 4.
Aucune chance. Google se moque éperdument de DANE.
Aucune zone dépendant de Google (google.com, gmail.com, youtube.com, etc.) n’est signée. Pour Google, DNSSEC (dont DANE dépend : un enregistrement TLSA ne sert à rien s’il n’est pas signé) n’existe pas. Raison avancée : il y a trop de RSA 1024-bits dans DNSSEC, et ce n’est pas assez fort à leur goût.
Google promeut à la place son propre Certificate Transparency (qui ne résoud aucun problème), qui s’oppose explicitement à la possibilité offerte par DANE d’utiliser des certificats qui ne soient pas émis par des CA reconnues. Le site de CT peut bien prétendre que DANE could also be used with CT, ce n’est vrai que si DANE est utilisé pour publier un certificat émis par une CA participant à CT (donc les mêmes CA que celles acceptées par les navigateurs). Les logs CT refusent d’enregistrer les certificats émis de façon indépendante.
Google n’hésite pas à faire preuve de mauvaise foi quand il s’agit de promouvoir Certificate Transparency par rapport à DANE, par exemple lorsqu’ils affirment que « DANE nécessite de modifier les serveurs » parce qu’il faut bien « servir les enregistrements DNS nécessaires » — faisant semblant d’oublier que 1 n’importe quel service web a déjà besoin d’un serveur DNS pour distribuer son adresse, 2 n’importe quel serveur DNS est déjà capable de servir des enregistrements TLSA, 3 Certificate Transparency de son côté nécessite rien de moins que de modifier le format X.509 (ajout d’une extension représentant le jeton CT), le protocole TLS (ajout d’une extension pour fournir le jeton CT), le protocole OCSP (idem), et les clients qui doivent supporter toutes ces extensions...
Bref, si tu veux du DANE, tu auras plus vite fait de le mettre en place toi-même que d’attendre que GMail le fasse. Je l’ai fait, ce n’est pas trivial mais ça ne demande pas non plus d’être ingénieur chez Google.