Vi är inte där riktigt än, men visst vore det väl intressant om det gick att kombinera DNSSEC och SSL/TLS?
DNSSEC kommer starkt för att säkra upp DNS och under året har även rootservrarna blivit signerade. (Här får jag väl skämmas lite att jag inte har tagit steget ännu 😉 ) SSL/TLS, som gemene man oftast kommer i kontakt med genom https, är vi vana vid sedan länge.
När vi sätter upp web-servrar och vi säkra upp kommunikationen behövs ett certifikat och i dagsläget har vi två val: 1) Skaffa ett certifikat från en känd CA, vilket oftast kostar pengar. 2) Gör ditt eget certifikat, Self Signed Certificate.
Om vi bara vill kryptera kommunikationen funkar Self Signed Certificate bra, men för besökare till servern betyder det att det kommer upp en varning om ett okänt certifikat etc etc.
Här är det tanken att KIDNS (Keys In DNS) skall hjälpa till genom att koppla ihop nycklarna med DNS, som i sin tur säkrats med DNSSEC. Vad är fördelarna med detta? Man kan bland annat tänka sig följande:
- Self Signed Certificate kan valideras mot DNS och funkar därmed smidigare än de gör idag.
- SSL/TLS kan fungera snabbare än idag. Certifikaten behöver inte kontrolleras mot en CA eller en lista på certifikat som dragits tillbaka.
- Om man har kontroll på sin DNS har man kontroll på PKI.
Betyder detta att det inte behövs några CA? Det beror som vanligt på vem du litar på. Kan man lita på att en viss domän hör till en viss organisation? Kan man lita på att en viss CA verkligen har kontrollerat vem det är man utfärdat ett certifikat till?
Hur som helst skall det bli intressant att följa utvecklingen när det gäller KIDNS.
https://www.ietf.org/ibin/c5i?mid=6&rid=49&gid=0&k1=934&k2=8530&tid=1295362850
http://www.ietf.org/internet-drafts/draft-turner-dnssec-centric-pki-00.txt