Názor k článku Šifrované SNI lepí díru do soukromí, jako první ho bude umět Firefox od Vít Šesták - > Tak proč pořád píšete o certifikátech, když...

> Tak proč pořád píšete o certifikátech, když diskutujeme o veřejných klíčích?

Psal jsem, že by se hodilo <i>něco na způsobem</i> Certificate transparency. Říkejme tomu třeba DNSSEC transparency.

> Odstraníme, protože nepotřebujeme vědětm komu patří který veřejný klíč. Informace z DNS "server pro tento název se prokáže znalostí privátního klíče příslušného k veřejnému klíči XY" je pro ověření serveru plně dostačující.

Tedy je neodstraníme (aspoň ne to zásadní – identitu), jen to přesuneme jinam.

> Dělá to tedy někdo jiný, než vlastník domény

V obou případech do toho bude zapojen i někdo jiný než vlastník domény, třeba provozovatelé DNS… Přechodem na DNSSEC se důvěry ve třetí strany nezbavíme, jen si některé něci ulehčíme…

> bude prostě kontrolovat DNS záznamy svého vlastního serveru - nic jiného k tomu nepotřebuje.

Jak často to musím kontrolovat? Umí DNSSEC zabránit selektivnímu poskytnutí jiných informací jednomu subjektu? Například budu mít klíč k TLD, který zneužiju k MITM a následnému poskytnutí jiných klíčů vybrané části lidí.

> certificate transparency umožňuje vlastníkovi domény kontrolovat ty jiné subjekty

Včetně provozovatelů DNS. Skrze CT se dozvíte, že byl vydán certifikát, který být vydán neměl, nezávisle na tom, jestli se tak stalo skrze špatnou CA nebo skrze útok na DNS.

> Když ale bude používat veřejný klič v DNS zóně, bude to jenom vlastník domény kdo tam ten klíč může umístit, takže nepotřebuje žádnou transparentnost, protože by kontroloval jenom sám sebe.

Mám pocit, že jádro sporu spočívá v tom, že každý máme jiný model útočníka. Já předpokládám, že se útočník může snažit unášet i relevantní DNS servery, případně je vlastnit. Nepovažuju to sice za tak běžnou situaci, abych tomu chtěl bránit (zvlášť když by se to réšilo poměrně blbě), ale aspoň bych se o takovém útoku chtěl dozvědět. Vy zřejmě předpokládáte nenapadnuté a 100% důvěryhodné DNS, tím pak nějaké DNSSEC transparency smysl nedává.