Na blogu správců DNS University of Cambridge sepsal Tony Finch scénář, jak by bylo možné útok Shambles použít k napadení DNSSECu. Kromě předpokladu jednoduchého výpočtu dvou kolizních zpráv a úplného ovládání síťové komunikace oběti potřebuje také, aby útočník měl možnost vkládat určité typy záznamů do zóny, kde má útok proběhnout, nebo do jiné zóny, která je podepsána stejným klíčem. To může být problém u velkých hostingových společností, které podepisují jednou sadou klíčů domény všech svých zákazníků.
Útok se také teoreticky může týkat doménových registrů, které umožňují každému držiteli domény vkládat DS záznamy s libovolným obsahem. Naštěstí ale běžné velikosti DS záznamů k úspěšnému útoku nestačí, pokud tedy registr nepovoluje nesmyslně dlouhé záznamy, útok by se jej neměl týkat.
Všichni, kteří používají algoritmy s číslem nižším než 8 by v každém případě měli urychleně přemýšlet o přechodu na novější algoritmus. RFC 8624 doporučuje použití algorimu 13, tedy ECDSA s křivkou P.256 a SHA-256, kterou používá i například česká a slovenská TLD. Bezpečné je i použití algoritmu číslo 8, tedy RSA a SHA-256 s velikostí klíče alespoň 2048 bitů. Tento algoritmus používá například kořenová zóna.
ČLÁNKY DO MAILU