RIen de neuf sur DNSSEC ... Parcours des zones avec NSEC, augmentation du facteur d'amplification dans les attaques par réflexion (la sécurité n'est jamais sans coût), la gestion des clés cryptographiques n'est jamais triviale.

Je suis contre l'idée que des enregistrements DNS soient privés. C'est un non-sens. Pour "cacher" des sous-domaines qui permettent d'accéder à des zones privées de votre infra, il existe le mécanisme des vues ! Quand l'article parle de NSEC3, ils nous disent que NSEC3 offre la confidentialité tant que les noms sont difficiles à deviner (attaques par dico). Donc si ces noms sont faciles à trouver (mail., www., private., ...) c'est sûrement que NSEC3 n'a aucun intérêt, non ? ;) Ces noms seront quand même tentés par l'attaquant indépendamment de savoir si DNSSEC est déployé et donc indépendamment de savoir si c'est NSEC ou NSEC3 qui est utilisé.

« DNSSEC also works over UDP » C'est un non-sens d'écrire ça puisque DNSSEC ne sont que des extensions cryptographiques apportées au DNS. Ça ne casse pas le protocole, ça ne remet pas en cause les notions de base, ...

La conclusion de ce publi-reportage est croustillante : « CloudFlare is aware of the complexity introduced by DNSSEC with respect to zone privacy, key management, and reflection/amplification risk. With smart engineering decisions, and operational controls in place, the dangers of DNSSEC can be prevented. » -> tkt gros, on gère :D

Via http://shaarli.cafai.fr/?YtYkAw