« Un petit pas pour M. Michu, un grand pas pour la sécurité du #DNS : le résolveur sur les Freebox valide désormais avec #DNSSEC.
Et avec DLV, ce qui est une idée contestable. »

On enchaîne avec quelques rappels de base :
« Tous les domaines avec une config #DNSSEC incorrecte vont donc être inaccessibles depuis Free.
Un résolveur validant peut être menteur. Voilà pourquoi l'idéal est de valider sur sa machine. »

On commence déjà à voir ce que je décrivais ici http://www.guiguishow.info/2012/08/21/domain-name-system-attaques-et-securisation/#toc-2827-limites (deuxième paragraphe) : quand on met en place un serveur DNS récursif validant, les utilisateurs de ce récursif et, si votre récursif sert un nombre significatifs d'utilisateurs, les gestionnaires techniques de domaines invalides (d'un point de vue DNSSEC) vous font endosser une responsabilité qui n'est pas la vôtre en vous hurlant dessus quand ça ne marche pas... Même quand l'erreur est de leur côté. Premier exemple (DS dans la zone parente mais pas de DNSKEY dans la zone fille) :
« Maëva ‏@lechat_et_moi :
@freemobile @LALIGNEDEFREE comment on fait quand nos lecteurs du blog qui ont Free be peuvent pas accéder au blog depuis 2 mois?

avicom ‏@agence_avicom :
@lechat_et_moi @LALIGNEDEFREE nous sommes les hébergeurs, et ça ne vient pas de chez nous ! Aucun IP de Free n'accède au site.

Free ‏@LALIGNEDEFREE :
@agence_avicom @lechat_et_moi un traceroute.?

Mathieu ‏@oustedaisse :
@agence_avicom @lechat_et_moi @LALIGNEDEFREE en même temps, vu que la conf DNSSEC du domaine est pétée, c'est normal que ça marche pas...

Mathieu ‏@oustedaisse :
@agence_avicom @lechat_et_moi @LALIGNEDEFREE en haut avec DNSSEC actif en bas DNSSEC désactivé. Le pb est chez vous;) pic.twitter.com/ARhQrNasYb

avicom ‏@agence_avicom :
@lechat_et_moi @LALIGNEDEFREE On va regarder ça ! Merci @oustedaisse de votre aide on vous tient au courant ;)

avicom ‏@agence_avicom :
@oustedaisse @lechat_et_moi @LALIGNEDEFREE ça ne vient pas de là ! Même free n'utilise pas encore cette norme... En tout cas merci !

Mathieu ‏@oustedaisse :
@agence_avicom @lechat_et_moi @LALIGNEDEFREE Ha si, ça vient de là pourtant, regardez bien... Le même pb avec Google DNS également.

avicom ‏@agence_avicom :
@oustedaisse @lechat_et_moi @LALIGNEDEFREE DNSSEC est une nouvelle norme pour parler aux serveurs DNS de manière chiffrée comme DKIM
[ NDLR : KAMOULOX ! Il n'y a rien d'exact dans ce tweet ! O_O ]

Mathieu ‏@oustedaisse :
@agence_avicom @lechat_et_moi @LALIGNEDEFREE dites... Je suis au courant merci.

avicom ‏@agence_avicom :
@oustedaisse @lechat_et_moi @LALIGNEDEFREE donc c'est une norme donc pas une nécessité...
[ NDLR : bah oui, ne respectons pas les normes et faisons tous dans tambouille dans notre coin... utile pour communiquer entre nous ! ]

Mathieu ‏@oustedaisse :
@agence_avicom @lechat_et_moi non mais si vous foutez n'importe quoi dans la zone DNS il est normal que ça marche pas !! Et c'est le cas !

avicom ‏@agence_avicom :
@oustedaisse on a du avoir de la chance avec tous nos autres sites. Merci

Mathieu ‏@oustedaisse :
@agence_avicom a votre place je regarderai quand même http://www.zonemaster.net/test/3841  avant d'accuser les mauvaises personnes ;)

avicom ‏@agence_avicom :
@oustedaisse initialement on accuse personne, le faite est que ça bloque uniquement chez les utilisateurs Free

Mathieu ‏@oustedaisse :
@agence_avicom les NS Free (idem Google DNS) cherchent a valider la signature du champ DS. Si invalide > servfail cf http://bit.ly/17mnBCp  »

Sources :
https://twitter.com/bortzmeyer/status/570611097696378880
https://twitter.com/bortzmeyer/status/570611239526768642
https://twitter.com/bortzmeyer/status/570614987326169090
https://twitter.com/bortzmeyer/status/570618916025835520
https://twitter.com/agence_avicom/status/567617305065295874