Vlákno názorů k článku Kauza DigiNotar, aneb: když certifikační autorita ztratí důvěru od m - a to si ten certifikat overujete s adminem...

To jsem ještě v praxi u nikoho neviděl, ani v době "simtoolkitů", ani dnes v době chytrých telefonů.

Většina lidí používá klasiku : www rozhraní přes https (tj. certifikát od CA + autentizace jméno+heslo) pro definici příkazu + SMS pro potvrzení.

A paranoici ten seznam zkrátí na nezbytné minimum, kterému důvěřují :-)

zřejmě bylo myšleno, že v prohlížeči můžou být utajené certifikáty, které nejdou vidět, nebo jinak modifikovaný prohlížeč.

Jenže ten druhý "nezávislý" systém obsahuje mnoho CA, které jsou si všechny rovny a mohou vydat certifikát pro libovolnou doménu.

Každopádně model, který připravujeme v IETF, počítá i s tím, že s CA-pinning, tedy, že do DNS/DNSSEC uložíte pouze informaci o tom, která CA může podepisovat vaši doménu.

no, tak daleko jsem v úvahách nešel :-) Abychom nakonec nedošli k tomu, že míra zabezpečení závisí na tom, co máme mezi ušima.

To je omyl. Dnes mate zabezpeceni zavisle na tom, co Vam doda Vas operacni system :-)

jenomže v dnešní situaci mám dvě zabezpečení závislá na dvou nezávislých systémech. Což je patrně lepší než pouze jedno.

Mel jsem pochopitelne za to, ze musi souhlasit certifikat, ktery je vypublikovan do DNS zony.

Důvěřovat pouze DNSSec by bylo oslabení proti současnému stavu, kdy na bezpečnosti daného místa musí souhlasit dvě komponenty - DNSSec a SSL certifikát.

Pokud vsichni verime DNS/DNSSEC, pak nikolivek :-)

Obávám se, že jste popsal úplně stejnou situaci jako s DigiNotarem.

Treba certifikaty v DNS a DNSSEC?

Pavda, pak musite verit provozovatelum systemu DNS, ale tem musite verit stejne :-)