Vlákno názorů k článku Kauza DigiNotar, aneb: když certifikační autorita ztratí důvěru od Milan - On totiž více méně pouze vytváří dojem důvěry,...

Důvěřovat pouze DNSSec by bylo oslabení proti současnému stavu, kdy na bezpečnosti daného místa musí souhlasit dvě komponenty - DNSSec a SSL certifikát.

Mel jsem pochopitelne za to, ze musi souhlasit certifikat, ktery je vypublikovan do DNS zony.

jenomže v dnešní situaci mám dvě zabezpečení závislá na dvou nezávislých systémech. Což je patrně lepší než pouze jedno.

To je omyl. Dnes mate zabezpeceni zavisle na tom, co Vam doda Vas operacni system :-)

no, tak daleko jsem v úvahách nešel :-) Abychom nakonec nedošli k tomu, že míra zabezpečení závisí na tom, co máme mezi ušima.

zřejmě bylo myšleno, že v prohlížeči můžou být utajené certifikáty, které nejdou vidět, nebo jinak modifikovaný prohlížeč.

Jenže ten druhý "nezávislý" systém obsahuje mnoho CA, které jsou si všechny rovny a mohou vydat certifikát pro libovolnou doménu.

Každopádně model, který připravujeme v IETF, počítá i s tím, že s CA-pinning, tedy, že do DNS/DNSSEC uložíte pouze informaci o tom, která CA může podepisovat vaši doménu.

A paranoici ten seznam zkrátí na nezbytné minimum, kterému důvěřují :-)