Re: DANE nouveau draft : un protocole mort dans l'oeuf ?

On Wed, Dec 21, 2011 at 10:57:51AM +0100,
 Florian Maury <[email protected]> wrote 
 a message of 86 lines which said:

> Encore une fois, du point de vue de l'ingénieur, il est parfaitement
> logique de vouloir sécuriser le dernier kilomètre, sans quoi on a un
> trou béant dans la sécurité du système, et un point d'entrée évident
> pour une attaque.

Je change un peu de sujet mais ça concerne aussi l'IETF. Dans
l'ensemble des futurs RFC sur la sécurisation du routage (RPKI + ROA,
exposé au prochain JRES), il y a une mention amusante :

   Caches and routers MUST implement unprotected transport over TCP
   using a port, rpki-rtr, to be assigned, see Section 12.  Operators
   SHOULD use procedural means, ACLs, ... to reduce the exposure to
   authentication issues.

Ce n'est pas une typo, c'est bien "unprotected" qui est écrit. Pour un
protocole censé sécuriser BGP. Un peu plus loin, on trouve :

   If available to the operator, caches and routers SHOULD use one of
   the following more protected protocols. [AO, SSH, IPsec, etc]

La justification donnée par l'auteur du futur RFC est juste mais
dérangeante :

    there is no reasonable (integrity and authentication, we do not care
    about privacy) protocol X implemented on all servers (unix, linux,  
    solaris) and routers (cisco, juniper, ...).  AO, $deity's gift to 
    the wire, is on none of them.  there are routers which have an ssh
    server built into the cli but which do not have an ssh library    
    available to new hacks such as rpki-rtr.  freebsd can generate md5
    but does not check it on receipt.  and so on.  ground truth is very
    uuuuugly.