Re: Usage DNSSEC en France - Resolver compatible DNSSEC - Annexe

Merci Stéphane pour tes réponses.


Le 02/10/2020 à 14:20, Stephane Bortzmeyer a écrit :
> On Fri, Oct 02, 2020 at 11:37:28AM +0200,
>   Eric EXTIN <[email protected]> wrote
>   a message of 15 lines which said:
> 
>> 1/ Les grandes sociétés (France & monde) ayant déployées DNSSEC sur leurs
>> serveurs DNS faisant autorités.
> 
> Pour la France, il y en a dans le rapport ANSSI/AFNIC sur la
> résilience de l'Internet
> <https://www.ssi.gouv.fr/agence/rayonnement-scientifique/lobservatoire-de-la-resilience-de-linternet-francais/le-rapport-de-lobservatoire-de-la-resilience-de-linternet-francais/>
> 
> Mais, bon, j'espère que les décideurs qui choisissent d'activer DNSSEC
> ne le font pas par suivisme mais parce que c'est une bonne idée.

Mes collègues et moi sommes convaincus de l'intérêt du DNSSEC, reste à 
convaincre, j'ai terminé une présentation sur le sujet, les questions 
qui  sont revenues portaient essentiellement sur le facteur RISQUE 
d'avoir une zone dont la signature aurait expirée et la difficulté à 
mettre en place une chaîne de production pour le renouvellement des 
clefs KSK, ZSK et comment après le renouvellement de la KSK automatiser 
le transfert de l'empreinte DS, etc...
Tu as un peu raison, les grandes entreprises, en tout cas, dans mon 
domaine, s'observent aussi. Mais la raison la plus forte étant que 
légalement elles vont être contraintes à déployer du DNSSEC, c'est dans 
les tuyaux et cela ma va très bien :-)

> 
>> 2/ Des stats concernant les resolver respectant le protocole DNSSEC
>> (vérifiant réellement la validité des signatures des zones)
> 
> Même rapport. On peut aussi avoir une idée très approximative avec les
> sondes RIPE Atlas. Ici, pour la France :
> 
> % blaeu-resolve --displayvalidation --requested 1000 --country FR  cyberstructure.fr
> [ (Authentic Data flag)  2001:4b98:dc0:41:216:3eff:fe27:3d3f] : 276 occurrences
> [2001:4b98:dc0:41:216:3eff:fe27:3d3f] : 181 occurrences
> [ERROR: SERVFAIL] : 1 occurrences
> Test #27352961 done at 2020-10-02T12:14:24Z
> 
> Donc, la nette majorité des sondes Atlas en France sont derrière un
> résolveur validant.
> 
>> Annexe: Savez-vous s'il est possible de ne signer qu'une partie des
>> enregistrements d'une zone?
> 
> Non, cela n'est pas possible, le DS étant par zone et pas par
> enregistrement. Peut-être en trichant avec NSEC3 et opt-out mais je
> n'en suis même pas sûr (et je déconseille, c'est trop risqué).
>