Vlákno názorů k článku Google a Cloudflare chtějí postkvantově zajistit certifikáty a nerozbít přitom web od Wasper - Nebylo by jednodušší se na podobné vopičárny vykašlat...

Nebylo by jednodušší se na podobné vopičárny vykašlat a místo toho, konečně, přejít na DANE a využít infrastrukturu DNSSEC (která bude muset problém s asymetrickou postkvantovou kryptografií vyřešit tak jako tak)?

DNSSEC stale nema potrebne pokryti. Bohuzel. Ceskych 66% je krasnych, v tomhle patrime mezi premianty... ale sami to nezachranime, staci se podivat na cisla .com/.net... A tvurci browseru to dobre vedi.

To je pravda, ale nestojíme před volbou rozšířit DNSSEC versus přidal algoritmus do TLS1.3, ale versus překopat kompletní PKI od základů.

Nikoliv, realita je takova, ze my volbu nemame :) Nam nezbyva nez se prizpusobit tomu, jak se rozdaji karty jinde. Technicky mozna lepsi reseni uz mnohokrat... umrelo na neochote velkych hracu jej adoptovat. A my jsme male rybky... ;-)

Začít používat DANE ovšem neznamená úplně přestat používat certifikační autority. Pořád existují situace, kdy potřebujete vědět s kým komunikujete, ne s jakou doménou komunikujete. Že se na to teď kašle, protože nemáme pořádně zabezpečenou ani tu komunikaci s doménou, je jiná věc.

A přesně proto se ustoupilo od EV certifikátů (resp. zobrazení, že jsou EV, což tak nějak plus mínus více či méně zaručovalo, že víme, s kým se bavíme), a místo toho tu máme CA právě proto, abychom přesně věděli, že se bavíme s někým, kdo dokáže do DNS té domény dorvat jedno TXT (a/nebo do webu docpat jeden texťák do .well-known/acme/).

No to jsme si teda fakt pomohli...

EV bylo placebo, falesny pocit bezpeci. Vizuelni potvrzeni sice "pekne", ale problem je uz samotny fakt, ze to "pekny zeleny" obsahovalo text, co stejne bezny franta uzivatel nezkoumal... stejne, jako nezkouma tu cast v adresnim radku "za zameckem".

Bfu nemá rádo cokoli zkoumat, to nechává pokročilejším. Bfu chce pc pouze používat. Takže je na vývojářích, aby mu to bezpečně umožnili.

To je filosofická otázka kterou nechci rozebírat, rozebíralo se to 1000x a navíc je v tomto kontextu irelevantní.
Každopádně jsme se shodli, že situace cit. existují situace, kdy potřebujete vědět s kým komunikujete v rámci webu nenastává, tam opravdu stačí "vlastní DNS".

A mimo web si jen velmi těžko představit, že by několikakilobajtové asn.1 pole byly vážný problém.