Eu amo meu registrador (a quem não vou citar); mas atualmente eles só podem assinar e postar meus DSregistros KSK para .come .netesses só podem ser assinados por e-mail para "[email protected]" (sem API). Embora eu não use nenhum TLD "exótico", a falta de suporte .orgé problemática.
Nesta data tardia (abril de 2015), é apropriado usar o look-aside do ISC para meus .orgdomínios?
Alguém ainda está usando o look-aside? Ou todos ainda deveriam estar usando o look-aside?
Minha lealdade ao meu registrador é mal direcionada? Ou devo simplesmente transferir meus domínios para alguém com tecnologia melhor?
Partes da pergunta são claramente baseadas em opiniões, mas tentarei abordar as especificidades de confiar no DNSSEC lookaside (
DLV) neste momento.Em primeiro lugar, o suporte lookaside é implementado em várias das principais implementações de software de resolução de validação, mas não em todas. Mesmo quando o software implementa o suporte lookaside, geralmente não é ativado por padrão (provavelmente porque seu uso não é totalmente sem controvérsia - não é um "padrão real", repositório central de chaves confiáveis, etc.).
Hoje em dia, com a raiz, bem como a maioria dos TLDs assinados (e, com sorte, permitindo a criação de delegações assinadas), não acho exagero supor que a adoção de lookaside em novas implantações provavelmente cairá muito, exceto nos casos em que o Os próprios proprietários do sistema estão contando com o Lookaside para suas próprias necessidades.
Como alguns exemplos de alguns servidores resolvedores de validação populares, os resolvedores públicos do Google não usam lookaside, nem o .
No geral, parece que o lookaside ainda é melhor do que nada, pois ainda é potencialmente útil, embora pareça que sua utilidade está diminuindo.
Se possível (ou seja, se você tem alguma ideia de quais servidores resolvedores a maioria de seus clientes usará), você pode querer fazer alguns testes para descobrir como é útil confiar no DNSSEC lookaside especificamente para você. Consultar servidores resolvedores de validação, por exemplo
nsec3.dlvtest.dns-oarc.net(e observar oADsinalizador na resposta), seria um bom começo.Algumas leituras potencialmente úteis (embora já tenham alguns anos):