Hay un problema:
DNSCurve es más como TLS para servidores DNS, en comparación con DNSSEC, que es registros firmados . DNSCurve usa la criptografía punto a punto para asegurar la comunicación, mientras que DNSSEC usa firmas precalculadas para garantizar la precisión de los registros provistos.
Por lo tanto, podemos resumirlo así:
DNSSEC : Resultados precisos
DNSCurve : tráfico cifrado
En teoría, puede utilizar el cifrado de tráfico para garantizar la precisión, como lo hace TLS para los sitios web. Excepto que no es realmente el cifrado lo que garantiza su exactitud, es la autenticación que se proporciona a través de la PKI. Y hay un conjunto de problemas críticos con la PKI básica de DNSCurve.
El primer problema aquí es que con DNSCurve, todos y cada uno de los servidores DNS involucrados necesitan una clave privada , y como la firma de la clave está codificada en la dirección del resolutor, entonces en el caso de los servidores DNS de cualquier difusión , cada servidor necesita la misma clave privada. Pero incluso si utilizan claves diferentes, aún confía en la seguridad local donde está instalado el servidor DNS. Si el servidor está instalado en un lugar hostil, los resultados pueden verse comprometidos. Esto no es cierto con DNSSEC.
La ICANN ha declarado que, en el caso de los servidores de la zona raíz del DNS, DNSCurve nunca se implementará. Muchos de los servidores raíz operan en ubicaciones de menor confianza, y el potencial de abuso por parte de los gobiernos locales sería enorme. Esta es precisamente la razón por la que se diseñó DNSSEC para que la firma se realice fuera del servidor DNS. DNS se basa en una amplia red de servidores que pueden no ser confiables individualmente, por lo que DNSSEC se diseñó de tal manera que la confianza se basa únicamente en la información que sirven, no en la honestidad del operador.
El segundo problema es que DNSCurve asegura la clave pública al codificarla en el nombre del resolutor. Pero DNSSEC no firma el nombre del resolvedor. Esto significa que DNSSEC (que está implementado en la zona raíz) no se puede usar como una raíz de confianza para DNSCurve, porque lo único que DNSCurve requiere para ser preciso es, de hecho, precisamente lo que DNSSEC no puede garantizar la exactitud.
Esencialmente, DNSCurve es prácticamente un no iniciador. Si bien puede usarse para garantizar la seguridad de su comunicación con un solo servidor de resolución de DNS, actualmente no hay forma de anclar su confianza de manera global que pueda garantizar la precisión de los resultados que recupere.
A menos que DNSCurve esté rediseñado para permitir una distribución confiable de claves, tendrá que seguir siendo una herramienta de seguridad del lado del cliente en lugar de una herramienta para garantizar la autenticidad de los registros DNS.
Dado que DNSCurve es relativamente nuevo y fue desarrollado en gran medida por djb de forma aislada, es de suponer que estos problemas de interrupción fueron simples descuidos por su parte, y pueden ser arreglados en una fecha futura. Aunque dado el historial del Dr. Bernstein de mantener sus invenciones, no contuve la respiración.