DNSSEC bied geen enkele bescherming op het moment dat een aanvaller de inloggegevens van de DNS provider heeft en deze de records met DNSSEC ondertekend. Wat wel helpt is als DNS provider goede 2FA mogelijkheden aanbieden. Op dit moment ben ik alleen bekend met Gandi en Google DNS waarbij er via U2F ingelogd kan worden. Laat DNS providers eerst de inlog eens op orde hebben voor ze DNSSEC uitrollen. Het hele idee dat DNSSEC je beschermd tegen verkeerde records valt in de praktijk ook best mee. Als je via DHCP een DNS server krijgt moet je maar hopen dat die toevallig de records valideert. Als je op een publiek wifi netwerk zit is de last mile niet beschermd, waarmee je nog steeds onbeschermd bent. DNSSEC is pas veilig als je zelf de validatie uitvoert. Echter mag duidelijk zijn dat de grote tech bedrijven het er niet zo mee hebben en ik verwacht niet dat dat op korte termijn gaat veranderen. De DNSSEC chain extensie was een aardige poging, maar dat is uiteindelijk niks geworden. Dat wil natuurlijk niet ...