---
# System prepended metadata

title: '[TC2] TD5 DANE/PGP - CSC'
tags: [TC2, S2, CSC]

---

# [TC2] TD5 DANE/PGP - CSC
###### tags: `CSC`, `S2`, `TC2`
---
_Avec NST_
##


## Un peu de DNS 

1. AFNIC (registry)
2. Gandi / OVH & Co.(registrar)
3. Nom de domaine -> registrar -> registry
4. INSA Lyon -> `www.insa-lyon.fr`
   AFNIC -> `insa-lyon.fr`
   ICANN -> `.fr`


## Un peu de DNSSEC

OUI, tout pareil !


1. 
| domaine              | Clé connues                                   | Signature                 |
| -------------------- | --------------------------------------------- | ------------------------- |
| ``.fr``              | Pub~fr~./Priv~fr~                             | $m^{Priv_{.}}$           |
| ``insa-lyon.fr``     | Pub~fr~. & Pub~insa-lyon.fr~./Priv~insa-lyon.fr~         | $m^{Priv_{fr}}$           |
| ``www.insa-lyon.fr`` | Pub~fr~. & Pub~insa-lyon.fr~. & Pub~www.insa-lyon.fr~./Priv~www.insa-lyon.fr~ | $m^{Priv_{insa-lyon.fr}}$ |

Cet enregistrement est signé avec la clé du niveau du dessus (insa-lyon.fr).
La première fois c'était rugeux

2. Oui, il faut signer avec les étages du dessus, et donc ceux qui ont été modifiés

### Mise en oeuvre

1. TLSA
2. avec la cle privé de la zone
3. les zones du dessus (la zone, le TLD, Root)


### Risques

1. Il peut signé des sous-domaine de ``insa-lyon.fr``
2. Il peut créer autant de domaine qu'il veut et changer la signature d'un domaine
3. Pour la zone ``.fr``, si la zone ``.tv`` est compromise nous ne risquons rien. Par contre la zone `.tv` est compromise

### Gestion de la révocation

1. Change de la zone et resignature, le temps de propagation DNS (~24h), utilisateurs finaux
2. Révocation de la zone, le temps de propagation est non maitrisé 
3. wola c'est la grosse :poop: 


## PGP

Aucune garanties, aucun moyen de verifier si c'est la bonne personne

### Reconnaissance de clés tiers

1. La confiance est good en passant par le chemin Jesse-Walter-Henry
2. Pas trop de confiance soit par Saul-Walter-Jesse soit par Saul-Mike-Walter-Jesse mais y a des pointillé de partout


### Composantes malicieuses

1. Ca ne change pas de la question d'avant
2. Henry se fait certifier par la chaine Mike-William et donc une mauvaise clé recuperé
3. Ca depend a qui on fait confiance

### Révocation

1. On révoque la clé et on en regénére une (enregistrement de la révocation dans le serveur)
2. C'est un peu la merde pck il faut la révoquer mais on ne peut pas le faire sans la clé et il n'y a pas d'authorité superieur pour la révocation de clés. Il y a plein de clé fantome dans les serveurs.
