Ещё немного про PKI

В ICANN считают, что текущая система PKI небезопасна, и спасти её можно, опираясь на DANE (то есть на DNSSec) и Certificate Transparency.

Теоретически, конечно, это верно. А практически неудобен тот DNSSec, не любят в браузерах DANE, с Certificate Transparency есть масса вопросов и дырок в спецификации, а попытки, например, сказать, что для доверенных сертификатов надо ограничивать доменные зоны, в которых они могут выпускать сертификаты, вызовут грандиозные политические склоки. И в криптографических библиотеках поддержка всех этих ограничений работает не всегда.