Mit dem Signing Key von DNSSEC. Der wird von der übergeordneten Zone signiert (also für example.com wäre das der Betreiber von .com). Damit wären CA und DNS in einer Stelle zusammengefasst, separate CAs gäbe es nicht mehr.

Aber die Sache ist ohnehin gestorben und das CA System bleibt auf absehbare Zeit erhalten.