GCP Terraform Misconfiguration: Weak Cryptographic Cloud DNS Signature

Una configuración de Terraform habilita la seguridad del sistema de nombres de dominio (DNSSEC) de un dominio DNS en la nube, con un algoritmo de firma inseguro.

DNSSEC evita la falsificación de DNS al proporcionar la capacidad de usar firmas digitales para la validación de respuestas de DNS. Sin embargo, cualquier algoritmo de firma DNSSEC que use SHA-1 es susceptible de un riesgo de ataque cada vez mayor. SHA-1 ya no se considera un algoritmo hash seguro cuando se usa con firmas digitales.

Ejemplo 1: El siguiente ejemplo muestra una configuración de Terraform que habilita DNSSEC con el algoritmo de firma inseguro rsasha1.

resource "google_dns_managed_zone" "zone-demo" {
...
  dnssec_config {
    default_key_specs {
      algorithm = "rsasha1"
      ...
    }
  }
...
}