GCP Terraform Misconfiguration: Weak Cryptographic Cloud DNS Signature

Terraform 構成は、安全でない署名アルゴリズムを使用した、Cloud DNS Domain の Domain Name System Security (DNSSEC) を有効にします。

DNSSEC は、DNS 応答の検証にデジタル署名を使用する機能を提供することにより、DNS 偽装を防止します。ただし、SHA-1 を使用する DNSSEC 署名アルゴリズムは、増え続ける攻撃のリスクには脆弱です。SHA-1 は、デジタル署名で使用される場合、安全なハッシュ アルゴリズムとは見なされなくなりました。

例 1: 次の例は、安全ではない署名アルゴリズム rsasha1 を使用して DNSSEC を有効にする Terraform 構成を示しています。

resource "google_dns_managed_zone" "zone-demo" {
...
  dnssec_config {
    default_key_specs {
      algorithm = "rsasha1"
      ...
    }
  }
...
}