GCP Terraform Misconfiguration: Weak Cryptographic Cloud DNS Signature

이 Terraform 구성은 안전하지 않은 서명 알고리즘으로 Cloud DNS 도메인의 DNSSEC(Domain Name System Security)를 활성화합니다.

DNSSEC는 DNS 응답 유효성 검사에 디지털 서명을 사용할 수 있는 기능을 제공하여 DNS 스푸핑을 방지합니다. 그러나 SHA-1을 사용하는 모든 DNSSEC 서명 알고리즘은 끊임없이 증가하는 공격 위험에 취약합니다. SHA-1은 디지털 서명과 함께 사용할 때 더 이상 보안 해시 알고리즘으로 간주되지 않습니다.

예제 1: 다음 예제는 안전하지 않은 서명 알고리즘 rsasha1으로 DNSSEC를 활성화하는 Terraform 구성을 보여줍니다.

resource "google_dns_managed_zone" "zone-demo" {
...
  dnssec_config {
    default_key_specs {
      algorithm = "rsasha1"
      ...
    }
  }
...
}