GCP Terraform Misconfiguration: Weak Cryptographic Cloud DNS Signature

Uma configuração do Terraform habilita o Domain Name System Security (DNSSEC) de um Domínio DNS do Cloud com um algoritmo de assinatura não seguro.

O DNSSEC impede a falsificação de DNS fornecendo a capacidade de usar assinaturas digitais para validação de resposta de DNS. No entanto, qualquer algoritmo de assinatura DNSSEC que use SHA-1 está suscetível a um risco cada vez maior de ataque. O SHA-1 não é mais considerado um algoritmo de hash seguro quando usado com assinaturas digitais.

Exemplo 1: O exemplo a seguir mostra uma configuração do Terraform que habilita o DNSSEC com o algoritmo de assinatura não seguro rsasha1.

resource "google_dns_managed_zone" "zone-demo" {
...
  dnssec_config {
    default_key_specs {
      algorithm = "rsasha1"
      ...
    }
  }
...
}