TSIG ( firma de transacción ) es un protocolo de red informática definido en RFC 2845. Básicamente, permite que el sistema de nombres de dominio (DNS) autentique las actualizaciones de una base de datos DNS. Se utiliza más comúnmente para actualizar un DNS dinámico o un servidor DNS secundario/esclavo. TSIG utiliza claves secretas compartidas y un algoritmo hash unidireccional para proporcionar un medio criptográficamente seguro de autenticar cada punto final de una conexión para que pueda realizar o responder a una actualización de DNS.
Aunque las consultas al DNS pueden realizarse normalmente sin autenticación, las actualizaciones al DNS deben autenticarse, ya que realizan cambios duraderos en la estructura del sistema de nombres de Internet. Como la solicitud de actualización puede llegar a través de un canal inseguro (Internet), se deben tomar medidas para garantizar la autenticidad e integridad de la solicitud. El uso de una clave compartida por el cliente que realiza la actualización y el servidor DNS ayuda a garantizar la autenticidad e integridad de la solicitud de actualización. Una función de hash unidireccional sirve para evitar que observadores maliciosos modifiquen la actualización y la reenvíen al destino, lo que garantiza la integridad del mensaje desde el origen hasta el destino.
El protocolo TSIG incluye una marca de tiempo para evitar que se reutilicen las respuestas grabadas, lo que permitiría a un atacante vulnerar la seguridad de TSIG. Esto exige que los servidores DNS dinámicos y los clientes TSIG contengan un reloj preciso. Dado que los servidores DNS están conectados a una red, el Protocolo de tiempo de red puede proporcionar una fuente de tiempo precisa.
Las actualizaciones de DNS, al igual que las consultas, normalmente se transportan a través de UDP, ya que requiere menos recursos que TCP . Sin embargo, los servidores DNS admiten solicitudes tanto UDP como TCP.
Una actualización, como se especifica en RFC 2136, es un conjunto de instrucciones para un servidor DNS. Estas incluyen un encabezado, la zona que se va a actualizar, los requisitos previos que se deben cumplir y los registros que se van a actualizar. TSIG agrega un registro final, que incluye una marca de tiempo y el hash de la solicitud. También incluye el nombre de la clave secreta que se utilizó para firmar la solicitud. RFC 2535 tiene recomendaciones sobre la forma del nombre.
La respuesta a una actualización exitosa de TSIG también se firmará con un registro TSIG. Las fallas no se firman para evitar que un atacante obtenga información sobre la clave TSIG mediante "sondeos" de actualización especialmente diseñados.
El programa nsupdate puede usar TSIG para realizar actualizaciones de DNS.
El registro TSIG tiene el mismo formato que los demás registros de la solicitud de actualización. El significado de los campos se describe en RFC 1035.
Aunque TSIG está ampliamente implementado, existen varios problemas con el protocolo:
Como resultado, se han propuesto varias alternativas y ampliaciones.
{{cite journal}}: Requiere citar revista |journal=( ayuda )