Glosario de DNS
¿Qué es TSIG (firma de transacción)?
TSIG (Transaction Signature) es un mecanismo de seguridad del DNS que autentica los mensajes DNS mediante una clave secreta compartida y un hash cifrado. Se utiliza habitualmente para proteger las transferencias de zona y las actualizaciones dinámicas, de modo que un servidor solo acepta esas solicitudes de aquellas partes que posean la misma clave.
Puntos claveLos puntos clave se generan con la ayuda de la inteligencia artificial. Dado que los resúmenes automáticos pueden contener en ocasiones errores u omitir contexto importante, consulta siempre la entrada completa del blog para obtener toda la información.TSIG (Transaction Signature) is a DNS security mechanism that authenticates DNS messages between two parties using a shared secret key and keyed hash, commonly used to protect zone transfers and dynamic updates. It replaces weak IP-address-based access controls with cryptographic verification, ensuring that only parties holding the same key can modify zone data or trigger updates. Proper TSIG deployment requires careful key management, clock synchronization, and explicit access rules to avoid operational failures such as clock drift rejections and silent zone transfer interruptions.
Cómo funciona TSIG
TSIG utiliza una clave secreta compartida y un hash cifrado para demostrar que un mensaje DNS procede de una parte que posee la clave y que no ha sido alterado durante la transmisión. Ambas partes deben estar configuradas previamente con el mismo nombre de clave, algoritmo y secreto.
- Compartir una clave: un administrador genera una clave secreta y configura el mismo nombre de clave, algoritmo y secreto en ambos servidores, o en el cliente y el servidor.
- Firmar el mensaje: el remitente calcula un hash con clave sobre el mensaje DNS más determinados campos TSIG, incluida una marca de tiempo, y añade el resultado al mensaje como un registro TSIG.
- Verificar la firma: el receptor busca la clave por su nombre, vuelve a calcular el hash y lo compara con el recibido. Si no coinciden, el mensaje se rechaza.
- Comprueba la hora: el receptor también comprueba que la marca de tiempo firmada se encuentre dentro de un intervalo de tiempo permitido, lo que limita la reproducción de mensajes capturados.
- Firmar la respuesta: El destinatario firma su respuesta con la misma clave, de modo que el solicitante pueda confirmar que la respuesta procede del servidor esperado.
TSIG autentica y protege la integridad de los mensajes, pero no los cifra. Dado que se basa en un secreto compartido, es adecuado para la comunicación entre partes conocidas, no para la resolución pública, y los relojes de ambas partes deben mantenerse razonablemente sincronizados.
Problemas habituales con TSIG
El TSIG incluye una marca de tiempo, y el receptor rechaza los mensajes que se encuentran fuera de un intervalo de tiempo permitido. Si los relojes de los servidores se desajustan, las transferencias o actualizaciones fallan con un error de hora incorrecta, aunque la clave sea correcta. Sincronizar ambos lados con NTP suele resolver el problema.
El nombre de la clave, el algoritmo y el secreto deben coincidir en ambos lados. Un error tipográfico en el secreto, un algoritmo diferente o un nombre de clave escrito de forma distinta provocan un error de firma incorrecta o de clave desconocida, y la solicitud es rechazada.
La definición de una clave no implica por sí misma que sea necesaria. Si la zona sigue permitiendo transferencias o actualizaciones por dirección IP de origen, las solicitudes sin firmar pueden tener éxito. La regla de acceso debe especificar la clave de forma explícita.
Los secretos pegados en los tickets, compartidos entre muchas zonas o que nunca se rotan aumentan el riesgo de exposición si se filtra alguno. Utilizar una clave distinta para cada relación y rotarla según un calendario limita el daño.
TSIG firma los mensajes, pero no los cifra. El contenido de la zona enviado durante una transferencia puede leerse en la red a menos que el transporte también esté protegido, por ejemplo, con TLS.
Términos relacionados
Establecimiento de modelos de flujo de trabajo y aprobación de IPAM regulados y preparados para auditorías para las redes de la organización
Descubre soluciones de gestión de direcciones IP para flujos de trabajo de IPAM regulados y preparados para auditorías. Habilita aprobaciones por ámbitos…
Content Hub Comprender el modelo OSI: dónde encajan el DNS y el direccionamiento IP dentro de las 7 capas
Comprende las siete capas del modelo OSI y cómo encajan en ellas el DNS y el direccionamiento IP. Aprende los fundamentos de la arquitectura de redes con…
Escalabilidad del DNS y la gestión de direcciones IP (IPAM) para redes empresariales IPv6 y de doble pila
Amplíe el DNS y el IPAM para redes empresariales de doble pila. Descubra cómo Micetro ayuda a los equipos a gestionar las migraciones a IPv6 con sistemas…
Integración de DNS, DHCP e IPAM en flujos de trabajo de infraestructura como código basados en Ansible y Git
La integración de DNS, DHCP e IPAM en los flujos de trabajo de IaC basados en Ansible y Git con Micetro convierte los cambios de direcciones y registros en…
Podcast Podcast: Cómo la IA está cambiando el desarrollo de software empresarial
La IA transforma la automatización de redes, pero una implementación segura requiere sólidas prácticas de software, pruebas y experiencia en el ámbito…
Podcast Podcast: Por qué las plataformas abiertas son importantes en las operaciones de red
Las plataformas abiertas y la arquitectura «API-first» permiten operaciones de red inteligentes, automatización y flujos de trabajo impulsados por IA en…
Obtenga respuestas a partir de los datos de LiveNX que ya tiene con LiveAssist
Descubre cómo LiveAssist, el complemento basado en IA para LiveNX, convierte tus datos de red en respuestas rápidas y guiadas, con un valor que podrás…