秘密鍵トランザクションのための汎用セキュリティサービスアルゴリズム

GSS-TSIG（Generic Security Service Algorithm for Secret Key Transaction）は、安全な鍵交換のためのTSIG DNS認証プロトコルの拡張機能です。これは、 Kerberosを使用してセキュリティトークンを渡すことで、認証、完全性、および機密性を提供する GSS-APIアルゴリズムです。

GSS-TSIG (RFC 3645) は、 KerberosまたはNTLMを使用したSPNEGOのようなメカニズムを使用します。Windows では、この実装はSecure Dynamic Updateと呼ばれます。^{[ 1 ]}

GSS-TSIGモードでは、GSS-TSIGはDNSクライアントとサーバー間の鍵交換にTKEYレコードを使用します。DNSクライアントとActive Directory間の認証には、チケットの発行とセキュリティコンテキストの確立のために、AS-REQ、AS-REP、TGS-REQ、TGS-REPの交換が必要です。セキュリティコンテキストには有効期間があり、その期間中にDNSサーバーへの動的な更新が行われます。