– 루트 존 키서명키(KSK) 10/12(월) 교체…신규 키 미반영 시 인터넷 접속 장애 우려 –
캐시 도메인이름시스템(Domain Name System, DNS)은 인터넷 이용자가 도메인 이름을 입력하면 실제 인터넷 주소(아이피 주소)를 찾아 연결해 주는 시스템이다. 주소를 찾는 데 필요한 최상위 정보는 루트 존(Root Zone)에서 제공되며, 루트 존에는 닷케이알(.kr), 닷컴(.com) 등 최상위도메인의 주소 조회에 필요한 정보가 담겨 있다. 도메인이름시스템 보안확장(DNS Security Extension, DNSSEC)은 이러한 정보가 위변조되지 않았는지 검증하는 기술로, 키서명키(Key Signing Key, KSK)는 해당 검증에서 신뢰의 기준이 되는 암호키다.
국제인터넷주소기구(ICANN)는 루트 존의 보안성을 유지하기 위해 키서명키를 주기적으로 교체하고 있다. 이번 교체는 2010년 루트 존에 도메인이름시스템 보안확장(DNSSEC)이 처음 적용된 이후 두 번째다. 신규 암호키는 2025년 1월부터 기존 암호키와 함께 사용되고 있으며, 10월 12일부터는 신규 암호키만 루트 존 서명에 사용된다.
교체 시점까지 신규 암호키가 반영되지 않은 캐시 도메인이름시스템(DNS)은 10월 12일 01시 이후 약 48시간 이내에 모든 도메인 주소 조회에 실패하게 되며, 해당 도메인이름시스템(DNS) 서버 이용자는 인터넷 서비스에 접속할 수 없게 된다.
이에 따라, 인터넷서비스제공사업자(ISP) 등 캐시 도메인이름시스템(DNS) 운영기관은 신규 암호키 반영 여부를 사전에 점검해야 한다. 특히 파워디엔에스(PowerDNS) 소프트웨어는 암호키 자동 갱신 기능이 없어, 해당 제품을 사용하는 기관은 신규 암호키가 반영된 버전(5.2.0)을 사용하고 있는지 우선 확인해야 한다.
도메인이름시스템 보안확장(DNSSEC) 암호키 갱신 관련 상세 조치 방법은 한국인터넷진흥원 한국인터넷정보센터 누리집(https://한국인터넷정보센터.한국)에서 확인할 수 있다. 기술지원이 필요한 경우 전담 헬프데스크(전화: 061-820-1981, 전자우편: in_dnssec@nic.or.kr)에 문의할 수 있다.
한국인터넷진흥원 박정섭 한국인터넷정보센터장은 “전 세계 약 95%가 이미 신규 암호키를 반영해 대규모 인터넷 장애가 발생할 가능성은 낮다”며 “다만 노후 버전을 사용하거나 자동 갱신이 정상 작동하지 않은 일부 서버에서는 국지적인 인터넷 접속 장애가 발생할 수 있는 만큼, 운영기관에서는 신규 암호키 반영 여부를 반드시 사전 점검해 주시길 바란다”고 말했다.
