국제인터넷주소기구(ICANN)가 오는 10월 12일 오전 1시(한국 표준시)에 인터넷 주소 위변조를 막는 보안 기술인 DNSSEC의 최상위 암호키(KSK)를 교체합니다. 이 암호키를 제때 업데이트하지 않은 DNS 서버(인터넷 주소를 찾아주는 시스템)는 교체 후 48시간 이내에 모든 도메인 주소 조회 기능을 잃게 되어, 해당 서버를 이용하는 사용자들이 인터넷에 접속하지 못하게 됩니다. 특히 PowerDNS 소프트웨어를 사용하는 기관은 자동 갱신이 지원되지 않아 버전 5.2.0으로 직접 업그레이드해야 합니다. 현재 전 세계 약 95%가 이미 신규 키를 반영했으나, 국내 일부 노후 서버에서 국지적 장애가 발생할 수 있어 사전 점검이 시급합니다.
ICANN이 2025년 10월 12일 01:00 KST에 루트 존 DNSSEC KSK(키서명키)를 교체한다. 2010년 최초 도입 이후 두 번째 교체이며, 신규 키가 단독으로 루트 존 서명에 사용된다.
신규 암호키를 반영하지 않은 캐시 DNS 서버는 교체 후 48시간 이내에 전체 도메인 조회 기능을 상실하며, 해당 ISP 이용자들은 인터넷 접속이 불가능해진다.
일부 캐시 DNS 서버가 신규 KSK를 아직 반영하지 않았거나, PowerDNS처럼 자동 갱신을 지원하지 않는 소프트웨어를 구버전으로 운영 중이기 때문이다.
ISP 등 캐시 DNS 운영기관은 즉시 신규 암호키 반영 여부를 점검해야 한다. PowerDNS 사용 기관은 자동 갱신이 지원되는 버전 5.2.0으로 업그레이드해야 하며, 상세 조치 방법은 한국인터넷정보센터(KRNIC) 누리집에서 확인할 수 있다.
PowerDNS 운영 기관은 버전 5.2.0 업그레이드가 필수이며, 그 외 DNS 솔루션도 자동 갱신 정상 작동 여부를 반드시 사전 확인해야 한다. 전 세계 95% 반영률로 대규모 장애 가능성은 낮지만, 미반영 서버에서는 국지적 서비스 중단이 현실화된다.
본문
국제인터넷주소기구(ICANN)가 다음 달 12일 오전 1시(한국 표준시 기준) 루트 존의 DNSSEC 키서명키(KSK) 교체를 단행한다. 이에 따라 국내 캐시 DNS 서버 운영기관들의 신규 암호키 반영 여부 점검이 시급해졌다.
캐시 DNS는 인터넷 이용자가 도메인 이름을 입력했을 때 실제 IP 주소를 찾아 연결해 주는 핵심 시스템이다. 루트 존은 닷케이알(.kr)이나 닷컴(.com) 같은 최상위도메인 주소를 찾는 데 필요한 최상위 정보를 제공한다. DNSSEC은 이러한 주소 정보가 위변조되지 않았는지 검증하는 보안 기술이며, KSK는 검증 과정에서 신뢰의 기준이 되는 암호키다.
ICANN은 루트 존의 보안성을 높이기 위해 주기적으로 KSK를 교체해 왔다. 이번 교체는 지난 2010년 루트 존에 DNSSEC이 처음 도입된 이후 두 번째다. 신규 암호키는 작년 1월부터 기존 암호키와 함께 쓰여왔으며, 이번 교체 시점부터는 신규 암호키만 루트 존 서명에 단독으로 사용된다.
만약 교체 시점까지 신규 암호키를 반영하지 않은 캐시 DNS 서버가 있다면, 오는 10월 12일 오전 1시 이후 약 48시간 이내에 모든 도메인 주소 조회 기능을 상실한다. 이 경우 해당 서버를 이용하는 사용자들은 정상적인 인터넷 접속이 불가능해진다.
인터넷서비스제공사업자(ISP) 등 캐시 DNS 운영기관은 사전에 신규 암호키 반영 여부를 철저히 확인해야 한다. 특히 파워디엔에스(PowerDNS) 소프트웨어의 경우 암호키 자동 갱신 기능을 지원하지 않으므로, 해당 제품을 쓰는 기관은 신규 암호키가 반영된 버전(5.2.0)으로 업그레이드했는지 반드시 확인해야 한다.
DNSSEC 암호키 갱신과 관련한 상세한 조치 방법은 한국인터넷정보센터 누리집에서 확인할 수 있다.
한국인터넷진흥원 박정섭 한국인터넷정보센터장은 "전 세계 약 95%가 이미 신규 암호키를 반영해 대규모 인터넷 장애가 발생할 가능성은 낮다"며 "다만 노후 버전을 사용하거나 자동 갱신이 정상 작동하지 않은 일부 서버에서는 국지적인 인터넷 접속 장애가 발생할 수 있는 만큼, 운영기관에서는 신규 암호키 반영 여부를 반드시 사전 점검해 주시길 바란다"고 말했다.
