IETF가 2021년 8월 23일 RFC 9103 "DNS Zone Transfer over TLS"를 표준 트랙 문서(Proposed Standard)로 발행했습니다. 이 문서는 DNS 영역 전송(zone transfer)을 평문 대신 TLS로 주고받는 방식인 XFR over TLS(XoT)를 정의합니다. 영역 전송은 원래 평문으로 오가기 때문에, 공격자가 네트워크 연결을 엿들어 영역 내용 전체를 수집할 수 있습니다. RFC 9103은 이런 수동 감시를 막는 것이 목적입니다.
무엇이 발표되었나
- 문서: RFC 9103, DNS Zone Transfer over TLS (Proposed Standard)
- 저자: W. Toorop, S. Dickinson, S. Sahib, P. Aras, A. Mankin
- 핵심 내용: 영역 전송(AXFR/IXFR, RFC 5936·RFC 1995)에 TLS를 적용해 전송 내용의 기밀성(confidentiality)을 확보합니다.
- 갱신하는 문서: 원문 초록에 따르면 TCP 연결을 효율적으로 쓰는 문제와 관련해 RFC 1995와 RFC 5936을 갱신합니다. 또한 전송 방식별로 클라이언트와 서버 사이에 권장되는 연결 수와 관련해 RFC 7766을 갱신합니다.
원문은 기존 보호 수단의 한계도 짚습니다. 트랜잭션 서명(TSIG)은 영역 전송을 인가된 클라이언트로 제한하고 데이터 무결성을 확인하는 데 쓰입니다. 하지만 암호화 기능은 없어서 전송 내용이 노출되는 것을 막지 못합니다. 원문은 NIST의 보안 DNS 배포 가이드도 언급합니다. 이 가이드는 접근 제어 목록(ACL)과 TSIG로 영역 전송을 제한하는 방법을 다루고, 배포 환경에 따라 IPsec 같은 하위 네트워크 계층으로 보호할 수 있다고 설명합니다.
왜 영역 내용 노출이 문제인가
원문은 영역 전체가 노출될 때의 위험을 다음과 같이 설명합니다.
- 호스트 이름에 사람 이름이 들어가 있을 수 있습니다(예:
Person-laptop.example.org). - 이름에서 조직 구성원의 위치를 짐작할 수 있거나, 다른 조직에 대한 참조가 드러날 수 있습니다.
- DNS 레코드에 있는 엔드포인트의 IP 주소가 모두 드러나 정찰과 공격 대상 선정이 쉬워집니다. 원문은 IPv6 주소와 사설 네트워크에서 특히 그렇다고 지적합니다.
- 규제나 정책상 영역 내용 전체를 비공개로 다뤄야 하는 경우도 있습니다.
원문은 DNSSEC의 영역 열거(zone enumeration) 문제와도 선을 긋습니다. NSEC를 쓰는 영역은 쉽게 열거할 수 있고, NSEC3(RFC 5155)도 사전 계산 공격으로 열거가 가능하다는 사례가 있습니다. 영역 전송 도청을 막는 일은 영역 열거를 막는 일과는 별개(orthogonal)의 문제이지만, 둘 다 같은 정보를 보호하려는 것입니다.
영향 범위
주 서버(primary)와 보조 서버(secondary) 사이에서 영역 전송을 하는 권한 DNS 운영 환경이 대상입니다. 특히 영역 전송이 인터넷이나 신뢰할 수 없는 구간을 지나거나, 영역에 내부 호스트 이름이나 사설 주소가 들어 있는 경우에 관련이 큽니다.
운영자가 할 일
- 운영 중인 영역 전송 경로(주·보조 서버 쌍, 외부 보조 DNS 서비스 등)를 정리하고, 평문 전송이 어느 구간을 지나는지 확인합니다.
- ACL과 TSIG는 접근 제한과 무결성 확인을 위한 수단이고 기밀성은 제공하지 않는다는 점을 기억하고, 전송 구간을 보호할 필요가 있는지 검토합니다.
- 사용 중인 DNS 소프트웨어의 문서에서 XoT 지원 여부와 설정 방법을 확인합니다. 주 서버와 보조 서버가 모두 지원해야 적용할 수 있습니다.
- 영역에 개인 정보나 내부 구조가 드러나는 이름이 있다면 이름 규칙 자체도 함께 점검합니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.