IETF가 2023년 2월 RFC 9364 "DNS Security Extensions (DNSSEC)"를 현행 모범 사례(Best Current Practice, BCP) 237로 발표했습니다. 이 문서는 새 프로토콜을 정의하지 않고, 기존 RFC도 갱신하지 않습니다. 여러 RFC에 흩어져 있던 DNS 보안 확장(DNSSEC) 문서를 한곳에 모아 소개하고, DNS 데이터 출처 인증(origin authentication)에는 DNSSEC을 쓰는 것이 현행 모범 사례라고 밝힌 것이 핵심입니다.
무엇이 발표되었나
RFC 9364(저자 P. Hoffman)는 목적을 세 가지로 밝히고 있습니다.
- 관련 RFC를 한곳에 소개: RFC 4033, 4034, 4035와 그 밖의 관련 문서를 모아, 읽는 사람이 DNSSEC의 여러 측면을 파악할 수 있게 합니다.
- 모범 사례 명시: DNS 데이터 출처 인증에는 DNSSEC을 쓰는 것이 현행 모범 사례라고 밝힙니다. 문서에 따르면 지금까지 표준화 과정(Standards Track) RFC 가운데 DNS 데이터 출처 인증 방법을 달리 제시한 문서는 없습니다.
- 단일 참조점 제공: 다른 문서가 DNSSEC을 인용할 때 이 문서 하나를 가리키면 되도록 합니다.
문서가 정리한 주요 내용은 다음과 같습니다.
- 오늘날 DNSSEC은 세 번째 명세입니다. RFC 2065가 첫 번째, RFC 2535가 두 번째였으며, 앞의 두 명세는 대규모로 배포되지 않았습니다.
- 핵심 문서는 세 가지입니다. RFC 4033은 DNSSEC 개요, RFC 4034는 DNSSEC에서 쓰는 자원 레코드(resource record), RFC 4035는 영역 서명, 서명된 영역 제공, 검증 등 DNS 프로토콜에서 바뀌는 부분을 다룹니다. RFC 6840은 이 핵심 문서를 갱신·확장하지만 DNSSEC의 동작 방식을 근본적으로 바꾸지는 않습니다.
- 서명 알고리즘 가운데 DSA(RFC 2536)는 구현된 곳이 적어 무시해도 되고, RSA(RFC 3110)는 여전히 가장 많이 쓰이는 알고리즘 가운데 하나라고 설명합니다.
- DNSSEC 관련 IANA 레지스트리 그룹도 안내합니다. 다만 DNS 기반 개체 인증(DANE)처럼 DNSSEC 서명을 전제로 하는 표준은 목록에 넣지 않았습니다.
- 목록을 빠짐없이 만들려고 했지만 완전하다고 가정하지는 말라고 밝히고 있습니다.
영향 범위
RFC 9364는 기존 DNSSEC 명세를 바꾸지 않으므로 이 문서 때문에 구현이나 설정을 바꿔야 할 일은 없습니다. 대신 DNSSEC 도입을 검토할 때 표준 문서상 근거로 쓸 수 있습니다.
문서는 배포 현황도 함께 적고 있습니다. 명세가 나온 지 15년이 넘었지만 웹사이트에 쓰이는 도메인 이름 가운데 서명된 것은 10% 미만이고, 재귀 리졸버(recursive resolver)로 들어오는 질의 가운데 검증되는 것은 약 3분의 1에 그친다고 합니다. 문서는 이를 두고 DNSSEC 배포의 가치가 비용보다 낮게 여겨지는 경우가 많다는 뜻일 뿐, DNSSEC이 모범 사례인지와는 관계가 없다고 설명합니다. 또 루트 영역에 있는 최상위 도메인(TLD)은 거의 모두 DNSSEC을 적용했고, 일부 TLD 아래에서도 상당히 배포되어 있어 일반 도메인 소유자도 적용할 수 있다고 봅니다.
운영자가 할 일
- 참조 문서로 활용: 검증 리졸버나 권한 서버(authoritative server)를 운영한다면 문서 권고대로 핵심 문서(RFC 4033, 4034, 4035)를 읽고, 확장 문서도 최소한 알아 두는 것이 좋습니다. RFC 9364의 목록을 출발점으로 삼을 수 있습니다.
- 정오표 확인: 문서는 일부 DNSSEC 관련 RFC에 중요한 정오표(errata)가 있다고 지적합니다. RFC를 볼 때 관련 정오표도 함께 확인하세요.
- 도입 검토 근거로 사용: 아직 영역에 서명하지 않았거나 리졸버에서 검증하지 않는다면, 도입을 검토할 때 이 문서를 IETF 합의에 따른 근거로 참고할 수 있습니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.