한국인터넷진흥원(KISA)은 2026년 9월 7일, 국제인터넷주소기구(ICANN)가 10월 12일 오전 1시(대한민국 표준시)에 루트 존(Root Zone)의 도메인이름시스템 보안확장(DNSSEC) 키서명키(KSK, Key Signing Key)를 교체한다고 알리고, 국내 캐시 DNS 서버 운영기관에 사전 점검을 당부했습니다. 교체 시점까지 신규 키를 반영하지 않은 캐시 DNS는 10월 12일 01시 이후 약 48시간 안에 모든 도메인 조회에 실패할 수 있습니다.
무엇이 발표되었나
- ICANN은 루트 존의 보안성을 유지하려고 KSK를 주기적으로 교체하고 있습니다. 이번 교체는 2010년 루트 존에 DNSSEC가 처음 적용된 뒤 두 번째입니다.
- 신규 키는 2025년 1월부터 기존 키와 함께 쓰이고 있으며, 10월 12일부터는 신규 키만 루트 존 서명에 사용됩니다.
- KSK는 DNSSEC 검증에서 신뢰의 기준이 되는 암호키입니다. 캐시 DNS가 이 키를 신뢰 기준으로 갖고 있지 않으면 루트 존 서명을 검증할 수 없습니다.
- KISA는 특히 PowerDNS 소프트웨어에는 암호키 자동 갱신 기능이 없다고 짚었습니다. 이 제품을 쓰는 기관은 신규 키가 반영된 버전(5.2.0)을 쓰고 있는지 먼저 확인해야 합니다.
영향 범위
- 대상: 인터넷서비스제공사업자(ISP) 등 DNSSEC 검증을 하는 캐시 DNS 서버 운영기관
- 증상: 신규 키를 반영하지 않은 캐시 DNS는 10월 12일 01시 이후 약 48시간 안에 모든 도메인 조회에 실패하며, 그 서버를 쓰는 이용자는 인터넷 서비스에 접속할 수 없게 됩니다.
- 규모: KISA는 전 세계 약 95%가 이미 신규 키를 반영해 대규모 장애가 날 가능성은 낮다고 밝혔습니다. 다만 노후 버전을 쓰거나 자동 갱신이 제대로 동작하지 않은 일부 서버에서는 국지적인 접속 장애가 생길 수 있다고 덧붙였습니다.
운영자가 할 일
- 운영 중인 캐시 DNS 서버 목록을 정리하고, 서버마다 DNSSEC 검증 여부와 소프트웨어 종류·버전을 확인합니다.
- 각 서버의 신뢰 앵커(trust anchor) 설정이나 저장소에 신규 루트 KSK가 들어 있는지 점검합니다. 자동 갱신을 쓰는 서버라도 실제로 갱신이 되었는지 확인하는 것이 좋습니다.
- PowerDNS를 쓴다면 신규 키가 반영된 버전(5.2.0)인지 우선 확인합니다.
- 교체 시점인 10월 12일 01시 이후 약 48시간 동안은 조회 실패(SERVFAIL 등)가 늘어나는지 지켜볼 수 있게 모니터링과 대응 인력을 준비해 둡니다.
상세 조치 방법은 KISA 한국인터넷정보센터 누리집(https://한국인터넷정보센터.한국)에 나와 있습니다. 기술지원이 필요하면 전담 헬프데스크(전화 061-820-1981, 전자우편 in_dnssec@nic.or.kr)에 문의할 수 있습니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.