인터넷 주소 검증의 루트 열쇠 교체…새 KSK-2024 서명 시작

국제인터넷주소관리기구(ICANN)의 IANA 운영 페이지에 따르면 11일 인터넷 도메인 이름 검증의 출발점인 루트 영역에서 새 키서명키(KSK-2024)가 서명을 시작했다. 12일 루트 권한 서버를 직접 조회한 DNSKEY 서명 기록에서도 새 키 식별번호 38696이 확인됐다.

도메인 이름을 IP 주소로 찾는 DNS는 인터넷 접속의 기초다. DNSSEC은 이 과정에서 받은 응답이 바뀌지 않았는지 전자서명으로 확인한다. 루트 키서명키는 그 검증 사슬의 첫 신뢰 기준이다.

서명 주체는 바뀌었지만 옛 키도 남아

IANA는 11일자로 KSK-2024의 상태를 '활성'으로, 이전 KSK-2017을 서명 이후 단계로 표시했다. 기존 키의 식별번호는 20326이다. 본지가 12일 a.root-servers.net에 DNSKEY 기록을 질의한 결과, 서명(RRSIG DNSKEY)의 키 식별번호는 38696으로 나왔다. 이는 새 키가 현재 루트의 공개키 목록에 서명한다는 사실을 보여준다.

IANA 일정상 기존 키는 내년 1월 11일 폐기 표시가 붙고 3월 22일 루트 영역에서 제거될 예정이다. 지금 옛 키가 기록에 남아 있다는 사실과, 옛 키가 계속 서명한다는 뜻은 다르다. 운영 일정은 앞으로 바뀔 수 있다.

문제가 생길 수 있는 곳은 검증 리졸버

클라우드플레어는 6일 설명에서 새 키를 신뢰 기준으로 받아들이지 않은 DNSSEC 검증 리졸버에서는 정상적인 사이트도 조회에 실패할 수 있다고 경고했다. 리졸버는 이용자 대신 DNS 질의를 처리하는 서버다. 대부분의 일반 웹사이트 운영자가 이번 교체 때문에 별도 설정을 바꿀 필요는 없다는 게 회사의 설명이다.

IANA에 따르면 KSK-2024는 지난해 1월 11일부터 루트 영역에 게시됐다. 자동 신뢰 키 갱신을 지원하는 리졸버가 새 키를 미리 받아들일 시간을 둔 것이다. 클라우드플레어는 자체 1.1.1.1 서비스가 이미 새 키를 신뢰한다고 밝혔다. 다만 특정 사업자의 준비 상태만으로 모든 DNS 서비스에서 장애가 없었다고 단정할 수는 없다.

리졸버 운영자는 자체 소프트웨어의 신뢰 키 설정에 38696이 있는지 확인하고, 누락됐다면 공급업체의 갱신 지침을 따라야 한다. 실제 운영 환경의 설정 확인이 우선이다. 브라우저에서 하는 준비 상태 검사는 보안 DNS나 VPN 경로의 영향을 받을 수 있다.

대표 이미지: AI 생성 이미지 / 데이마크

자료: IANA https://www.iana.org/dnssec/files

클라우드플레어(2026년 10월 6일) https://blog.cloudflare.com/root-ksk-2024-rollover/

직접 확인: 2026년 10월 12일 KST, a.root-servers.net 루트 DNSKEY의 RRSIG 키 식별번호 38696.