DNS 루트 KSK 롤오버 예정과 리졸버 신뢰 앵커 확인 방안

루트 키 교체 개요

2026년 10월 11일 인터넷 DNS 루트의 키 서명 키(KSK) 교체 작업이 진행된다. 이는 DNSSEC 신뢰 사슬의 최상위 기준점을 갱신하는 롤오버 작업으로 역사상 두 번째로 시행되는 절차이다. 서명 검증을 수행하는 DNS 리졸버가 교체 시점 이전에 새 키를 신뢰하지 못하면 정상적으로 운영되는 웹사이트라도 도메인 해석에 실패해 접속할 수 없게 된다.

기존 키인 KSK-2017(키 태그 20326)을 대체하여 신규 키인 KSK-2024(키 태그 38696)가 루트 DNSKEY 레코드 집합의 서명 키로 적용된다. 일반 웹사이트 운영자는 별도로 설정을 변경할 필요가 없으나, 자체적으로 DNSSEC 검증 리졸버를 운영하는 관리자는 시스템이 신규 루트 키를 신뢰 앵커로 보유하고 있는지 확인해야 한다.

신뢰 사슬과 롤오버 배경

DNSSEC는 도메인 조회 응답의 디지털 서명을 검증해 위변조를 방지한다. 상위 도메인은 하위 도메인 공개 키의 지문을 담은 위임 서명자(DS) 레코드를 게시해 신뢰 사슬을 이어가지만, 최상위 루트 도메인은 상위 부모가 없으므로 리졸버가 미리 등록해 둔 공개 키나 지문인 신뢰 앵커를 검증 출발점으로 삼는다.

루트의 서명 키는 최상위 도메인의 DS 레코드 등을 서명하는 영역 서명 키(ZSK)와 루트 공개 키 목록을 서명하는 키 서명 키(KSK)로 나뉜다. 인터넷할당번호관리기관(IANA)은 단일 개인 키의 장기 사용을 방지하고 교체 절차를 점검하기 위해 3년 주기의 롤오버를 계획했으나, 전염병 확산 여파와 서명 키 보호 하드웨어 업그레이드로 인해 2018년 이후 교체 간격이 길어졌다.

신뢰 앵커 수신과 갱신 방식

리졸버는 관련 표준 규약(RFC 5011)에 따라 새 루트 신뢰 앵커를 자동으로 학습할 수 있다. 루트 영역이 기존 키와 신규 키를 함께 게시하면, 리졸버는 기존에 신뢰하던 키로 새 키 레코드를 검증한 뒤 최소 30일 동안 해당 레코드가 유지되는지 확인 과정을 거쳐 최종 신뢰 앵커로 승인한다. KSK-2024는 2025년 1월 11일부터 루트 레코드 집합에 공개되어 리졸버들이 자동 학습 기간을 확보할 수 있도록 조치되었다.

자동 갱신 외에도 소프트웨어 업데이트 시 기본 내장 신뢰 앵커 목록에 새 키를 직접 추가하는 방식이 병행된다. 과거 롤오버 당시 소프트웨어 업그레이드나 서버 이전 과정에서 자동 학습된 신뢰 상태가 유실되는 현상이 확인되었기 때문에, 소프트웨어 배포 단계에서 새 키를 미리 포함해 부팅 시점부터 즉시 신뢰하도록 구성하기도 한다.

센티넬 규격을 통한 상태 확인

리졸버가 신규 키를 신뢰하고 있는지 외부에서 확인하기 위해 루트 키 신뢰 앵커 센티넬 규격(RFC 8509)이 활용된다. 이 방식은 특정 레이블이 붙은 도메인 이름을 일반 DNS 질의로 요청하여 리졸버의 키 신뢰 상태를 판별한다. 키를 신뢰하는지 묻는 질의와 신뢰하지 않는지 묻는 반대 질의를 함께 전송해 응답 패턴을 분석하는 구조다.

신규 키를 정상적으로 신뢰하는 검증 리졸버는 신뢰 확인 질의에 유효한 주소 응답을 반환하고, 미신뢰 확인 질의에는 의도적으로 서버 실패(SERVFAIL) 오류를 반환한다. 반대로 새 키를 신뢰하지 못하면 응답 결과가 뒤바뀐다. 다만 검증 대상 리졸버가 해당 센티넬 규격을 지원하지 않으면 상태를 명확히 판별할 수 없다.

향후 일정 및 기술적 한계

이번 교체에서 KSK-2017과 KSK-2024는 모두 RSA/SHA-256 알고리즘을 유지하며 암호 방식 변경 없이 키 쌍만 교체된다. 2026년 10월 서명 키 전환 이후 2027년 중 기존 KSK-2017의 효력을 공식 취소하고 루트 영역에서 제거하며 해당 개인 키를 영구 폐기하는 후속 절차가 예정되어 있다.

인터넷주소자원관리기구(ICANN)는 향후 RSA보다 서명과 키 크기가 작은 타원곡선암호(ECDSA P-256)로의 알고리즘 전환을 제안했으나 이는 이번 교체와 별개다. 또한 양자 컴퓨팅 공격에 대비한 양자 내성 암호 체계 도입을 위해서는 향후 루트 영역에 새로운 양자 내성 KSK를 배포하는 추가적인 롤오버 과정이 요구된다.