"다음달 12일 인터넷 먹통 막아라"… KISA, DNS 보안키 교체 비상 점검

[서울=뉴시스]박은비 기자 = 전 세계 인터넷 주소 체계의 최상위 보안 암호키가 8년 만에 전격 교체된다. 새로운 보안키를 제때 반영하지 않은 도메인네임시스템(DNS) 서버를 이용할 경우 웹사이트 접속이 전면 차단되는 '먹통' 사태도 유발될 수 있어 통신사와 기업 인프라 관리자들의 사전 점검이 요구된다.

한국인터넷진흥원(KISA)은 7일 국내 인터넷서비스제공사업자(ISP)·기업 캐시 DNS 운영기관을 대상으로 신규 DNS 보안 암호키 반영 여부를 긴급 점검해 달라고 당부했다.

이번 조치는 다음달 12일 오전 1시(한국시간 기준, 협정세계시 11일 16시)부터 국제인터넷주소기구(ICANN)가 관리하는 루트 존(Root Zone)의 도메인네임시스템 보안확장(DNSSEC) '키서명키(KSK)'가 신규 키로 완전히 전환되는 데 따른 조치다.

DNSSEC은 해커가 임의로 IP 주소를 변조해 가짜 사이트로 유도하는 'DNS 스푸핑(파밍)' 공격을 차단하기 위해 도메인 정보가 위변조 되지 않았는지 확인하는 핵심 보안 기술이다. KSK는 이 검증 체계의 최상단에서 검증하는 가장 중요한 암호화 키다. ICANN이 루트 존 KSK를 전면 교체(롤오버)하는 것은 지난 2018년 10월에 이어 이번이 역대 두 번째다.

ICANN은 안정적인 세대교체를 위해 이미 지난해 1월부터 기존 암호키와 신규 암호키를 병행 운용해 왔다. 그러나 다음달 12일 1시를 기점으로 기존 구형 암호키 사용을 전면 중단하고 신규 암호키로만 루트 존에 서명하게 된다.

이에 따라 새 암호키를 반영하지 않은 캐시 DNS 서버는 약 48시간 안에 모든 도메인 주소를 제대로 조회하지 못할 수 있다. 해당 DNS 서버를 사용하는 이용자는 웹사이트 등 인터넷 서비스에 접속하지 못하는 문제가 발생할 수 있다는 뜻이다.

캐시 DNS는 인터넷 이용자가 브라우저에 한글이나 영문 도메인 주소를 입력했을 때 해당 사이트 IP 주소를 찾아 연결해주는 시스템이다. 여기에는 .kr, .com 등 최상위 도메인 주소를 찾는 데 필요한 정보가 들어있다.

신규 KSK가 갱신되지 않은 캐시 DNS 서버는 암호화 서명 검증에 실패하게 된다. 이 경우 DNS 레코드의 유효 기간(TTL)이 만료되는 약 48시간 이내에 정상 도메인 질의가 전면 중단되며, 해당 DNS를 경유하는 이용자들은 포털, 금융, 쇼핑몰 등 웹사이트에 접속하지 못하는 장애를 겪게 된다.

특히 오픈소스 DNS 소프트웨어인 '파워DNS(PowerDNS)'를 운용 중인 기관은 각별한 주의가 필요하다. 보안키 자동 업데이트(RFC 5011) 기능을 기본 지원하지 않기 때문이다. 관리자가 직접 새 암호키가 반영된 최신 버전(5.2.0 이상)으로 패치하거나 신규 KSK를 수동 입력해야 한다. 새 암호키가 반영된 파워DNS는 5.2.0 버전이다.

다만 과거와 달리 글로벌 차원의 대규모 인터넷 대란이 발생할 가능성은 낮다는 것이 당국의 분석이다.

박정섭 KISA 한국인터넷정보센터장은 "전 세계 DNS 서버의 약 95%가 이미 새 암호키를 반영해서 대규모 인터넷 장애가 발생할 가능성은 낮다"면서도 "오래된 버전을 사용하거나 암호키 자동 업데이트가 제대로 되지 않은 일부 서버에서는 서비스 불능 사태가 발생할 수 있는 만큼 운영기관은 새 암호키가 제대로 반영됐는지 반드시 미리 확인해달라"고 요청했다.


◎공감언론 뉴시스 [email protected]