DNSSEC

01무엇이고, 어떤 일을 하나

• 공격자가 중간에서 답을 바꾸거나 위조한 자료를 정상 권한 답으로 받아들이는 일을 줄인다.
• 부모의 DS와 자식의 DNSKEY를 연결해 분산된 이름 공간에서 신뢰 관계를 검증한다.
• 서명된 부재 증거로 이름이나 레코드가 없다는 결과도 검증할 수 있게 한다.

02어떤 순서로 동작하나

1. 권한 자료 서명

   존 운영자는 같은 이름·타입의 RRset에 서명하고 관련 DNSKEY·RRSIG를 제공한다. 서명의 유효기간과 키 교체 계획은 일반 레코드 TTL과 별도로 관리한다.

2. 신뢰 사슬 구성

   부모에 게시된 DS가 자식 DNSKEY에 대응하는지 확인한다. 루트 등의 신뢰 기준에서 하위 위임으로 내려가며 연결이 성립해야 그 키를 임의로 제공된 키와 구분할 수 있다.

3. 응답 검증

   검증기는 RRset·서명·키·시간 조건을 대조한다. 키가 존재한다는 사실만으로 유효한 서명이나 올바른 이름 범위까지 자동 인정하지 않는다.

4. 결과 처리

   검증 가능한 자료, 의도적으로 미서명된 구간, 검증 실패를 구분한다. 서명 오류를 단순 NXDOMAIN으로 바꾸지 않으며 검증 실패가 사용자에게 SERVFAIL로 보일 수 있음을 해석한다.

03먼저 알아둘 용어와 구성요소

DNSKEY

존에서 서명을 검증하는 공개키 정보를 담은 레코드다.

DS

부모 존에 실어 자식의 DNSKEY와 신뢰를 연결하는 다이제스트 레코드다.

RRSIG

개별 패킷 전체가 아니라 특정 RRset을 서명한 결과와 유효기간 정보다.

Trust Anchor

검증을 시작할 때 이미 신뢰하도록 구성한 키 또는 자료다.

RRset

같은 이름·클래스·유형에 속하는 DNS 자원 레코드 집합이다. DNSSEC 서명의 기본 대상이 된다.

NSEC

정렬된 이름 공간에서 다음 이름과 존재하는 유형 등을 알려 서명된 부재 증거를 제공하는 DNSSEC 레코드다.

NSEC3

해시된 이름을 이용해 부재 증거를 표현하는 DNSSEC 레코드 방식이다.

DoT

DNS over TLS다. DNS 질의와 응답을 TLS 연결로 전송하는 방식이다.

DoH

DNS over HTTPS다. DNS 메시지를 HTTPS로 전송하는 방식이다.

04예제로 따라가기

• 가상 example.com의 DNSKEY를 교체했는데 부모 DS가 예전 키를 가리키면 일반 A 레코드는 올바르게 보이더라도 검증기는 신뢰 사슬을 완성하지 못할 수 있다.
• 서버 시계가 크게 틀려 RRSIG 만료 후로 판단하면 정상 배포 자료도 검증 실패할 수 있다. DNS 연결 가능성과 서명 시간 조건을 따로 읽어야 한다.
• 검증된 NSEC 계열 부재 응답은 특정 이름·타입이 없음을 증명하는 자료다. 응답 패킷이 암호문이라는 뜻이 아니며 이름을 숨기려는 전송 보안은 별도로 다룬다.

05혼동하기 쉬운 점과 확인 기준

• DNSSEC과 DoT·DoH는 해결하는 문제가 다르다. 전자는 DNS 자료 검증이고 후자는 클라이언트와 해석기 사이 등 특정 전송 구간의 보호다.
• AD 비트의 의미는 사용한 해석기를 신뢰하고 그 응답을 받는 경로를 어떻게 보호했는지와 연결된다. 플래그 하나만 보고 모든 관찰 위치에서 보안이 완성됐다고 단정하지 않는다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.