DNS 루트 키는 2026년 10월 11일 교체될 예정이다. Geoff Huston은 10월 8일 기준 측정에서 일부 ISP의 DNS 리졸버가 새 키 KSK-2024를 신뢰 키 목록에 추가하지 않은 신호를 보였다고 전했다. 해당 ISP 이용자는 리졸버 설정을 확인할 필요가 있다.

원문은 5월에 게시한 글의 업데이트다. DNS 루트 키에는 이를 인증할 상위 키가 없으므로, 기존 KSK가 새 KSK를 서명하고 DNSSEC 검증 리졸버가 일정 기간 새 키를 관찰한 뒤 신뢰 키 목록에 추가하는 절차를 따른다. RFC 5011은 새 키가 포함된 DNSKEY 레코드 집합을 최소 30일간 관찰하도록 규정한다. 이번 교체는 알고리즘 변경이 아니라 공개·개인 키 쌍의 교체다. KSK-2024는 2024년 7월 IANA 웹사이트에 공개됐고 2025년 1월 루트 영역의 DNSKEY 리소스 레코드에 추가됐다.

측정 결과와 한계

DNS 리졸버가 새 키를 신뢰하는지 살피는 방법 가운데 하나는 RFC 8145 신호다. 리졸버는 신뢰하는 키의 태그를 루트 서버로 보내는 질의에 담는다. Verisign이 2026년 7월까지 수집한 자료에서는 신호를 보낸 리졸버 중 약 90%가 KSK-2024를 신뢰 키 목록에 추가한 것으로 나타났다. 다만 리졸버별 이용자 수가 다르므로, 이 비율만으로 영향을 받는 최종 이용자 규모를 추정하기는 어렵다.

그림 1

그림 1: 2026년 7월 기준 리졸버의 신뢰 앵커에 설정된 KSK 표본. 자료: Verisign의 루트 영역 KSK 교체 업데이트

다른 방법인 RFC 8509의 Root Key Trust Anchor Sentinel은 질의에 포함된 키 태그와 리졸버의 신뢰 키 상태가 일치하는지 응답으로 확인한다. 이 방식으로 자신의 DNS 인프라를 확인하려면 Cloudflare의 테스트 페이지를 이용할 수 있다.

APNIC의 광고 기반 측정 시스템으로 2026년 5~7월과 10월 초에 하루 평균 약 1,600만 건의 테스트를 진행했다. 이 가운데 하루 약 600만 건은 DNSSEC 검증 리졸버를 사용하는 것으로 나타났고, 약 180만 건은 RFC 8509 센티넬을 지원한다는 명확한 신호를 보냈다. 대규모 측정에서는 테스트의 약 70%가 RFC 8509 기능을 지원하며 KSK-2024를 신뢰 키로 불러온 것으로 나타났다. RIPE Atlas 프로브를 이용한 10월 5일 소규모 측정에서는 서로 다른 2,900개 AS에 위치한 프로브 중 1,230개가 새 KSK를 불러온 리졸버와 일치하는 동작을 보였고, 47개는 새 키를 신뢰 목록에 추가하지 않은 것으로 나타났다. 이 측정에서의 실패율은 3.7%였다.

그림 2

그림 2: 2026년 RFC 8509 센티넬로 측정한 KSK-2024 신뢰 앵커 채택 추이

그림 3

그림 3: 2026년 RFC 8509 센티넬 지원 측정 규모

Huston은 지난주 측정에서 센티넬을 지원하는 리졸버를 1,000회 이상 확인한 네트워크 중 KSK-2024 신뢰 비율이 낮은 곳을 추렸다. ISP가 목록에 있다면 Cloudflare 테스트 페이지로 확인하고 ISP에 DNS 설정 검토를 요청할 수 있다고 안내했다. 새 키 교체 뒤 ISP 리졸버에 문제가 생길 수 있기 때문이다. 아래는 원문 표의 AS 번호, 국가 코드, 신뢰 비율, 네트워크 이름이다.

  • AS262202, CR — 49.40%, Telefonica de Costa Rica
  • AS328169, SZ — 48.90%, Swazi Mobile
  • AS328341, ZA — 48.90%, Capricom Networks
  • AS17470, LK — 48.70%, Hutchison Telecoms
  • AS9335, TH — 48.40%, National Teleco
  • AS45925, BD — 48.20%, Teletalk
  • AS29544, MR — 47.90%, Mauritanian Telecommunication
  • AS30990, DJ — 47.40%, Dibjouti Telecom
  • AS329129, LY — 46.80%, Libya Tech
  • AS136336, IN — 46.00%, Thamizhaga
  • AS9658, PH — 45.60%, Eastern Telecoms
  • AS135300, MM — 45.40%, Myanmar Broadband
  • AS205368, AM — 38.60%, Fnet
  • AS24812, UA — 32.00%, HomeNet
  • AS39065, UA — 26.10%, Southern Telecommunication s
  • AS15108, US — 16.40%, Allo Comms
  • AS132199, PH — 13.10%, Globe Telecom
  • AS33915, NL — 12.70%, Vodafone Libertel
  • AS5056, US — 10.70%, Aureon Network Services
  • AS12969, IS — 10.00%, Vodafone
  • AS327931, DZ — 9.00%, Optimum Telecom
  • AS58895, PK — 8.20%, Ebone
  • AS16019, CZ — 8.20%, Vodafone-CZ
  • AS38195, AU — 6.20%, Superloop
  • AS53435, US — 5.20%, Jackson Energy
  • AS203214, IQ — 4.50%, HulumTele
  • AS205889, IQ — 4.50%, Giga Nineveh
  • AS5690, CA — 4.40%, Vianet
  • AS56207, PH — 4.20%, ComClark
  • AS4775, PH — 4.00%, Globe Telecoms
  • AS15547, CH — 4.00%, Netplus
  • AS47794, SA — 3.90%, Etihad GO
  • AS17639, PH — 3.70%, Converge
  • AS31898, US — 3.10%, Oracle Corp
  • AS203409, IQ — 2.80%, Nawafeth Al-hadhara
  • AS55836, IN — 2.50%, Reliance Jio
  • AS9534, MY — 1.60%, MAXIS Binariang Berhad
  • AS6661, LU — 1.50%, LU - POST
  • AS37119, AO — 1.40%, Unitel
  • AS24432, BD — 1.20%, TM International
  • AS199739, IQ — 1.20%, Earthlink Telecommunications
  • AS14988, BW — 1.00%, Botswana Telecommunications
  • AS48695, SA — 0.90%, Etihad GO
  • AS212661, OM — 0.90%, Vodafone-Oman
  • AS37054, MG — 0.70%, Telecom Malagasy
  • AS43766, SA — 0.70%, Mobile Telecommunication
  • AS29244, BG — 0.70%, Telenor BG-AS
  • AS56665, LU — 0.60%, Proximus
  • AS57293, AZ — 0.50%, Telekom MMC
  • AS327697, RE — 0.40%, TELCO OI

원문의 견해가 APNIC의 공식 입장을 반드시 대변하는 것은 아니다. Geoff Huston은 아시아·태평양 지역 인터넷 주소 관리 조직인 APNIC의 수석 과학자다.

PDF · 텍스트 버전

www.potaroo.net