인터넷의 마스터 키가 방금 바뀌었습니다

하이라이트

• 버지니아주 컬페퍼에 위치한 보안 시설에서 전 세계 인터넷 루트 서버를 보호하는 마스터 키가 관리된다.

• 기계를 작동하기 위해서는 전 세계에서 온 암호 책임자 7명 중 3명이 각자의 보안 키를 꽂아야 한다.

• 기존 DNS 시스템은 검증 기능이 없어 주소창이 올바르더라도 공격자가 가짜 답변을 주입해 악성 사이트로 유도할 수 있었다.

• 2008년에 DNS 취약점이 시연된 이후 패치가 이루어졌으며 장기적인 해결책으로 DNSSEC이 도입되었다.

• .com 도메인 중 약 5%만이 서명되어 있으며 인터넷 사용자 중 약 41%만이 검증을 수행하는 리졸버를 사용한다.

• 10월 11일에 루트 키가 2017년 버전에서 2024년 버전인 38696번으로 전환되었다.

타임라인

1. 00:00 - 01:57

   전 세계 인터넷을 움직이는 열쇠와 DNS의 취약점

   사용자가 웹사이트 주소를 입력하면 리졸버를 통해 IP 주소를 요청하는 과정에서 DNS 시스템의 구조적 한계가 드러난다. 검증 기능이 부재한 탓에 공격자가 리졸버의 질문과 ID를 노리고 위조된 응답을 대량으로 보내기 쉽다. 이 공격이 성공하면 사용자는 올바른 주소를 입력하고도 악성 웹사이트에 접속하게 된다.

   • 버지니아의 잠긴 방에는 전 세계 인터넷을 움직이는 열쇠가 보관되어 있다.
   • 웹사이트 주소를 방문할 때 컴퓨터는 DNS를 통해 IP 주소를 요청한다.
   • 원래의 DNS 시스템에는 검증 기능이 없어 공격자가 가짜 답변을 주입할 수 있다.
   • 공격자는 약 65,000개의 ID 중 무작위로 추측하여 진짜 답변보다 빠르게 가짜 답변을 리졸버에 전달할 수 있다.
2. 01:57 - 03:38

   DNSSEC 도입과 마스터 키 교체 의식

   보안 연구원의 시연 이후 전 세계 DNS 소프트웨어가 패치되었으며 궁극적으로 DNSSEC이 해결책으로 자리 잡았다. 리졸버는 조회 체인을 거치며 각 단계의 키를 검증하는데 루트 서버의 마스터 키는 금고 밖으로 거의 나오지 않는다. 정해진 절차에 따라 마스터 키가 교체되며 새로운 키 번호가 시스템에 반영된다.

   • 2008년에 취약점이 시연된 후 장기적인 해결책으로 DNSSEC이 적용되었다.
   • 루트 서버의 비밀 키는 버지니아의 안전한 방에 보관되며 오직 루트 자체의 키 목록에만 서명한다.
   • 10월 11일에 루트는 2017년 키에서 2024년 키인 38696번으로 전환되었다.
3. 03:38 - 05:43

   엄격한 보안 속에서 이루어지는 키 생성 과정

   버지니아주 컬페퍼의 시설에서는 다중 보안 레이어를 거쳐야만 접근할 수 있는 장소에서 키 생성 의식이 진행된다. 스웨덴, 짐바브웨, 칠레 등 다양한 국가의 암호 책임자들이 모여 각자의 보안 키를 입력해야만 새로운 키가 출력된다. 현재 모든 도메인과 리졸버가 완벽하게 서명 및 검증을 수행하는 것은 아니기 때문에 키 교체 시기에는 시스템 업데이트가 필수적이다.

   • 키 생성 장치는 7겹의 보안 레이어와 금고 속에 엄격하게 보관되어 있다.
   • 전 세계 각국에서 온 암호 책임자 7명 중 3명이 키를 꽂아야만 기계가 작동한다.
   • 기계는 자체적인 무작위성을 바탕으로 새 키를 생성하며 비밀 절반은 기계를 떠나지 않는다.
   • 일부 리졸버가 새 마스터 키를 인식하지 못해 접속 장애가 발생할 수 있으며 시스템 업데이트가 필요하다.