DNSSEC 검증
도메인의 DNSSEC 서명(DS·DNSKEY) 적용 여부를 확인합니다.
DNSSEC 검증은 도메인에 DNSSEC(DNS Security Extensions) 서명이 적용되어 있는지 확인하는 도구입니다. 상위 존에 등록된 DS 레코드와 해당 존의 DNSKEY 레코드 존재 여부를 동시에 조회해, 도메인이 서명되어 있는지(미적용인지) 한눈에 판정합니다.
DNSSEC가 적용된 도메인은 응답이 위·변조되었는지 암호학적으로 검증할 수 있어, 캐시 포이즈닝 같은 공격으로부터 DNS 응답을 보호합니다. 도메인만 입력하면 됩니다(프로토콜·경로 불필요). 조회는 신뢰할 수 있는 공개 리졸버에 DNS over HTTPS로 질의합니다. 도메인의 다른 레코드는 DNS 레코드 조회로, 위임된 네임서버는 네임서버(NS) 확인으로 함께 점검하세요.
DNSSEC란 무엇인가
기본 DNS는 응답에 서명이 없어 중간에 누군가 값을 바꿔치기해도 클라이언트가 알아채기 어렵습니다. DNSSEC는 각 존의 레코드에 디지털 서명을 붙이고, 그 서명을 상위 존으로 이어지는 신뢰 사슬(chain of trust)로 검증하게 해 응답의 무결성과 출처를 보장합니다.
DS 레코드와 DNSKEY 레코드
- DNSKEY: 해당 존이 자신의 레코드에 서명할 때 쓰는 공개키입니다. 존 내부에 존재합니다.
- DS(Delegation Signer): DNSKEY의 해시 값으로, 상위 존(예: .com)에 등록됩니다. 부모가 자식 존의 키를 보증하는 연결 고리 역할을 합니다.
- 둘 중 하나라도 존재하면 이 도구는 DNSSEC가 적용된 것으로 판정합니다. 다만 완전한 검증을 위해서는 DS와 DNSKEY가 모두 올바르게 연결되어야 합니다.
왜 중요한가
DS가 상위 존에 등록되어야 신뢰 사슬이 완성됩니다. DNSKEY만 있고 DS가 없으면 실제로는 검증이 이뤄지지 않을 수 있습니다. 도메인을 옮기거나 키를 교체(롤오버)할 때 DS 등록이 누락되면 DNSSEC 검증 실패로 사이트 접속이 막힐 수 있으므로 주기적인 점검이 필요합니다.
DS 다이제스트·DNSKEY 알고리즘 참조표
DS 레코드는 키태그 알고리즘 다이제스트타입 다이제스트 네 필드로 구성됩니다. 레지스트라에 등록한 DS와 존이 발행한 DNSKEY를 대조할 때 맞춰 봐야 하는 숫자가 아래 값들입니다. 알고리즘 13(ECDSA P-256)과 다이제스트 타입 2(SHA-256)가 현재 권장 기본값이며, RSA/SHA-1(알고리즘 5, 다이제스트 타입 1)은 폐기 대상이라 많은 리졸버가 거부합니다.
| 필드 | 값 | 의미 |
|---|---|---|
알고리즘 8 | RSA/SHA-256 | 여전히 가장 흔함. 키가 커서 응답도 큼 |
알고리즘 13 | ECDSA P-256/SHA-256 | 권장. 키가 짧아 응답 크기·증폭에 유리 |
알고리즘 5 | RSA/SHA-1 | 폐기 대상. 일부 리졸버는 거부 |
다이제스트 1 | SHA-1 | DS 해시 방식. 신규 등록 비권장 |
다이제스트 2 | SHA-256 | 현재 표준. DS는 이 값으로 등록 |
DNSKEY 플래그 257 | KSK (Key Signing Key) | DS가 가리키는 키. 상위 존이 보증 |
DNSKEY 플래그 256 | ZSK (Zone Signing Key) | 실제 레코드 서명용. DS와 무관 |
실제 판정 예시
예를 들어 도메인의 DS 레코드가 12345 13 2 9F1A...C3이고, 존의 DNSKEY에 플래그 257·알고리즘 13인 KSK가 있다고 합시다. 이때 알고리즘이 양쪽 모두 13으로 일치하고, DS의 키 태그(12345)가 그 KSK의 키 태그와 같다면 신뢰 사슬이 연결된 정상 상태입니다. 반대로 키를 롤오버하면서 존에는 새 KSK(키 태그 60001)를 올렸는데 상위 존 DS는 여전히 옛 12345를 가리키고 있다면, 이 도구는 “DNSSEC 적용”으로 표시하더라도 실제 검증은 SERVFAIL로 깨집니다. 키 태그와 알고리즘 번호가 양쪽에서 일치하는지를 항상 함께 보세요.
흔한 실수 / 함정
- 이 도구의 “적용됨”은 DS 또는 DNSKEY의 존재만 뜻합니다. DS가 올바른 키를 가리키는지(키 태그·알고리즘 일치)까지는 보증하지 않으므로, 존재 = 검증 통과로 착각하지 마세요.
- 가장 흔한 사고는 키 롤오버 또는 DNS 사업자 이전 시 새 DS 등록을 빠뜨려, DNSKEY는 새 키인데 상위 DS는 옛 키를 가리키는 불일치 상태입니다. 이 경우 검증 리졸버에서만 사이트가 안 열려(
SERVFAIL) 원인 파악이 어렵습니다.