DNS 공격과 DNSSEC·접근 통제

1. 응답 위조와 캐시 오염

DNS 스푸핑은 정상 이름 해석 결과 대신 거짓 결과를 전달하는 공격이다. 캐시 포이즈닝은 거짓 레코드를 해석기의 캐시에 저장시켜 이후 질의에도 잘못된 답을 재사용하게 만드는 공격이다.

로컬 hosts 파일 변조나 도메인 관리권 탈취도 사용자를 잘못된 서버로 연결할 수 있지만, 모두 해석기의 캐시가 오염된 경우는 아니다.

UDP DNS에서 해석기는 기다리는 질의와 응답의 질문·Transaction ID·서버 주소·포트 등을 비교한다. 공격자가 이 조건에 맞는 거짓 응답을 정상 응답보다 먼저 수용하게 하면 오염이 발생할 수 있다.

2. 응답 검증과 무작위화

대응은 다음을 조합한다.

• 질문 이름·종류·ID·주소·포트의 대응 관계 확인
• 예측하기 어려운 Transaction ID와 출발지 포트 사용
• 요청하지 않은 응답과 관련 없는 레코드의 무분별한 캐시 거부
• DNSSEC로 데이터 출처와 무결성 검증

Transaction ID는 16비트다. 출발지 포트도 무작위화하면 공격자가 맞혀야 하는 정보가 늘어나지만, 이것만으로 데이터의 암호학적 진위를 증명하지는 않는다.

3. 반사·증폭 공격과 서비스 거부

공격자가 출발지 IP를 피해자 주소로 위조해 DNS 질의를 보내면 응답은 피해자에게 향한다. 이것이 반사다. 응답이 요청보다 크면 증폭 효과가 생긴다.

재귀 서비스를 허가된 사용자에게만 제공하고, 네트워크 경계의 출발지 주소 검증과 응답률·자원 제한을 함께 적용한다. 공개 권한 서버는 외부 질의에 응답해야 하므로 재귀 서비스와 같은 방식으로 모든 외부 질의를 막는 것은 적절하지 않다. 공개 권한 서버도 반사체로 악용될 수 있어 응답률 통제가 필요하다.

무작위 이름 질의 등으로 해석기 자원을 고갈시키는 서비스 거부에는 질의량·실패율·CPU·메모리 감시와 용량·요청 제한을 적용한다. DNSSEC가 서버 과부하까지 해결하는 것은 아니다.

4. 존 전송과 동적 갱신 통제

AXFR·IXFR은 허가된 Secondary 등 필요한 상대에게만 허용한다. 외부에 무제한 개방하면 호스트·서비스·내부 명명 구조를 대량으로 노출할 수 있다.

ACL로 접근 범위를 제한하고 필요한 경우 TSIG로 공유 비밀키에 기반한 메시지 인증·무결성 검사를 적용한다. 동적 갱신도 인증된 주체가 허용된 레코드만 바꾸도록 한다. TSIG는 DNS 데이터를 일반 사용자에게 공개 검증시키는 DNSSEC와 목적이 다르며, 자체적인 내용 암호화도 아니다.

5. DNSSEC의 역할과 신뢰 연결

DNSSEC는 DNS 레코드 집합에 서명을 적용하여 데이터 출처 인증·무결성·인증된 부재 증명을 제공한다.

검증은 신뢰점인 Trust Anchor에서 출발한다. 부모의 검증된 DS로 자식 DNSKEY를 연결하고, 그 키로 RRSIG를 검증하여 레코드를 확인한다. DS가 자식의 모든 레코드를 직접 서명하는 것은 아니다.

서명이 있어야 하는데 검증이 실패한 상태와, 서명되지 않은 영역으로 적법하게 위임된 상태를 구분한다. 후자를 곧바로 변조 공격이라고 판단하지 않는다.

좌우로 이동해 그림을 확인하세요.그림 크게 보기

6. DNSSEC·TSIG·전송 암호화 비교

DNSSEC는 DNS 내용을 숨기지 않는다. DoH를 사용했다고 DNS 데이터에 DNSSEC 서명이 생기지는 않는다. 둘 다 사이트 내용이 무해한지, 관리자가 주소를 정확히 등록했는지까지 판정하지 않는다.

7. 공격 지점과 대응 연결

제품별 설정 파일 암기보다 재귀·권한·전송·갱신을 누가 사용할 수 있는지 구분한다. 서버 프로세스 최소 권한, 보안 패치, 변경·질의 로그 검토를 함께 수행한다.