한국의 DNSSEC 현황

한국의 DNSSEC 도입률은 제로에 가깝다. 활성화된 131,024개의 .kr 도메인 중 서명된 도메인은 118개뿐이다.

한편, APNIC Labs의 보고에 따르면 전 세계 인터넷 사용자의 39.41%가 서명을 검증하는 리졸버(resolver)를 사용하는 반면, 한국 사용자는 3.15%에 불과하다.

DNSSEC을 이용하면 도메인 소유자가 DNS 레코드에 암호화 서명을 적용할 수 있어, 리졸버가 위조된 응답을 거부하고 방문자를 악성 서버로 유인하는 DNS 스푸핑 공격을 막을 수 있다. 아래에서는 한국 내 DNSSEC 보급률을 측정한 방법과, 서명은 되어 있으나 검증을 수행하는 사용자 기준에서 현재 해석(resolution)에 실패하는 3개 도메인의 사례를 살펴본다.

서명 현황: 131,024개 중 118개

본 조사에서는 217,129개의 .kr 도메인을 평가하여, 타임아웃이나 조회 오류 없이 응답한 131,024개의 활성 도메인을 선별했다.

이 표본은 전체 등록 도메인의 일부이다. 한국인터넷정보센터(KRNIC)에 따르면 2026년 8월 기준 .kr 등록 건수는 1,104,883건이었다.

2026년 9월 23일, 각 도메인의 .kr 영역(zone) 내 DS 레코드를 1.1.1.1과 8.8.8.8을 통해 조회했다. 상위 영역은 DS 레코드를 통해 하위 영역의 서명 키를 보증하며, 이 레코드가 없으면 도메인은 서명되지 않은 상태로 남는다.

조회 결과 DS 레코드를 반환한 도메인은 118개에 불과했다. 이는 조사 대상 활성 도메인의 0.09%라는 놀라울 정도로 낮은 수치이다.

이 118개 중 20개는 .kr 레지스트리가 직접 운영하는 영역이다(16개 지역 영역[예: seoul.kr] 및 ai.kr, io.kr, it.kr, me.kr). 이를 제외하면 제3자가 서명한 도메인은 98개에 불과하다.

레지스트리 인프라는 이미 10년 넘게 준비되어 있었다. KRNIC은 2011년에 .kr에 서명하고 2012년 9월까지 대한민국 국가 코드 영역 31개 전체에 대한 서명을 완료하여, 모든 .kr 도메인이 DNSSEC을 적용할 수 있는 환경을 갖추었다.

그러나 알 수 없는 이유로 다른 도메인 레지스트리들은 전체 등록 건수 대비 훨씬 높은 도입률을 기록하고 있다.

• .nl: 59.74% (SIDN Labs 자료 기준, 2026년 9월 24일 6,210,594개 도메인 중 3,710,347개).
• .cz: 66.79% (CZ.NIC Domain Report 2025 기준, 2025년 말 1,515,860개 도메인 중 1,012,492개).
• .com 및 .net 합산: 약 5%. (Verisign의 DNSSEC Scoreboard에 따르면 2026년 9월 22일 기준 서명된 도메인은 8,939,167개이며, Q2 2026 Domain Name Industry Brief 보고서에서 밝힌 전체 등록 수 약 1억 7,910만 개 대비 수치).

검증 현황: 사용자 약 3%

DNSSEC 서명은 사용자의 리졸버가 이를 검증하지 않으면 아무런 보호 효과도 제공하지 못한다. APNIC Labs는 브라우저가 의도적으로 손상된 서명의 호스트 이름을 요청하도록 유도하는 온라인 광고를 활용하여 검증률을 측정한다. 손상된 호스트 이름의 접속을 거부하는 리졸버가 검증 리졸버로 분류된다.

전 세계 검증률이 39.41%인 데 비해, 한국에서는 사용자의 3.15%만이 서명을 검증한다.

한국 사용자의 추가 2.30%는 부분 검증 상태를 보였는데, 이는 보통 기본 리졸버 오류 시 검증을 수행하지 않는 보조 리졸버로 장애 조치(failover)될 때 발생한다. 이러한 예비 전환 방식 역시 위조된 이름을 로드할 수 있으므로, 본 조사에서는 완전한 검증만을 인정했다.

APNIC이 집계한 한국 주요 통신사별 30일 평균 검증률은 다음과 같다.

표본 규모는 통신사의 시장 점유율이 아닌 광고 노출 패턴을 반영하므로, 이 수치는 참고용으로 보아야 한다. SK 브로드밴드는 표본 수가 가장 적어 이상치(outlier)에 해당한다.

서명 후 접속에 실패하는 3개 도메인

2026년 9월 26일, 이번 조사에서 확인된 121개 서명 도메인(활성 서명 도메인 118개 및 이전에 조회 실패로 제외했던 3개) 전체를 대상으로 delv를 실행했다. delv는 루트 키부터 시작되는 암호화 신뢰 체인(chain of trust)을 검증한다.

117개 도메인은 정상적으로 검증되었고 1개는 더 이상 존재하지 않았으나, 3개 도메인은 검증에 실패하여 8.8.8.8이 SERVFAIL 오류를 반환했다.

;; validating example-one.co.kr/SOA: no valid signature found
;; insecurity proof failed resolving 'example-two.co.kr/SOA/IN': 1.1.1.1#53

검증 리졸버를 사용하는 사용자에게 이 3개 도메인은 완전히 접속 불가능한 상태이다.

문제가 발생한 도메인 중 하나는 가비아 네임서버를 사용하고 있다. 가비아의 안내 문서에는 "가비아 네임서버는 DNSSEC을 지원하지 않습니다"라고 명시되어 있다.

상위 영역에 DS 레코드를 등록해 두고 정작 DNS는 서명되지 않은 네임서버에서 호스팅할 때 바로 이런 오류가 발생한다.

한국 사용자 중 DNSSEC을 검증하는 비율이 약 3%에 불과하기 때문에, 서명이 잘못된 도메인 소유자가 국내 방문자로부터 이에 대한 제보를 받는 경우는 거의 없다.

내 도메인 확인하기

먼저, 상위 영역에 등록된 도메인의 DS 레코드를 조회한다.

dig +short DS yourcompany.co.kr

출력 결과가 비어 있다면 서명되지 않은 도메인이다. 숫자와 16진수 문자열이 출력된다면 활성화된 DS 레코드가 존재한다는 의미이다.

다음으로 전체 검증 체인을 테스트한다.

delv yourcompany.co.kr SOA

• ; fully validated: 서명이 유효함을 확인.
• ; unsigned answer: DNSSEC이 비활성화되어 있음을 나타냄.
• no valid signature found 또는 insecurity proof failed: 앞서 언급한 3가지 실패 사례처럼 서명은 되었으나 설정이 잘못된 도메인임을 나타냄.

DS 레코드는 도메인 등록업체(registrar)를 통해 등록한다. 가비아의 경우 외부 네임서버를 사용하는 도메인에 대해서만 DS 등록을 허용하며, .kr DS 등록 시 KISA 심사에 1~2일이 소요된다. Hosting.kr은 1:1 문의를 통해서만 DS 레코드 등록을 처리한다.

---

궁금한 점이 있다. 사용 중인 도메인 등록업체나 DNS 호스팅 업체가 DNSSEC 적용을 먼저 제안한 적이 있는가?

참고 문헌

1. KRNIC — 국가도메인 등록 현황 (.kr 등록 1,104,883건, 2026년 8월)
2. KRNIC — DNSSEC이란? (2011년 .kr 서명, 2012년 9월 31개 영역 전체 서명 완료)
3. SIDN Labs — .nl statistics: DNSSEC (2026년 9월 24일 조회)
4. CZ.NIC — Domain Report 2025 (2026년 2월 17일 발행)
5. Verisign — DNSSEC Scoreboard (2026년 9월 22일 조회)
6. Verisign / DNIB.com — DNIB.com Reports Internet Has 401.6 Million Domain Name Registrations at the End of the Second Quarter of 2026 (2026년 7월 23일, .com·.net 합산 1억 7,910만 개)
7. APNIC Labs — Use of DNSSEC Validation for Republic of Korea (KR) (2026년 9월 26일 조회)
8. Geoff Huston — How we measure: DNSSEC validation (APNIC Blog, 2023년 10월 31일)
9. 가비아 고객센터 — 도메인 매뉴얼: DNSSEC
10. Hosting.kr 고객센터 — DNSSEC DS 레코드 등록