APNIC 루트 키 테스트는 서로 다른 집단을 측정한다

요약

APNIC의 10월 보고서는 7월의 RFC 8145 리졸버 신호 요약과 엔드 시스템에 대한 재개된 RFC 8509 테스트를 짝지어 제시한다. 약 90%와 70%라는 수치는 서로 다른 관측 경로를 묘사하며, 빼거나 평균 낼 수 없다.
네트워크 표는 후속 확인을 위한 필터링된 감시 목록이지, ISP에 대한 등급이나 위험에 노출된 고객 수의 추정치가 아니다. 운영자는 여전히 자신의 검증 리졸버를 예정된 변경에 대해 직접 테스트해야 한다.

분석

백분율에는 관측 경로가 필요하다

루트 DNSSEC 키에 대한 예정된 변경을 이틀 앞두고 있으니, 준비율 백분율이 모두가 원하는 숫자처럼 보인다. 대부분의 리졸버가 후속 키를 갖고 있다면 롤오버는 안전할 것이고, 너무 많이 갖고 있지 않다면 누군가 이를 중단해야 할 것이다. 문제는 “대부분”이라는 말에서 시작된다. 리졸버 신호, 엔드 사용자의 네트워크를 통해 실행된 테스트, 그리고 그 네트워크를 사용하는 사람들은 서로 바꿔 놓을 수 있는 단위가 아니다.

APNIC의 10월 9일자 보고서(10월 8일 작성)는 시의적절한 사례 연구를 제공한다. 이 보고서는 검증 리졸버가 신뢰하는 키 태그를 권한 서버 운영자가 볼 수 있는 쿼리로 신호하는 방식인 RFC 8145의 결과 하나를 설명한다. 그런 다음 RFC 8509의 Root Key Trust Anchor Sentinel을 사용한 별도의 테스트를 보고한다. 첫 번째 관측은 리졸버에서 루트 서버 쪽으로 외부로 뻗어 나간다. 두 번째는 엔드 시스템을 통해 프로브를 보내고 응답에서 리졸버 경로에 대한 무언가를 추론한다. 둘 다 같은 루트 키 롤오버에 관한 것이지만, 같은 것을 세는 것은 아니다.

RFC 8145 계정 안에는 작지만 중요한 문제도 있다. APNIC는 7월 차트가 보고 리졸버의 약 90%가 KSK-2024를 추가했다고 보여준다고 설명한다. Verisign의 7월 28일 업데이트는 약 500일 후 신호 전송 소스 중 채택률이 95%를 넘었다고 말한다. APNIC는 그 차트를 Verisign에 귀속시키지만, 두 공개 설명은 독자가 수치를 대조할 수 있도록 공통 추출 날짜와 지표 정의를 제시하지 않는다. 두 설명이 신호의 서로 다른 추출본이나 요약을 가리킬 수도 있으며, 제공된 문장만으로는 그것을 확정할 수 없다. 이는 어느 쪽 측정이 실패했다는 증거가 아니라 보존해야 할 문서화 공백이다.

더 최신의 70% 수치는 직접 비교에서 더 멀어져 있다. APNIC는 광고 기반 측정 플랫폼이 하루 약 1,600만 건의 엔드 시스템 테스트를 평균적으로 수행했다고 말한다. 하루 약 600만 건의 테스트가 DNSSEC 검증 재귀 리졸버 뒤에 있는 엔드 시스템을 보여주었고, 약 180만 건은 리졸버 경로가 RFC 8509를 지원한다는 명확한 신호를 산출했다. 그 센티넬을 지원하는 것으로 보이는 테스트 중에서 약 70%가 KSK-2024가 적재되었다고 보고했다. 분모는 명확한 신호를 낸 테스트된 부분 집합이지, 전체 1,600만 건 테스트도, 모든 검증 리졸버도, 모든 인터넷 사용자도 아니다.

두 프로토콜, 두 질문

RFC 8145는 검증 리졸버가 자신의 신뢰 사슬에 어떤 키 태그가 있는지 서버에 알리도록 한다. 여기에는 EDNS 옵션과 특수 쿼리라는 두 가지 선택적 신호 방법이 있다. 루트 존의 경우 이 신호들은 루트 권한 인프라 운영자가 볼 수 있다. 그 결과 데이터는 신호를 전송하는 소스 사이에서 보고된 키 상태가 시간에 따라 어떻게 변하는지 보여줄 수 있다.

이것은 유용하지만, 리졸버를 그 뒤에 있는 가구·기업·서비스 수에 연결해 주지는 않는다. 어떤 재귀 시스템은 매우 많은 인구에게 서비스하고, 다른 것들은 한 조직이나 한 대의 기계에 서비스한다. 포워딩 사슬도 루트 운영자가 보는 것에 영향을 줄 수 있다. 따라서 보고된 신호의 백분율은 그 신호들에 대한 질문에 답할 뿐이며, 사용자 가중 노출도 측정이 아니다.

RFC 8509는 다른 경로를 택한다. 테스터가 특수하게 구성된 DNS 쿼리를 발행하면, 지원하는 검증 리졸버가 특정 루트 키가 신뢰되는지를 나타내는 동작을 반환한다. APNIC는 광고 기반 측정 플랫폼을 사용해 이 테스트를 여러 엔드 시스템을 통해 보낸다. 유용한 관측은 테스트된 엔드포인트가 경험한 확인 경로에 더 가깝지만, 여전히 경로의 리졸버 지원과 테스트의 응답 분류 능력에 의존한다. 엔드포인트 뒤의 모든 리졸버를 식별하거나 그 리졸버를 공유하는 모든 사용자를 세지는 않는다.

APNIC의 10월 5일 RIPE Atlas 실행은 세 번째 시각을 추가할 뿐, 보편적인 교차 검증이 아니다. 2,900개의 서로 다른 자율 시스템에 배치된 프로브가 새 키가 적재된 것과 일치하는 동작 1,230건과 그렇지 않은 것과 일치하는 동작 47건을 산출했다. 이는 해당 네트워크들에서의 프로브 결과일 뿐이며, 2,900개 시스템 모두가 완전히 측정되었다는 뜻도, 어떤 하나의 결과에 몇 명의 고객이 의존하는지를 알려주지도 않는다.

교훈은 측정이 부분적이라는 이유로 쓸모없다는 것이 아니다. 각각은 서로 다른 운영 질문의 위치를 잡아준다. RFC 8145는 신호를 전송하는 리졸버가 루트 쪽으로 무엇을 보고하는지 보여줄 수 있다. RFC 8509는 엔드 시스템 뒤의 참여 리졸버 경로의 동작을 테스트할 수 있다. RIPE Atlas 프로브는 독립적으로 위치한 관측점을 추가한다. 어느 것도 혼자서는 인터넷 전체에 대한 완전하고 사용자 가중 분모를 제공하지 못한다.

감시 목록은 살펴볼 곳이다

APNIC 보고서에서 가장 실행 가능한 부분은 글로벌 백분율이 아니다. 표 3은 센티넬 메커니즘 지원을 보여주는 테스트가 1,000건 이상이었다는 조건으로 필터링한 뒤, 직전 일주일 동안 관측된 KSK-2024 수용률이 가장 낮은 50개 네트워크를 나열한다. 이 조건은 한 번만 관측된 모든 네트워크 목록보다 행을 더 해석하기 쉽게 만든다. 그러나 이것을 감사된 준비 등급으로 바꾸지는 못한다.

표에는 아시아·태평양 네트워크들이 포함되어 있으며, 그중 태국의 국가 통신사과 방글라데시의 Teletalk가 있다. APNIC는 국가 통신사에 대해 1,355건의 센티넬 지원 테스트에서 48.4%, Teletalk에 대해 2,046건에서 48.2%를 보고한다. 이 수치들은 추가 확인이 가치 있을 수 있는 집단을 식별한다. 그러나 두 ISP가 운영하는 모든 리졸버가 동일한 트러스트 앵커 상태를 가진다거나, 나머지 테스트 응답이 별개의 사람들을 대표하거나, 그 비율에 상응하는 고객이 접근을 잃을 것이라는 것을 보여주지는 않는다.

APNIC은 목록에 오른 네트워크가 Cloudflare가 운영하는 점검 페이지를 포함해 자신의 리졸버 경로를 테스트하고 DNS 설정을 점검할 것을 제안한다. 그것이 이 표의 올바른 용법이다. 외부 판정이 아니라 운영자를 위한 단서로서의 사용이다. 한 제공자는 여러 재귀 서비스를 운영하거나 일부 트래픽을 포워딩하거나 공급업체가 유지하는 키에 의존하거나, 다른 리졸버를 사용하는 기기의 고객을 둘 수 있다. 공개 표는 그런 구성을 판정할 수 없다.

달력에는 세 가지 서로 다른 전환이 있다

IANA의 현재 일정에 따르면 KSK-2024는 2025년 1월 11일에 루트 존에 진입했으며, RFC 5011 신뢰 기간은 한 달 후에 시작될 예정이었다. 2026년 10월 11일에 KSK-2024가 루트 존을 서명하고 KSK-2017은 서명을 중단하도록 예정되어 있다. 구키는 2027년 1월 11일까지 폐기(revocation)가 예정되어 있지 않으며, 제거는 3월 22일로 예정되어 있다.

이 날짜들은 서로 다른 상태를 묘사한다. “새 키가 서명한다”는 것은 “구키가 폐기되었다”는 뜻이 아니며, 폐기는 그것이 이미 존에서 제거되었다는 뜻도 아니다. RFC 5011의 add hold-down은 리졸버가 후속 키를 자동으로 신뢰하기 전에 관측하고 검증할 시간을 준다. 그러나 자동 프로토콜이 존재한다는 사실이 특정 배포가 그것을 활성화했거나, 쓰기 가능한 상태를 유지했거나, 필요한 관측을 받았다는 것을 증명하지는 않는다.

일정은 또한 프로세스의 어느 부분을 누가 통제하는지도 밝힌다. IANA는 루트 트러스트 앵커 자료와 현재 날짜를 공표한다. ICANN/PTI는 루트 KSK 프로세스를 운영한다. Verisign의 역할에는 루트 존 유지보수와 루트 서버 관측점이 포함된다. APNIC는 측정을 보고한다. 네트워크 운영자는 자기 사용자가 의존하는 재귀 리졸버에 대해 책임을 진다. APNIC은 증거를 제공할 수 있지만, 루트 키를 통제하거나 글로벌 전환이 진행될지를 결정하지는 않는다.

운영자에게 즉각적인 확인은 국지적이고 구체적이다. 배포된 리졸버가 올바른 후속 키를 신뢰하는지 확인하고, 자동 갱신 또는 승인된 수동 경로가 실제로 작동하는지 확인하고, 프로덕션 사용자가 사용하는 리졸버 경로를 테스트하라. IANA는 트러스트 앵커 파일을 공표하고, 리졸버 공급업체는 자체 지침을 공표한다. 공개 측정은 어디를 볼지 제안할 수 있다. 그러나 그 확인을 조직을 대신해 수행할 수는 없다.

10월 9일에 이용 가능한 증거는 한정된 결론을 지지한다. 후속 키는 1년 이상 공표되어 왔고, 관측된 신호와 테스트 경로의 상당 부분이 이를 보고하며, APNIC은 목표 후속 확인이 유용할 수 있는 네트워크를 식별했다. 90%, 95% 초과, 70%라는 설명은 하나의 준비 점수로 수렴되지 않는다. 10월 11일의 운영 질문은 그 백분율 중 어느 것이 헤드라인인지가 아니라, 주어진 검증 경로가 새로 서명된 루트를 수용하는지 여부이다.