인터넷 백본 라우팅 보안: RPKI 기반 경로 기원 검증(ROV)과 BGP 하이재킹 방어
RPKI의 ROA가 특정 IP 접두사를 기원할 수 있는 AS를 어떻게 인가하는지, 라우터의 ROV가 경로를 Valid·Invalid·NotFound로 분류하는지 설명합니다. Invalid 경로에 대한 대응은 네트워크 운영자의 정책에 달려 있으며, ROV는 전체 AS 경로나 도달 가능성을 보증하지 않습니다.
발행·오류 제보: infostoa · 편집 기준
이 글의 개별 작성자와 전문 검토자 정보는 제공되지 않습니다.
전 세계 인터넷은 수많은 자율 시스템(AS)이 BGP를 통해 도달 가능한 IP 접두사와 경로 속성을 교환하며 연결됩니다. BGP 경로 원점 검증(ROV)은 광고된 접두사의 원점 AS가 RPKI의 검증된 경로 원점 정보와 부합하는지 확인하는 제한된 검사입니다. 이는 경로 전체의 안전성이나 목적지까지의 도달 가능성을 증명하지 않으며, 검증 결과를 실제로 수락·거부하는 결정은 네트워크 운영 정책에 달려 있습니다.
1. 전 세계 인터넷 라우팅의 신뢰 모델과 BGP 하이재킹의 구조적 위험
BGP는 자율시스템 간 도달 가능한 IP prefix와 경로 속성을 교환합니다. 경로 원점 검증은 해당 prefix를 광고할 권한이 있는 AS인지 확인하는 한 단계입니다.
2. 자원 공개키 인프라(RPKI)와 경로 기원 인가(ROA) 암호 증명 체계
RPKI는 주소 자원에 대한 인증서와 검증 가능한 경로 원점 정보를 연결하는 체계입니다. RFC 6480은 인증서 기반의 자원 공개키 인프라 구조를 정의하고, RFC 6811은 검증된 경로 원점 정보와 BGP 경로를 비교하는 절차를 설명합니다. ROA는 접두사, 허용 가능한 최대 접두사 길이, 원점 AS를 지정하는 서명된 권한 정보입니다. 주소 자원 보유자가 발급 절차를 관리하지만, ROA의 서명과 검증 경로를 개인키를 직접 보유한 라우터가 처리하는 것은 아닙니다.
3. 에지 라우터 계층에서의 경로 기원 검증(ROV) 판정 알고리즘
RFC 6811의 세 결과는 ROA 검증 데이터(VRP)와 경로의 접두사·Origin AS를 비교해 정합니다. 검증 데이터가 경로 접두사를 덮지 않으면 NotFound입니다. 적어도 하나의 항목이 접두사와 원점 AS 조건에 맞으면 Valid이고, 접두사를 덮는 항목은 있지만 일치하는 항목이 없으면 Invalid입니다. RFC는 Invalid를 반드시 차단하라고 규정하지 않으며, 적용 여부를 로컬 정책으로 남깁니다. 이 검사는 경로 원점만 다루므로 경로 전체의 안전성이나 도달성을 보증하지 않습니다.
4. 실무자 관점: ROV 정책과 운영 한계
ROV 결과를 실제 차단 정책에 연결하는 방식은 사업자와 네트워크의 위험 허용도에 따라 달라집니다. RFC 6811은 Invalid 경로를 차단할 수 있다고 설명하면서, 검증 데이터에 잘못된 항목이 들어가면 정상 경로도 잘못 판정되어 서비스 거부가 발생할 수 있다고 경고합니다. 따라서 검증기 연결 상태와 데이터 갱신 실패를 감시하고, Invalid 경로 조치는 변경 절차와 복구 경로를 함께 설계해야 합니다. RIPE NCC의 RPKI 안내도 ROA 관리와 origin validation을 분리해 다루므로, 주소 보유자가 ROA를 올바르게 유지하는 일과 라우터 운영자가 검증 결과를 정책으로 적용하는 일은 각각 필요합니다.
RFC 6811은 이후 RFC 8481과 RFC 8893으로 업데이트되었습니다. RFC 8481은 운영자가 따로 설정하지 않았다면 검증 상태를 근거로 정책을 자동 적용하지 말아야 한다고 명확히 합니다. RFC 8893은 이웃에게 내보내는 경로를 검증할 때 정책 변경 후의 effective origin AS를 기준으로 삼는 경우를 다룹니다. 아래 점검은 검증 캐시의 최신성, NotFound와 Invalid의 구분, 영향 접두사 확인, ROA 수정·정책 롤백 경로를 포함해야 합니다. RFC 8481 RFC 8893