요약

  • ASPA는 고객 AS가 일련의 공급자 AS에 대한 권한을 부여하는 서명된 RPKI 객체입니다. 그 범위는 경로 검증 알고리즘이 사용하는 관계 선언이지, 수신된 경로의 모든 홉에 대한 암호학적 인증이 아닙니다.
  • ASPA 검증은 신뢰 당사자가 이용할 수 있는 검증된 객체와 해당 경로의 전파 맥락에 따라 Valid, Invalid 또는 Unknown을 반환할 수 있습니다. 이 결과들은 경로 기원 검증(Route Origin Validation)을 대체하지 않으며, 실제 세계의 신원을 증명하지도, 하나의 보편적인 라우팅 조치를 규정하지도 않습니다.
  • 운영자는 객체 유효성, 선언된 공급자 집합, 캐시 시점, 세션 역할, 검증 결과, 로컬 정책 조치, 미해결 불확실성을 분리하는 관측 및 완전성 대장이 필요합니다.

경로 보안 대시보드에서 가장 위험한 단어는 “Valid”일 수 있습니다. 그것은 완전해 들립니다. 그러나 ASPA 검증에서 그 의미는 의도적으로 더 좁습니다. 즉, 관측된 AS 경로가 알고리즘이 관련 방향에서 평가할 수 있는 고객–공급자 권한 부여와 일치한다는 결론입니다. 이 결론은 경로에 대한 서명된 전기가 아니어도 유용할 수 있습니다.

현재 ASPA 프로파일(아직 인터넷 초안)은 Resource Public Key Infrastructure 아래에서 발급되는 디지털 서명 객체를 정의합니다. 고객 AS 식별자의 보유자는 하나 이상의 AS 식별자를 승인된 공급자로 지명합니다. 프로파일은 모든 공급자가 나열되고 하나의 ASPA 객체가 하나의 고객 AS를 대표할 것을 기대합니다. 신뢰 당사자는 그 페이로드를 사용하기 전에 객체를 검증합니다.

이 구조는 하나의 특정 질문에 답합니다. 고객 AS가 공개된 RPKI 데이터에서 이 공급자 AS에 대한 권한을 부여했는가? 어떤 프리픽스가 광고되는지는 말하지 않습니다. ROA를 사용하는 경로 기원 검증(Route Origin Validation)이 기원 권한 부여를 다룹니다. ASPA 검증 초안은 그럴듯한 기원과 그럴듯한 전파 경로가 서로 다른 속성이기 때문에 이 두 통제를 보완적이라고 봅니다.

또한 이 서명은 실제 세계의 조직을 인증하지 않습니다. RFC 9255는 RPKI의 경계를 명시합니다. RPKI의 “I”는 identity를 뜻하지 않습니다. 유효한 객체는 자원 권한 부여에 대한 결론을 지지할 뿐, 두 회사가 현재 유효한 상업 계약을 체결했거나, 엔지니어가 올바른 관계를 입력했거나, 현재 특정 링크에서 트래픽이 교환되고 있다는 것을 증명하지 않습니다.

다음 경계는 완전성입니다. 검증 초안은 고객 AS가 모든 공급자 AS와 관련 비투명 경로 서버 AS를 등록할 것을 기대합니다. 정당한 공급자가 누락되면 공개된 집합은 불완전합니다. 배포가 확장됨에 따라, 그 공급자를 통과하는 경로는 운영상의 관계가 실제로 존재하더라도 Invalid로 분류될 수 있습니다. 암호학은 온전하더라도 유지·관리되는 선언이 틀릴 수 있습니다.

알고리즘은 그 불확실성을 보존합니다. 관계 수준에서는 이용 가능한 데이터가 Provider+, Not Provider+ 또는 No Attestation을 지지할 수 있습니다. 경로 수준에서는 결과가 Valid, Invalid 또는 Unknown일 수 있습니다. Unknown은 Invalid의 완곡한 표현이 아닙니다. 이용 가능한 인증만으로는 결론에 도달할 수 없다는 의미일 수 있습니다. 이를 누설의 증거로 다루는 것은 시스템에 존재하지 않는 증거를 만들어내는 것입니다.

Valid도 보편적 안전이 아닙니다. 경로상의 모든 AS가 경로에 서명했거나, 기원이 승인되었거나, 모든 경로 서버 변환이 투명했거나, 로컬 export 정책이 준수되었다는 것을 증명하지 않습니다. BGPsec과 ASPA는 서로 다른 증거 의미를 가집니다. ASPA는 독립적으로 공개된 공급자 권한 부여로부터 관계 일관성을 점검할 뿐, 홉 단위 경로 서명의 대체 이름이 아닙니다.

순서도 중요합니다. RFC 9774는 순서 없는 컬렉션이 AS_PATH의 의미를 약화시키기 때문에 AS_SET과 AS_CONFED_SET을 폐지했습니다. ASPA 검증 절차는 순서 없는 집합에서 고객–공급자 방향을 복원할 수 없으며, AS_SET을 포함하는 경로를 자기 검증에 대해 무효로 다룹니다. 이는 입력 의미론의 한계이지, 모든 보통의 순서 있는 경로가 완전히 인증되었다는 증거가 아닙니다.

BGP 역할은 또 하나의 맥락 계층을 제공합니다. RFC 9234는 경로 누설 방지를 위해 고객, 공급자, 피어, 경로 서버 같은 역할을 정의합니다. 세션 역할은 어떤 전파 패턴이 허용되어야 하는지를 결정하는 데 도움이 됩니다. 그러나 협상된 기능은 보편적인 상업 기록이 아니며, ASPA 결과는 수신 운영자가 적용하는 하나의 관측치로 남습니다.

그렇기 때문에 운영 정책은 로컬에 남습니다. 검증 초안은 모든 네트워크에 모든 Invalid 경로를 거부하거나 모든 Valid 경로를 같은 방식으로 선호하라고 명령하지 않습니다. 운영자는 이 결과가 도달 가능성, 배포 범위, 예외, 다른 보안 신호와 어떻게 상호작용할지 결정해야 합니다. 그 결정은 색색의 배지 뒤에 숨겨지기보다 명시적이고 버전 관리되어야 합니다.

유용한 대장은 연관되었으나 서로 구별되는 여섯 개의 기록을 갖습니다. 첫째는 ASPA 객체입니다. 고객 AS, 공급자 집합, 인증서 계보, 유효성. 둘째는 완전성 근거입니다. 누가, 어떤 계약과 토폴로지 기록에 대조하여 공급자 목록을 검토했는지, 언제. 셋째는 신뢰 당사자 관측입니다. 검증기 신원, 검색 시점, 검증된 페이로드 해시. 넷째는 경로 맥락입니다. 순서 있는 경로, 세션 역할, 경로 서버 처리, 관측 지점. 다섯째는 알고리즘 결과와 그 이유. 여섯째는 운영자의 조치, 담당자, 예외, 만료입니다.

이 기록들 사이에서 시간은 압축될 수 없습니다. 금요일에 추가된 공급자, 토요일에 갱신된 ASPA, 일요일에 새로 고친 검증기는 서로 다른 세 가지 상태를 기술합니다. 인시던트 검토는 나중에 보이는 수정된 선언만이 아니라, 경로가 수락되었을 때 이용 가능했던 객체와 관측치를 사용해야 합니다.

여기서 인용된 초안들은 RFC가 되기 전에 변경될 수 있으며, 특정 운영자나 인시던트를 주장하는 것은 아닙니다. 그러나 지속적인 거버넌스 교훈은 이미 분명합니다. ASPA는 범위가 한정된 공급자 권한 부여입니다. 그 검증, 완전성, 사용을 별개의 증거로 보존하면, 경로 결과는 과대한 주장이 아니라 방어 가능한 입력이 됩니다.

출처