China Telecom 2010 경로 누출: 프리픽스 양 주장과 책임성 테스트

요약

사건의 경계는 구체적입니다:이 글은 2010년 4월 8일 AS4134를 통해 관측된 AS23724의 비정상 광고를 다룹니다. 2019년 Safe Host 누출, 2008년 파키스탄 텔레콤-유튜브 하이재킹, 이후 China Telecom과 관련된 별도의 주장들을 이 사건과 묶지 않습니다.
가장 강력한 공개 수치는 귀속된 관측입니다:BGPMon은 보통 약 40개 프리픽스를 광고하던 AS23724가 약 15분 동안 약 37,000개의 고유 프리픽스를 광고했다고 보고했습니다. 수집기와 정의에 따라 다른 수치가 나올 수 있습니다.
프리픽스 비중은 트래픽 비중이 아니었습니다:BGPMon은 나중에 라우팅 테이블의 약 11%에 해당하는 개수가 글로벌 인터넷 트래픽의 11% 또는 15%가 China Telecom을 경유했다는 것을 입증하지 않는다고 강조했습니다.
컨트롤플레인 증거에는 한계가 있습니다:BGP 수집기는 경로 광고가 관측 가능했고 자신의 피어 중 하나에 의해 선택되었음을 보여줄 수 있습니다. 그것만으로 패킷 양, 패킷 검사, 단일 물리 경로, 보편적 전파, 악의적 의도를 증명할 수 없습니다.
책임은 서로 다른 통제 지점을 따랐습니다:AS23724는 비정상 광고를 내보냈습니다. AS4134는 첫 번째 가시적 수입과 전파 경계를 통제했습니다. 다른 네트워크들은 자신의 수용, 선호, 필터링, 광고를 통제했습니다.
어떤 단일 라우팅 보안 통제도 완전한 해결책이 아니었습니다:프리픽스 필터, 최대 프리픽스 한도, 명시적 관계 정책, RPKI 오리진 검증, BGP Roles, 이상 감지는 서로 다른 실패 양상을 다룹니다.
레지스트리 증거는 중요했지만 도달성을 강제하지 않았습니다:ASN, 프리픽스, IRR, ROA, 연락처 기록은 귀속과 정책 생성을 지원했습니다. 실행 중인 라우터 설정이 네트워크가 무엇을 수용하고 전파하는지를 결정했습니다.
신뢰할 수 있는 복구는 반증 가능해야 합니다:운영자는 인가된 경로 데이터를 생성된 정책과 실행 상태에 연결하고, 실패 유형을 재현하며, 경보와 의사결정 기록을 보존하고, 독립적인 컨트롤플레인·데이터플레인 관측을 통해 철회를 증명해야 합니다.

헤드라인을 해석하기 전에 사건을 고정하라

2010년 4월 8일, BGPMon은 AS23724와 연관된 비정상적인 경계 게이트웨이 프로토콜(BGP) 광고 집합을 보고했습니다. 보고서의 공개 라우팅 신원은 AS23724를 China Telecom 데이터센터 네트워크로 기술했습니다. BGPMon에 따르면, 이 자율 시스템(AS)은 평소 약 40개 프리픽스를 광고했지만 사건 기간 동안 자신에게 할당되지 않은 약 37,000개의 고유 프리픽스를 광고했습니다. [1]

BGPMon은4134 23724 23724라는 공통 경로 구간을 기록했습니다. AS4134는 China Telecom의 백본 자율 시스템입니다. 보고서는 AS4134와 피어링하는 네트워크들이 비정상 광고를 수신했고 일부는 고객에게 전파했다고 밝혔습니다. BGPMon의 첫 관측 광고는 17:54:31 UTC였고 마지막은 18:10:14 UTC였습니다. 이 타임스탬프는 그 보고서의 관측 창을 정의합니다. 모든 라우터에서의 최초·최후 비정상 상태를 확립하지는 않습니다. [1]

사건은 글로벌하게 균일하지 않았습니다. BGPMon은 비정상 프리픽스 중 약 10%만이 중국 외부로 전파된 것으로 추정했습니다. 또한 모니터링 대상 RIPE Routing Information Service 수집기의 28%가 사건의 일부라도 감지했다고 보고했습니다. 어떤 프리픽스는 여러 관측 지점에서 나타난 반면, 어떤 것은 소수의 피어나 국가를 통해서만 나타났습니다. [1]

이 세부 사항들이 중요한 이유는 "인터넷을 하이재킹했다"는 표현이 여러 다른 주장을 압축하기 때문입니다. 첫째 주장은 AS23724가 정상 오리진이 아닌 프리픽스를 광고했다는 것입니다. 둘째는 AS4134와 다른 네트워크들이 그 경로의 일부를 수용하고 광고했다는 것입니다. 셋째는 라우터들이 대안보다 그 경로를 선택했다는 것입니다. 넷째는 패킷이 선택된 경로를 따랐다는 것입니다. 다섯째는 사용자가 지연, 손실, 예기치 않은 트랜짓을 겪었다는 것입니다. 여섯째는 누군가 그 결과를 의도했다는 것입니다.

공개 기록은 대규모 경로 집합에 대해 첫 두 주장을 강하게 뒷받침하고, 셋째 주장에 대해 선별된 관측을 뒷받침합니다. 넷째나 다섯째에 대한 보편적 증거는 제공하지 않으며, 여섯째를 확립하지도 않습니다.

이후 논쟁은 종종 이 계층들을 혼합했습니다. 보도들은 라우팅 테이블 프리픽스의 백분율을 인터넷 트래픽의 백분율로 바꿔 담았습니다. 보안 논평은 때때로 비정상 경로 가시성에서 가로채기 가정으로 이동했습니다. 정치적 논의는 때때로 원인에 대한 불확실성을 악의적 목적의 증거로 다뤘습니다.

BGPMon의 이후 해명은 그 압축을 거부했습니다. 약 37,000개 프리픽스가 당시 전체 프리픽스 수의 약 11%를 나타내지만, 프리픽스는 트래픽과 같지 않다고 밝혔습니다. 의도는 알 수 없으며, 전환된 데이터에 실제로 무슨 일이 있었는지도 알 수 없다고 했습니다. [2]

따라서 책임 있는 글은 사건을 고정하는 것으로 시작합니다. 2010년 4월 8일의 AS23724-AS4134 광고, 경계가 제한된 관측 지점에 보이는 전파, 각 라우팅 경계에서의 이용 가능한 통제, 복구를 증명하기 위해 필요한 증거를 다룹니다. 공동 회사 이름만으로 하나의 인과 사슬이 만들어지지 않으므로 이후의 China Telecom 사건들은 제외합니다.

프리픽스 양은 경고 신호였지 트래픽 계량기가 아니었다

약 37,000개 프리픽스라는 수치는 운영적으로 중대합니다. 평소 약 40개 프리픽스를 광고하던 네트워크가 갑자기 수만 개의 다른 프리픽스의 오리진으로 나타나는 것은 심각한 이상입니다. 그 비율 자체만으로도 봉쇄, 상급 보고, 조사가 촉발되었어야 했습니다.

그러나 그 개수가 트래픽 측정은 아닙니다.

인터넷 프리픽스의 트래픽 양은 극적으로 다릅니다. 가볍게 사용되는 네트워크를 커버하는 경로는 트래픽이 적을 수 있습니다. 주요 콘텐츠, 클라우드, 접속, 공공서비스 네트워크의 경로는 훨씬 많이 실을 수 있습니다. 덜 구체적인 경로의 오리진이 계속 보이더라도, 더 구체적인 프리픽스가 우선 선택될 수 있습니다. 로컬 선호, 경로 길이, 정책, 커뮤니티, 피어링 관계, 기존 대체 경로가 각 네트워크의 선택에 영향을 줍니다.

따라서 컨트롤플레인 객체의 개수를 바이트, 패킷, 세션, 사용자 또는 매출의 비중으로 직접 환산할 수 없습니다. 프리픽스 개수는 비정상 라우팅 정보의 범위를 기술할 수 있지만, 각 경로 뒤에 있는 서비스의 무게를 기술할 수는 없습니다.

수집기 가시성도 또 다른 한계를 더합니다. 경로 수집기는 선택된 네트워크들과 피어링합니다. 그것은 그 피어들이 자신에게 보내는 것을 기록할 뿐, 모든 라우터의 완전한 상태는 아닙니다. 수집기 피어는 이용 가능한 모든 경로가 아니라 자신이 선택한 최적 경로를 광고할 수 있습니다. 한 수집기에 보이는 경로가 다른 곳에서 선택되지 않을 수도 있습니다. 한 수집기에 없는 경로가 네트워크의 다른 부분에는 존재할 수 있습니다.

BGPMon의 보고서는 이 한계들을 신중히 다뤘습니다. 일부 광고는 글로벌하게 감지되었지만 다른 것은 소수의 피어에서만 나타났다고 밝혔습니다. 영향은 다른 지역보다 중국과 아시아에서 더 클 가능성이 있다고 추론했습니다. 보편적인 패킷 흐름 재구성을 발표하지 않았습니다. [1]

이후 해명은 측정 경계를 명시했습니다. 약 11% 수치는 프리픽스의 비중이며 트래픽이 아니었습니다. 또한 영향받은 프리픽스 집합에 많은 중국 네트워크가 포함되어, 한 국가가 외국 목적지만 전환했다는 단순한 서사를 약화시킨다고 지적했습니다. [2]

이후 여러 출처들은 약 37,000, 40,000, 50,000 개의 수치를 인용했습니다. 그 차이가 반드시 어떤 관측자의 기만을 뜻하지는 않습니다. 측정은 수집기 집합, 시작·종료 시각, 중복 또는 더 구체적인 경로의 처리 방식, 영향받은 경로의 정의, 보고서가 고유 프리픽스를 세는지 광고를 세는지 네트워크를 세는지에 따라 달라질 수 있습니다.

책임 있는 방법은 귀속입니다. 어떤 관측자가 수치를 산출했는지, 그 관측 지점은 무엇이었는지, 어떤 객체를 세었는지, 어느 구간을 커버했는지를 명시하십시오. 서로 맞지 않는 측정을 평균내어 거짓 정밀함을 만들기보다는 불일치를 보존하십시오.

이 교훈은 2010년 사건을 넘어 확장됩니다. 라우팅 보안 대시보드는 전달하기 쉽다는 이유로 하나의 큰 숫자를 선호하는 경우가 많습니다. 최대 프리픽스 경보는 경로를 셉니다. RPKI 대시보드는 유효, 무효, 미발견 상태를 셉니다. 수집기는 오리진 변경을 셉니다. 능동 측정 플랫폼은 실패한 프로브를 셉니다. 각 지표는 다른 계층을 기술합니다.

좋은 책임성은 지표를 거부하지 않습니다. 각 지표에 주장 경계를 부여합니다.

컨트롤플레인 관측은 데이터플레인 가로채기를 증명하지 않았다

BGP는 컨트롤플레인 프로토콜입니다. 자율 시스템들 간에 도달성 정보를 배포합니다. 라우터가 광고를 수용하고 최적 경로로 선택하면 그 결정은 패킷이 어디로 보내지는지에 영향을 줄 수 있습니다. 그러나 BGP 업데이트 자체는 패킷 추적이 아닙니다.

가시적 경로와 입증된 데이터플레인 경로를 분리하는 조건이 여럿 있습니다.

첫째, 수집기의 피어가 수집기에 단지 광고하는 게 아니라 실제로 전달에 그 경로를 사용해야 합니다. 둘째, 경로상의 라우터들이 일관된 전달 상태를 가져야 합니다. 셋째, 목적지가 광고된 오리진 또는 이어지는 경로를 통해 도달 가능해야 합니다. 넷째, 반환 트래픽은 다른 경로를 따를 수 있습니다. 다섯째, 필터링, 터널링, 캐싱, 애니캐스트, 부하 분산 또는 애플리케이션 동작이 관측 결과를 바꿀 수 있습니다.

능동 측정은 불확실성을 좁힐 수 있습니다. 트레이서우트, 지연, 패킷 손실, 서비스 프로브, 흐름 텔레메트리는 특정 출처에서 선택된 트래픽의 동작이 변했음을 보여줄 수 있습니다. 그 방법들에도 한계가 있습니다. 라우터 인터페이스가 응답하지 않을 수 있습니다. IP 지리 위치가 틀릴 수 있습니다. MPLS는 홉을 숨길 수 있습니다. 트레이서우트 경로는 표본이지 모든 흐름에 대한 증명이 아닙니다.

2010년 사건은 민감한 트래픽이 예기치 않은 인프라를 통과했을 수 있다는 우려를 낳았습니다. 그 우려는 정당한 리스크 질문입니다. 비정상 BGP 경로가 존재했다는 이유만으로 그것이 확인된 역사적 사실이 되는 것은 아닙니다.

BGPMon은 데이터에 무슨 일이 있었는지 알 수 없다고 밝혔습니다. 의도도 알 수 없다고 했습니다. [2] 원 보고서 저자는 우발적 설정 오류가 더 가능성 높다고 보았습니다. 사건이 짧았고, 경로 집합이 극히 광범위했으며, 많은 중국 네트워크가 영향을 받았기 때문입니다. 그는 관련 엔지니어와 대화하지 않았기 때문에 그 평가를 추측이라고 명시했습니다. [1]

이 진술들이 허용 가능한 결론을 정의합니다. 사건은 예기치 않은 전달의 기회를 만들었고 도메인간 라우팅에서 능력 경계를 보여주었습니다. 공개 증거는 검사, 저장, 변경, 국가적 운영을 증명하지 않습니다.

이 구분은 형식적 주의사항이 아닙니다. 그것은 복구 방식을 바꿉니다. 주요 주장이 비정상 경로 전파라면, 즉각적인 통제는 광고 정책, 수입 필터, 최대 프리픽스 임계값, 관계 제약, 오리진 검증, 이상 감지, 철회 조율입니다. 주장이 확인된 패킷 가로채기라면, 증거와 대응은 데이터 처리, 암호화, 단말 침해, 법적 관할까지 다뤄야 합니다.

주장을 혼합하면 두 대응 모두 약화됩니다. 운영자는 평범한 경로 정책 결함을 고치지 않은 채 지정학적 서사에 집중할 수 있습니다. 조사자는 의도를 과장해 이후 정정을 무시하기 쉽게 만들 수 있습니다. 고객은 암호화가 가용성을 해결한다고 잘못 생각하거나, 경로 필터링이 기밀성을 해결한다고 잘못 생각할 수 있습니다.

책임 있는 보고서는 컨트롤플레인 전파, 선택된 경로 증거, 능동 전달 관측, 서비스 영향, 의도에 대해 별도의 발견을 발표해야 합니다. 증거가 계층을 해결하지 못하면 '알 수 없음'은 유효한 결과입니다.

첫 번째 통제 경계는 광고 측이었다

AS23724는 자신에게 귀속된 경로 광고를 통제했습니다. 그 통제에는 어떤 경로가 자신의 로컬 라우팅 정보베이스에 들어가는지, 어떤 경로가 광고 자격을 갖는지, 어떤 이웃이 수신하는지, 어떤 정책이 결과 광고를 생성하는지가 포함됩니다.

공개 기록은 개시 명령이나 설정을 공개하지 않습니다. 라우트 맵이 잘못 연결되었는지, 학습한 경로가 재분배되었는지, 의도된 필터가 없었는지, 세션 역할이 잘못 분류되었는지, 소프트웨어 동작이 기여했는지 보여주지 않습니다. 따라서 사건을 "인적 오류"라고 부르는 것은 큰 도움이 되지 않습니다.

중요한 설계 질문은 왜 하나의 개시 조건이 테이블 규모의 광고를 만들 수 있었는가입니다.

외부 BGP 세션은 명시적 관계와 경계가 있는 광고 계약을 가져야 합니다. 고객 세션, 피어 세션, 트랜짓 공급자 세션은 기본적으로 동일한 경로 집합을 받아서는 안 됩니다. 운영자는 자신이 직접 광고하는 프리픽스와 고객 인가 프리픽스 중 어느 것이 각 경계를 넘을 수 있는지 알아야 합니다.

RFC 7454는 필터링과 한도를 포함한 BGP 운영 보안 관행을 문서화합니다. [14] RFC 8212는 이후 더 안전한 기본 기대를 표준화했습니다: 명시적 정책 없이는 외부 BGP 경로를 수입하거나 광고해서는 안 된다는 것입니다. [15] 이 문서들은 인시던트 보고서가 아니며 2010년 AS23724가 어떤 통제를 사용했는지 증명하지 않습니다. 우발적인 광범위 광고를 어렵게 만드는 보호 계층의 유형을 정의합니다.

광고 측은 동결되고 검토 가능한 인가 출처에서 정책을 생성해야 합니다. 그 출처에는 내부 인벤토리, 라우트 객체, 레지스트리 기록, 고객 계약이 포함될 수 있습니다. 생성된 설정은 배포 전에 diff되어야 합니다. 기대되는 약 40개 광고 프리픽스에서 수만 개로의 확장은 배포 전 점검에서 실패해야 합니다.

최대 프리픽스 통제는 도움이 되지만 방향이 중요합니다. 수신 측 한도는 라우터가 이웃으로부터 받아들이는 프리픽스 수를 제한합니다. 광고 측 양 점검은 라우터가 불합리한 집합을 보내는 것을 막습니다. 둘 다 유용합니다. 어느 쪽도 의미론적 정책을 대체하지 못합니다.

세션은 수치 임계값 아래에 머무르면서도 전략적으로 중요한 무단 프리픽스를 광고할 수 있습니다. 임계값이 너무 높게 설정되면 누출을 봉쇄하지 못할 수도 있습니다. 반대로 과도한 하드 셧다운은 합법적 성장 중 고객 장애를 일으킬 수 있습니다. 운영자는 경보 임계값, 하드 한도, 소유된 경보, 문서화된 예외, 용량 검토가 필요합니다.

광고 측은 증거도 통제합니다. 변경 전 설정, 생성된 정책, 승인 기록, 커밋 식별자, 장치 응답, 광고된 경로 집합, 경보 시계열, 롤백 조치를 보존해야 합니다. 그 유물들이 없다면 나중의 "설정 오류가 발생했다"는 진술은 독립적으로 검증될 수 없습니다.

AS23724에 대한 지속적인 질문은 엔지니어가 실수했는지가 아닙니다. 실행 중인 정책이 독립적인 통제 없이도 특별한 광고를 가능하게 했는가입니다.

두 번째 통제 경계는 직접 이웃이었다

관측된 공통 경로는 AS4134를 외부 네트워크와 AS23724 사이에 두었습니다. BGPMon은 AS4134의 피어들이 비정상 경로 집합의 일부를 수취해 전파했다고 보고했습니다. [1]

이는 AS4134를 첫 번째 가시적 외부 봉쇄 경계로 만들었습니다.

직접 이웃은 더 먼 네트워크가 가질 수 없는 정보를 가집니다. 세션의 구성된 관계를 압니다. 기대되는 고객 또는 다운스트림 콘을 유지할 수 있습니다. 프리픽스와 경로 필터를 적용할 수 있습니다. 양 한도를 부과할 수 있습니다. 수신 경로 집합을 이전 기준선과 경로 인가 데이터와 비교할 수 있습니다.

이는 AS4134가 공개 기록만으로 모든 고객의 합법적 경로를 추론할 수 있었다는 뜻이 아닙니다. IRR 데이터는 불완전하거나 낡을 수 있습니다. 고객 관계는 복잡할 수 있습니다. 긴급 예외가 존재할 수 있습니다. 공급자는 고객의 고객을 실을 수 있습니다. 정책 생성에는 운영 리스크가 있습니다.

이 한계들은 통제의 부재가 아니라 계층화된 통제를 지지합니다.

직접 수입자는 문서화된 경로 집합을 요구하고, 범위 밖 경로를 거부하고, 비정상적 성장에 경보를 내고, 최대 프리픽스 한도를 사용하고, 예기치 않은 AS 경로를 점검하고, 변화가 기준선보다 몇 자릿수 위일 때 세션을 격리할 수 있습니다. 수신한 업데이트 스트림을 보존하고 이상이 광범위하게 전파되기 전에 광고 측에 연락할 수 있습니다.

RFC 7908은 관계와 전파 패턴에 따라 경로 누출을 분류합니다. [13] 경로가 한 네트워크에서 광고되었음에도 다른 네트워크의 수용과 광고를 통해 더 넓은 인시던트가 되는 이유를 설명하는 데 도움이 됩니다. 이 RFC는 나중에 발행되었으며 모든 개별 관계를 소급해 확실하게 분류할 수는 없습니다. 그 가치는 분석적입니다: 경로 누출 책임은 여러 정책 경계를 통과하는 경로를 따릅니다.

직접 이웃의 의무는 완벽한 예지가 아닙니다. 비례하는 봉쇄입니다. 정상 오리진 규모가 극히 작은 네트워크의 테이블 규모 광고는 양과 관계 통제가 가시화해야 하는 이상 유형입니다.

이후 광고는 별개의 결정입니다. 네트워크는 한 목적으로 경로를 수용하더라도 다른 모든 관계에 자동으로 광고해서는 안 됩니다. 광고 정책은 경로를 어디서 배웠고 어디로 가는지를 반영해야 합니다.

이것이 책임이 오리진에서 멈출 수 없는 이유입니다. AS23724는 비정상 광고를 통제했습니다. AS4134는 그 광고가 첫 외부 경계를 넘는지, 얼마나 이어지는지를 통제했습니다. 통제가 달랐고 둘 다 중요했습니다.

다른 네트워크들도 여전히 자신의 경로 선택을 통제했다

BGPMon은 수집기들이 광고를 관측한 경로 중 여러 대형 네트워크를 열거했습니다. [1] 그 증거는 특정 피어와 트랜짓 관계를 통한 가시성을 보여줍니다. 명명된 모든 네트워크가 모든 고객에 대해 모든 비정상 경로를 선택했다는 것을 증명하지 않습니다.

각 네트워크는 자신의 수입 정책, 로컬 선호, 경로 선택, 광고 정책, 모니터링, 상급 보고를 통제했습니다. 일부는 집합의 일부를 거부했을 수 있습니다. 다른 일부는 경로를 수용했지만 대안을 선호했을 수 있습니다. 또 다른 일부는 선택하고 전파했을 수 있습니다.

이 구분은 공정한 책임 배분에 중요합니다. 먼 네트워크는 AS23724-AS4134의 개별 관계나 정확한 인가 프리픽스 집합을 모를 수 있습니다. 그래도 오리진 검증, 고객 콘 점검, 경로 누출 휴리스틱, 경로 개연성 통제, 프리픽스 한도, 이상 모니터링을 적용할 수 있습니다.

네트워크는 회복력도 통제합니다. 콘텐츠 또는 서비스 운영자는 자신의 프리픽스를 외부 관측 지점에서 모니터링하고, 긴급 라우팅 연락처를 유지하고, 업스트림 공급자와 조율할 수 있습니다. 원격 트랜짓 네트워크를 구성할 수는 없지만, 예기치 않은 오리진이나 경로를 감지하고 봉쇄를 단축하는 권위 있는 정보를 제공할 수 있습니다.

최종 사용자 접속 네트워크는 고객에게 영향을 주는 도달성과 경로 변화를 관측할 수 있습니다. 다른 경로를 선택할 수 있지만 상업적·기술적 제약이 그 유연성을 제한합니다. 작은 접속 공급자는 하나의 트랜짓 경로에 의존할 수 있습니다. 큰 공급자는 더 많은 선택지가 있지만 로컬 정책 때문에 비정상 경로를 여전히 선호할 수 있습니다.

따라서 책임은 경로별로 이루어져야 합니다:

이 네트워크는 어떤 경로를 수신했는가?
어떤 관계를 통해 수신했는가?
어떤 인가와 경로 증거가 이용 가능했는가?
어떤 정책이 그것을 수용하거나 거부했는가?
네트워크가 그것을 선택했는가?
어디로 광고했는가?
어떤 경보가 발생했는가?
누가 그 결정을 소유했는가?
네트워크는 언제 철회를 관측했는가?

이 방법은 두 오류를 피합니다. 인터넷을 수동적 방송 매체처럼 다루며 모든 책임을 오리진에 부과하지 않습니다. 라우팅이 분산되어 있다는 이유만으로 모두가 똑같이 책임 있다고 말하지도 않습니다.

분산 시스템은 분산된 통제를 만듭니다. 그래도 책임은 각 통제 지점을 따릅니다.

레지스트리와 인가 기록은 장부였지 강제 수단이 아니었다

사건에는 인터넷 번호 자원이 연관되어 있었습니다: 자율 시스템 번호와 IP 프리픽스. 공개 기록은 AS23724, AS4134, 영향받은 프리픽스의 정상 오리진을 식별하는 데 도움이 되었습니다. 모니터링, 인시던트 소통, 이후 재구성을 지원했습니다.

그 기록들은 라우터가 광고를 수용하는 것을 막지 못했습니다.

이것이 핵심적인 현실 계층입니다. 레지스트리는 할당이나 배정을 기록할 수 있습니다. IRR 데이터베이스는 라우트 객체나 정책 의도를 기록할 수 있습니다. RPKI는 보유자가 암호적으로 검증 가능한 경로 오리진 인가(ROA)를 만들게 할 수 있습니다. 네트워크는 그 기록들을 이용해 정책을 생성하거나 평가할 수 있습니다.

강제는 실행 중인 시스템이 증거를 소비하고 그에 따라 행동할 때만 일어납니다.

RFC 6480은 보안 라우팅을 지원하는 자원 공개키 기반구조를 기술합니다. [17] RFC 6811은 검증된 ROA 페이로드를 이용한 BGP 프리픽스 오리진 검증을 정의합니다. [16] NIST 지침은 이후 회복 가능한 도메인간 트래픽 교환과 경로 오리진 검증의 실용적 배포를 기술했습니다. [12]

오리진 검증은 경계가 있는 질문에 답합니다: 이 프리픽스와 길이에 대해 해당 ROA가 오리진 ASN을 인가하는가? 전체 AS 경로를 검증하지 않습니다. 오리진이 특정 관계를 통해 경로를 광고하려 의도했다는 것을 증명하지 않습니다. 모든 라우터가 최신 검증 데이터를 갖거나 같은 정책을 적용한다는 것을 증명하지 않습니다.

2010년 사건은 인가 증거의 가치와 한계를 모두 보여줍니다. AS23724가 유효 오리진이 다른 네트워크인 프리픽스를 광고했다면, 현재의 ROA와 경로 오리진 검증은 커버리지와 정책이 존재하는 곳에서 그 광고의 상당수를 무효로 표시할 수 있었습니다. 그것은 전파를 실질적으로 줄일 수 있었습니다.

그러나 모든 경로를 해결하지는 못했을 것입니다. ROA가 없는 프리픽스도 있었을 수 있습니다. 경로 문제를 감지하지 못하는 인가 상태도 있었을 수 있습니다. 경로 누출은 유효한 오리진을 유지하면서 의도된 관계 경로를 위반할 수도 있습니다.

RFC 9234는 관계 기대를 표현함으로써 경로 누출을 방지하도록 BGP Roles와 Only-to-Customer 메커니즘을 도입했습니다. [18] 오리진 검증과 다른 계층을 다룹니다. 여기서도 중요한 것은 실행 코드에서의 배포입니다.

따라서 책임 사슬은 다음을 연결해야 합니다:

자원 보유자와 레지스트리 기록;
인가 객체와 정책 출처;
검증 데이터와 신선도;
생성된 라우터 정책;
배포된 설정;
관측된 경로 결정;
경보와 운영자 조치;
복구 이후의 독립 증거.

포털 스크린샷은 기록이 존재했다는 것만 증명합니다. 정책 문서는 조직이 그 행동을 의도했다는 것만 증명합니다. 실행 설정과 관측된 거부만이 강제를 증명합니다.

어떤 단일 통제도 완전한 답으로 판매되어서는 안 된다

라우팅 보안 논의는 종종 하나의 통제를 해결책으로 격상시킵니다. 2010년 사건은 왜 계층화된 통제가 필요한지 보여줍니다.

인가 프리픽스 필터

직접 공급자는 고객 또는 다운스트림이 광고할 수 있는 프리픽스를 유지할 수 있습니다. 알려진 관계에 대한 가장 강력한 통제 중 하나입니다. 약점은 데이터 품질과 운영 유지입니다. 낡은 기록은 합법적 경로를 막을 수 있고, 관대한 매크로는 너무 많은 공간을 포함할 수 있습니다.

최대 프리픽스 한도

양 통제는 약 40개 정상 경로에서 수만 개로의 도약에 잘 맞습니다. 경보를 내거나 세션을 멈출 수 있습니다. 작지만 고영향의 무단 경로를 식별하지 못하고, 임계값과 재시작 동작이 잘못 관리되면 장애를 만들 수 있습니다.

RPKI 경로 오리진 검증

ROV는 ROA가 존재하는 곳에서 암호적 오리진 증거를 공급합니다. 많은 오리진 하이재킹을 거부할 수 있습니다. 전체 경로를 검증하지 않으며 모든 경로 누출을 막지 못합니다.

관계 인식 경로 통제

BGP Roles, Only-to-Customer, 고객 콘 정책은 불개연한 관계 경계를 넘는 경로를 제한할 수 있습니다. 효과는 올바른 역할 구성, 필요한 경우 양측의 배포, 복잡한 관계 처리에 달려 있습니다.

기본 거부 정책

RFC 8212의 기본 거부 방향은 명시적 정책 없이 외부 세션이 경로를 교환할 가능성을 줄입니다. 그 명시적 정책이 올바르다는 것은 증명하지 않습니다.

모니터링과 경보

수집기, 경로 모니터, 능동 프로브는 오리진과 경로 이상을 감지할 수 있습니다. 모니터링은 경보가 행동할 수 있는 소유자에게 닿지 않으면 사건을 봉쇄하지 못합니다. 수집기 사각지대와 오탐을 이해해야 합니다.

단계적 변경과 롤백

설정 생성, 검토, 카나리 세션, 경로 수 diff, 자동 롤백은 광범위한 전파 전에 나쁜 변경을 막을 수 있습니다. 모든 소프트웨어 결함이나 외부 광고로부터 보호할 수는 없습니다.

통제들은 의도적으로 중첩됩니다. 광고 필터가 실패하면 직접 수입 필터가 경로를 봉쇄해야 합니다. 인가 데이터가 낡더라도 양과 경로 통제가 이상을 감지해야 합니다. 모니터가 첫 업데이트를 놓치면 다운스트림 관측자가 경보를 낼 수 있습니다. 하드 한도가 피해를 만들면, 소유된 예외와 검증된 재시작 절차가 복구를 지원해야 합니다.

가장 강한 설계는 통제가 실패할 수 있다고 가정합니다. 어떤 독립 계층이 실패를 봉쇄하는지, 그렇게 했음을 무엇이 증명하는지를 묻습니다.

감지는 소유된 결정으로 이어져야 한다

BGPMon은 사용자와 수집기가 비정상 오리진 광고를 관측했기 때문에 사건을 감지했습니다. 그것은 외부 모니터링의 가치를 보여줍니다. [1]

감지만으로는 충분하지 않습니다.

경보는 운영자가 행동할 수 있는 충분한 맥락을 담아야 합니다: 영향받은 프리픽스, 기대 오리진과 관측 오리진, 이웃, AS 경로, 경로 수 변화, 검증 상태, 수집기 분포, 최초 관측 시각, 기준선 비교, 연락처 정보. 단일 무단 오리진과 테이블 규모 관계 누출을 구분해야 합니다.

경보에는 소유자가 필요합니다. 네트워크 운영 센터가 수신할 수 있지만, 세션 중단, 긴급 필터 적용, 고객 연락의 결정은 상급 보고를 요할 수 있습니다. 소유권이 불명확하면 정확한 경보조차 인시던트가 전파되는 동안 대기할 수 있습니다.

대응 플레이북은 다음을 정의해야 합니다:

관련 세션을 수정할 수 있는 사람;
하드 셧다운을 승인하는 사람;
서비스를 유지하는 대체 경로;
어떤 프리픽스와 관계 기록이 권위적인지;
이웃 네트워크에 연락하는 방법;
수신 업데이트와 설정을 보존하는 방법;
경계가 있는 사실을 소통하는 방법;
철회를 외부에서 확인하는 방법;
언제 서비스 복원이 조사 지연보다 우선하는지.

시각 동기화는 증거의 일부입니다. BGP 수집기 타임스탬프, 라우터 로그, 티켓 시스템, 메시징 도구, 능동 프로브는 다른 시계를 사용할 수 있습니다. 신뢰할 수 있는 연표는 그것들을 정규화하고 각 타임스탬프의 출처를 보존해야 합니다.

2010년 사건의 공개 기록은 AS23724나 AS4134의 내부 경보·결정 순서를 공개하지 않습니다. 어떤 운영자가 이상을 먼저 인지했는지, 어떤 정책이 바뀌었는지, 누가 승인했는지, 네트워크들이 어떻게 조율했는지 말하지 않습니다.

그 공백은 책임성을 제한합니다. 경로가 정상으로 돌아왔다ness라는 진술은 보호장치가 작동했는지, 엔지니어가 개입했는지, 세션이 리셋되었는지, 설정이 만료되었는지, 무관한 상태가 바뀌었는지 보여주지 않습니다.

운영자는 대응 기록을 통제의 일부로 다뤄야 합니다. 조직이 사건을 어떻게 봉쇄했는지 재구성할 수 없다면, 같은 대응이 다음에도 작동할 것임을 증명할 수 없습니다.

철회는 한 계층 이상에서 증명되어야 한다

경로 누출의 끝은 하나의 타임스탬프가 아닙니다.

오리진 라우터가 경로 광고를 멈출 수 있습니다. 직접 이웃이 철회 또는 교체를 받을 수 있습니다. 이웃이 선택된 경로를 갱신할 수 있습니다. 더 먼 네트워크들은 서로 다른 시각에 수렴할 수 있습니다. 경로 수집기들은 피어들로부터 비정상 경로가 사라지는 것을 관측할 수 있습니다. 전달 경로와 사용자 서비스는 나중에 정상화될 수 있습니다.

BGPMon의 18:10:14 UTC 마지막 관측 비정상 광고는 그 모니터링 집합에 대한 유용한 증거입니다. [1] 보편적 수렴 증명서가 아닙니다.

강한 복구 기록에는 다음이 포함됩니다:

AS23724의 마지막 비정상 광고;
첫 수정 조치;
AS4134가 수신한 철회 또는 수정 광고;
AS4134의 마지막 이후 광고;
직접 이웃의 경로 테이블 상태;
여러 독립 수집기에서의 소멸;
능동 경로 및 서비스 측정;
잔여 예외 또는 낡은 경로;
최종 인시던트 소유자 서명.

컨트롤플레인과 데이터플레인 증거는 정렬되어야 하지만 혼동되어서는 안 됩니다. 수집기가 기대되는 오리진을 다시 보여주는 것은 강한 경로 상태 증거입니다. 능동 프로브가 정상 도달성을 보여주는 것은 강한 서비스 증거입니다. 어느 쪽도 단독으로 보편적 복구를 증명하지 못합니다.

복구는 현재 설정과도 연결되어야 합니다. 인시던트가 광고 정책으로 인해 발생했다면, 마무리는 수정된 정책 출처, 생성된 diff, 배포된 라우트 맵, 부정 테스트를 보여주어야 합니다. 직접 이웃이 봉쇄에 실패했다면, 새 수입 및 이후 광고 통제를 보여주어야 합니다.

긴급 필터가 반드시 최종 설계는 아닙니다. 전파를 막기 위해 의도적으로 넓을 수 있습니다. 영구 정책은 합법적 경로, 예외, 성장, 실패 동작에 대비해 검토되어야 합니다.

철회 증거는 고객과 규제자에게 중요합니다. 책임 있는 네트워크가 실패한 것과 같은 컨트롤플레인을 신뢰하라고 외부에 요구하는 것은 순환적이기 때문입니다. 독립 관측은 그 순환을 줄입니다.

재발 테스트는 실패 유형을 재현해야 한다

가장 설득력 있는 개선은 통제된 재현입니다.

테스트는 단순화된 실험실 대체물이 아니라 실제 정책 생성과 배포 경로를 사용해야 합니다. 관련 관계 역할을 가진 세션과 동결된 기대 경로 집합을 만들어야 합니다. 그런 다음 다음을 도입하려 시도해야 합니다:

인가 프리픽스 목록 밖의 경로;
인가 길이를 넘는 더 구체적인 경로;
오리진 무효 경로;
의도하지 않은 관계 경로를 가진 유효 오리진 경로;
갑작스러운 테이블 규모 경로 집합;
낡은 예외;
사용 불가하거나 오래된 정책 출처;
광고 범위를 확장하는 설정 변경.

각 계층은 기대 결과를 가져야 합니다. 광고 측은 무단 경로를 거부하거나 억제해야 합니다. 직접 수입자는 빠져나간 것을 봉쇄해야 합니다. 경보와 하드 양 통제는 문서화된 임계값에서 작동해야 합니다. 관계 정책은 부적절한 이후 광고를 막아야 합니다. 모니터링은 사용 가능한 맥락과 함께 소유된 팀에 경보를 보내야 합니다.

테스트는 통제 자체의 실패도 시험해야 합니다. RPKI 검증기가 이용 불가하면 어떻게 되는가? IRR 피드가 낡으면? 정책 생성이 중간에 실패하면? 모니터링 세션이 끊기면? 하드 최대 프리픽스 조치가 합법적 고객을 제거하면?

fail-open과 fail-closed 선택은 명시적이어야 합니다. 중요 네트워크는 검증기 장애 중에 검증되지 않은 변경을 받아들이기보다 기존 검증 상태를 유지하기로 선택할 수 있습니다. 고객 세션은 불필요한 피해를 피하기 위해 셧다운 전에 경고할 수 있습니다. 올바른 선택은 서비스 중요도와 알려진 실패 모드에 따릅니다.

증거에는 출처 데이터 버전, 설정 해시, 경로 수, 기대 및 실제 결정, 경보 전달, 인적 조치, 시간, 독립 관측이 포함되어야 합니다. 예외에는 소유자와 만료일이 있어야 합니다.

재발 테스트는 한 번 수행하는 것이 아니라 예약되어야 합니다. 라우팅 관계, 프리픽스, 소프트웨어, 인력은 바뀝니다. 인시던트 후 통과한 통제도 퇴화할 수 있습니다.

이것이 실용적 형태로서의 실행 코드 우위입니다. 테스트는 조직이 정책 문서를 소유했는지 묻지 않습니다. 배포된 시스템이 역사적 실패 패턴을 지금 거부하는지 묻습니다.

고객과 이사회 질문은 경로를 따라야 한다

고객은 모든 라우터를 검사할 수 없지만, 통제 사슬에 맞는 증거를 요구할 수 있습니다.

트랜짓이나 중요 도달성을 구매하는 고객은 다음을 요구할 수 있습니다:

이 관계가 어떤 프리픽스와 AS 경로를 교환하도록 인가되어 있는지?
그 집합은 어떻게 생성되고 검토되는지?
어떤 세션이 명시적 수입·광고 정책을 사용하는지?
어떤 세션이 경고 및 하드 최대 프리픽스 한도를 사용하는지?
커버된 경로 중 유효한 ROA 데이터가 있는 비율은?
경로 오리진 무효는 어떻게 처리되는지?
관계 역할이 설정에 반영되어 있는지?
어떤 외부 모니터가 고객 프리픽스를 감시하는지?
경로 누출 경보를 24시간 누가 소유하는지?
공급자는 얼마나 빨리 철회를 증명할 수 있는지?

이사회는 집중도에 대해 물어야 합니다. 얼마나 많은 세션이 테이블 규모 경로 집합을 광고할 수 있는가? 얼마나 많은 필터가 하나의 데이터 출처에 의존하는가? 얼마나 많은 예외에 만료가 없는가? 라우팅 정책 변경은 얼마나 자주 단계적으로 배치되고 재현되는가? 어떤 중요 서비스에 독립 경로 모니터링이 있는가?

감사인은 표본 프리픽스를 레지스트리와 계약 증거에서 생성된 정책, 배포된 설정, 부정 테스트까지 추적해야 합니다. 라우트 객체, ROA, 포털 스크린샷을 프로덕션 라우터가 그것을 강제했다는 증명으로 다루어서는 안 됩니다.

규제자는 하나의 도구를 컴플라이언스 체크박스로 만들지 않아야 합니다. ROA 요구는 오리진 증거를 개선할 수 있지만 전체 경로를 검증하지 않습니다. 최대 프리픽스 한도 요구는 양을 봉쇄할 수 있지만 관리되지 않은 임계값은 장애를 만들 수 있습니다. 유용한 감독은 결과를 요구합니다: 경계가 있는 인가, 계층화된 봉쇄, 보존된 증거, 명명된 소유권, 검증된 복구.

공개 인시던트 보고서는 다음을 분리해야 합니다:

확인된 경로 관측;
귀속된 개수;
데이터플레인 측정;
사용자 영향;
근본 원인 증거;
의도;
개선 약속;
독립적으로 검증된 결과.

그 형식은 매력적인 숫자가 뒷받침 없는 결론이 되는 가능성을 줄입니다.

증거 표준은 필터만큼 중요하다

2010년 논쟁은 라우팅 인시던트가 두 가지 형태의 피해를 만들 수 있음을 보여주었습니다. 기술적 사건은 경로를 방해하거나 전환할 수 있습니다. 증거 실패는 사건의 의미를 왜곡할 수 있습니다.

과장은 무해하지 않습니다. 전체 인터넷 트래픽의 11% 또는 15%가 하이재킹되었다고 말하면 인용된 프리픽스 개수가 지지하지 않는 주장이 만들어집니다. 그것은 이후 기술적 정정을 근본 경로 누출의 부인처럼 보이게 만들 수 있습니다.

축소도 유해합니다. 사건이 단지 짧은 설정 실수였다고 말하면, 테이블 규모 광고가 여러 라우팅 경계를 넘었고 국제적으로 관측되었다는 사실을 가릴 수 있습니다.

방어 가능한 중간은 정확합니다:

거대한 비정상 프리픽스 집합이 AS23724에 의해 광고되었다;
AS4134와 다른 네트워크들이 일부를 전파했다;
가시성과 선택은 네트워크와 수집기에 따라 달랐다;
프리픽스 양은 트래픽 양을 측정하지 않았다;
공개 증거는 악의적 의도나 데이터 사용을 확립하지 않았다;
여러 운영자가 봉쇄 기회를 통제했다;
현재의 예방은 계층화되고 검증된 라우팅 정책을 요구한다.

이 표준은 사실을 발명하지 않으면서 실패의 심각성을 보존합니다.

또한 책임성을 실행 가능하게 만듭니다. 엔지니어는 광고 범위와 수입 필터를 테스트할 수 있습니다. 네트워크 운영자는 관계 정책과 경보를 검토할 수 있습니다. 자원 보유자는 인가 기록을 개선할 수 있습니다. 고객은 경로를 모니터링할 수 있습니다. 이사회는 재현 증거를 요구할 수 있습니다. 연구자는 관측 지점 한계를 발표할 수 있습니다.

목표는 분산 시스템에서 불확실성을 제거하는 것이 아닙니다. 불확실성이 변명이 되거나 헤드라인이 되는 것을 막는 것입니다.

도메인간 라우팅을 위한 경계가 있는 책임 모델

사건은 5부분 책임 모델을 지지합니다.

1. 권한

누가 프리픽스를 광고하도록 인가되었고, 어떤 기록이 그 권한을 뒷받침했는가? 레지스트리와 RPKI 증거가 여기에 속합니다.

2. 관계

각 세션의 역할은 무엇이었고, 어떤 경로가 그것을 넘을 것으로 기대되었는가? 계약, 경로 집합, BGP Roles, 고객 콘 증거가 여기에 속합니다.

3. 실행 정책

어떤 설정이 경로를 수입하고, 선택하고, 광고했는가? 라우터 정책, 한도, 검증 상태가 여기에 속합니다.

4. 관측

어떤 수집기와 프로브가 경로 또는 전달 변화를 보았는가? 관측 지점, 타임스탬프, 측정 한계가 여기에 속합니다.

5. 복구

무엇이 바뀌었고, 누가 승인했고, 어떤 독립 증거가 정상화를 보여주었는가? 철회 기록, 설정 해시, 능동 테스트, 마무리가 여기에 속합니다.

약한 인시던트 서술은 보통 적어도 한 계층을 생략합니다. 권한은 보여주지만 실행 강제는 보여주지 않을 수 있습니다. 수집기 경로는 보여주지만 전달은 보여주지 않을 수 있습니다. 정책 변경은 보여주지만 독립 복구는 보여주지 않을 수 있습니다. 관계 통제를 지도하지 않은 채 책임을 부과할 수 있습니다.

5부분 모델은 책임을 분산시키되 구체적으로 유지합니다.

책임 테스트는 경계가 있는 전파와 검증 가능한 철회이다

2010년 4월 8일 경로 누출은 국제적으로 중요해졌습니다. 한 네트워크가 특별한 경로 집합을 광고했고, 직접 백본이 일부를 수용·전파했으며, 다른 네트워크들이 자신의 경로 선택과 광고 결정을 내렸기 때문입니다.

공개 증거는 보편적 트래픽 백분율, 패킷 가로채기 판정, 악의적 의도, 하나의 정확한 글로벌 개수를 정당화하지 않습니다. 그 한계들이 사건을 지우지 않습니다. 그것들은 보고의 표준을 정의합니다.

AS23724는 광고 범위를 통제했습니다. AS4134는 첫 가시적 외부 수입과 이후 전파 경계를 통제했습니다. 다른 네트워크들은 자신의 필터, 선호, 회복력을 통제했습니다. 자원 보유자는 인가 기록과 상급 보고를 통제했습니다. 모니터링 운영자는 부분적 증거를 보존했습니다. 사용자는 BGP를 통제하지 않으면서 결과를 받았습니다.

레지스트리와 인가 시스템은 필수 장부였습니다. 자원을 식별하고 정책을 지원했습니다. 경로를 강제하지는 않았습니다. 실행 코드가 도달성을 결정했습니다.

신뢰할 수 있는 운영자는 지금 네 가지를 증명할 수 있어야 합니다:

이웃이 어떤 프리픽스와 경로를 광고하도록 인가되고 기대되는지 알고 있다;
실행 중인 광고·수입 정책이 그 범위 밖 광고를 거부하거나 봉쇄한다;
모니터링이 비정상 오리진, 관계, 양 변화를 명명된 소유자가 행동할 수 있을 만큼 빨리 감지한다; 그리고
봉쇄 후, 독립적인 컨트롤플레인·데이터플레인 증거가 비정상 상태가 철회되고 기대 서비스가 복귀했음을 보여준다.

그것이 2010년 China Telecom 경로 누출이 드러낸 책임 테스트입니다. 표준은 완벽한 글로벌 라우팅 시스템이 아닙니다. 경계가 있는 전파, 측정 규율, 배정된 통제, 반증 가능한 복구입니다.

China Telecom의 2010년 경로 누출: 프리픽스 양 주장이 책임성 테스트가 되다

왜 중요한가