요약

  • AFRINIC의 RPKI 실무 선언서에 따르면 PKCS#10 서명은 요청 키의 소유를 증명하며, BPKI는 승인된 대표자를 인증하고 요청을 회원 데이터베이스 기록과 연결합니다.
  • 자원 인증서는 회원이 기록한 보유 자원의 부분집합에 대해서만 발급되지만, 공개 인증서는 회원의 조직 또는 개인 신원을 입증하지 않습니다.
  • 유효한 ROA는 특정 ASN이 지정된 프리픽스를 발신하도록 인가합니다. 특정 시점과 관측 지점에서 실제 어떤 발신이 광고되었는지는 별도의 BGP 관측으로만 확인할 수 있습니다.
  • AFRINIC은 신원 문서나 포털 비밀이 아닌 버전, 다이제스트, 결정 사항을 노출하는 개인정보에 안전한 자원 인가 출처 증명 영수증으로 이 체계를 감사 가능하게 만들 수 있습니다.

의미 없는 이름이 정확한 이름일 수 있다

RPKI 자원 인증서를 열고 subject 필드가 “이것이 어느 회사인가?”라는 질문에 답하길 기대하면, 인증서가 회피적으로 보일 수 있습니다. Common Name은 발급 기관이 생성하여 사람이 읽기에 아무 의미가 없을 수 있습니다. AFRINIC의인증 실무 선언서(Certification Practice Statement)에 따르면, 이는 우연한 누락이 아닙니다. 이 문서는 해당 인증서가 식별이 아니라 라우팅 보안을 위한 인가를 지원하므로 가입자 이름이 의미 있을 필요가 없다고 명시합니다.

이 구분은 유난히도 명시적입니다. CPS는 레지스트리를 제외하고 이 PKI의 인증서는 자원 보유자의 조직 신원을 입증하지 않는다고 말합니다. 개인의 신원도 입증하지 않습니다. AFRINIC의자원 인증(Resource Certification) 페이지도 같은 점을 공개적으로 설명합니다. 자원 인증서는 신원 인증서가 아니며, IP 주소 또는 자율 시스템 번호에 대한 사용 권리와 관련된 특수 목적 응용에 사용됩니다.

이 좁은 목적은 보호적입니다. 의존 당사자는 공개 인증서가 회사 이름, 개인 이름, 신원 문서 사본을 반복하도록 요구하지 않고도 자원 권한을 검증할 수 있습니다. 인증서는 배지로서의 유용성은 낮지만, 기계 검증 가능한 인가 객체로서는 더 정확합니다.

하나의 증명이 아니라 일곱 개의 명제

CPS는 최종 결과를 단순히 “유효하다”고 부를 때 부분들이 하나로 뭉개지기 쉬운 절차를 기술합니다. 각 부분은 서로 다른 질문에 답합니다.

  1. 개인 키 소유.인증서 요청은 PKCS#10을 사용하며 요청된 공개 키에 대응하는 개인 키로 서명됩니다. 이는 그 순간 요청 키에 대한 통제를 증명합니다. 그 자체로는 이름, 역할, 회원 자격, 자원 권리를 증명하지 않습니다.
  2. 대표자 인증.AFRINIC BPKI 인증서를 보유한 개인만 RPKI 인증서를 요청할 수 있습니다. BPKI 자격 증명은 레지스트리 워크플로에서 요청자를 인증합니다.
  3. 회원 기록 연결.CPS에 따르면 BPKI 인증서는 자원 할당 기록을 유지하는 AFRINIC 회원 데이터베이스와 요청을 연결합니다. 공개 자원 인증서는 이 연결을 사람이 읽을 수 있는 형태로 재현할 필요가 없습니다.
  4. 자원 집합 권한.AFRINIC은 요청된 자원을 회원 기록과 대조합니다. 요청이 해당 회원에 기록된 자원의 부분집합인 경우에만 RPKI 인증서를 발급합니다.
  5. 자원 인증서 유효성.결과 인증서는 공개 키를 IP 주소 및/또는 AS 번호 자원에 결합합니다.RFC 6487은 자원 확장과, 발급자의 자원이 자식의 자원을 포괄하는 인증 경로를 요구합니다.
  6. 경로 발신 인가.ROA는 또 다른 서명된 객체입니다. 현재 프로파일인RFC 9582에 따르면, 주소 블록 보유자가 지정된 프리픽스와 선택적 최대 길이에 대한 경로를 지정된 AS가 발신하도록 인가합니다.
  7. 관측된 라우팅.BGP 경로는 특정 시점에 특정 피드, 라우터 또는 컬렉터가 관측한 프리픽스, 발신, 경로의 기록입니다.RFC 6811은 경로에서 도출된 발신을 검증된 ROA 페이로드와 비교합니다. 이 표준은 ROA 자체를 실시간 네트워크의 관측으로 만들지 않습니다.

모든 연결은 다음 단계가 되지 않고도 유효할 수 있습니다. 올바른 PKCS#10 서명은 서명자를 회원 대표자로 임명하지 않습니다. 유효한 BPKI 자격 증명은 회원이 기록한 자원 집합을 늘리지 않습니다. 유효한 자원 인증서는 ROA가 그렇게 인가하기 전까지는 특정 발신을 인가하지 않습니다. 유효한 ROA는 경로가 실제로 광고되고, 선택되고, 도달 가능하며, 전체 AS 경로에서 안전하다는 것을 증명하지 않습니다.

BPKI는 공개 객체 뒤에 있는 비공개 연결이다

이 설계는 정반대의 두 방식으로 오해될 수 있습니다. 하나는 공개 자원 인증서가 모든 자원 뒤의 법인을 식별한다고 보는 것입니다. 다른 하나는 조직 이름이 없다는 사실을 보고 AFRINIC이 신원 또는 권한 작업을 하지 않았다고 결론짓는 것입니다.

CPS는 어느 쪽 결론도 지지하지 않습니다. CPS는 대표자와 회원 연결을 BPKI와 회원 데이터베이스에 둡니다. BPKI는 회원을 대표하는 개인을 식별하며 발급, 키 갱신, 폐기 요청을 인증합니다. 자원 부분집합 검사는 그 다음으로 요청이 만들어낼 수 있는 결과를 제한합니다. RPKI 인증서는 요청을 받아들인 비공개 근거가 아니라 의존 당사자가 필요로 하는 인가 결과를 공개합니다.

이는RFC 6480과도 일치합니다. 이 아키텍처는 RPKI가 인증(authentication)이 아니라 인가(authorization)를 제공하며, 발급자에게 서술적 subject 이름을 신원 주장으로 사용하지 말라고 지시합니다. 또한 기존 기록으로 되돌아갈 수 있는 이름을 권장합니다. 따라서 외부 인증서와 내부 기록은 설계상 관련되어 있지만 대상 독자가 다릅니다.

회원 데이터베이스는 여전히 신중하게 기술되어야 합니다. 그것은 AFRINIC의 할당 및 배정에 대한 운영 기록입니다. 요청을 그 기록과 대조하면 발급 결정을 뒷받침할 수 있습니다. 그러나 이것이 기록을 기업 권한에 대한 법원 판결, 자산에 대한 증서, 또는 모든 외부 레지스트리가 동일한 사실을 대조했음에 대한 증명으로 바꾸지는 않습니다.

ROA는 관계를 인가하고, BGP는 사건을 보고한다

이 구분은 인증서 발급 이후에도 이어집니다. 회원은 관련 개인 키와 종단 엔티티 인증서 체인을 사용하여 ROA에 서명할 수 있습니다. ROA는 발신 ASN, 하나 이상의 프리픽스, 지정된 경우 최대 길이를 포함합니다. 검증은 서명된 객체와 그 자원 체계가 의존 당사자가 적용하는 규칙을 충족함을 보여줍니다.

RFC 9582는 이 경계에 대해 분명합니다. ROA 검증에 사용되는 PKI는 인가를 제공하며, 인증 또는 부인 방지를 제공하지 않습니다. 이 객체는 명시된 ASN이 명시된 프리픽스에 대한 경로를 발신하는 것이 허용됨을 의미합니다. 그 ASN이 지금 그렇게 하고 있다고는 말하지 않습니다.

발신 검증 시스템은 두 번째 사실을 경로에서 얻습니다. 수신된 AS 경로에서 발신 ASN을 도출하고 경로 프리픽스와 발신을 검증된 ROA 페이로드와 비교합니다. 익숙한 Valid, Invalid, NotFound 레이블은 이 비교를 기술합니다. 이들은 로컬 정책에 대한 입력이지 보편적인 라우팅 명령이 아닙니다. 이 메커니즘은 전체 AS 경로를 검증하지 않습니다.

이것이 “valid”라는 문구를 보여주는 스크린샷이 불완전한 근거인 이유입니다. 결과를 재현하려면 운영자는 양쪽 모두가 필요합니다. RPKI 데이터 세트, 신뢰 앵커, 검증 시점과, BGP 관측 출처, 시각, 프리픽스, 도출된 발신입니다. AFRINIC의Trust Anchor Locator 페이지는 AFRINIC 계층 구조 검증을 위한 구성된 진입점을 식별하지만, 답은 여전히 의존 당사자가 어떤 리포지토리 객체와 경로 관측을 이용할 수 있었는지에 좌우됩니다.

개인정보에 안전한 자원 인가 출처 증명 영수증

유용한 개선은 모든 자원 인증서에 회사 등록 파일을 넣는 것이 아닙니다. AFRINIC은 대신 발급 및 이후 인가 체계를 유형화된 영수증으로 내보낼 수 있습니다. 이는 본지의 제안이며, 보도된 AFRINIC의 약속이 아닙니다.

레지스트리 측 결정을 위해 영수증에는 다음이 포함될 수 있습니다.

  • 요청 시각과 요청된 공개 키의 지문;
  • 비밀이 아닌 BPKI 자격 증명 참조 또는 대표자 역할 식별자, 그리고 인증 결과;
  • 관련 회원 기록과 자원 보유 스냅샷의 버전 또는 다이제스트;
  • 요청된 IP 및 AS 자원 집합, 그 검사 대상 집합, 부분집합 결정;
  • 발급된 인증서의 일련번호, Subject Key Identifier, 자원 확장, 유효 구간; 그리고
  • 검증을 재구성하기에 충분한 게시 지점, 매니페스트, CRL, 신뢰 앵커 참조.

ROA의 경우에는 종단 엔티티 인증서 참조, 발신 ASN, 프리픽스, 최대 길이, 서명된 객체 다이제스트, 검증 결과를 덧붙입니다. 영수증을 발신 검증 결과 설명에 사용할 때는 별도의 관측 섹션을 첨부합니다. BGP 출처, 관측 시각, 프리픽스, 관측된 발신, 관측 지점 또는 컬렉터 식별자, 정확한 비교 결과입니다.

이 필드들은 분리 가능해야 합니다. 회원은 전체 영수증을 자신의 계정 안에 보관하면서 인증서와 ROA 참조만 공개할 수 있습니다. 감사자는 신원 문서 이미지, 비공개 연락처, 자격 증명 없이 기록 다이제스트와 결정 코드를 받을 수 있습니다. 공개 분쟁에서는 회원 파일을 노출하는 대신 영수증 다이제스트와 대체 관계를 인용할 수 있습니다.

영수증은 무엇을 증명하지 않는지도 명시해야 합니다. BPKI 참조는 공개 신원 인증서가 아닙니다. 회원 기록 다이제스트는 법적 권리 판정이 아닙니다. 인증서 검증은 현재 라우팅에 대한 서술이 아닙니다. ROA 검증은 경로 안전성 판정이 아닙니다. BGP 관측은 전 지구적 가시성에 대한 주장이 아닙니다.

출처