요약

  • APNIC은 APNIC 62 라우팅 보안 SIG에서 호스팅 ASPA 인터페이스가 RIPE RIS 기반의 제공자를 제안한다고 밝혔습니다. 제안은 확률적이며 검토가 필요하고, 누락보다 과잉 포함일 가능성이 더 높습니다.
  • 이 인터페이스는 제안된 제공자 집합 변경을 관측된 BGP 경로와 대조합니다. 이는 현재 상태에 대한 유용한 검사이며, 모든 미래 경로의 사전 연습은 아닙니다.
  • 현행 IETF 검증 초안은 경로 전파와 게시가 경합하지 않도록, 활성화 전에 대기 또는 비상 제공자를 ASPA에 추가할 것을 권고합니다. 완전히 휴면 상태인 제공자는 검사기가 관측할 활성 경로가 없습니다.
  • APNIC은 관측 기반 제안, 사람의 선언, 기각된 후보, 현재 경로 검사, 아직 행사되지 않은 장애조치 사례를 구분하는 출처·시나리오 기록(receipt)을 보존해야 합니다. 이 기록은 상업 계약을 노출하지 않고 라우터에 명령하지 않으면서 의사결정을 문서화합니다.

유용한 편집기 속의 조용한 한 줄

ASPA 편집기는 목록으로 시작합니다. 특정 고객 ASN에 대해 업스트림 제공자로 행동할 수 있는 자율 시스템(AS)을 기록합니다. 이 목록은 암호학적으로 서명되어 Resource Public Key Infrastructure를 통해 배포됩니다. 겉보기 단순함 뒤에는 어려운 질문이 있습니다. ASN 보유자는 이 목록이 완전하고 올바르게 분류되었음을 어떻게 알 수 있을까요?

APNIC의 답에는 두 가지 실용적 보조 장치가 있습니다. APNIC 62에서 발표된 RPKI 업데이트에서 이 조직은 호스팅 인터페이스가 RIPE Routing Information Service 기반의 제안을 제공한다고 밝혔습니다. APNIC의 경로 관리 도구가 경로 제안을 제공하듯, RIPEstat의asn-neighbours엔드포인트를 사용합니다. APNIC은 이러한 ASPA 제안을 보기 드물고 환영할 만한 정밀함으로 설명했습니다. 제안은 확률적이며, 검토가 필요하고, 누락보다 과잉 포함일 가능성이 더 높습니다.

두 번째 보조 장치는 변경 검사입니다. 편집을 수락하기 전에 인터페이스는 관측된 BGP 경로가 어떻게 영향을 받을지 검사합니다. 현재 경로에 나타나는 제공자를 제거하려는 사람은, 현재 사용 가능한 경로를 ASPA 충돌로 만들기 전에 경고를 받을 수 있습니다. 같은 과정은 놀라운 제안을 조용히 서명하는 대신 검토 대상으로 드러낼 수 있습니다.

이는 좋은 제품 설계입니다. 측정이 곧 권한 부여라고 가정하지 않으면서, 측정을 권한 부여 옆에 배치합니다. 동시에 설계의 한계를 드러냅니다. 현재 관측에서 가장 결여되기 쉬운 제공자는 의도적으로 예비로 보관된 제공자입니다.

비상 트랜짓 계약은 케이블 절단, 서비스 거부 공격 또는 지역적 고립이 네트워크를 바꿀 때까지 어두운 상태로 남을 수 있습니다. DDoS 완화 제공자는 평상시 경로에 나타나지 않을 수 있습니다. 고립된 세그먼트를 다시 연결하기 위해 준비된 링크는 장애 시에만 행사될 수 있습니다. 그 ASN이 일상 BGP에 보인다면 완전히 휴면하지 않는 것입니다. 진정으로 휴면하다면, 실시간 경로 검사기에는 검사할 긍정적 경로가 없습니다.

빈 한 줄은 소프트웨어 버그가 아닙니다. 그것은 다른 근거 등급입니다.

이웃 관측은 의도적으로 제공자 선언보다 약합니다

RIPEstat 문서는 이 소스가 무엇을 산출하는지 신중합니다. ASN Neighbours 엔드포인트는 RIS 데이터에서 조회된 ASN 옆에서 관측된 자율 시스템을 반환합니다. 버전과 요청한 세부 수준에 따라, 응답에는 이웃이 ASN의 왼쪽 또는 오른쪽에 나타났는지, 몇 개의 경로에 그 쌍이 포함되었는지, 몇 개의 풀테이블 피어가 보았는지, 결과가 유효한 기간이 포함될 수 있습니다. RIS 컬렉터의 직접 피어로 보이는 이웃은uncertain으로 표시될 수 있으며, 컬렉터 관계 자체가 관측에 영향을 줄 수 있기 때문입니다.

이러한 필드는 제안을 감사 가능하게 만듭니다. 그러나 제공자 계약으로 만들지는 않습니다. AS 경로의 인접 ASN은 고객, 제공자, 측면 피어, 비투명 경로 서버이거나, 주소 패밀리·지리·프리픽스에 따라 역할이 달라지는 관계의 일부일 수 있습니다. RIS는 자기 컬렉터에 보이는 경로를 봅니다. 아직 경로를 만들지 않은 사적 서비스 계약을 볼 수 없으며, 그것을 추론하도록 요구되어서도 안 됩니다.

이것이 과잉 포함된 제안 집합이 더 안전한 출발점일 수 있는 이유를 설명합니다. 현재 활성 제공자를 놓치면 파괴적 누락이 될 수 있습니다. 후보를 하나 더 보여주면 운영자가 분류를 수행하게 됩니다. 그러나 "과잉 포함일 가능성이 더 높다"는 것은 관측 기반 제안 방법의 속성이지, 모든 실제 제공자가 반드시 포함된다는 보장이 아닙니다. 어떤 관측 시스템도 운영자가 다음 달에 활성화하려는 의도만으로 미래 관계를 포함할 수 없습니다.

따라서 올바른 워크플로에는 최소 두 가지 입력이 있습니다. 하나는 측정에서 옵니다. 선언된 RIS 관측 창에서 이러한 ASN들이 고객 ASN 옆에 나타났다는 사실입니다. 다른 하나는 책임 있는 사람의 지식에서 옵니다. 이러한 ASN들이 승인된 제공자이며, 오늘 비활성일 수 있는 계약을 포함한다는 사실입니다. 두 입력을 구분 없는 체크리스트로 섞으면 각 소스가 기여할 수 있는 가장 강한 사실을 버리게 됩니다.

표준의 시점 권고가 결여된 검사를 만듭니다

현행 IETF 문서들은 문제를 더 선명하게 만듭니다. ASPA 프로파일 개정 29는 고객 AS에 대한 하나의 ASPA 객체가 투명하지 않은 경로 서버 AS를 포함한 모든 제공자를 담는다고 서술합니다. 하나의 완전한 객체를 유지하는 것은 BGP 전파에 영향을 줄 수 있는 업데이트 중 경합을 피하기 위한 것입니다.

AS_PATH 검증 초안 개정 28은 더 명시적입니다. AS는 특정 운영 시나리오를 위한 대기 제공자를 유지할 수 있으며, 일시적 DDoS 완화와 고립된 세그먼트를 잇는 비상 제공자를 예로 듭니다. 초안은 그러한 제공자를 사전에 ASPA에 추가할 것을 권고합니다. 이유는 시간적입니다. 네트워크가 변경된 객체가 의존 당사자에게 도달하기 전에 경로를 전파하기 시작하면, 정당한 장애조치가 권한 집합과 불일치해 보일 수 있습니다.

이 권고는 현행 BGP가 수행할 수 없는 검사를 만듭니다. 활성화 전에는 비상 경로가 없습니다. 활성화 후에는 경합이 이미 시작되었을 수 있습니다. 결정은 권한은 존재하지만 관측은 존재하지 않는 구간에서 이루어져야 합니다.

이는 ASPA에 대한 익숙한 경고의 역입니다. 서명된 제공자 목록은 트랜짓이 현재 제공되고 있음을 증명하지 않습니다. 여기서는 관측된 경로가 없다고 해서 그 제공자가 서명된 목록에서 빠져야 함을 증명하지 않습니다. 권한 부여와 관측은 양방향에서 서로 다릅니다.

APNIC 발표는 그렇게 주장하지 않습니다. 제안에 검토가 필요하다고 말하고, 제안 및 검증 기능에 대한 피드백을 요청합니다. 공개 자료는 인터페이스가 보관할 수 있는 모든 비공개 필드를 드러내지도 않습니다. 방어 가능한 결론은 좁습니다. 설명된 BGP 검사는 관측된 경로를 검사할 수 있지만, 표준 트랙 진행 작업은 정의상 경로가 관측되지 않을 수 있는 권한 부여 클래스를 권고합니다.

"현재 충돌 없음"은 "장애조치 통과"가 아닙니다

유용한 인터페이스는 표시 언어가 달라지더라도 이 문장의 의미를 정확히 보존해야 합니다. 어떤 고객 ASN이 평상시 제공자 A와 B를 사용하며 비상 완화를 위해 제공자 C와 계약했다고 가정합시다. RIS는 A와 B를 봅니다. 편집기는 A, B, 그리고 어쩌면 인접 피어 D를 제안합니다. 운영자는 D를 제거하고 C를 수동으로 추가합니다.

현재 경로 검사기는 몇 가지 가치 있는 질문에 답할 수 있습니다. A를 제거하면 보이는 경로에 새 ASPA가 증명하지 않는 제공자 쌍이 포함되는가? B는 IPv6 관측에만 나타나는가? D는 불확실한 컬렉터 인접성에서 왔는가? 제안된 집합의 영향을 받는 현재 관측 경로가 있는가?

그러나 검사기는 C가 의도한 프리픽스를 광고할지, 요구되는 AS 경로를 유지할지, 충분한 트래픽을 수용할지, 활성화 정책을 존중할지, 새 ASPA가 전파된 후에만 보이게 될지를 보여줄 수 없습니다. 실험실 경로조차 비상 상황을 재현하지 못할 수 있습니다. 실시간 데이터에서 편집기가 정직하게 말할 수 있는 최대치는, 관측된 경로 집합에서 충돌이 발견되지 않았으며 C는 그곳에서 행사되지 않았다는 것입니다.

그것은 약한 결과가 아닙니다. 잘 경계된 결과입니다. 위험이 시작되는 지점은 녹색 아이콘이 이 경계를 지우고 "ASPA 검증됨"이라는 문구로 변경 티켓에 들어갈 때입니다. 한 엔지니어는 이 문구를 "최종 객체가 구문·암호학적으로 유효하다"로 읽을 수 있습니다. 다른 이는 "오늘의 경로가 여전히 수용 가능하다"로 읽을 수 있습니다. 관리자는 "장애조치가 테스트되었다"로 읽을 수 있습니다. 세 주장 모두 서로 다른 근거를 요구합니다.

제안과 BGP 검증을 구분한 APNIC 자체의 접근은 좋은 기초입니다. 다음 단계는 이 부정적 공간을 이식 가능하게 만드는 것입니다.

아직 존재하지 않는 경로를 위한 기록

이 기록은 네트워크의 기밀 계약, 회선 식별자나 DDoS 플레이북을 공개할 필요가 없습니다. MyAPNIC 내부나 회원의 변경 기록 안에 머물 수 있습니다. 필요한 것은 비밀이 아니라 역할과 시계입니다.

모든 후보 제공자에 대해 출처를 기록합니다. RIS에서 제안되었는가, 활성으로 수동 추가되었는가, 대기로 수동 추가되었는가, 비상 제공자로 추가되었는가, 비투명 경로 서버로 식별되었는가? 제안에 대해서는 질의 시각, 엔드포인트 버전 또는 응답 다이제스트, 관측 위치, 불확실성 플래그, 검토에 사용된 경로 수와 피어 수를 보존합니다. 기각된 제안에는 피어, 고객, 투명 경로 서버, 관측 아티팩트, 미해결 같은 범위가 제한된 처분을 남깁니다. 공개 RPKI 객체는 그 내부 이유를 드러낼 필요가 없습니다.

수동으로 추가된 모든 휴면 제공자에 대해 활성화 등급, 고려된 주소 패밀리, 책임 역할, 마지막 테이블톱 또는 실험실 검사, 다음 검토일을 기록합니다. "DDoS 완화"나 "고립 세그먼트 브리지"라는 등급이면 충분합니다. 기록에는 상업적 가격, 자격 증명, 토폴로지가 필요하지 않습니다.

현재 경로 검사에 대해서는 관측 창, 검사한 경로 집합의 다이제스트, 제안된 제공자 집합, 결과를 기록합니다. 가장 중요하게는, 선언된 제공자 중 관측되지 않아 행사되지 않았던 것을 명시합니다. 이 한 목록이 "현재 경로에서 충돌 없음"이 "모든 시나리오 통과"로 변질되는 것을 막습니다.

마지막으로 편집을 게시와 연결합니다. 최종 제공자 집합, 사용자 확인 시각, ASPA 기록 식별자, 저장소 게시 시각, 이후 의존 당사자 가시성 검사를 보존합니다. 비상 상황이 객체가 보이기 전에 시작되었다면, 기록은 권한 시계를 소급 이동시키는 대신 그 사실을 밝혀야 합니다.

검사는 운영자 권한이 시작되는 곳에서 끝나야 합니다

ASPA 검증 자체도 결과가 제한적입니다. 현행 IETF 초안은 순서화된 ASN 쌍에 대한 제공자 권한 함수를 정의합니다. 유효한 ASPA가 존재하면 목록에 있는 제공자는 긍정적 증명을, 목록에 없는 제공자는 부정적 결과를 산출합니다. 유효한 객체가 없으면 결과는 증명 없음입니다. 이 상태들은 AS_PATH 검증 절차에 입력됩니다. 누가 라우터를 소유하는지, 어떤 계약이 적용되는지를 증명하지 않습니다.

초안은 완화를 네트워크 운영자에게 맡깁니다. Invalid 경로를 경로 선택에 부적합하게 만들고 Unknown을 Valid와 같은 선호도로 다룰 것을 권고하지만, 실제 정책은 운영자가 구성합니다. APNIC의 게시 전 검사는 경고할 수 있습니다. ASN 보유자가 권한을 부여합니다. 저장소가 배포합니다. 의존 당사자가 검증합니다. 수신 네트워크가 결정합니다.

이 동사들을 분리해 두는 것이 비상 시에 가장 중요합니다. 공격 중인 운영자는 완화 경로를 활성화하거나, 게시를 기다리거나, 다른 경로를 선호하거나, 일시적 위험을 수용할 수 있습니다. 레지스트리 인터페이스는 그 선택의 숨은 소유자가 되지 않으면서 근거와 시점을 보이게 해야 합니다.

APNIC 62 자료는 이 구분을 설계 안에 넣을 만큼 제품이 아직 초기라는 것을 보여줍니다. 6월 25일에 첫 실제 회원 객체를 기록했고, 293개의 APNIC ASPA, 그중 257개 호스팅 및 36개 위임의 스냅샷을 담았습니다. 이 수치는 생성을 측정할 뿐, 완전한 제공자 집합, 행사된 대기 계획, 검증을 시행하는 네트워크를 측정하지 않습니다. DASH가 이제 회원에게 ASPA 상태 보기를 제공하며, 객체가 게시되었는지, 관측되었는지, 시나리오 검토를 거쳤는지, 재검토가 필요한지를, 하나의 배지가 모두를 커버한다고 가장하지 않고 보여줄 자연스러운 자리가 될 수 있습니다.

출처