요약

  • RIPEstat RIS는 10월 8일 00:00 UTC 기준 AS24940이 오리지네이트한 IPv4 프리픽스 91개를 목록화했으며, rpki-client의 AS24940 뷰는 02:35:34 UTC에 생성되었습니다.
  • 교차 대조 결과, 63개 경로에 대해 동일 오리진을 허용하는 VRP가 확인되었습니다. 이 중 49개 경로 프리픽스에 대해서는 적어도 하나의 일치하는 최대 길이가 RIS가 관측한 경로보다 넓었습니다. 이는 고유 ROA 객체가 아니라 경로 수를 집계한 것입니다.
  • Routinator는 여전히 축소된 세 개 프리픽스 아래의 테스트 /24에 대해 invalid_length를, 78.46.0.0/15 아래의 테스트 78.46.0.0/24에 대해서는 valid를 반환하며, 어느 결과도 실제 /24 광고, 트래픽 또는 전면 ROV 필터링을 증명하지 않습니다.

경로가 감사 단위다

경로 스냅샷과 VRP 스냅샷은 2시간 35분 간격으로 이루어진 별개의 관측입니다. rpki-client 페이지는 AS24940에 대해 73개의 IPv4 VRP 프리픽스 항목을 나열하며, 그중 53개는 나열된 프리픽스보다 더 구체적인 프리픽스를 허용하고, 이에는 /24를 허용하는 52개 항목과 /32를 허용하는 하나의 /24 항목이 포함됩니다. 프리픽스 범위, 오리진, 최대 길이를 비교하면 63개 경로에 대해 해당 경로를 허용하는 동일 오리진 VRP가 존재하며, 그중 49개는 RIS가 관측한 경로보다 넓은 최대 길이를 갖습니다. 이 49개는 경로 프리픽스이지 고유 ROA 객체가 아닙니다. 나머지 28개는 이 교차 스냅샷 비교에서 길이를 허용하는 AS24940 매칭이 없었으며, 프리픽스별 정렬된 검증 없이는 unknown, invalid_asn 또는 invalid_length로 분류할 수 없습니다. Madory의 9월 집계 50건은 서로 다르고 더 이른 측정 방식을 사용하므로, 이 차이는 증가도 감소도 아닙니다.

10월 8일 경로 검증 조회는 Hetzner Online의 AS24940에 대해 두 가지 서로 다른 답을 내놓습니다. 테스트162.55.80.0/24는 최대 길이가/16인 현재162.55.0.0/16ROA 하에서invalid_length입니다. 테스트78.46.0.0/24는 최대 길이가 여전히/24인78.46.0.0/15하에서 여전히valid입니다. RIPEstat의 network-info 엔드포인트는 현재 두 번째 범위 내 한 주소를 AS24940이 오리지네이트한/15경로로 매핑합니다.

이 대조가 중요한 이유는 첫 번째 프리픽스가 Virtualizor 업데이트 서비스를 운영하는 회사인 Softaculous에 대한 8월 BGP 하이재킹에 연루되었기 때문입니다.APNIC 블로그의 9월 22일 게스트 포스트에서 인터넷 분석가 Doug Madory는 Hetzner가 영향받은162.55.0.0/16권한을/16으로 축소했다고 보고했습니다. 그는 또한 두 개의 다른 ROA—213.133.96.0/19와213.239.192.0/18—가/24에서 해당 커버 프리픽스 길이로 강화되었다고 보고했습니다.

현재 Routinator 테스트는 이 세 가지 변경과 일치합니다. 각 프리픽스 아래의 가상/24는 이제invalid_length를 반환합니다: 최대 길이는 각각/16,/19,/18입니다. 이는 검증 테스트이며, 해당/24들이 실제 광고되었다는 주장이 아닙니다. 이는 AS24940을 오리진으로 하는 일치하는 광고가 있을 때 현재 ROA가 어떤 판정을 내릴지 보여줍니다.

이 한계는 보안적 해석에서 핵심입니다. RPKI 오리진 검증은 광고된 프리픽스와 오리진 ASN이 공개된 Route Origin Authorization에 부합하는지 확인합니다. 이는 AS 경로의 모든 홉을 검증하거나 경로가 무해하다는 것을 확립하지 않습니다. 넓은 최대 길이는 경로가 승인된 오리진을 제시할 때 더 구체적인 경로가 오리진 검사를 통과하도록 허용할 수 있으므로,valid결과는 경로에 대한 신뢰 레이블이 아니라 ROA에 대한 범위가 한정된 진술입니다.

이 업데이트는 여전히 의미가 있습니다. 영향받은 블록에 대한 ROA 축소는 해당 블록에 대해 ROV 검증기가 수용할 범위를 변경합니다. 그러나 세 프리픽스의 수정은 모든 활성 경로가 일치하는 최소 권한의 권한부를 갖는다는 것을 보여주지 않습니다. 의미 있는 후속 조치의 단위는 가시적으로 수리된 객체 수가 아니라, 예외와 타임스탬프가 기록된 전체 라우티드 프리픽스 및 ROA 집합입니다.

출처