요약

  • 2025년 11월 13일, ARIN은 13:30부터 14:30(EST)까지 호스티드 및 저장소 게시 서비스(Repository Publication Service, RPS) RPKI 저장소에 대한 모든 접근을 행정적으로 차단했다. ARIN은 14:30에 접근 복구를, 14:35에 완전한 이중화를, 14:50에 시험 전 수준으로의 복귀를 보고했다.
  • 이번 훈련은 저장소 접근 중단으로부터의 복구를 시험했다. 공개 기록상으로는 ACSP 제안 2025.7에서 제기된 외부 의존성 클래스, 공통 실패 도메인, 관찰자 집합 또는 순환 의존성을 식별하지 않았다.
  • ARIN은 공격에 바로 쓸 수 있는 토폴로지를 공개하지 않고도 이 공백을 메울 수 있다. 버전 관리되는 서비스-실패 도메인 진술은 보호 대상 서비스 평면, 의존성 클래스, 훈련 경계, 관찰된 마일스톤, 잔여 가정, 변경 통지 트리거를 기록할 수 있다.

네 개의 날짜가 이 증거를 일상적인 연속성 발표보다 더 흥미롭게 만든다.

2025년 10월 23일, ARIN은 전환을 위한 ROA 지원(ROA Support for Transfers) 배포 후 호스티드 RPKI 서비스에 관한 고객 보고를 받았다. 10월 27일 발행된 공개 인시던트 보고서에 따르면, 문제는 특정 ROA 구성 조건에서 한 고객에게 영향을 미쳤다. ARIN은 진행 중인 전환을 일시 중지하고 코드 결함을 식별해 수정을 배포했으며 검증을 추가했다.

10월 28일, Ramakant Pandrangi는 ACSP 제안 2025.7을 제출했다. 이 제안은 ARIN에 백업이 있는지 여부만 물은 것이 아니었다. CDN, DNS, IP 주소, BGP 경로, 공급자 및 기타 인프라를 포함한 서비스별 의존성 공개, 중요한 운영 또는 아키텍처 변경 전 통지, RTO와 RPO 같은 상위 수준의 연속성 목표를 요구했다.

ARIN은 11월 12일 답변했다. 주요 서비스 의존성을 문서화하고 변경 관리를 명확히 하며 복원력과 연속성 목표를 개괄하는 계획을 개발 중이며, 이후 커뮤니티 피드백과 검증이 이어질 것이라고 밝혔다. 그 다음 날 ARIN은 프로덕션 장애 조치 훈련을 실시했다.

이 순서는 공개 증거가 정확히 무엇을 입증하는지, 그리고 어디서 멈추는지를 말할 드문 기회를 제공한다.

훈련은 다섯 개의 유용한 타임스탬프를 남겼다

ARIN의 기술 메일링 리스트 공지는 11월 13일 13:00 EST에 호스티드 및 RPS 저장소를 제공하는 사이트에 대한 접근이 제한되기 시작했다고 밝힌다. 13:30에 전체 중단을 시뮬레이션하기 위해 모든 저장소 접근이 행정적으로 차단됐다. 14:30에 접근이 복구됐다. ARIN은 14:35에 완전한 이중화를 확인했고, 14:50에 시스템이 시험 전 수준에 도달했다고 밝혔다.

이는 마케팅 형용사가 아니다. 명명된 서비스와 정의된 개입에 붙은 관찰 가능한 마일스톤이다. 이 공지는 ARIN이 프로덕션을 선택한 이유도 설명한다. 프로덕션 밖에서의 시험은 저장소 장애 조건에 대한 성능과 준비도를 정확히 나타내지 못한다.

이 점은 인정할 만하다. 많은 복원력 진술은 날짜가 있는 훈련이나 복구 순서 없이 “고가용성”만 내세운다. ARIN은 그 순서를 제공했다.

그러나 결과는 여전히 제한적이다. “모든 접근이 행정적으로 차단됐다”는 것은 서비스에 제시된 조건을 식별한다. 이는 차단된 사이트들이 하나의 DNS 공급자, CDN 제어 평면, 트랜짓 경로, 시설, 전력 도메인 또는 신원 서비스를 공유했는지 독자에게 알려주지 않는다. 개입 자체가 행정적이었기 때문에, 개입 아래에서 무엇이 실패했는지도 말하지 않는다. 또한 이 공지는 복구를 확인하는 데 사용된 검증기나 신뢰 당사자를 식별하지 않고, 라우팅 영향을 측정하지도 않는다.

이러한 누락이 훈련을 무효화하지는 않는다. 그것들은 훈련의 주장 범위를 정의한다.

복구 경로는 의존성 지도가 아니다

제안 2025.7은 시스템적 및 순환 의존성에 관심을 둔다. 이는 겉보기에 별개인 두 경로가 여전히 동일한 업스트림 조건을 필요로 하는지에 관한 질문이다. 두 저장소 사이트는 애플리케이션 수준에서는 이중화돼 있으면서도 공급자, 이름 해석 계층 또는 행정 통제를 공유할 수 있다. 반대로 서비스가 외부 플랫폼에 의존하면서도 그 의존성이 다각화, 캐시, 대체 가능 또는 의도적으로 격리돼 있어 복원력을 유지할 수도 있다.

공급자 이름만으로는 이 질문에 답할 수 없다. “DNS, CDN, 트랜짓”이라고 나열하는 것도 너무 광범위하다. 중요한 것은 의존성 클래스를 사용할 수 없을 때 각 서비스가 보존해야 하는 불변 조건이다.

RPKI 저장소의 경우 그 불변 조건은 이미 게시된 자료의 계속된 검색, 마지막으로 수용된 게시물의 시점, 저장소 상태의 무결성 또는 복구 후 대기 중인 업데이트를 조정하는 능력에 관한 것일 수 있다. 올바른 불변 조건은 서비스 평면에 따라 달라진다. 공개 독자, ROA를 변경하는 자원 보유자, 자료를 RPS로 보내는 위임 CA, 서비스를 복구하는 ARIN 운영자는 같은 행동을 수행하는 것이 아니다.

ARIN 자체의 2026년 7월 유지보수 공지는 이 구분을 보여준다. ARIN Online, RESTful Provisioning, RPKI Up/Down 및 RPS는 사용할 수 없었지만, RPKI 저장소는 운영 중이었고 업데이트는 게시하지 않았다. 해당 공지에 대한 앞선 Theo March의 분석은 두 개의 시계—가용성과 최신성—에 관한 것이었다. 현재의 질문은 다르다. 어떤 실패 도메인이 각 평면을 멈출 수 있는지, 어떤 조합이 시험됐는지, 어떤 것이 여전히 가정으로 남아 있는지다.

책임은 의도적으로 분리돼 있다

ARIN의 배포 문서는 의존성 자체를 의심스럽게 만들지 않으면서 의존성 질문을 운영상 실질적인 문제로 만든다.

현재 페이지에 따르면 ARIN RPKI 배포의 95% 이상이 호스티드 RPKI를 사용한다. 그 모델에서 ARIN은 인증 기관을 운영하고 고가용성 저장소를 게시한다. 위임된 참여자는 대신 자체 CA와 게시 서버를 운영할 수 있다. RPS는 역할을 다시 나눈다. 자원 보유자는 CA와 개인 키 통제를 유지하고, ARIN은 저장소를 운영한다.

ARIN의 RPS 페이지는 그 이유를 설명한다. 통합 저장소는 RPKI 객체를 발급하는 조직의 행정 범위 밖에 있을 수 있다. 일부 발급자는 암호학적 통제를 원하지만 24시간 저장소를 유지하기를 원하지 않는다. 그 기능을 외부에 맡기는 것은 합리적인 업무 분리다.

이 분리는 두 가지 다른 연속성 질문을 만든다. 발급자는 유효한 게시 자료를 계속 생성할 수 있는가? 저장소는 수용된 자료를 계속 제공할 수 있는가? 저장소 접근 시험은 두 번째에 관해 중요한 것을 말해준다. 그것이 자동으로 발급자의 CA, 게시 프로토콜, 계정 경로, 통지 경로 또는 이들 여러 곳이 공유하는 외부 서비스를 시험하는 것은 아니다.

이 구분은 RPS에서 특히 중요하다. 암호학적 권한과 게시 가용성은 설계상 서로 다른 행정 주체에 속한다. 하나를 다른 하나의 증거로 취급하면 서비스가 제공하는 바로 그 분리를 지워버리게 된다.

가용성은 증거이지 아키텍처가 아니다

ARIN의 2025년 연례 보고서는 RRDP와 Rsync 저장소가 각각 99.9%의 가용성을 달성했다고 밝힌다. 이 수치는 유용하다. 정의된 보고 연도에 걸쳐 보고된 성능 측정치를 독자에게 제공하며, 이후 연도와 비교할 수 있다.

그러나 99.9%는 두 경로가 실패 도메인을 공유하는지 보여주지 않는다. RTO, RPO 또는 읽기 전용 구간 동안 데이터의 시점을 공개하지 않는다. 어떤 훈련이 결과의 어느 부분을 만들어냈는지도 말하지 않는다. 의존성 모델이 공개되지 않아도 가용성은 뛰어날 수 있고, 측정된 중단 이후에도 건전한 의존성 모델이 존재할 수 있다.

10월 인시던트 보고서는 또 다른 구분을 만든다. 그 사건은 소프트웨어 배포 후 발생했고 외부 인프라 공급자가 아니라 제한된 코드 결함에 기인한 것으로 설명됐다. ARIN에 따르면 한 고객이 영향을 받았고, 서비스는 그 외에는 계속 운영됐다. 이는 변경 통제와 인시던트 대응의 유용한 증거다. 이를 CDN, DNS 또는 저장소 장애 조치 경로가 실패했다는 증거로 재활용해서는 안 된다.

공개 기록에 필요한 규율은 이것이다. 증거 한 조각당 주장 하나.

배선도를 말고 실패 도메인 진술을 공개하라

의존성 투명성에는 진지한 반론이 있다. 상세한 공급자 이름, 시설 위치, 라우팅 설계, 제어 엔드포인트, 장애 조치 트리거는 보안을 약화할 수 있다. 공개 문서가 정찰 안내서가 되어서는 안 된다. 공급자 계약에는 기밀 조항이 포함될 수 있고, 정밀한 내부 지도는 안전하게 검토될 수 있는 속도보다 빠르게 낡을 수 있다.

그렇다고 침묵과 노출 사이에서 선택해야 하는 것은 아니다. ARIN은 각 핵심 서비스와 평면에 대해 간결하고 버전 관리되는 진술을 게시할 수 있다. 여기에는 다음이 포함될 것이다.

  1. 공개 기능과 그에 의존하는 독자 또는 작성자;
  2. 민감한 공급자나 위치를 명명하지 않은 채 기술한 의존성 클래스와 공통 모드 가정;
  3. 각 클래스 상실 시 기대되는 불변 조건;
  4. 마지막 훈련의 범위와 주입 경계;
  5. 관찰된 제한, 복구, 이중화 및 기준선 타임스탬프;
  6. 해당 훈련이 다루지 않은 잔여 실패 모드;
  7. 채택된 경우 적용 가능한 가용성, RTO 및 RPO 목표;
  8. 중대 변경 임계값과 회원 통지 경로; 그리고
  9. 버전, 검토 날짜 및 정정 이력.

그런 진술은 11월 훈련을 덜 가치 있게 만들지 않고 더 가치 있게 만들 것이다. 독자는 저장소 접근 조건이 시험됐는지, 언제 시험됐는지, 그 결과가 어떤 더 넓은 주장을 하지 않는지 볼 수 있다. 이후 훈련은 모든 시나리오를 한 번에 시험해야 한다고 가장하지 않고도 다른 의존성 클래스를 다룰 수 있다.

문서는 또한 만료돼야 한다. 검토 날짜가 없는 의존성 단언은 아키텍처 변경을 거쳐 살아남아 아무 단언도 하지 않는 것보다 더 오해를 낳을 수 있다. 제안 2025.7은 투명성과 변경 관리를 명시적으로 연결한다. 그 연결은 타당하다. 서비스 경계가 바뀌면 증거 기록도 바뀌어야 한다.

열린 상태는 판결이 아니라 상태로 남아야 한다

증거 마감 시점에 제안 2025.7은 여전히 열림(Open)으로 표시된다. ARIN의 답변은 계획이 확정되면 그 작업을 커뮤니티에 제시할 것이라고 밝힌다. 이는 공개 절차에 관한 정확한 진술을 뒷받침한다. 내부 계획이 지연됐다거나 의존성 인벤토리가 존재하지 않는다거나 복원력 약점이 은폐되고 있다는 것을 입증하지는 않는다.

따라서 다음의 유용한 공개 마일스톤은 완벽함에 대한 약속이 아니다. 서비스 평면, 실패 도메인 클래스, 증거 날짜, 알려진 한계를 담은 첫 번째 제한된 지도다. 그다음 커뮤니티 검토는 민감한 토폴로지를 요구하지 않고도 불변 조건이 의미 있는지 검증할 수 있다.

ARIN의 장애 조치 시험은 이미 올바른 직관을 보여준다. 서비스를 명명하고 프로덕션에 개입했으며 복구 순서를 공개했다. 의존성 질문은 훈련과 질문이 서로 다른 수준에 있기 때문에 여전히 열려 있다. 두 가지를 신중히 연결하면 좋은 운영 결과가 지속 가능한 제도적 증거로 바뀔 것이다.

출처