요약

  • ARIN의 2026년 4월 엔지니어링 보고서는 RPKI 신뢰 앵커 제약을 계획된 개선 사항으로 언급했지만, 관련 IETF 문서는 여전히 진행 중인 인터넷 초안이며 근거는 운영 환경 배포를 보여주지 않는다.
  • 제안된 방식은 의도적으로 최종 제약을 각 의존 당사자(relying party)에게 남겨둔다. ARIN의 일일 레지스트리 데이터와 그 로컬 파일 사이에는 컴파일, 서명, 패키징, 갱신, 설치 결정이 있으며, 이는 검증기가 수용하는 내용을 실질적으로 바꿀 수 있다.
  • 좁은 범위의 버전화 배포 영수증은 라우팅 권한을 ARIN, NRO, 운영체제 공급업체나 검증기 유지자에게 이전하지 않으면서도 이러한 결정을 드러낼 수 있다.

신뢰 앵커 옆의 여섯 달 공백

현재 제안에서 가장 영향력 큰 문장은 암호학에 관한 것이 아니다. 패키지 유지보수에 관한 것이다. 운영체제나 서드파티 패키지와 함께 배포되는 제약 목록의 저자들은 사용자가 갱신에 최대 여섯 달까지 걸릴 수 있음을 전제하도록 권고받는다. 이는 릴리스 엔지니어링을 위한 여유이지, 설치 기반에 대한 측정이 아니다. 그러나 이 문장은 정확한 레지스트리 진술이 부정확한 운영 통제로 변질될 수 있는 지점을 짚어준다.

레지스트리 간 이전이 9월에 최종 단계에 도달했다고 상상해 보자. 원천 레지스트리의 현재 보유 데이터가 바뀌고, 복수 레지스트리 상태가 재구성되며, 제약 파일이 컴파일되고 새 패키지가 릴리스된다. 한 운영자는 그날 오후에 설치한다. 또 다른 운영자는 다음 달 이미지를 따른다. 세 번째는 장기 지원 저장소에 고정되어 겨울까지 받지 못한다. 세 운영자 모두 자신들이 신뢰 앵커 제약을 사용한다고 말할 수 있다. 그러나 그 순간 세 곳은 동일한 신뢰 경계를 갖지 않는다.

이 차이는 레지스트리 웹사이트의 최신 파일을 가리키는 것으로 해결되지 않는다. 실질적인 통제는 신뢰 앵커 로케이터 옆에 설치된.constraints파일이며, 특정 검증기 버전으로 해석되고 운영자 자신의 라우팅 정책과 결합된다. 슬라이드, 일일 통계 보고서, 서명된 업스트림 상태는 각각 정확할 수 있지만 배포된 제약은 여전히 오래된 것이다. 반대로 로컬 운영자는 인시던트 중 이전 상태를 의도적으로 유지하거나 재정의할 수 있다. 따라서 운영적 질문은 단순히 제약이 존재하는가가 아니다. 어떤 제약이, 어떤 근거로부터 만들어져, 어떤 검증기에, 언제, 누구의 결정으로 도달했는가이다.

ARIN이 실제로 약속한 것

2026년 4월 ARIN 57에서 엔지니어링 보고서는 계획된 공개 RPKI 강화 항목에 신뢰 앵커 제약을 포함했다. 그 시점은 계속되는 IETF 표준 작업과 연계되었다. 다음 슬라이드는 지원 활동을 Number Resource Organization 아래에 두었다. 확장 통계는 각 레지스트리 내부의 자원을, 확장 이전 로그는 레지스트리 간 이동을 기술하며, 그 자료가 이미rpki-client에 구현된 IETF 제약 방식을 지원한다는 것이다.

회의 기록은 이해하기 쉬운 비유를 제공했다. 제안된 자원 목록은 각 지역 레지스트리 아래에 무엇이 인가되는지를 말하며, RPKI 안의 접근 통제 목록처럼 기능한다. 발표자들은 초안과 동작하는 클라이언트 코드가 진행 중이라고 했다. 이는 조율된 엔지니어링의 의미 있는 증거다. 그러나 릴리스 기록도, 설치 인구조사도, 특정 의존 당사자가 이 기능을 활성화했다는 증명도 아니다.

이 경계가 중요한 이유는 표준 지위가 아직 잠정적이기 때문이다. 2026년 8월 9일자draft-ietf-sidrops-constraining-rpki-trust-anchors-01은 SIDROPS 워킹 그룹의 활성 인터넷 초안이며, 기록된 IESG 상태는 “I-D Exists”이다. RFC가 아니다. NRO의 구성·서명 제안도 역시 초안이다. 구현은 최종 표준화에 앞서 유용할 수 있으나, 운영적 서술은 논의 중인 설계, 이용 가능한 코드, 배포된 구성 통제 사이의 구분을 유지해야 한다.

인증서가 왜 광범위해졌는가

신뢰 앵커 제약은 부분적으로 이전의 안전 결정이 만든 위험을 다룬다. 2017년 9월, ARIN은 다른 지역 레지스트리들과 협조해 신뢰 앵커 인증서를 전 자원(all-resources) 형태로 변경했으며, ARIN 공지에서는 이를0/0이라는 축약으로 표현했다. 신뢰 앵커 로케이터는 바뀌지 않았다. 광범위한 인증서는 RIR 간 이전 중 일시적 불일치가 대규모 무효 RPKI 산출물로 확산되는 것을 막는 데 도움이 되었다.

현재 IETF 초안은 다섯 RIR의 신뢰 앵커 인증서 모두가 모든 IPv4, IPv6, 자율 시스템 자원을 포괄한다고 기록한다. 이 광범위성은 보편적 행정 권한에 대한 우연한 요구가 아니다. 연속성 메커니즘이다. 레지스트리 기록이 이동 중 일시적으로 어긋날 때 암호 계층 구조는 계속 검증할 수 있다. 대가는 신뢰 앵커가 기술적으로 레지스트리의 현재 보유 범위 밖 자원에 대한 산출물을 발행할 수 있다는 점이다. 로컬 제약은 이 광범위한 암호 역량을 의존 당사자가 앵커 아래 기대하는 자원 집합으로 좁힌다.

이것은 의도된 연속성 예외 뒤에 적용되는 최소 권한 원칙이다. 알려진 ARIN 남용의 수리로 서술해서는 안 된다. 근거는 아키텍처적 노출과 형성 중인 통제를 확립할 뿐, 관찰된 인시던트가 아니다. 이 통제의 가치는 실수, 침해 또는 부적절한 행동의 결과를 제한할 수 있다는 데 있다. RFC 8211은 인증 기관과 저장소 관리자의 이러한 부적절한 행동을 검토하며, RFC 6480은 신뢰 앵커의 선택을 각 의존 당사자에게 남겨둔다.

로컬 파일이 정책 객체다

현재 SIDROPS 초안은 제약을 의존 당사자 운영자가 앵커가 다룰 것으로 예상하는 IP 접두사·범위와 AS 식별자·범위의 합집합으로 정의한다. 구성은allow와deny항목을 사용한다. deny가 우선하며, 같은 종류의 항목은 겹칠 수 없고, 순서는 결과를 바꾸지 않으며, 명시적으로 허용되지 않은 모든 것은 암묵적으로 거부된다.

강제는 검증기가 최종 엔터티(end-주체) 인증서를 검사할 때 발생한다. 해당 인증서에 나열된 모든 자원이 관련 신뢰 앵커에 대한 로컬 제약에 포함되지 않으면 처리를 중단하고 인증서를 무효로 취급해야 한다. 이는 최종 엔터티 인증서가 자원을 명시적으로 나열하는 ROA, ASPA, RPKI Signed Checklist, BGPsec 라우터 인증서, geofeed 객체에 영향을 줄 수 있다. 상속 자원을 사용하는 매니페스트, Ghostbusters 기록, 서명된 TAL에는 같은 방식으로 적용되지 않는다.

OpenBSDrpki-client매뉴얼은 배포 표면을 구체화한다..constraints파일은.tal파일과 같은 basename을 공유할 수 있다. 인접성은 시각적으로 단순하지만 출처 체인은 다르다. TAL은 앵커를 식별한다. 제약 파일은 그 앵커가 발행해야 할 것에 대한 로컬 기대를 주장한다. 다른 쪽에 대한 읽을 수 있는 기록 없이 한쪽만 갱신하면, 운영자는 객체가 수용에서 거부로 넘어간 이유를 설명할 수 없게 될 수 있다.

초안은 또한 의도적으로 구체적인 정책 지식을 담고 있다. ARIN 커뮤니티가 지역 간 IPv6 이전을 위한 ARIN-2019-4 정책을 폐기했으므로, ARIN 할당 IPv6 자원은 정상적으로는 다른 RIR의 앵커 아래 나타나서는 안 된다는 것이다. 사적 사용, 문서화 및 특정 예약 자원은 어떤 RIR 앵커 아래에도 나타나서는 안 된다. 이 규칙들은 제약을 단순한 전체 할당 표의 복사본 이상으로 만든다. 레지스트리 상태, 정책 범위, 예외를 컴파일한 해석이다.

매일이 곧 완전하다는 뜻은 아니다

ARIN은 확장 위임 통계를 매일 공개한다. 이 파일은 NRO 형식으로 IPv4, IPv6, ASN 분배를 기록한다. ARIN은 또한 무엇을 빼놓는지 밝힌다. 재할당과 재지정은 포함되지 않는다. NRO 형식은 여러 보고서를 결합하면 중복과 공백을 드러내고, 이전된 주소 상태를 표시하며, 할당되지 않은 자원의 행정적 책임을 식별할 수 있기 때문에 유용하다. 그러나 일일 타임스탬프가 그 입력을 자동 실행 정책으로 바꿔주지는 않는다.

첫째, “매일”은 갱신 주기를 말할 뿐, 모든 업스트림 이벤트의 나이나 다운스트림 소비자가 가져온 시각이 아니다. 둘째, 위임 관점은 이전 장부와 같지 않다. 셋째, 컴파일러는 기록, 예약 범위, 정책 예외를 정렬된 자원 집합으로 변환하는 방식을 선택해야 한다. 넷째, 패키지 유지자는 결과를 릴리스해야 한다. 마지막으로 의존 당사자는 이를 설치하고 강제할지 결정해야 한다.

ARIN 57은 아직 개발 중인 사양의 확장 이전 로그를 언급함으로써 누락된 이동 기록을 인정했다. 올바른 제약에는 보유에 대한 관점과 이동 중 자원을 표현하는 방식이 모두 필요하다. 이전 상태만을 권위적으로 취급하면, 전 자원 인증서가 피하도록 설계된 가용성 문제를 정확히 만들어낼 수 있다.

하나의 이전에는 하나 이상의 정직한 상태가 있다

NRO 제안인draft-nro-sidrops-ta-constraints-00은 이전 순서를 명시적으로 만든다. 서명된 Resource Distribution State, Event, Consensus 객체를 기술한다. 초기 자원 집합은 참여자 간 서로 겹치지 않아야 한다. 이전은 개시, 수신자 수용, 원천 확정 단계를 거친다.

수신자 수용 후 확정 전 사이에는 두 앵커 모두 자원을 보유하는 것으로 취급될 수 있다. 이 일시적 중복은 수신자가 가용성 공백을 열지 않고 일치하는 서명 산출물을 만들 수 있게 한다. 확정은 제약 검증에 대해 수신자를 유일한 보유자로 만든다. 확정이 오류라면, 초안은 역사를 단순히 지울 수 있다고 가장하지 않는다. 보상 이전으로 자원을 되돌릴 수 있다.

이것은 날카로운 패키징 문제를 만든다. 컴파일러가 월요일에 개시, 화요일에 수용, 수요일에 확정을 본다고 하자. 화요일에 잘라낸 제약 패키지는 두 앵커 모두 아래에서 자원을 허용할 수 있다. 목요일 패키지는 정상적으로는 수신자 아래에서만 허용해야 한다. 어느 파일도 본질적으로 손상되지 않았다. 하나는 더 오래되었고 다른 이전 단계에 대응할 뿐이다. 패키지 버전만 남는다면, 거부를 조사하는 운영자는 그 차이가 원천 타이밍, 합의 처리, 컴파일러 논리, 릴리스 지연 또는 로컬 재정의 중 어느 것에서 왔는지 알 수 없다.

서명된 NRO 상태는 채택된다면 업스트림 출처를 강화할 것이다. 그러나 의존 당사자의 로컬 선택을 폐지하지는 않는다. IETF 초안은 그 상태를 강제 설치 정책이 아니라 가능한 입력으로 기술한다. 이것이 올바른 분리다. 복수 레지스트리 합의는 레지스트리들이 공동으로 주장하는 바를 말할 수 있다. 그것이 모든 네트워크의 최종 경로 정책 결정으로 조용히 변해서는 안 된다.

빠져 있는 영수증

유용한 배포 영수증은 권한을 붕괴시키지 않고 체인에 연결될 것이다. 원천 쪽에서는 각 보유 및 이전 파일, 그 타임스탬프, 암호 해시를 식별한다. 사용된 사양과 스키마 버전, 컴파일러 식별, 재현 가능 빌드 참조를 기록한다. NRO 상태가 서명되어 있다면 영수증은 서명자를 명시하고 검증이 성공했는지 보고한다.

각 신뢰 앵커에 대해 영수증은 IPv4, IPv6, ASN 자원 집합별로 별도 해시를 공개한다. 이전 식별자와 단계는 일시적 이중 앵커 허용을 설명한다. 패키징 섹션은 패키지 이름, 버전, 빌드 시각, 채널을 기록한다. 설치 섹션은 운영자가 언제 설치했는지, 로컬 재정의가 있었는지, 검증기 구현과 버전, 실제로 로드된 제약의 해시를 기록한다.

마지막 섹션은 의도가 아니라 효과를 기술한다. 제약 때문에 수용 또는 거부된 객체 수를 객체 클래스별로 나누어 기록하고, 경보와 기준 나이, 마지막 정상 상태, 테스트된 폴백 또는 롤백 결정을 담는다. 운영자의 실질적 결정 시각이 기록을 닫는다. 이 중 어느 것도 라우터 구성이나 민감한 트래픽 데이터의 공개를 요구하지 않는다. 집계 수와 해시는 로컬 정책을 로컬에 두면서 상태를 비교 가능하게 만든다.

이런 영수증은 오류 문구도 개선한다. “ARIN이 이 ROA를 거부했다”는 서술은 다른 곳에서 조립·패키징된 제약을 사용하는 로컬 검증기가 최종 엔터티 인증서의 처리를 중단했을 때 흔히 잘못된 표현이다. 영수증은 실제 결정 지점들을 명명할 수 있다. 레지스트리 기록, 서명된 다자간 진술, 컴파일러 출력, 패키지 릴리스, 설치, 로컬 강제 선택을 구분할 수 있다.

근거가 보여주지 않는 것

여기서 ARIN이 의존 당사자를 위한 제약을 배포했다거나, 모든 검증기가 공통 NRO 목록을 소비한다거나, 오래된 패키지가 라우팅 인시던트를 일으켰다는 주장의 근거는 없다. 여섯 달 수치는 유지자를 위한 설계 가정이지 측정된 중앙값이 아니다. 일일 통계 파일은 모든 다운스트림 할당 세부를 포함하지 않으며, ARIN 57에서 언급된 이전 로그 사양은 아직 개발 중이었다.

또한 제약 거부가 곧 경로 철회를 뜻하지는 않는다. RPKI 검증은 네트워크가 경로 정책에 사용할 수 있는 정보를 산출하며, 행동은 운영자가 결정한다. 서로 다른 산출물과 구성은 결과를 다르게 드러낼 수 있다. 제약은 하나의 서명 객체가 검증된 페이로드에 기여하지 못하게 할 수 있으나, 경로 수준의 결과는 남아 있는 RPKI 상태와 운영자 정책에 달려 있다.

따라서 영수증 제안은 기존의 ARIN 또는 IETF 요구가 아니라 제도적 권고다. 그 목적은 소박하다. 불투명한 패키지 나이 문제를 검사하고, 비교하고, 되돌릴 수 있는 근거로 바꾸는 것이다.

출처