요약

  • ARIN은 2026년 9월 30일 RPKI 등록 조직 9,673곳을 발표했다. 전년 대비 27% 증가했지만 Hosted RPKI 조직 약 7곳 중 1곳은 ROA를 하나도 만들지 않았다.
  • 등록은 서비스에 들어가는 첫 단계다. 서명된 ROA는 기원 ASN, 프리픽스, 최대 프리픽스 길이를 지정한다. 실제 커버리지와 경로 검증은 그다음에 측정된다.

계정은 열렸는데, 경로 허가는 비어 있다

대시보드에는 ‘등록 완료’가 뜬다. 하지만 인터넷은 어떤 ASN이 어떤 프리픽스를 광고해도 되는지 아직 듣지 못했을 수 있다. ARIN의 성장 숫자에는 그 작은 틈이 들어 있다.

ARIN 58에서 공개한 9,673은 9월 30일의 RPKI 등록 조직 수다. 1년 새 27% 늘었다. 이어 나온 단서가 헤드라인의 방향을 바꾼다. Hosted RPKI를 쓰는 조직 대략 7곳 중 1곳은 Route Origin Authorization을 하나도 만들지 않았다. 등록 카운터는 달리지만, Hosted 이용자 상당수는 RPKI가 특정 경로의 출처를 선언하는 단계까지 아직 가지 않았다.

ARIN의 연간 보고서에 따르면 2025년 12월 31일 등록 조직은 8,140곳이었다. 98%가 Hosted RPKI를 이용했다. 2025년 신규 등록은 1,839건으로 2021~2025년 가운데 가장 많았다. 2026년 4월 ARIN 57 자료에는 8,403곳, 그리고 등록 조직 약 15%에 ROA가 없다는 수치가 나왔다. 9월 말엔 9,673곳으로 늘었다.

이 숫자는 서비스 문을 통과한 조직 수를 말한다. 실제 광고 중인 자원 가운데 현재 기원 ASN과 일치하는 ROA가 어느 정도인지 말해주진 않는다. 4월 보고서는 ‘등록 조직’, 10월 보고서는 ‘Hosted RPKI 조직’이라고 분모를 달리 적었다. 10월 발표는 ‘대략 7곳 중 1곳’의 정확한 분자와 분모도 공개하지 않았다. 이 표현으로 정확한 조직 수를 역산할 수는 없다. 두 시점의 수치만으로 비율이 내려갔다고도 볼 수 없다.

ROA는 등록 배지가 아니라 경로에 붙는 지시서다

RPKI는 자원 인증서로 시작한다. Hosted 방식에서는 ARIN이 인증기관을 운영하고, 이용 조직이 ARIN Online에 라우팅 정보를 입력한다. ROA에는 기원 ASN, IP 프리픽스, 최대 프리픽스 길이가 들어간다. 해당 ASN이 정해진 범위 안에서 그 블록을 기원으로 광고할 수 있다고 서명해 두는 것이다.

등록은 이 작업을 대신하지 않는다. 계정은 대시보드에 들어가 인증서를 신청하게 해준다. 다음으로 운영자는 보유 프리픽스를 파악하고, 기원 ASN을 하나 이상 고르고, 최대 길이를 정하고, 내용을 확인한 뒤 ROA를 제출해야 한다. ARIN 저장소는 5분마다 공개된다. ARIN FAQ는 새 ROA가 나머지 시스템의 라우팅 결정에 영향을 주기까지 보통 30~60분이 걸린다고 설명한다.

Hosted는 부담스러운 운영 항목을 ARIN에 넘긴다. 인증기관과 저장소를 직접 운영하지 않아도 된다. 대신 어떤 ASN이 어느 경로를 기원으로 광고할지는 네트워크 운영자가 정한다. Hosted 계정에 ROA가 없다면, 서비스 등록은 되어도 공개된 기원 선언은 없는 셈이다.

그다음은 검증자 차례다. Relying party가 저장소를 가져와 객체를 검증하고, 각 네트워크는 그 결과를 라우팅 판단에 활용한다. 공용 시스템이 처리하는 것은 서명된 객체다. 포털 계정 숫자가 아니다.

분모를 공개해야 어디서 막혔는지 안다

‘7곳 중 1곳’은 주의를 끌지만 운영 질문엔 답하지 않는다. 그 조직이 가진 주소는 몇 개인가? 프리픽스 중 실제 광고되는 것은 얼마나 되는가? 상위 사업자가 대신 ROA를 제출해야 하는 자원은 얼마나 될까?

ARIN의 자격 규정 때문에 분모는 꽤 구체적인 문제다. Hosted RPKI는 직접 자원을 보유한 조직을 위한 서비스다. 상위 사업자가 하위 조직에 재할당하거나 재위임한 자원은 하위 조직의 인증서에 그대로 넣을 수 없다. 상위 사업자가 대신 ROA를 제출해야 한다. 조직 수만으로는 ROA 없는 계정이 광고 중인 블록을 보유했는지, 사용하지 않는 자원을 갖고 있는지, 사업자의 허가를 기다리는지 알 수 없다.

ARIN은 등록 수보다 결과에 가까운 지표도 이미 발표한다. 2026년 4월 보고에 따르면 지역 내 RPKI 대상 IPv4 블록의 50%가 ROA로 커버됐다. ARIN에 등록돼 인터넷에서 광고되는 IPv4 블록 중 54%는 RPKI Valid였다. 앞의 비율은 대상 자원 커버리지를, 뒤의 비율은 관측된 광고의 검증을 말한다. 등록 수 하나로 두 질문에 답할 순 없다.

쓸 만한 도입 현황판은 등록 다음 단계를 따라가야 한다. 인증서 발급, 첫 ROA 생성, 대상 프리픽스 커버, 광고 프리픽스의 예상된 검증. 단계마다 분모를 표시하면 어느 곳에서 작업이 멈췄는지 보인다.

도입은 환영 화면 다음부터다

ARIN FAQ는 RPKI를 선택형 서비스라고 설명한다. 동시에 계약을 확정하기 전에 ROA를 요구하는 서비스 사업자가 늘고 있다고 적었다. 도입 여부는 조직이 정하지만, 사업자와의 거래가 시점을 앞당길 수 있다.

첫 ROA를 만들었다고 유지보수까지 끝나는 건 아니다. 프리픽스는 바뀌고, 네트워크는 기원을 추가하고, 자원은 이전된다. ARIN 문서에 따르면 자원 이전이 완료되면 이전된 자원과 해당 ROA는 이전 보유자의 인증서에서 제거된다. Hosted 인증서는 자동 갱신되고 ROA도 90일마다 자동 갱신된다. 갱신은 기존 허가를 이어갈 뿐이다. 새 프리픽스의 허가 필요성을 알아채거나 기원 ASN 변경을 대신 반영하지 않는다.

가장 쓸모 있는 도입 지표는 계정 수가 아니다. 광고 중이며 자격이 되는 자원 가운데, 현재 ROA가 운영자가 의도한 기원 ASN과 프리픽스 길이에 맞는 비율이다. 분모와 관측 날짜, 하위 할당 자원의 처리 기준도 함께 공개해야 한다. 그래야 ‘도입’이 건물에 들어온 사람을 세는 데서 멈추지 않고 안에서 끝낸 작업까지 보여준다.

ARIN은 첫 단계를 간편하게 만들어 거의 1만 조직을 끌어들였다. 공개된 숫자는 다음 제품 질문도 꺼내 놓는다. 그중 몇 곳이 첫 ROA까지 만들었을까? 그 ROA가 광고 중인 주소 공간의 얼마를 덮을까? 답이 나오면 등록 기록은 운영 지표가 된다. 다음 RPKI 보고서도 더 쓸모 있는 숫자를 축하할 수 있다.

1차 자료: ARIN 58 둘째 날 회고 · ARIN 57 둘째 날 회고 · ARIN 2025 연례 보고서 · ARIN Hosted RPKI 안내 · ARIN ROA 안내 · ARIN RPKI FAQ · ARIN RPKI 정보.