요약

  • 2026년 9월 30일 현재 ARIN의 RPKI 등록 조직은 9,673곳으로 1년 전 7,612곳보다 27% 늘었다. Hosted RPKI 조직 중 약 1,195곳은 ROA를 하나도 만들지 않았다.
  • 가입과 리소스 인증서는 어느 ASN이 어느 프리픽스를 기원지로 광고해도 되는지 정하지 않는다. 보유자가 ROA를 작성·서명한 뒤 저장소 게시, 검증, 실제 BGP 경로와의 대조가 이어진다.
  • ARIN이 제시한 할당 IPv4 블록의 RPKI 적격률 94%와 인터넷 광고에 나타난 등록 블록의 RPKI Valid 비율 59.4%는 서로 다른 집합을 센다.

ARIN의 제58차 회의 라우팅 보안 발표 7쪽은 한 화면에 두 개의 성적표를 붙였다. 왼쪽에는 2025년 3분기 7,612곳에서 2026년 3분기 9,673곳까지 올라간 RPKI 등록 조직 수가 있다. 중간 분기 값도 8,140, 8,602, 9,106으로 매번 증가한다. 오른쪽에는 Hosted RPKI 이용 조직 중 ROA가 있는 곳 약 8,300, 한 장도 없는 곳 약 1,195가 표시돼 있다. 후자는 대략 일곱 곳 중 한 곳이다. 기준일은 2026년 9월 30일이다.

두 그래프를 한 줄로 섞으면 이야기가 흐려진다. 9,673은 RPKI에 등록한 전체 조직을 가리킨다. 일곱 곳 중 한 곳이라는 비율은 Hosted 이용 조직에 붙은 말이다. ARIN에는 인증서 운영을 위임받는 방식과 저장소 게시 서비스도 있다. Hosted의 근삿값 둘을 더한 수가 9,673과 일치하지도 않는다. 1,195를 전체 등록 수로 나눠 정밀한 ‘미보호율’을 발표하면 원자료가 말하지 않은 분모를 만든 셈이다. 정확한 충돌은 이미 충분히 선명하다. 서비스에 들어온 조직 가운데 적지 않은 수가 출발지 승인 문서를 아직 내지 않았다.

그 문서가 ROA다. ARIN의 공식 안내는 특정 IP 프리픽스의 기원지로 어떤 자율시스템 번호를 허용하는지 밝히는 암호학적 서명 객체로 ROA를 설명한다. 보유자는 기원 ASN, 프리픽스, 최대 길이를 정한다. 이 선택은 살아 있는 라우팅 표와 맞아야 한다. ARIN의 운영 지침에는 /16 묶음에 대해서만 승인했는데 실제로는 더 구체적인 /24를 광고하면 그 경로가 Invalid가 될 수 있다는 사례가 있다. 계정을 만든 사람이 버튼을 눌렀다는 사실은 /24의 운명을 정하지 못한다.

Hosted RPKI는 번거로운 장비와 게시 작업을 덜어 준다. ARIN이 인증기관을 운영하고 저장소를 유지하며 객체를 배포한다. 배치 방식 설명에는 보유자가 암호학적 통제를 맡는 Delegated RPKI와, 게시 저장소만 ARIN에 맡기는 선택지도 나온다. Hosted의 편의는 인증기관 운영을 맡긴다는 뜻이지, 고객이 어떤 AS에서 어떤 프리픽스를 광고할지 ARIN이 대신 결정한다는 뜻이 아니다. 그 결정을 내려야 하는 조직이 멈춰 있으면 인증서는 있어도 ROA 목록은 비어 있다.

경영진이 봐야 할 것은 단계별 영수증이다. 우선 자원이 계약 아래 있어 RPKI에 적격해야 한다. 다음으로 서비스 가입과 인증서가 이어진다. 그런 뒤 실제로 맞는 ROA를 서명하고 저장소에 올린다. 검증기가 객체와 BGP 광고를 비교하고, 네트워크는 검증 결과를 운영에 반영한다. 담당자와 실패 지점이 단계마다 다르다. 등록 9,673곳은 입구의 확장을 증명한다. Hosted 약 1,195곳의 ROA 0건은 그 뒤의 핵심 절차가 끝나지 않았음을 보여 준다.

자료 10쪽의 두 백분율도 같은 주의를 요구한다. ARIN은 자사가 할당한 IPv4 블록의 94%가 ARIN과의 계약 아래 있어 RPKI를 사용할 수 있다고 적었다. 인터넷에서 광고되는 ARIN 등록 IPv4 블록 가운데 RPKI Valid인 비율은 59.4%라고 따로 적었다. 앞의 기준은 할당 블록, 뒤의 기준은 광고에 나타난 블록이다. 그래프의 16억 4,600만 개 할당 주소, 15억 4,800만 개 계약 대상 주소, 9억 2,000만 개 Valid 주소 역시 서로 다른 단계에 속한다. 94에서 59.4를 빼면 ROA가 없는 조직의 비율이 나오는 식이 아니다. 숫자를 다루는 손이 라우팅보다 먼저 길을 잃을 수 있다.

ARIN은 ROA가 없는 약 1,195곳 각각의 가입 시점, 광고 중인 프리픽스, 미작성 이유를 함께 공개하지 않았다. 그 표가 있으면 신규 가입자와 승인할 경로가 없는 조직, 배치가 중단된 조직을 가를 수 있다. 지금 확실한 것은 가입과 서명된 출발지 승인 사이의 간격이 계측됐다는 점이다. 그 간격을 ‘도입 확대’라는 한 문장에 묻어 두면 누가 다음 작업을 해야 하는지 사라진다.

ARIN 58 공식 자료 페이지는 발표자를 고객 기술 서비스 책임자 Brad Gorman으로 기록한다. 서비스를 운영하는 기관이 스스로 제시한 수치다. 운영자는 의도한 ROA가 저장소에 실제로 보이는지, 검증기에서 어떻게 판정되는지, 현행 광고와 일치하는지 확인할 수 있다. 이사회가 받아야 할 자료도 그런 연속된 기록이다. 출입증은 경로의 서명이 아니다.