요약

  • 162.55.80.0/24에 대한 위조 발원지 경로 광고는 경로 끝에 Hetzner의 AS24940을 유지했으며, 관대한 ROA 아래에서 RPKI Valid 판정을 받았고, 공격자가 Softaculous 도메인에 대한 유효한 TLS 인증서를 획득하는 데 도움을 주었다.
  • Virtualizor는 368개의 RIPE RIS 피어를 통해 경로를 재구성했지만, 공격자가 제공한 업데이트 응답은 자사 로그에 전혀 기록되지 않았다고 밝히며, 영향을 받은 설치의 확정 목록을 제시할 수 없다고 말했다.
  • 결여된 증거 개체는 프라이버시에 안전한 업데이트 소비 영수증이다. 즉 요청한 버전, 서명된 매니페스트, 패키지 다이제스트, 수용한 키, 검증 결과, 설치 또는 롤백 결과를 결합하는 로컬 기록이다.

인프라 사건 이후 사후 분석에서 가장 큰 숫자를 영향 규모로 취급하고 싶은 유혹이 있다. Softaculous와 Virtualizor 사건에서 그 숫자는 368이다. Virtualizor는 사건 기간 어느 시점에 자사 RIPE Routing Information Service 표본의 368개 피어 전부가 하이재킹된 경로를 전달했다고 밝혔다. 인상적인 통계다. 그러나 이는 고객, 서버, 다운로드 또는 침해의 수가 아니다.

이 구분이 중요한 이유는 이 사건이 네 가지 증거 체계를 통과하면서 어느 두 체계에도 동일한 흔적을 남기지 않았기 때문이다. BGP 수집기는 경로를 관측했다. 인증서 기관은 인증서를 기록했다. 공격자의 서버는 우회된 요청에 응답했다. Virtualizor 설치는 업데이트 패키지에 대해 로컬에서 판단을 내렸다. 앞의 두 계층은 외부에서 검사할 수 있다. 세 번째는 공격자가 통제했다. 네 번째는 고객 기기에 존재했다. 수사적 확신을 아무리 쌓아도 하나의 분모를 다른 분모로 바꿀 수는 없다.

LACNIC은 9월 10일 Kentik 분석의 스페인어판을 게시했다. 해당 페이지는 유용한 지역 뉴스 계기이지만, LACNIC이 영향을 받은 인프라를 운영했거나 모든 결론을 지지한다는 증거는 아니다. 페이지는 저자의 견해가 저자 자신의 것이라고 명시하고 있다. Kentik은 공급자의 인시던트 공지와 경로 기록에 근거한다. 여기서 귀속은 증거 규율의 일부다. 레지스트리는 사건을 게시했고, Kentik은 경로를 분석했고, Virtualizor는 애플리케이션 영향을 설명했다.

경로 기록이 입증할 수 있는 것

2026년 8월 28일 약 20:57 UTC에162.55.80.0/24가 전역 라우팅 테이블에 나타났으며, AS 경로 끝은6204 62390 24940이었다. 이 /24는 Hetzner의 평소162.55.0.0/16보다 더 구체적이었다. 두 경로가 모두 수용된 곳에서는 최장 프리픽스 매칭에 따라 /24에 대한 트래픽이 새 광고 쪽으로 향했다.

경로는 명목상 발원지로 AS24940, 즉 Hetzner를 유지했다. 해당 프리픽스를 커버하는 Route Origin Authorisation은 AS24940을 허용했고 최대 /24까지의 프리픽스를 허용했다. 따라서 발원지 검증은 거부할 무효한 발원지를 찾지 못했다. 이것이 RFC 9319에서 설명하는 위조 발원지 서브프리픽스 문제다. 악의적인 경로는 승인된 발원지를 붙여 최소 길이가 아닌 승인에 커버되는 주소 공간을 악용할 수 있다. RPKI 발원지 검증은 설계된 질문에 답했다. 경로상 모든 홉의 진실을 증명하지는 않았다.

그렇기 때문에 "RPKI Valid"라는 표현은 안전 라벨이 아니라 범위가 한정된 판정으로 읽어야 한다. 유효한 발원지는 마지막 AS와 프리픽스 길이가 공개된 승인에 부합한다는 말일 뿐이다. AS62390이 승인된 업스트림인지, 그 앞의 인접성이 실재했는지, 종단이 예상된 운영자에 속했는지, 연결을 통해 전달된 파일이 신뢰할 수 있는지는 말해 주지 않는다. RFC 9319는 가능하면 최소 ROA를 권고하는데, 엄격한 프리픽스 커버가 이 특정한 미사용 서브프리픽스 개구부를 제거하기 때문이다. 다만 최소 ROA가 전체 경로 검증을 제공한다고는 주장하지 않는다.

Virtualizor는 사건 기간을 8월 28일 약 20:57 UTC부터 8월 30일 약 06:10 UTC까지로 본다. 재구성은 11시간의 공백으로 구분된 두 개의 활성 파동을 서술한다. 전체 구간에서 약 10,600건의 경로 철회가 보고되었는데, 이는 10분짜리 표본이 연속적인 영화가 아니라는 점을 상기시킨다. 공급자는 또한 8시간 간격 라우팅 테이블 덤프에 맞춘 스냅샷이 더 신뢰할 수 있으며, 그 사이의 스냅샷은 심한 플래핑 중 가시성을 과소 계상할 수 있다고 언급한다.

368개 피어 결과에는 또 다른 한정이 붙는다. 368개 피어 전부가 어느 시점에 하이재킹 경로를 전달했지만, 전부 동시에 그랬던 것은 아니다. 활성 파동 기간 보고된 최고치는 전체 피어 집합의 약 72%였다. 그 퍼센트조차 토폴로지 프록시다. 이는 관측된 피어 중 최적 경로가 하이재커를 통과한 비율을 서술할 뿐, 트래픽 양이 아니다. 한 피어 뒤의 소규모 고객 서버는 다른 피어 뒤의 초대형 네트워크와 동등하지 않다. 이 측정치의 가치는 한계가 그대로 부착되어 있을 때 가장 높다.

인증서가 증명하는 것과 증명하지 않는 것

우회된 인프라는 인증서 검증 트래픽에도 응답했다. Virtualizor에 따르면 공격자는 Softaculous 제품군 전반의 이름, 업데이트 엔드포인트를 포함해 기술적으로 유효한 TLS 인증서를 획득했다. 따라서 우회 경로를 따르는 클라이언트는 인증서 경고 없이 암호화된 연결을 완성할 수 있었다. 암호화는 라우팅 시스템이 전달한 엔드포인트로의 세션을 보호했을 뿐, 의도된 엔드포인트를 복원하지는 않았다.

Multi-Perspective Issuance Corroboration은 이 공격을 더 어렵게 만들기 위해 설계되었다. 단일 검증 경로를 신뢰하는 대신, 인증서 기관은 원격 관점에 도메인 통제를 교차 확인하도록 요구한다. 관련 검사에 대해 2026년 6월 15일부터 효력이 발생한 현재 CA/Browser Forum 요구사항은 최소 4개의 원격 관점과 최소 2개의 RIR 서비스 지역에 걸친 교차 관점을 요구한다. Let's Encrypt는 이 핵심 위협을 명확히 설명했다. 검증 경로를 하이재킹하거나 우회할 수 있는 공격자는 단일 관측 지점을 속일 수 있다.

여기서 인증서가 발급되었다고 해서 MPIC이 무의미해진 것은 아니다. Kentik의 주장은 더 좁다. 논쟁 없이 널리 전파된 더 구체적인 경로 때문에 원격 관점들조차 공격자의 응답을 볼 수 있었다는 것이다. 쿼럼은 불일치를 만들어 국지적 거짓에 방어력을 제공한다. 그러나 거짓이 공통된 관점이 되면 쿼럼은 잘못된 엔드포인트에 동의할 수 있다. 엄격한 ROA, 경로 모니터링, 경로 인식 통제, 다양한 인증서 관점은 상호 보완적으로 유지되어야 하며, 어느 하나도 다른 계층을 불필요하게 만드는 계층으로 판매되어서는 안 된다.

증거는 업데이트 엔드포인트에서 사라진다

Virtualizor에 따르면 악의적인 업데이트 패키지가 소수, 손꼽을 정도의 설치에 도달했다. 그러면서도 확정 목록을 제시할 수 없다고 밝혔다. 그 설명은 운영적으로는 신뢰할 만하고 제도적으로는 불편하다. 악의적인 응답은 공격자가 제공했으며 공급자의 로그에 전혀 도달하지 않았다는 것이다.

평범한 서버 로그는 그 로그를 작성한 서버로의 방문 기록이다. 성공적인 우회가 일어난 동안 정상 서버 로그에 요청이 없다는 것은 요청이 없었다는 증거가 아니다. 요청이 다른 곳으로 갔다는 증거일 수 있다. 이는 익숙한 인시던트 대응 직관을 뒤집는다. 기록 체계는 공격자가 성공한 바로 그 순간에 가장 불완전해진다.

평소 업데이트 워크플로우가 그 사각지대를 넓혔다. Virtualizor 문서에 따르면 자동 업데이트가 비활성화되어 있지 않으면 제품은 24시간마다 자동으로 업데이트를 확인하며, 관리자는 패널이나 명령줄로도 업데이트를 실행할 수 있다. 약 22시간의 활성 구간 동안 어느 설치가 확인을 실행했는가? 그 요청 가운데 어느 것이 우회 구간을 통과했는가? 어느 다운로드가 완료되었는가? 어느 패키지가 수용되었는가? 어느 설치가 실행되었는가? 경로 기록은 이 질문에 답할 수 없고, 정상 발원지의 접속 로그는 공격자의 답을 볼 수 없다.

공급자의 공개 자료에 따르면 당시 업데이트 클라이언트는 업데이트 패키지를 암호학적으로 검증하지 않았다. 공급자는 패키지 서명을 약속했다. 그것이 필요한 첫 수리다. 클라이언트는 서명된 메타데이터, 다이제스트, 버전 또는 승인된 키가 일치하지 않는 패키지를 거부해야 한다. 전송 보안이 특권적인 업데이트 코드의 유일한 진본성 검사여서는 안 된다.

그러나 서명 검증과 인시던트 귀속은 같은 통제가 아니다. 서명은 향후 서명되지 않은 패키지가 실행되는 것을 막을 수 있다. 그러나 그것만으로는 운영자나 공급자에게 이전 구간 동안 모든 설치에서 무슨 일이 있었는지 알려 주지 못한다. 서명이 배포된 이후에도 조사자는 클라이언트가 버전 X를 요청했는지, 다이제스트 Y를 받았는지, 키 Z를 수용했는지, 패키지를 거부했는지, 설치했는지, 격리했는지, 롤백했는지 알아야 한다.

결여된 개체는 설치 영수증이다

겸손한 해법은 판단이 이루어지는 지점에 기록되는 영수증이다. 각 업데이트 시도마다 설치는 업데이트 채널과 요청한 버전, 요청 시각, 서명된 매니페스트 다이제스트, 패키지 다이제스트, 수용된 서명 키 또는 임계값, 검증 결과, 설치·거부·격리·롤백 결과, 그리고 해당 사건과 연동된 이후의 철회 또는 수리 통지를 담는 작고 변조 방지 기록을 보존해야 한다.

이 영수증이 고객의 신원을 공개할 필요는 없다. 운영자의 통제 아래 유지되고, 가명 플릿 식별자를 사용하며, 인시던트 중 필요한 최소한의 증명만 공개할 수 있다. 공급자는 익명화되거나 가명 처리된 영수증을 접수해 타임스탬프가 찍힌 확인을 돌려주는 선택적 확인 서비스를 제공할 수 있다. 대형 운영자는 내부적으로 결과를 집계할 수 있다. 소규모 운영자는 지원용으로 단일 증거 번들을 내보낼 수 있다. 프라이버시는 설계 제약이지 기록을 생략할 명분이 아니다.

이는 자기目的의 텔레메트리가 아니다. 공급자의 진술—"이 매니페스트와 키는 승인되었다"—와 운영자의 진술—"이 기기는 이 패키지를 요청하고, 검증하고, 실행했다"—를 잇는 조인을 만든다. 공격자가 경로와 웹 엔드포인트는 통제하되 서명 키는 통제하지 못했다면, 영수증은 거부를 기록한다. 서명 키가 나중에 철회되면 운영자는 어느 기기가 그것을 수용했는지 식별할 수 있다. 악의적인 패키지가 검증기를 공략했다면, 다이제스트는 그것을 설치한 정확한 모수를 식별한다. 아무것도 설치되지 않았다면 같은 기록이 불필요한 긴급 작업 범위를 좁혀 준다.

영수증은 인시던트 후 범주가 무너지는 흔한 일도 막는다. 경로를 전달한 RIS 피어는 노출 증거다. 우회 구간 중의 업데이트 요청은 전달 기회다. 완료된 다운로드는 획득이다. 성공적인 설치는 실행이다. 침해 지표는 영향 증거다. 이들은 동의어가 아니라 연속적인 필터다. 방어 가능한 인시던트 보고서는 각 수를 자체 분모와 신뢰도와 함께 공개한 뒤, 어떤 조인이 이용 불가능한지 명시해야 한다.

현재 대응을 가장 강하게 옹호하는 관점

Virtualizor는 책임 있는 공급자가 해야 할 몇 가지를 했다. 악의적인 패키지가 전달되었음을 공개했고, 침해 지표를 게시했고, 운영자들에게 자격 증명 순환과 제한을 지시했고, 증거 보존을 요청했고, 인증서 철회를 신청했고, 라우팅 인시던트를 재구성했고, 패키지 서명을 약속했다. Kentik과 LACNIC은 발원지 검증이 경로의 진실을 제공한다고 가장하지 않으면서 엄격한 ROA와 모니터링을 설명하는 데 이 사건을 활용했다. 그것은 상당한 조치들이다.

비판은 인시던트 공지가 합리적으로 가질 수 있는 확실성을 결여했다는 것이 아니다. 생태계가 그동안 판단 지점이 휴대 가능한 기록을 남기도록 요구한 적이 없었다는 것이다. 공격자의 서버가 요청에 응답하는 순간, 공급자의 중앙 로그는 거래 밖으로 나갔다. 남은 증거는 설치 쪽에 속했다. 모수를 알 수 없을 때 모든 운영자에게 점검을 요청하는 것은 신중하다. 그것은 동시에 영수증이 없던 일의 운영 비용이다.

이 사후 분석의 다음 판은 세 개의 장부를 나란히 놓을 수 있어야 한다. 경로 장부는 어느 관점이 어느 경로를 언제 보았는지 보여 준다. 릴리스 장부는 어느 서명된 매니페스트, 패키지, 키가 승인되었는지 보여 준다. 설치 장부는 각 로컬 업데이터가 어떻게 행동했는지 보여 준다. 어느 하나도 다른 것을 대체하지 않는다. 셋이 함께하면 널리 퍼진 경고를 범위가 한정된 수리 목록으로 바꾼다.

출처