삭제된 ROA는 어뷰즈 해소 기록이 아니다

요약

• RIPE 2026-02 제안은 논의 중인 안이며, 채택된 정책이 아니다. 촉발 조건은 지속된 차단 목록 기록이고, 첫 번째 해소 수단은 목록에서의 삭제 또는 검증된 격리다.
• 제3.6조는 다른 한 쌍의 복원 신호를 사용한다: 차단 목록에서의 삭제 또는 RPKI가 관련된 경우 ‘적절한 ROA’의 삭제. 문안은 그 연결 관계를 정의하지 않는다.
• ROA는 특정 자원 보유자가 나열된 프리픽스로의 경로를 어떤 자율 시스템이 발신하도록 승인했는지를 나타낸다. 그 자체로는 피싱 호스트, 멀웨어 배포 서비스, 스팸 시스템 또는 기타 주장된 활동이 중단되었다는 증거가 아니다.

분석

하나의 절차, 세 가지 증거 질문

RIPE 커뮤니티는 인프라 수준 네트워크 어뷰즈에 관한 새 제안 논의를 시작했다. 초안의 첫 버전 날짜는 2026년 10월 13일이며, 공식 상태 페이지는 11월 11일까지 논의 기간을 표시한다. 이 시점의 공개 기록 어디에도 채택, 시행 또는 이 제안에 따라 처리된 사례가 나타나지 않는다. 문서는 제안된 의무를 기술하며, 제안이 절차를 완료하기 전까지는 현재의 RIPE 정책과 운영이 기준점으로 남는다.

초안은 지속된 인프라 수준 활동의 네 가지 형태를 열거한다: 전용 DDoS 명령·제어(C2) 아키텍처, 체계적인 멀웨어 호스팅 및 배포, 피싱 사이트 배치 네트워크 또는 호스팅 팜, 체계적인 자동화 스팸 봇넷 인프라. 이를 개별 가정용 기기 침해와 구별하고, 보유자 또는 글로벌 라우팅 레지스트리가 지정한 가정용·동적 가입자 풀은 명시적으로 제외한다.

이렇게 한정된 범위는 실질적인 설계 특징이다. 제안은 또한 제한이 시작되기 전에 문서적 경로를 정의하려 한다: 영향받는 네트워크 운영자 또는 국가 CERT가 RIPE NCC에 제출하는 티켓; 승인된 인프라 차단 목록에서 나온 텔레메트리; 타임스탬프 또는 서명; 그리고 30일 순환 창 안에서 누적 14일의 관측. 보안 워킹 그룹이 목록 레지스트리를 관리하며, 객관적인 자동화 텔레메트리, 가정용 네트워크 제외, 공개 과거 아카이브가 승인 조건이다.

이후 절차는 하나로 합쳐져서는 안 될 세 가지 질문을 통과한다:

이는 차단 목록이 쓸모없거나 지속된 신고 이후 관리 절차가 절대 따라서는 안 된다는 주장이 아니다. 질문은 같은 사례가 각 단계에서 동일하게 측정되고 있는지에 관한 것이다. 제3.1조는 목록 이력을 중심으로 구성되어 있다. 제3.4조는 목록 변경 또는 검증된 격리 조치 중 하나를 인정한다. 제3.6조는 목록으로 돌아가거나 라우팅 권한 부여 기록을 도입한다. 초안은 마지막 분기가 격리를 증명하는지, 경로 발신 주장을 구제하는지, 아니면 별개의 관리적 지름길로 기능하는지 밝히지 않는다.

ROA는 더 좁은 질문에 답한다

RFC 9582는 경로 발신 권한 부여(Route Origin Authorization)의 목적을 정의한다: 주소 블록 보유자가 하나 이상의 프리픽스로의 경로를 어떤 자율 시스템이 발신하도록 승인했음을 신뢰 당사자가 검증할 수 있게 한다. 이는 중요한 인프라 증거다. 특정 권한 부여 관계를 식별한다. 그러나 그 주소에서 어떤 서비스가 운영되었는지, 어떤 트래픽을 생성했는지, 호스트가 침해되었는지, 또는 운영자가 신고를 받은 뒤 시스템을 격리했는지는 기술하지 않는다.

RPKI가 어뷰즈 주장과 관련될 수 있는 상황도 있다. 신고가 보유자가 승인하지 않은 경로 발신에 관한 것이거나, 라우팅 권한 부여가 주장된 메커니즘의 일부인 프리픽스에 관한 것일 수 있다. 이 경우 정확한 프리픽스, 발신 AS, ROA와 통지를 식별하면 권한 부여의 삭제 또는 교체가 의미 있는 통제 조치가 될 수 있다. 그러나 제안이 열거한 네 가지 위협 유형이 모두 경로 발신 주장은 아니다. 피싱 호스팅 팜은 유효한 경로를 통해 접근 가능할 수 있다. ROA의 존재는 그 ROA가 기술된 행위를 가능하게 했는지 독자에게 알려주지 않는다.

초안은 두 개의 핵심 연결을 규정하지 않은 채로 두었다. 무엇이 통지를 ‘RPKI가 관련된’ 사례로 만드는가? 그리고 보유자가 여러 프리픽스, 발신 AS 또는 권한 부여를 가질 때, 무엇이 삭제할 ‘적절한’ ROA를 결정하는가? 이는 용어의 세부 문제가 아니다. 운영자가 무엇을 변경하라고 요구받는지, RIPE NCC가 공개 상태 해제의 근거로 무엇을 받아들일지를 결정한다.

ROA를 삭제하면 권한 부여 기록이 변경된다. 주변 권한 부여 데이터와 로컬 라우팅 정책에 따라, 경로 발신 검증을 사용하는 네트워크가 경로 광고를 평가하는 방식에 영향을 줄 수 있다. 출처들은 하나의 균일한 라우팅 결과를 확립하지 않는다. 더 중요하게는, 그 어떤 가능한 결과도 차단 목록이 주장한 서비스 행위가 중단되었음을 증명하지 않는다. 호스트나 서비스는 활성 상태로 남아 있는 가운데 경로는 덜 승인된 상태가 될 수 있다; 또는 보유자가 신고와 무관한 이유로 ROA를 제거할 수도 있다. 초안은 RPKI 객체의 존재를 부정행위의 설명으로 취급하는 대신, 사례별 관계를 요구해야 한다.

연락처 정책은 제안된 집행 경로가 아니다

RIPE-705는 연락처 계층을 다룬다. 관련 자원 레코드에 어뷰즈 연락처 속성을 요구하고, 어뷰즈 메일박스를 지정하며, 그 메일박스를 신고 접수에 개방하고, 기존 정책과 절차에 따라 연간 검증과 후속 조치를 요청한다. RIPE NCC의 abuse-c 설명 문서는 그 목적을 신고가 적절한 자원 보유자에게 도달하도록 돕는 것으로 기술한다.

이는 새 제안이 의도한 메커니즘과 다르다. 연락처 기록은 신고를 전달하는 데 도움을 준다; 신고가 올바른지, 운영자가 프리픽스를 격리했는지, 어떤 레지스트리 제한이 따라야 하는지를 결정하지 않는다. 제안 2026-02는 별도의 관리 체인을 추가한다: 법무·행정·요금 연락처에 대한 통지, 전자 전달 확인일로부터 7영업일의 유예 기간, 그리고 보유자가 명시된 조건을 충족하지 못한 경우 중간 제한과 공개된 미이행 어뷰즈 상태.

초안은 그 제한이 자원 할당을 보존하고 즉각적인 네트워크 접속 차단을 피하기 위한 것이라고 밝힌다. 또한 강력하고 잘 정의된 제한의 세부 사항은 별도의 RIPE 문서에 의존한다고 한다. 이 의존성은 ROA 조항과 함께 주목받아야 한다. 공개 플래그는 할당이 그대로 유지되더라도 다른 당사자들이 보유자의 기록을 해석하는 방식에 영향을 줄 수 있다. 그 증거와 정정 경로가 명확하지 않으면, 상태가 그것을 촉발한 목록 항목보다 더 멀리 퍼질 수 있다.

제안의 근거 설명은 지속된 이행 실패를 계약상 위반으로 규정한다. 이는 제안자의 근거이며, 판결된 법적 결론이 아니다. 공식 RIPE 절차는 여전히 열려 있고 합의에 기반한다; 제안은 논의를 통과하지 못했다. 당면 질문은 초안이 각 상태 변경 전에 어떤 사실을 요구할 것인가이다.

모든 상태에 고유한 접수증을

실행 가능한 설계는 단계적 접근을 유지하면서 모든 통지에 증거 접수증을 요구할 수 있다. 민감한 텔레메트리를 공개할 필요는 없다. 보유자, RIPE NCC 및 검토자가 결정을 재구성할 수 있을 만큼 기록해야 한다:

• 통지 식별자, 제출 주체 유형 및 영향받는 자원;
• 정확한 프리픽스와 목록 항목, 목록 버전, 관측 날짜 및 아카이브 참조;
• 그 프리픽스를 통지를 받은 계정 또는 보유자에게 매핑한 근거;
• 격리가 주장될 경우 구체적인 봉쇄 조치, 소유자 및 검증 방법;
• RPKI가 주장된 메커니즘과 관련되는지 여부, 그리고 쟁점이 되는 정확한 ROA와 권한 부여 관계;
• 목록 삭제 또는 ROA 변경이 조건을 충족하는 이유;
• 전달, 해소, 제한, 정정 및 복원 타임스탬프.

이렇게 하면 네 가지 기록을 분리할 수 있다: 관측된 행위, 경로 발신 권한 부여, 봉쇄, 그리고 레지스트리의 관리 상태. 주장이 경로 발신에 관한 것이라면 ROA 변경이 구제의 일부일 수 있으며, 경로 또는 서비스 상태가 변했다는 증거와 함께 제시되어야 한다. 주장이 호스팅 서비스나 명령·제어 시스템에 관한 것이라면, 무관한 ROA 삭제가 격리 증거를 대신해서는 안 된다. 제안은 ROA 분기를, 통지가 구체적인 경로 발신 문제를 지목하고 그 변경이 그 문제를 해소하는 사례로 한정할 수 있다.

역방향 관계도 중요하다. 프리픽스가 차단 목록에서 사라지는 것은 측정 가능한 목록 상태이지만, 초안은 그 소멸이 활동의 제거, 목록의 정정, 기준 변경 또는 관측 창의 종료 중 무엇을 따르는지 설명해야 한다. 이 경로들은 보유자에게 서로 다른 의미를 갖는다. 공개 아카이브 요건은 과거 목록 상태를 재구성하는 데 도움이 된다; 그러나 특정 항목이 왜 종료되었는지는 설명하지 않는다.

RIPE-781은 네 단계와 합의 절차를 기술하며, RIPE NCC는 가능한 영향 분석과 시행 작업을 포함한 행정 지원을 제공한다. 논의 기간 동안 커뮤니티는 목록이 주소를 며칠 보고해야 하는지만이 아니라, 어떤 증거가 그 주소를 보유자에 연결하고, 주장된 활동을 권한 부여 객체에 연결하며, 해소를 공개 플래그의 제거에 연결하는지 물을 수 있다.

제안 2026-02는 그 대화의 시작점에 있다. 가장 강력한 안전장치는 범위 안의 인프라 어뷰즈를 정의하고 가정용 및 동적 풀을 보호하려는 시도다. 미해결 증거 문제는 더 좁다: 문안은 한 종류의 기록으로 시작해, 해소 기간 중에는 운영적 격리 조치를 허용한 뒤, 복원 단계에서 다른 종류의 기록을 도입한다. 초안이 그 연결을 설명하기 전까지는, ROA의 삭제가 경로 권한 부여가 변경되었음을 보여줄 수는 있다. 그러나 그것만으로 어뷰즈 사례를 종결할 수는 없다.

출처

• RIPE 정책 제안 2026-02, 버전 1.0
• 현재 RIPE 정책 제안 및 단계 일정
• RIPE 정책 개발 절차, RIPE-781
• RIPE 데이터베이스의 어뷰즈 연락처 관리, RIPE-705
• RIPE NCC abuse-c 정보
• RFC 9582, 경로 발신 권한 부여 프로파일