요약

  • 라우팅 워킹그룹 토론의 후속 답글은 Ben Cartwright-Cox가 RIPE NCC의 새 API를 처음 사용해 BGPsec 라우터 키 인증서를 게시했다고 전했다. RIPE 공개 저장소에는 10월 22일 AS212232용으로 발급된 인증서가 있다.
  • RFC 8634는 다섯 단계를 제시한다. 대체 인증서를 게시하고, RPKI 캐시가 가져갈 때까지 기다린 뒤, 라우터와 UPDATE를 전환한다. 필요하면 기존 인증서를 폐기하고, 검증 만료 뒤 기존 키를 철회한다.

첫 인증서가 발급 창구를 나왔다

BGPsec이 기능 발표에서 운영자가 직접 확인할 수 있는 파일로 넘어왔다. RIPE NCC는 10월 22일 RPKI API로 BGPsec 라우터 인증서를 생성하고 관리할 수 있다고 발표했다. 몇 시간 뒤 같은 라우팅 워킹그룹 토론의 답글은 Ben Cartwright-Cox가 API로 첫 인증서를 게시했다고 축하했다. RIPE 공개 저장소에는 그날 발급된 AS212232용 BGPsec 라우터 인증서가 올라와 있다. 파일은 작지만 다음 작업은 섬세하다. 서명 경로를 끊지 않고 가동 중인 라우터의 키를 바꿔야 한다.

공개 문서에는 필요한 기능이 정리돼 있다. 라우터 키 생성, CA에 설정된 키 목록, 개별 키 조회, 폐기, 인증서와 발급 체인 다운로드. 각 LIR이 Resource Certification (RPKI) API 권한이 있는 API 키를 만든다. 생성 요청에는 ASN, BGP Identifier인 routerId, PKCS#10 인증서 서명 요청이 들어가고 CA가 routerKeyId를 발급한다.

CSR은 서류 양식 이상의 의미가 있다. 공개키를 바탕으로 인증을 요청하는 데이터이며, 라우터가 서명에 쓸 개인키를 API에 올리는 방식은 아니다. 인증서는 권한이 있는 ASN과 공개키를 묶는다. RFC 8209가 라우터 인증서 프로필을 정의하고, RFC 8205가 자율시스템을 따라 라우트 경로에 BGPsec 서명을 붙이는 방식을 규정한다.

ROA와 경로 원점 검증은 AS가 특정 프리픽스를 기원해도 되는지 본다. ASPA는 제공자 관계를 나타내고 경로 누출을 찾는 데 쓰인다. BGPsec은 AS 경로 자체에 서명해, 지원 라우터가 경로상의 각 AS가 다음 AS로 광고할 권한을 승인했는지 확인하게 한다. 가까운 기술이지만 서로 다른 질문에 답한다.

인증서는 라우터까지 가야 한다

API는 인증서를 요청하고 받아오는 일을 간소화한다. 실제 경로가 서명되려면 CA가 RPKI에 인증서를 게시하고, 라우터가 해당 개인키를 갖고, BGP 세션이 BGPsec을 협상하고, 이웃 네트워크가 서명 경로를 처리해야 한다. 저장소에 인증서가 들어 있다고 UPDATE가 저절로 서명되지는 않는다. 라우터가 써야 일이 시작된다.

RIPE NCC도 라우터의 하드웨어 지원이 뒤처져 있고 점진적 배포와 성능이 과제라고 밝혔다. RFC 8207은 BGPsec에 더 많은 메모리나 최신 CPU가 필요할 수 있다고 설명한다. 운영자는 일부 경계 라우터부터 적용해 영향을 살필 수 있다. 부분 배포에서는 서명된 경로가 섬처럼 나뉜다. 지원되지 않는 구간 하나가 연속된 서명 체인을 끊는다.

API 자동화는 필요한 한 단계를 빠르게 한다. 제조사의 제품 일정이나 이웃 네트워크의 프로토콜 협상까지 대신하지는 않는다. 다음 작업은 네트워크 경계의 운영자와 장비에 남는다.

키 교체는 순서가 전부다

RFC 8634는 키 교체를 다섯 단계로 나눈다. 새 인증서를 게시하고, 전 세계 RPKI 캐시가 가져갈 때까지 기다린다. 라우터를 새 키로 전환하고 발신 BGPsec UPDATE를 갱신한다. 기존 키로 서명한 메시지를 무효화해야 할 때만 기존 인증서를 폐기한다. 기존 인증서의 검증 기간이 끝나면 RPKI-Router Protocol로 키 철회를 전달해 라우터가 그 키로 서명한 경로를 제거하게 한다. 새 서명이 도착하기 전에 이웃이 새 공개키를 알아야 하므로 중간 대기 시간이 필요하다.

API는 호출을 자동화해도 인증서 전파 시간을 줄이지 못한다. 변경 기록에는 대체 인증서 게시 시각, 캐시에서 보이는 시점, 라우터 전환, UPDATE 갱신, 선택적 폐기 여부를 이어 적어야 한다. 마지막 키 철회는 기존 인증서 검증이 만료된 뒤 진행된다. “생성”에서 곧장 “폐기”로 뛰는 스크립트는 장애를 만들 때만 효율적이다.

API는 ASN, routerId, key identifier의 조합으로 키 인스턴스를 구분한다. 공개 문서는 운영 요구에 따라 같은 ASN에 여러 키를 두거나 하나의 키를 여러 ASN에서 쓸 수 있다고 설명한다. 유연성은 도움이 되지만 재고 기록은 더 정확해야 한다. “키 12”만 적힌 작업 기록은 새벽 장애 대응에 쓸모가 없다. ASN, 라우터, 키 지문, 인증서 상태, 전환 시각을 함께 남겨야 한다.

파일럿에서 운영으로 넘어갈 증거

공개 문서는 BGPsec이 localcert.ripe.net의 RPKI 파일럿 환경에 있다고 설명한다. RIPE 공개 저장소에는 10월 22일 발급된 AS212232 인증서가 올라와 있다. 공개 기록에는 아직 인증서 지문과 게시 시각, 라우터 전환, 서명을 갱신한 UPDATE, 지정된 BGPsec 피어의 검증을 연결하는 날짜가 명시된 키 교체 추적 자료가 없다. 이 자료가 나오면 API가 실제 경로 운영까지 어디에 도달했는지 판단할 수 있다.

성공은 API가 발급한 인증서 수로 측정하지 않는다. 운영자가 키를 신청하고 게시를 확인하고, 라우터 전환을 계획하고, 중요한 피어에서 서명 경로를 검증하고, 경로 인증을 유지하며 교체를 끝낼 수 있는지가 기준이다. API는 행정적 마찰 하나를 줄였다. 남은 엔지니어링은 라우터, 네트워크 간 연결, 새 키가 검증 장비에 알려지기까지 필요한 시간에 있다.

출처: 2026년 10월 22일 RIPE 라우팅 워킹그룹 공지, RIPE NCC BGPsec API 문서, IETF RFC 8209, RFC 8205, RFC 8207, RFC 8634.