Summary

  • RIPE NCC의 RPKI Management API 문서는 후원받는 PI·Legacy 자원의 인증기관을 명시적으로 제외한다. LIR이 아닌 보유자는 RPKI Dashboard에서 ROA를 관리할 수 있다.
  • RPKI 책임자는 SSO 계정에 묶이고 1년 뒤 만료되는 새 키가 최종 사용자에게 API를 열어 줄 것이라고 밝혔다. 분기 계획은 아직 진행 중이며 이용 시작 날짜는 없다.

어떤 권한은 화면에서 분명해 보이다가 API 주소 앞에서 사라진다. RIPE NCC가 후원받는 PI와 Legacy 자원에 적용하는 현재 RPKI 접근 규칙이 그렇다.

공식 API 설명은 후원받는 PI 또는 Legacy 자원의 인증기관에는 RPKI Management API를 제공하지 않는다고 적는다. 기존 키는 LIR Portal의 관리자 계정으로 만든다. API는 ROA 작성, 인증된 주소 공간에서 관측된 BGP 발표 조회, 경고 설정을 지원한다. ROA는 특정 접두어를 어느 AS가 발표하도록 허가하는지 기록한다. 운영자가 이 허가를 일관된 절차로 바꾸려면 프로그램에서 수행할 수 있는 경로가 필요하다. 후원받는 자원의 인증기관에는 그 공식 경로가 막혀 있다.

RIPE NCC Access 안내는 다른 그림을 보여 준다. 후원받는 자원을 가진 비 LIR 조직도 RPKI Dashboard를 통해 ROA를 관리할 수 있다. RPKI 자원 안내는 후원 LIR과 최종 사용자가 PI 자원 인증서를 신청할 수 있고 Legacy 보유자도 해당 자원 인증서를 신청할 수 있다고 설명한다. 보유자의 RPKI 이용 자체가 금지된 게 아니다. 웹 화면에서 가능한 작업을 API에서도 수행할 수 있느냐가 쟁점이다.

RIPE 93에서 RPKI 책임자 Tim Bruijnzeels는 옛 키의 성격을 직접 설명했다. 만료일이 없는 공유 비밀에 가깝고, LIR Portal에서 설정하므로 LIR은 쓰지만 후원 LIR을 둔 PI·Legacy 최종 사용자는 API를 쓸 수 없다는 것이다. 그가 제시한 새 구조는 SSO 계정과 키를 연결하고 유효 기간을 1년으로 제한한다. 그는 이 구조가 최종 사용자도 마침내 API를 쓰게 해 줄 것이라고 덧붙였다. 비밀번호를 새것으로 바꾸는 일과 자원 보유자의 자동화 권한을 넓히는 일이 한 프로젝트에 들어 있다.

4분기 RPKI 계획은 OIDC와 새 API 키를 진행 중인 업무로 적고, Dashboard에서 키를 관리할 계획이라고 한다. 업무 애플리케이션 계획은 RPKI Management 키를 LIR Portal에 남은 마지막 구식 API 키라고 부르며 연말까지 포털의 옛 키 기능을 없애려 한다. 하지만 두 계획 모두 후원받는 인증기관이 새 API를 호출할 수 있게 되는 날짜를 쓰지 않았다. 기존 키를 치우는 일정과 새 사용자를 받는 일정은 별도로 검증해야 한다.

새 키가 1년 뒤 만료되면 장기 비밀의 위험은 줄어든다. 그것만으로 PI 보유자의 요청이 승인되지는 않는다. 보유자가 자신의 인증기관에만 적용되는 키를 만들고, 그 키로 ROA 변경 요청을 보내고, 결과가 정상적으로 공개되는 사례가 필요하다. RIPE는 회의장에서 방향을 말했다. 서비스에서 실행된 증거는 아직 내놓지 않았다.