요약

  • 2026년 ARIN 57에서 John Curran은 ARIN 조직이 독자적으로 고객에게 RPKI 도입을 명령할 근거가 없다고 밝혔다. 외부의 요구나 커뮤니티 정책은 별도의 권한 경로를 갖는다.
  • 하루 전에는 RPKI, ROA, ASPA를 운영자가 비용을 부담하며 선택하는 기술로 설명하고 ARIN 교육에서 ASPA의 위치를 더 잘 다루겠다고 했다.

보안 도구의 이용률이 낮으면 ‘필수’라고 써 붙이면 될까. ARIN 57 둘째 날 기록에는 Altie Jackson이 카리브 지역 고객까지 RPKI를 쓰게 할 강제 수단이 있는지 묻는 장면이 나온다. Brad Gorman은 가입은 자발적이라고 답했고, 그 상태가 영원할 것처럼 들리는 표현을 썼다. John Curran이 일어나 문장을 고쳤다. ARIN은 서비스를 운영하지만 조직 스스로 모든 자원 보유자에게 배포를 명령할 권한은 없다. 외부 기관이 자기 영역에서 조건을 걸 수도 있고, 커뮤니티가 정책 절차를 거쳐 규칙을 만들 수도 있다. 핵심은 ‘누가 결정했는가’다.

Curran은 ARIN의 사장 겸 CEO다. 그의 조직은 인증서 서비스를 운영하고 ROA 생성을 쉽게 만들며 경로 검증 교육을 제공할 수 있다. 이용자의 행동을 바꿀 힘이 작지 않다. 그러나 그 힘이 곧 의무를 정할 권한은 아니다. Curran은 등록부가 이용자들의 것이고 ARIN은 이를 운영한다고 설명했다. 서버실 열쇠와 회의장의 표결권은 같은 물건이 아니다.

첫째 날의 대화는 이 선이 소극적인 태도가 아님을 보여 준다. Kevin Blumberg은 RPKI 교육에서 ASPA를 빼놓으면 운영자가 나중에 또 다른 숙제를 발견하게 된다고 지적했다. Curran은 ROA 생성, 경로 검증, ASPA 도입에는 모두 운영 비용이 든다고 인정했다. 커뮤니티의 명확한 방향 없이 새로운 실무를 전원 필수 과제로 제시하는 데는 신중했지만, 교육 과정에서 다음 단계로 ASPA를 소개하는 데는 동의했다. 길을 안내하는 일은 오늘 할 수 있다.

이 질의응답에서 RPKI 의무 규칙이 채택되지는 않았다. 대신 도구의 품질을 높이는 권한, 네트워크가 감당하는 배포 비용, 강제 규칙을 채택하는 절차가 각각 누구에게 있는지 드러났다. 보안을 빨리 추진하고 싶을수록 이 순서를 건너뛰지 말아야 한다.