요약

  • LACNIC은 2022년 말 RPKI 핵심부 교체에 착수했다. Cano에 따르면 검증기 캐시의 무결성을 지키는 일이 어려운 과제였고, 여러 제품과 버전을 시험했다. 오래된 버전 일부는 재시작이 필요했다.
  • 회원 데이터베이스에 새 핵심부를 맞춘 뒤 실제 전환의 마지막 단계는 DNS 레코드 변경이었다. Cano는 이후 오프라인 마스터 키와 증인이 참여한 세 차례 서명 절차를 공개했다.

캐시는 개통식에 오지 않는다

등록기관이 새 시스템을 켰다는 사실만으로 각 네트워크의 검증기가 즉시 새 상태를 보는 것은 아니다. Jorge Cano는 LACNIC의 이행 기록에서 이 간격을 가장 까다로운 지점 중 하나로 꼽았다. 팀은 검증기 종류와 버전을 바꿔 가며 캐시가 온전한지 시험했다. 일부 구형 버전은 운영자가 다시 시작해야 했다. 발표 자료에는 한 줄로 들어갈 말이지만, 당직자에게는 경로 판단을 다시 믿어도 되는지 가르는 문장이다.

LACNIC의 수석 소프트웨어 설계자인 Cano는 RPKI를 세 층으로 설명한다. 암호 작업을 맡는 핵심부, 공개할 자료를 미리 검사하는 층, 검증된 내용을 내보내는 앞단이다. 호스팅 RPKI 회원은 MiLACNIC에서 ROA를 만들고, 키와 인증서는 LACNIC이 관리한다. 회원이 손쉽게 누르는 버튼 뒤에 등록기관이 맡은 복잡한 운영 책임이 숨어 있다.

교체 작업은 2022년 말 시작됐다. LACNIC은 오픈소스 Krill을 새 핵심부로 선택하고 회원 데이터와 등록기관 고유 기능에 맞췄다. 약 2년 뒤 운영 환경으로 옮길 때 마지막으로 바꾼 것은 DNS 레코드였다. 짧은 전환이 가능했던 까닭은 준비가 짧아서가 아니다. 게시 경로와 낡은 검증기의 반응을 먼저 살핀 결과다.

더 드물게 쓰는 장치도 있다. Cano의 2025년 1월 글에 따르면 신뢰 앵커의 마스터 키는 평소 오프라인에 두고 최상위 인증서를 다시 서명할 때만 잠깐 켠다. 우루과이 Casa de Internet에서 여러 부서 직원과 증인이 참여한 서명식이 세 차례 열렸다. 체크리스트에는 순서와 예외가 남는다. LACNIC은 검증기 버전별 시험표를 공개하지 않았다. 어느 구형 캐시가 재시작을 요구했는지 알려면 그 표가 필요하다.