요약

  • draft-ietf-spring-srv6-security-16는 경계 필터링 가정이 적용되고 있는 것을 기준으로 SRv6 신뢰 도메인을 정의한다. 이 도메인은 물리적 경계가 아니라 논리적·운영적 구성물이라고 명시한다.
  • 이 초안은 동일한 행정 주체 아래에 여러 SR 인스턴스가 논리적으로 또는 운영적으로 구별된 상태로 존재할 수 있음을 명시적으로 허용한다. 따라서 공유된 소유자, 사이트 또는 백본 라벨은 공통 신뢰의 증거가 아니다.
  • 경계 강제는 잘못된 규칙 변경이나 하드웨어 한계로 fail-open 상태에 빠질 수 있다. SRH만을 대상으로 한 필터링은 불충분하다. SRH는 SID 처리에 필수가 아니며 통과 트래픽에 나타날 수도 있기 때문이다.
  • 신뢰 도메인 경계 매니페스트와 강제 접수증은 구성원, 주소 범위, 키, 의도된 규칙과 설치된 규칙, 용량, 음성 테스트를 함께 묶어야 한다. 이는 Daniel Kade의 제안이며 IETF 요구사항이 아니다.

프레젠테이션 슬라이드에서 사라진 경계선

두 통신사가 한 회사로 합쳐지는 상상을 해보자. 각각은 자체 SID 계획, 컨트롤러, 키 자료, 운영팀, 에지 정책을 갖춘 SRv6 환경을 구축해 왔다. 통합 첫 슬라이드에서 두 환경은 같은 기업 명칭 아래에 놓인다. 6개월 뒤 어느 엔지니어가 둘 사이의 필터를 발견하고, “우리 자체 트래픽”을 여전히 외부로 취급해야 하는 이유를 묻는다.

악의적 행위자를 굳이 상상하지 않아도 이 위험은 보인다. 결과를 좌우하는 조작은 의미론적이다. 소유권 변경이 보안 분류를 다시 쓰는 데 사용되는 것이다. 필터가 제거되면 한 환경에서 승인된 노드가 다른 환경의 SID로 향하는 경로를 얻을 수 있다. 구성원 규칙, 주소 범위, 제어 권한, 키 도메인이 통합되었다는 증거가 없음에도 이 변경은 “단순화”로 설명될 수 있다.

Segment Routing IPv6 Security Considerations개정판 16은 이 문제를 이례적으로 직접적인 표현으로 다룬다. 그 신뢰 도메인은 RFC 8402의 경계 필터링 가정이 적용되는 SR 도메인이다. 이는 물리적 경계가 아니라 논리적·운영적 구성물이다. 같은 물리 네트워크에 있는 호스트는 명시적으로 그 통제 하에 놓이지 않는 한 구성원이 아니다.

초안은 더 나아가 여러 SR 인스턴스가 동일한 행정 주체 아래에 있으면서 논리적으로 또는 운영적으로 구별된 상태를 유지할 수 있음을 말한다. 이러한 신뢰 도메인을 넘는 배치는 이 문서의 위협 모델 범위 밖이며, 다른 신뢰 도메인에 속한 발신지는 이 모델에서 외부로 취급된다.

이 문장은 조직도가 보안 자격 증명이 되는 일을 막는다. 운영사의 이름이 경계가 아니라, 통제가 경계다.

Last Call은 절차 상태이지 배치 사실이 아니다

IESG는 2026년 9월 3일 개정판 16에 대해 Last Call을 열고 9월 17일까지 의견을 요청했다. 9월 9일 연구 기준 시점에 Datatracker는 여전히 Informational 상태를 목표로 하는 활성 SPRING 워킹그룹 인터넷 초안으로 기록하고 있었다. Datatracker는 telechat 날짜를 기록하지 않았고, 워킹그룹 Last Call 중 제기된 이슈에 대해 개정된 텍스트가 필요하다고도 표시했다.

이 좌표들이 중요한 이유는 이 글이 이 문서를 확정된 법이 아니라 현재의 근거로 사용하기 때문이다. 초안은 새로운 보안 프로토콜이나 확장을 정의하지 않는다고 밝힌다. Last Call 발표가 그것을 RFC로 만들거나, 어떤 운영사를 인증하거나, 어떤 네트워크가 그 권고를 적용했다는 증명이 되지는 않는다.

안정적인 기준선은 RFC 8402에서 나온다. 세그먼트 라우팅은 기본적으로 신뢰 도메인 내에서 작동하며, 트래픽은 도메인 경계에서 필터링되어야 한다. RFC 8402는 위임되는 권한도 드러낸다. 세그먼트 목록이나 SRH를 부과하는 노드는 그렇게 할 수 있도록 허용되어 있다고 가정된다. 이 가정은 구성원과 경계 강제가 정확하게 유지되는 동안에만 실용적이다.

인수합병, 아웃소싱 계약 또는 컨트롤러 통합은 이러한 기술적 사실을 바꾸지 않고 행정 책임을 바꿀 수 있다. 반대로 두 사업부는 법적 서류가 따라잡기 전에 의도적으로 통제를 통일할 수도 있다. 따라서 거버넌스는 운영적 행위를 기록해야 하며, 기업 일정에서 추론해서는 안 된다.

신뢰는 모든 에지에서 수행되는 동사다

초안은 “신뢰”를 좋아 보이는 꼬리표로 취급하지 않는다. 완벽하게 만들어진 필터도 모든 에지에서 살아남아야 한다고 경고한다. 잘못된 제거나 조정은 인바운드 또는 아웃바운드 유출을 허용할 수 있다. 일부 플랫폼은 의도된 통제를 표현하기에 규칙 용량, 복잡성 지원 또는 프로토콜 기능이 부족할 수 있다. 그 결과는 fail-open 상태다. 내부 위치를 필요로 하도록 설계된 공격이, 경계를 정의하는 시스템이 강제를 멈출 때 외부에서 실현 가능해질 수 있다.

이에 따라 신뢰 도메인에는 최소한 세 가지 독립적인 상태가 존재한다.

첫째는선언된 구성원이다. 어떤 노드, 컨트롤러, 발신지, 역할이 속하는가. 둘째는의도된 강제다. 어떤 인그레스, 이그레스, 노드 로컬 규칙이 이 구성원을 의미 있게 만들어야 하는가. 셋째는관측된 강제다. 설치된 하드웨어가 현재 개정판과 부하에서 실제로 무엇을 매칭하고 드롭하는가.

설계 문서는 앞의 두 가지를 불완전하게만 증명한다. 구성 커밋은 누군가 변경을 요청했다는 것만 증명한다. 어느 쪽도 모든 관련 에지가 규칙을 수용했는지, 재시작 후에 유지했는지, 충분한 테이블 공간이 있었는지, 음성 테스트를 예상대로 집계했는지 증명하지 못한다.

이 구분은 통합 과정에서 더 선명해진다. 한 환경은 전용 SID 접두사를 쓰고 다른 환경은 더 복잡한 할당을 쓸 수 있다. 한쪽은 인그레스에서 캡슐화하고 다른 쪽은 패킷을 다르게 수용할 수 있다. 한 플랫폼은 유한한 액세스 제어 자원을 라우팅, VLAN, 다른 기능과 나눠 쓸 수 있다. 둘 다 “우리 것”이라고 부른다고 이 차이가 사라지지 않는다.

SRH를 찾는 것이 경계는 아니다

단순한 마이그레이션 계획은 이렇게 말할 수 있다. 접합부에서 SRH를 드롭하고, 네트워크가 소유권을 공유하게 되면 규칙을 제거하라. 개정판 16은 SRH 존재가 잘못된 보편적 테스트인 이유를 설명한다.

SRH는 SID 처리에 선택 사항이다. 동시에 SRH를 실은 패킷은 어떤 도메인을 표적하지 않고 그 도메인을 단순히 통과할 수도 있다. 따라서 무조건적인 존재 검사는 관련 트래픽을 놓치면서 정상적인 통과 트래픽을 손상시킬 수 있다. 대신 초안은 외부 공격 완화를 주소와 발신지 관계에 연결한다. 인그레스에서는 내부 SID를 목적지로 하는 외부 트래픽을 드롭하고, SRv6 활성 노드에서는 발신지가 SR 도메인 밖에 있을 때 로컬로 인스턴스화된 SID로 향하는 트래픽을 드롭한다.

이는 단순한 문법적 차이가 아니다. SID 범위, 발신지 범위, 도메인 에지, 인스턴스화된 함수에 대한 신뢰할 수 있는 목록이 필요하다. RFC 9602의 전용 SRv6 SID 접두사는 에지 필터링을 단순화할 수 있다. 초안은 다른 접두사 선택이 정책을 복잡하게 만들고 경로 누출 또는 인적 오류 위험을 높일 수 있다고 지적한다. 올바른 규칙은 새로운 사내 공문이 아니라 실제 주소 설계를 따른다.

캡슐화는 또 하나의 통제를 더한다. 인그레스는 새로운 외부 IPv6 헤더와 SRH를 부과할 수 있으므로, 도메인 내부 포워딩은 신뢰할 수 없는 발신지가 제공한 필드에 의존하지 않는다. 이그레스는 내부 세그먼트 정보가 밖으로 새어 나가는 것을 막을 수 있다. 그러나 초안은 신중하다. 캡슐화는 경계 필터링을 보완할 뿐 대체하지 않는다. 도메인의 필터링 기준을 이미 충족하는 패킷은 여전히 별개의 문제다.

한 건물이 두 개의 키 도메인을 담을 수 있다

암호학도 합병 증명서로 잘못 읽히기 쉽다. RFC 8754는 선택된 SRH 필드에 대한 선택적 HMAC TLV를 정의한다. 개정판 16은 수동 사전 공유 키 운영이 여러 노드에서 하나의 키를 재사용하도록 유혹할 수 있다고 적는다. 같은 키를 서로 다른 신뢰 도메인에 사용해서는 안 되며, 같은 노드에 있는 도메인을 포함한다고 말한다.

바로 이 마지막 구절이 운영적 시험이다. 물리적 통합이 완료되면서 신뢰 분리는 정확하게 유지될 수 있다. 두 인스턴스가 서로 다른 권한을 유지한다면, 하나의 섀시가 둘을 함께 수용하더라도 그 키 도메인은 구별된 상태로 남아야 한다.

HMAC의 의미에도 한계가 있다. 세그먼트 목록과 관련 필드를 일부 변경으로부터 보호할 수 있지만, 모든 키 보유자가 모든 경로에 대해 제도적으로 승인되었다는 뜻은 아니다. 키를 가진 정상 노드가 침해되면 초안의 모델에서 그것은 내부 공격자다. 키 없는 내부 행위자도 키 수명 동안 포착한 유효한 SRH와 HMAC을 재생할 수 있다. 키 소유는 암호학적 관계에 대한 증거이지 완전한 권한 부여 판단이 아니다.

기업 전역의 키 재사용은 이 구분을 파괴한다. 지름길이 통합처럼 보이게 만들고, 이후 분리를 어렵게 한다. 공유 키가 기술적으로 패킷을 검증한다는 사실이 두 환경이 서로 신뢰해야 했다는 증명은 아니다.

실제로 존재하는 경계를 기록하라

운영자에게 빠진 산출물은신뢰 도메인 경계 매니페스트와 강제 접수증이다. 이는 프로토콜 밖에 있어도 된다. 그 목적은 여섯 개의 서로 다른 기록이 하나의 “내부” 플래그로 압축되는 일을 막는 것이다.

매니페스트는 도메인에 버전 식별자를 부여한다. 승인된 노드와 역할, 인그레스 및 이그레스 지점, SID와 허용된 발신지 범위, 캡슐화 지점, 컨트롤러 권한을 명명한다. 키 도메인 식별자는 기록하되 키 자료는 공개하지 않는다. 또한 다른 도메인으로의 명시적 횡단, 각 횡단의 정책 소유자, 만료, 존재 이유를 명명한다.

강제 접수증은 변경 시점에 만들어진다. 승인된 의도를 각 장치가 설치했다고 보고한 규칙, 확보된 하드웨어 용량, 관련 카운터, 도메인 외부에서의 음성 테스트, 내부에서의 허용 경로 테스트, 예외나 부분 실패가 있다면 그 내용과 연결한다. 이후의 토폴로지, 소프트웨어, 접두사, 역할 또는 키 변경은 새 접수증을 만들거나 기존 접수증을 낡은 것으로 만든다.

모든 장치가 같은 비용 센터에 속한다는 이유만으로 “하나의 신뢰 도메인”을 주장하는 초록 배지가 있어서는 안 된다. 유용한 배지는 더 좁은 내용을 담는다. 이 이름이 지정된 도메인 개정판이, 이 시각에, 이 빌드에서, 이 범위에 대해 이 에지들에서 테스트되었으며 이러한 미해결 예외가 있었다는 것.

The Policy Mirror는 효과적인 규칙이 실제로 어디에 쓰여 있는지를 묻는다. 이 경우 그 규칙들은 구성원, 범위, 필터, 캡슐화, 키에 걸쳐 분산되어 있다.Running-Code Primacy는 그 규칙이 실행된다는 증거를 요구하며, 아키텍처 문서에 담겨 있다는 것만으로는 부족하다고 본다.Reality, Not Advocacy는 결론의 경계를 유지한다. IETF 초안은 어떤 배치를 비난하지 않고 도메인 간 SRv6를 해결하지도 않는다. 운영자가 공통 소유권을 공통 신뢰와 혼동해서는 안 된다는 이유를 제공할 뿐이다.

출처