Summary

  • Petros Gigis는 RIPE 92에서 패킷 계수와 BGP 정보만으로는 뜻밖의 입구에서 발견한 트래픽이 적힌 발신 주소에서 정말 왔는지 확인할 수 없다고 설명했다.
  • openPenny는 선택한 TCP 트래픽의 소수 패킷을 의도적으로 버린 뒤 재전송을 찾는다. Gigis가 직접 쓴 기술 설명에 따르면 여러 흐름에서 합계 12개를 버린 시험 조건에서 거짓 양성률이 백만 분의 일까지 내려갔다.

경보가 울리면 계기판에는 틀린 숫자가 없다. 문제는 숫자에 붙인 이야기다. 한 프리픽스의 주소를 단 패킷이 평소와 다른 지점으로 들어왔을 때, Petros Gigis는 먼저 그 주소가 진짜 발신자인지 묻는다. 누군가 남의 주소를 패킷에 적었을 뿐이라면 추적하려던 경로 변경은 처음부터 없었다.

중계 ISP는 연결 양끝의 주인이 아니다. NetFlow와 sFlow는 어느 입구에 얼마나 들어왔는지 알려 주고 BGP는 공개된 경로 광고를 보여 준다. 하지만 패킷의 발신 주소를 검증하지는 못한다. RIPE 92 질의응답에서 Jen Linkova가 TCP 핸드셰이크를 보자고 묻자, Gigis는 연결을 종료하는 서비스와 중간에서 전달하는 ISP가 가진 상태 정보가 다르다고 답했다.

openPenny의 수동 모드는 복제된 흐름을 살피며 실제 패킷을 건드리지 않는다. 능동 모드는 선별한 작은 구간을 현장 분석 장비로 보내 TCP 패킷 몇 개를 떨어뜨린다. 정상적인 양방향 대화라면 빠진 데이터를 재전송한다. 발신 주소를 위조한 일방향 흐름은 같은 피드백을 만들지 못한다. 공식 발표 소개는 ISP 내부 x86 장비를 이용하는 설계를 설명한다.

발표된 12개 손실은 여러 흐름에 걸친 수치다. 백만 분의 일이라는 거짓 양성률도 연구팀이 시험한 조건에서 달성한 최저 수준이다. 다른 구간의 손실, 부하 분산, TCP 구현 차이, 공격자의 모방은 별도의 검증 대상이다. 재전송을 확인하면 관측한 트래픽 묶음 안에 진짜 발신 흐름이 있음을 알 수 있다. 그 신호 하나로 전체 경로나 공격 책임자가 결정되지는 않는다.

여기서 아끼는 자원은 운영자의 주의력이다. 위조 소음이 실제로 없는 라우팅 사고를 몇 시간씩 추적하게 만들 수 있다. 반대로 진짜 데이터 우회는 BGP 감시 지점 밖에서 벌어질 수 있다. Gigis는 경보와 조치 사이에 짧은 시험을 넣는다. 트래픽이 먼저 신원을 증명한 다음 이웃망에 연락하고 정책을 바꾸라는 것이다.

자료: RIPE 92 공식 속기록 · 공식 발표 페이지 · RACI 인물 소개 · Gigis의 기술 원문.