요약

  • Qrator의 모니터링 기록은 사건 시작 시점을 2020년 4월 1일 대략 19:28 UTC로 두고 약 1시간 동안 지속된 관측이라고 설명합니다. 이는 귀속된 외부 관측 시간대일 뿐, 완전한 로스텔레콤 내부 연표이거나 영향받은 모든 네트워크에서의 정확한 시작과 종료를 증명하는 것은 아닙니다.[1]

  • Qrator는 거의 200개 자율 시스템에 속한 8,870개 영향받은 프리픽스를 보고했습니다. CERT-EU는 별도로 200개가 넘는 네트워크로부터의 8,800개 이상 경로를 요약했습니다. 이 수치들은 서로 다른 보고 관점에서 보이는 규모를 설명할 뿐, 어떤 출처도 모든 데이터 경로, 모든 영향받은 사용자 또는 총 상업적 영향을 확정하지 않습니다.[1][2]

  • Qrator는 AS12389 광고가 Rascom AS20764, Cogent AS174, Level 3 AS3356을 통해 전파되는 것을 관측했습니다. 이 경로 체인은 사건이 독립적으로 운영되는 라우팅 도메인을 넘었음을 보여주지만, 명명된 어떤 네트워크에서도 정확한 임포트 필터, 계약, 검증 상태 또는 라우터 구성을 밝혀주지는 않습니다.[1]

  • 라우팅 증거는 여러 범주를 분리된 상태로 유지해야 합니다. 의도된 정책 범위를 넘어 내보내진 학습된 경로, 무단 출처 광고, 재출처화된 더 구체적인 프리픽스, 그리고 경로가 기대되는 비즈니스 관계를 위반하더라도 승인된 출처가 그대로 유지되는 경로. 이 범주들은 필터링 및 RPKI 출처 검증과 서로 다르게 상호작용합니다.[4][17]

  • 별개의 RIPE NCC 사건이 RPKI 제어 평면에서 발생했습니다. 레지스트리 소프트웨어 업데이트 이후 일부 프로바이더 독립 할당이 인증 불가로 분류되면서 2,669개의 Route Origin Authorisation이 삭제되었습니다. RIPE NCC는 4월 2일 누락된 ROA를 복원했습니다.[3][5]

  • 시기적 일치는 인과관계를 확립하지 못했습니다. RIPE NCC의 사후 분석과 독립적인 Routing Working Group 분석은 ROA 삭제와 로스텔레콤 라우팅 사건 사이에 직접적인 관계가 없음을 발견했습니다.[4][5]

  • 두 사건 간 측정된 교집합은 좁았습니다. 프로바이더 독립 자원 보유자 3곳과 12개 프리픽스였습니다. 이 중첩을 8,870개 프리픽스 전체로 확장할 수 없으며, 공개 기록은 영향받은 모든 경로를 RPKI Invalid로 묘사하는 것을 뒷받침하지 않습니다.[4][5]

  • Route Origin Validation은 프리픽스와 출처 ASN을 검증된 ROA 데이터와 비교해 결과를 Valid, Invalid 또는 NotFound로 분류할 수 있습니다. 그러나 완전한 AS 경로를 검증하거나, 모든 익스포트가 상업적 관계를 존중했는지 판단하거나, 구성 변경을 재구성하거나, 의도를 확립하지는 못합니다.[13]-[15]

  • 실질적 통제는 분산되어 있었습니다. 로스텔레콤은 자체 광고와 익스포트 정책을, 경로를 수용하는 네트워크는 각자의 임포트·익스포트·검증 결정을, 프리픽스 보유자는 자신의 기록과 ROA를, RIPE NCC는 인증 및 ROA 관리 서비스를, 의존 당사자는 캐시 신선도와 강제 집행을, 모니터링 공급자는 관측·경보 시스템을 통제했습니다.

  • 중요한 사실들은 여전히 알려져 있지 않습니다. 최초의 내부 절차, 학습된 경로 누출과 재출처화된 더 구체적 프리픽스 사이의 정확한 구분, 수용한 모든 네트워크의 RPKI 시각, 각 홉에서 적용된 필터, 완전한 대응 연표, 전체 데이터 평면 영향, 그리고 사건이 우연에 의한 것인지 의도적인 것인지 여부가 그렇습니다.

  • 따라서 책임성 결론은 비난이 아니라 운영적 성격을 띱니다. 레지스트리와 ROA 기록은 자원 및 출처 승인에 관한 증거를 제공했지만, 실행 중인 구성, 현재 캐시, 이웃 정책, 모니터링과 조율된 복구가 그 증거가 실제 라우팅 동작을 바꾸는지 여부를 결정했습니다.

책임성 문제

2020년 4월 1일 사건이 중요한 이유는 기록된 권위와 실행 중인 통제 사이의 분기선을 드러냈기 때문입니다. RIPE Database는 AS12389과 연관된 관리 객체를 식별할 수 있었고, RPKI는 일부 프리픽스 보유자의 출처 승인을 표현할 수 있었습니다.[8][10] 그러나 어느 시스템도 모든 라우터가 무엇을 수용하고 선호하며 전파할지 독립적으로 결정하지 못했습니다. BGP 스피커는 UPDATE 메시지를 교환하고, 로컬 정책에 따라 경로를 선택하고, 허용된 결과를 이웃에게 광고했습니다.[12] 예상치 못한 광고가 네트워크 경계를 넘는 순간, 수신하는 운영자 각각은 또 다른 로컬 통제하의 결정을 내렸습니다.

이 구조는 하나의 레지스트리 기록, 하나의 보안 메커니즘, 하나의 조직이 전체 결과를 지배했다는 단순한 설명을 배제합니다. Qrator가 보고한 AS20764, AS174, AS3356을 통한 전파는 관측된 경로 체인에 여러 개의 운영 제어 평면이 있었음을 뜻합니다.[1] 검토 중인 광고에 AS12389이 나타났기 때문에 로스텔레콤의 행동이 중심에 있었습니다. 그러나 그 광고의 도달 범위는 어떤 이웃이 수용했는지, 그 이웃들이 어떤 경로를 이후로 익스포트했는지, 다운스트림 네트워크가 무엇을 선택했는지에도 의존했습니다.

이 때문에 이 사건은 출처 검증의 한계에 대한 시험이 되었습니다. 광고가 무단 출처를 사용하거나 ROA가 커버하는 허용 불가한 프리픽스 길이를 사용했다면, 신선한 검증 데이터와 집행 정책을 갖춘 운영자는 잠재적으로 그것을 Invalid로 분류하고 거부할 수 있었습니다. 경로가 승인된 출처를 유지한 채 부적절한 AS 경로로 전달되었다면, 동일한 출처 검사는 Valid를 반환할 수 있었습니다. 커버하는 ROA가 없다면 결과는 통상 Invalid가 아니라 NotFound였을 것입니다. 기술 통제는 관측된 사건의 서로 다른 부분에 대해 서로 다른 힘을 가졌던 것입니다.

공개 증거는 이러한 구분이 유지될 때만 책임성 분석을 뒷받침합니다. BGP 광고, AS12389 증거, 전파 관측, ROA 상태, 업스트림 수용 결정, 모니터링, 사건 조율을 제거하면 이 사건에 대한 설명이 아니라 일반적인 보안 논의만 남습니다. 반대로 모든 경로를 같은 종류의 실패로 취급하면 RPKI에게 원래 설계되지 않은 능력을 부여하게 됩니다.

여기서 책임성이란 측정 가능한 결정에 대한 실질적 통제를 누가 갖고 있었는지, 어떤 증거가 그 결정을 보여줄 수 있는지를 식별하는 것을 의미합니다. 외부 라우팅 관측만으로 과실, 범죄성, 개인 책임, 침해, 법적 책임 또는 트래픽 가로채기 동기를 추론하는 것을 의미하지 않습니다. CERT-EU는 사건이 우연에 의한 것인지 불분명하다고 말했습니다.[2] 이용 가능한 기록은 그 불확실성을 해소하지 못하므로, 분석은 단언으로써 해소해서는 안 됩니다.

포렌식 연표

포렌식 재구성은 직접 보고된 관측과 추론 및 미해결 내부 사건을 구분해야 합니다. 공개 라우트 컬렉터와 모니터링 플랫폼은 보편적 기록이 아니라 선별된 제어 평면 시각을 보여줍니다. RIPEstat 문서도 라우팅 데이터를 가용 출처로부터의 관측으로, 관측 지점과 데이터 커버리지가 부과하는 한계가 있는 것으로 다룹니다.[9] 따라서 다음 연표는 무엇이 보고되었고, 무엇이 별개이며, 무엇이 여전히 알려지지 않았는지 식별합니다.

시각증거적 사건
2020년 4월 1일 19:28 UTC 이전공개 기록은 로스텔레콤의 초기 구성 변경, 라우터, 명령, 직원 또는 내부 승인 절차를 식별하지 않습니다. 이후 광고를 수용한 각 네트워크의 사건 직전 필터 및 RPKI 상태도 확립하지 않습니다.
대략 19:28 UTCQrator는 관측 시작 시점을 약 19:28 UTC로 둡니다. AS12389이 대규모의 다른 네트워크 집합과 연관된 경로를 광고하고 있다고 보고했습니다.[1] 이 타임스탬프는 Qrator의 모니터링 기록에 속하며, 모든 영향받은 라우터가 그 시점에 첫 업데이트를 봤다는 증거가 아닙니다.
이후 전파 과정Qrator는 광고가 Rascom AS20764, Cogent AS174, Level 3 AS3356을 통해 전파되었다고 보고했습니다.[1] 이 관측은 해당 자율 시스템을 통한 가시적 이후 전파를 확립하지만, 그 뒤에 있던 모든 세션 수준 결정, 경로 맵 평가 또는 상업적 관계를 밝히지 않습니다.
약 1시간의 시간대 동안Qrator는 거의 200개 자율 시스템에 속한 8,870개 영향받은 프리픽스를 집계했습니다.[1] CERT-EU는 이후 200개 이상 네트워크로부터의 8,800개 이상 경로를 요약했습니다.[2] 이는 귀속된 측정치이며, 모든 경로가 같은 출처 검증 상태를 가졌거나 같은 데이터 평면 결과를 낳았다는 증거가 아닙니다.
사건 대응 기간Qrator는 로스텔레콤이 실시간 경보를 받고 트러블슈팅과 복구에 협력했다고 밝혔습니다.[1] CERT-EU도 보고 기업과의 협력을 기록했습니다.[2] 로스텔레콤의 정확한 에스컬레이션, 완화 및 롤백 절차는 공개되어 있지 않습니다.
첫 관측 약 1시간 후Qrator는 사건을 약 1시간 동안 지속된 것으로 묘사했습니다.[1] 공개 기록은 그 관측 시간대 내 복구를 뒷받침하지만, 어떤 구성 또는 철회가 각 영향받은 경로를 종료시켰는지, 수렴이 모든 곳에서 동시에 완료되었는지는 확립하지 않습니다.
시기가 겹친 RPKI 사건별개로, RIPE NCC의 레지스트리 소프트웨어 업데이트가 일부 프로바이더 독립 할당을 인증 불가로 분류해 2,669개 ROA를 삭제하게 했습니다.[3][5] 이는 AS12389 라우팅 동작과 구별되는 제어 평면 기록 관리 실패였습니다.
4월 2일RIPE NCC는 누락된 ROA를 복원했습니다.[3][5] 이 복원은 독립적인 RPKI 서비스 복구 연표에 속하며, 로스텔레콤 사건을 종료시킨 메커니즘으로 제시되어서는 안 됩니다.
이후 분석Routing Working Group 분석과 RIPE NCC의 사후 분석은 두 사건 간 직접적 관계가 없음을 발견했습니다. 두 분석은 PI 보유자 3곳과 12개 프리픽스가 관여한 중첩을 식별했습니다.[4][5]

이 연표에는 동시에 발생했으나 분석적으로 분리된 두 개의 실패 절차가 담겨 있습니다. 하나는 BGP 광고와 그것의 네트워크 경계를 넘는 수용에 나타났습니다. 다른 하나는 출처 승인 기록의 생성과 가용성에 발생했습니다. 첫 번째는 실시간 라우팅 정책에 의존했고, 두 번째는 의존 당사자에게 어떤 검증된 ROA 데이터를 사용할 수 있을지에 영향을 미쳤습니다. 두 사건의 제한된 교집합 때문에 누락된 기록이 12개 프리픽스의 처리에 영향을 미쳤는지 묻는 것은 정당합니다. 그러나 그것이 ROA 삭제를 8,870개 프리픽스 사건의 원인으로 만들지는 않습니다.

이 연표는 또한 감지 시각과 촉발 시각을 구분합니다. Qrator의 약 19:28 관측은 사건이 그 관측 지점에서 보이기 시작한 시점에 관한 증거입니다. 내부 변경이 입력되고, 커밋되고, 배포된 시점을 식별하지 않습니다. 마찬가지로 약 1시간의 지속 시간은 외부 관측을 설명합니다. 모든 개별 경로가 모든 라우팅 정보 기반에 존재했던 정확한 기간을 확립할 수 없습니다.

라우터별 연표의 부재는 중대한 의미를 갖습니다. 그것 없이는 첫 수용 이웃, 정책 평가 순서, 어떤 경로가 먼저 철회되거나 수정되었는지, 어떤 네트워크는 사건의 일부를 담은 채 유지하고 다른 네트워크는 계속 전파했는지에 대해 신뢰할 수 있는 결론을 내릴 수 없습니다. 책임 있는 재구성은 경로 모니터링 추적을 상상의 내부 로그로 바꾸지 않고 이러한 공백을 보존합니다.

관측된 전파가 확립하는 것

AS 경로 관측은 예상치 못한 도달 가능성 정보가 한 네트워크에 국한되지 않았음을 확립합니다. BGP는 분산 프로토콜입니다. 한 자율 시스템이 수용한 UPDATE는 다른 시스템의 결정 과정에 입력이 되고, 정책에 따라 추가 이웃에 대한 광고가 될 수 있습니다.[12] 따라서 보고된 AS12389–AS20764–AS174–AS3356 전파는 별개의 관리 도메인을 넘는 일련의 운영 결정을 표시합니다.[1]

이 일련 과정은 명명된 모든 네트워크가 8,870개 프리픽스 전부를 수용했거나 하나의 동일한 경로가 인터넷 전체에 도달했다는 것을 증명하지 않습니다. 또한 특정 임포트 정책이 왜 경로를 수용했는지도 밝히지 않습니다. 운영자는 고객 프리픽스 필터, Internet Routing Registry 데이터, RPKI 검증, 수동으로 유지된 예외, 광범위한 제한, 계약상 가정 또는 그 조합에 의존했을 수 있습니다. 얼려진 증거는 명명된 어떤 업스트림이나 피어의 2020년 4월 구성도 드러내지 않습니다.

그럼에도 전파 증거는 가치가 있습니다. 그것은 봉쇄 기회가 어디에 존재했는지를 식별하기 때문입니다. AS12389은 광고를 출처화하거나 익스포트할지 여부를 통제했습니다. 직접 연결된 각 수신 네트워크는 그것을 수용할지 여부를 통제했습니다. 이후로 광고하는 각 네트워크는 또 하나의 익스포트 결정을 통제했습니다. 다운스트림 네트워크는 경로 선택과 로컬 검증 정책을 통제했습니다. 이것은 정확한 기술적 의미에서의 공유 통제입니다. 여러 운영자가 적어도 일부 라우팅 결과를 바꿀 수 있는 독립적 메커니즘을 보유했습니다.

공유 통제를 기본값으로써 공유 비난으로 바꿔서는 안 됩니다. 가시적 AS 경로만으로는 라우팅 관계의 조건, 운영자의 프리픽스 인벤토리 정확성, 캐시 상태, 또는 해당 경로가 학습 누출 부분에 속했는지 재출처화된 더 구체적 프리픽스 부분에 속했는지를 알 수 없습니다. 그것은 결정 지점을 식별하지, 그 결정의 법적·도덕적 의미를 식별하지 않습니다.

하나로 뭉쳐서는 안 되는 네 가지 라우팅 범주

"누출(leak)"이라는 말은 느슨하게 쓰이곤 하지만, 이 사건은 네 가지 라우팅 조건을 분리하지 않고는 정확히 해석할 수 없습니다. RFC 7908은 경로 누출을 라우팅 광고가 의도된 범위를 넘어 전파되는 현상, 특히 그 결과 경로가 고객·공급자·피어 관계의 기대되는 순서를 위반하는 경우를 중심으로 정의합니다.[17] 그 개념은 출처 승인과 다릅니다.

  1. 학습 경로 정책 누출.네트워크가 한 이웃으로부터 합법적 경로를 학습한 뒤 그 경로의 의도된 정책 범위를 벗어나 다른 이웃에게 익스포트하는 경우입니다. 프리픽스 보유자의 승인된 출처는 AS 경로 끝에 그대로 남아 있을 수 있습니다. 오류는 익스포트 범위에 있습니다. 중간 네트워크가 정책이 의도하지 않은 트랜짓 역할을 한 것입니다. 원래 출처 ASN과 프리픽스 길이가 여전히 ROA와 일치할 수 있기 때문에, 통상의 Route Origin Validation은 경로가 상업적으로나 운영적으로 부적절하더라도 Valid로 분류할 수 있습니다.

  2. 무단 출처 광고.ASN이 해당 자원 보유자가 출처화하도록 승인하지 않은 프리픽스를 출처화하는 경우입니다. 커버하는 ROA가 다른 ASN을 승인하고 의존 당사자가 최신 검증 데이터를 갖고 있다면, 출처 불일치 때문에 그 광고는 Invalid로 분류될 수 있습니다.[13]-[15] "출처 하이재킹"이라는 기술 용어가 이 조건에 적용되기도 하지만, 레이블만으로 악의적 의도, 트래픽 가로채기, 범죄 행위 또는 법적 소유권을 확립하지 않습니다.

  3. 재출처화된 더 구체적 프리픽스.ASN이 다른 네트워크의 애그리게이트 내부에서 더 긴 프리픽스를 광고하며 자신을 출처로 제시하는 경우입니다. 커버하는 ROA는 출처 ASN이 다르거나 광고된 길이가 ROA의maxLength를 초과하기 때문에 그 더 구체적 경로를 Invalid로 만들 수 있습니다. 더 구체적 경로는 최장 프리픽스 매칭이 통상의 BGP 경로 비교보다 먼저 일어나기 때문에 경로 선택을 끌어당길 수 있습니다. 그럼에도 공개 기록은 각 재출처화의 목적이나 모든 프리픽스의 데이터 평면 영향을 확립하지 않습니다.

  4. 유효 출처 정책 누출.프리픽스, 출처 ASN, 길이는 승인되었지만 AS 경로나 익스포트 관계가 의도된 정책을 위반하는 경우입니다. 이것은 ROV의 경계를 가장 선명하게 보여줍니다. 출처 검증은 가용 ROA 데이터에 따라 출처가 승인되었는지에 답합니다. 중간 AS가 트랜짓을 제공할 권리가 있었는지, 경로가 허용된 관계를 따랐는지, 그 경로를 그 이웃에게 익스포트해야 했는지에는 답하지 않습니다.

공개 분석에 따르면 2020년 4월의 관측에는 학습된 경로와 더 구체적 재출처화가 혼합되어 있었습니다.[4] 정확한 구분은 알려져 있지 않습니다. 따라서 8,870개 경로 전부를 무단 출처로, 전부를 승인된 출처를 가진 정책 누출로, 전부를 RPKI Invalid로 묘사하는 것은 부정확합니다. 어느 설명이나 미해결 분포를 증거가 뒷받침하지 않는 균일한 범주로 대체하게 됩니다.

NotFound 역시 구분된 상태로 유지해야 합니다. 커버하는 검증된 ROA가 존재하지 않으면 출처 검증은 통상 NotFound를 반환합니다.[14] 이 상태는 불완전하게 커버된 라우팅 시스템에서 흔합니다. 출처가 승인되었다는 긍정적 증거는 아니지만, Invalid 결과도 아니며 그 자체로 부적절한 행위를 식별하지도 않습니다. 네트워크는 NotFound 경로에 대해 로컬 정책을 선택할 수 있지만, 그 상태 자체는 가용한 검증된 ROA 집합이 광고를 검사할 커버하는 승인을 제공하지 않았다는 것만을 말합니다.

이 범주들은 잠재적 통제의 도달 범위를 정의합니다. 합의된 고객 프리픽스 인벤토리에 기반한 출처 필터는 고객 경계에서 무단 출처와 잘못 익스포트된 학습 경로를 모두 봉쇄할 수 있습니다. ROV는 적합한 ROA가 존재하는 일부 무단 출처 또는 허용 불가 길이 광고를 식별할 수 있습니다. 경로 관계 통제는 유효 출처 정책 누출을 다룰 수 있습니다. 어느 단일 필터 범주도 전체 혼합을 반드시 커버하지는 않습니다.

RPKI 출처 검증이 확립할 수 있었던 것

RPKI는 주소 자원 보유자가 Route Origin Authorisation을 생성할 수 있게 하는 암호학적으로 뒷받침된 구조를 제공합니다. ROA는 지정된 ASN이 최대 프리픽스 길이 조건 하에서 프리픽스를 출처화하도록 승인되었음을 표현합니다.[13] 의존 당사자는 RPKI 자료를 검색·검증하고, 검증된 ROA 페이로드를 생성하고, 그 정보를 라우팅 시스템이나 정책 엔진에 제공합니다. RIPE NCC는 자신의 서비스 지역 내 자원에 대해 인증 및 ROA 관리 서비스를 운영하지만, 참여하는 모든 네트워크의 라우터를 중앙에서 프로그래밍하지는 않습니다.[10]

특정 검증 데이터 집합에 대비해 출처 검증은 세 가지 관련 결과를 낼 수 있습니다. 커버하는 승인이 관측된 출처 ASN과 프리픽스 길이를 허용하면 경로는Valid입니다. 커버하는 승인이 존재하지만 어느 것도 출처와 길이의 조합을 허용하지 않으면Invalid입니다. 커버하는 승인이 없으면NotFound입니다.[14] 이것은 경로 자체에 새겨진 시간을 초월한 전역적 속성이 아니라, 특정 시점에 의존 당사자가 보유한 데이터에 상대적인 서술입니다.

이 자격 부여는 기록 관리 사건 중에 중요합니다. 두 의존 네트워크는 저장소 동기화 시점, 캐시 상태, 만료 동작 또는 운영 대응이 다르기 때문에 일시적으로 서로 다른 검증 시각을 가질 수 있습니다. RFC 7115는 의존 당사자 처리와 검증된 정보의 운영적 중요성을 논의합니다.[15] 얼려진 증거는 로스텔레콤 관측의 1시간 동안 모든 네트워크가 본 정확한 캐시 내용을 드러내지 않습니다. 따라서 명명된 운영자가 "Invalid를 봤다"는 주장은 그 운영자의 검증 데이터와 관련 시점의 정책에 관한 증거를 필요로 합니다.

ROV는 유용한 출처 증거를 제공합니다. 커버된 프리픽스에 대한 AS12389 광고가 승인된 ASN과 충돌하거나, 더 구체적 경로가 적용 가능한maxLength를 초과했다면, 집행하는 운영자는 잠재적으로 그것을 Invalid로 거부할 수 있었습니다. 이 조건문은 관련 ROA가 존재하고, 올바르게 표현되고, 최신 의존 당사자 캐시에 도달하고, 라우팅 정책에 전달되고, 우선 적용되는 예외 없이 강제되는 데 의존합니다. 이 요소 중 하나만 제거해도 실제 결과가 바뀔 수 있습니다.

Valid 결과는 "안전한 경로"보다 훨씬 적은 것을 증명합니다. 중간 AS 순서를 검증하지 않습니다. 고객-공급자 또는 피어 관계를 인증하지 않습니다. 중간 네트워크가 학습된 경로를 익스포트할 권리가 있었음을 보여주지 않습니다. 데이터 경로가 의도된 목적지에 도달했는지, 트래픽이 우회되지 않았는지, 운영 연락처가 응답할지를 확립하지 않습니다. 승인된 출처는 의도치 않은 경로 뒤에 나타날 수 있습니다.

Invalid 결과 역시 한정된 의미를 갖습니다. 그것은 해당 의존 당사자가 이용할 수 있는 커버하는 검증된 승인과의 충돌을 보여줍니다. 무단 출처, 과도한 프리픽스 길이, 낡은 운영 의도, 또는 잘못된 ROA에서 비롯될 수 있습니다. 그것만으로 동기, 가로채기 또는 범죄 행위를 증명하지 않습니다. 운영자는 여전히 변경 관리, 예외 처리, 조사를 통해 공격과 구성 또는 기록 오류를 구분해야 합니다.

NotFound는 출처별 증거가 가장 적습니다. 의존 당사자의 시각에는 커버하는 검증된 승인이 없으므로, ROV는 ROA를 통해 출처를 확인하거나 반박할 수 없습니다. 모든 NotFound 경로를 적대적으로 취급하는 것은 별개의 로컬 정책 선택일 뿐 검증 상태의 함축이 아닙니다. 그것은 ROA 커버리지가 없는 주소 공간의 평범한 경로까지 거부할 위험도 있습니다.

RIPE NCC 삭제는 이 구분을 보여줍니다. 2,669개 ROA의 삭제는 동기화 이후 남아 있는 커버 기록과 캐시 시점에 따라 의존 당사자 시각에서 일부 경로를 Valid 또는 Invalid에서 NotFound로 바꿀 수 있었습니다.[3][5] 그러나 그것은 AS12389 BGP 광고를 만들지 않았고, 중간 네트워크가 그것을 익스포트하게 만들지도 않았으며, 완전한 AS 경로를 바꾸지도 않았습니다. 로스텔레콤 사건에 대해서는 문서화된 교집합이 PI 보유자 3곳과 12개 프리픽스뿐이었고, 이후 분석은 두 사건 간 직접 관계를 찾지 못했습니다.[4][5]

따라서 보편적 ROV가 이 사건 전체를 막았다고 주장할 수는 없습니다. 가용하고 최신인 ROA 데이터와 집행 정책 하에서 Invalid였던 광고가 관여한 부분집합은 제약할 수 있었습니다. 승인된 출처가 그대로 유지된 학습 경로 정책 누출은 본래 거부하지 않았을 것입니다. 완전한 AS 경로도 검증하지 못했을 것입니다. 이 경계는 증거의 약점이 아니라, 그 메커니즘이 무엇에 답하도록 설계되었는지에 대한 올바른 서술입니다.

근본 원인

로스텔레콤에서 초기화된 내부 절차는 알려져 있지 않습니다. 공개 출처는 구체적인 구성 변경, 명령, 라우터, 직원, 검토 결정 또는 자동화 실패를 식별하지 않습니다. 그것들은 외부에서 관측된 AS12389 광고 동작과 이후 전파를 보여줄 뿐, 그것을 생성한 내부 메커니즘은 보여주지 않습니다. 따라서 라우팅 사건의 근본 원인을 이용 가능한 증거에서 명명된 행동이나 개인으로 환원할 수 없습니다.

관측 가능한 수준에서 사건은 AS12389의 출처 또는 익스포트 동작으로 시작되었으며, 그 동작이 학습 경로 누출과 재출처화된 더 구체적 프리픽스로 해석되는 증거를 포함한 예상치 못한 경로를 BGP에 도입했습니다.[1][4] 다른 네트워크의 수용과 이후 익스포트가 가시적 범위를 확대했습니다. 이는 라우팅 관측에 의해 뒷받침되는 사건 절차일 뿐, 완전한 근본 원인 확정이 아닙니다.

RIPE NCC 사건은 서로 다른 문서화된 기술 절차를 따랐습니다. 레지스트리 소프트웨어 업데이트가 일부 프로바이더 독립 할당을 인증 불가로 분류해 2,669개 ROA를 삭제하게 했습니다.[3][5] 그 소프트웨어 및 기록 관리 실패는 RPKI 데이터를 바꿨고, 로스텔레콤 사건은 실시간 BGP 광고를 바꿨습니다. 이후 분석은 둘 사이에 직접적인 인과 관계가 없음을 발견했습니다.[4][5] 둘을 하나의 근본 원인으로 묶는 것은 문서화된 기록과 모순됩니다.

기여 조건

첫 번째 기여 조건은 모든 네트워크 경계에서 BGP가 로컬 정책에 의존한다는 점이었습니다. BGP는 도달 가능성을 분산하지만, 무엇을 수용하고 선호하며 광고할지는 운영자가 결정합니다.[12] 하나의 정책 관계 안에 머물러야 했던 경로는 연이은 구성이 그것을 허용할 때 전파될 수 있습니다. AS20764, AS174, AS3356을 통한 관측된 통과는 여러 수용 및 익스포트 지점을 보여주지만, 그중 어느 곳의 구체적 정책도 드러내지 않습니다.[1]

두 번째 조건은 출처 승인의 고르지 않은 관련성이었습니다. 충돌하면서 커버하는 ROA를 가진 경로는 ROV 거부 후보가 될 수 있었습니다. 유효 출처 정책 누출은 그렇지 않았습니다. 커버하는 ROA가 없는 경로는 NotFound였을 것입니다. 알려지지 않은 범주 혼합 때문에 어떤 방어 가능한 분석도 전체 집합에 하나의 검증 해법을 할당할 수 없습니다.

세 번째는 최신 운영 데이터에 대한 의존이었습니다. 올바르게 생성된 ROA도 의존 당사자가 그것을 검색·검증하고, 캐시가 신선하며, 라우터가 결과를 받고, 로컬 정책이 그에 따라 행동하지 않으면 라우팅 효과를 갖지 못합니다. RIPE NCC 삭제는 일시적으로 기록 계층에 영향을 미쳤고, 캐시 동기화와 로컬 집행이 그 변화가 언제 또는 어느 네트워크의 결정에 영향을 미쳤는지 결정했습니다.[3][10][15]

네 번째는 분산된 필터링이었습니다. 고객 프리픽스 필터, 최대 프리픽스 통제, 경로 레지스트리, RPKI 검증, 익스포트 정책 검사는 서로 보완할 수 있습니다.[11][16] 공개 기록은 2020년 4월 로스텔레콤 또는 전파 네트워크에서 이러한 통제 중 어느 것이 존재했고, 없었고, 우회되었고, 잘못 범위 지정되었는지 확립하지 않습니다. 그것들은 관련 통제 범주이며, 문서화되지 않은 구성에 대한 결론이 아닙니다.

다섯 번째는 조각난 가시성이었습니다. 모니터링 공급자는 선별된 관측 지점에서 비정상 광고를 보고 운영자에게 경보를 줄 수 있지만, 모든 라우터의 Adj-RIB-In, 로컬 라우팅 정보 기반, 포워딩 테이블 또는 구성 이력을 갖고 있지는 않습니다. Qrator의 경보는 실행 가능한 외부 증거를 제공했습니다.[1] 그러나 초기화된 내부 결함을 독립적으로 재구성하거나 모든 영향받은 네트워크가 같은 시점에 수렴했다는 보장을 할 수 없었습니다.

촉발 사건

로스텔레콤 내부의 즉시 촉발은 여전히 식별되지 않았습니다. 공개 증거에서 사람, 명령, 라우터, 계약 또는 동기에 책임을 돌리는 것은 무책임할 것입니다. 첫 번째 방어 가능한 외부 사건은 약 19:28 UTC에 Qrator의 관측 지점에서 관련 AS12389 광고가 나타난 것입니다.[1]

"촉발"을 "조건"과 혼동해서는 안 됩니다. 관용적인 이웃 정책, 불완전한 ROA 커버리지, 낡은 데이터, 제한된 모니터링은 사건이 확산되거나 봉쇄가 지연되도록 허용할 수 있지만, 그 어느 조건도 무엇이 광고를 시작했는지 증명하지 않습니다. 마찬가지로 별개의 ROA 삭제는 시기적으로 겹쳤을 뿐, AS12389 라우팅 동작에 대한 문서화된 촉발이 아니었습니다.[4][5]

감지

Qrator는 사건을 실시간으로 감지하고 로스텔레콤에 경보를 보냈다고 보고했습니다.[1] 그 측정치는 공개 재구성의 기준이 되는 대략적 시작, 지속 시간, 규모, 가시적 전파 경로를 제공했습니다. CERT-EU는 이후 사건을 요약하며, 우연 여부에 관한 불확실성과 보고 기업과의 로스텔레콤 협력을 함께 언급했습니다.[2]

외부 감지는 중요한 연속성 통제입니다. 운영자의 내부 시각은 이웃이나 먼 네트워크가 자신의 경로를 어떻게 수신하는지 보여주지 않을 수 있기 때문입니다. 그 한계도 똑같이 중요합니다. 모니터링 경보는 모니터링 시스템의 관측 지점에서의 가시성만 증명합니다. 내부 촉발의 정확한 시각, 모든 다운스트림 선택 결정, 전체 데이터 평면 영향을 드러내지 않습니다. 강한 감지는 따라서 로컬 세션·정책 텔레메트리와 독립적인 경로 관측을 결합합니다.

대응

Qrator는 로스텔레콤이 실시간 경보를 받은 뒤 트러블슈팅과 복구에 협력했다고 말했습니다.[1] 이는 사건 조율이 있었다는 결론을 뒷받침합니다. 그러나 내부 에스컬레이션 경로, 대응자 신원, 검사된 구성, 선택된 시정 조치, 각 단계의 정확한 시각은 공개하지 않습니다.

전파 네트워크들의 대응은 얼려진 기록에서 비교 가능한 상세 수준으로 문서화되어 있지 않습니다. 그들의 실제 선택지에는 광고 필터링, 경로 선호도 변경, 인접 네트워크 연락, 수정된 업데이트 대기 등이 포함될 수 있었지만, 명명된 운영자가 어떤 특정 방법을 사용했다고 주장하는 것은 추측일 것입니다. 책임성은 가용한 통제와 입증된 행동을 구분해야 합니다.

RIPE NCC의 대응은 자체 연표를 따랐습니다. 누락된 ROA를 조사하고, 4월 2일 복원하고, 이후 모니터링 개선을 설명했습니다.[3][5] 그 대응은 RPKI 기록의 무결성과 가용성을 다루었습니다. AS12389 광고가 수정된 라우팅 대응 메커니즘은 아니었습니다.

복구

Qrator의 약 1시간 관측과 트러블슈팅·복구에 관한 서술은 가시적 라우팅 사건이 그 넓은 시간대 안에 통제되었다는 결론을 뒷받침합니다.[1] 그러나 복구가 철회, 수정된 광고, 익스포트 정책 변경, 이웃 필터링 또는 그 조합 때문에 이루어졌는지는 식별하지 않습니다. 모든 네트워크에서 동시에 수렴이 완료되었다는 증명도 하지 않습니다.

운영 복구에는 최소 세 계층이 있습니다. 광고 계층은 예상치 못한 경로를 중단하거나 수정해야 합니다. 전파 계층은 이웃과 다운스트림 네트워크가 변화를 처리해야 합니다. 증거 계층은 모니터링이 유용한 관측 지점에서 비정상 경로가 사라졌음을 확인해야 합니다. 로컬 라우터만 근거로 한 선언은 잔존 전파를 놓칠 수 있고, 외부 컬렉터만 근거로 한 선언은 내부 상태를 놓칠 수 있습니다.

RPKI 서비스 복구는 별개였습니다. RIPE NCC는 4월 2일 삭제된 ROA를 복원했습니다.[3][5] 의존 당사자들은 이후 자신의 동기화와 검증 절차를 통해 수정된 상태를 수신해야 했습니다. 저장소에서의 복원과 모든 의존 네트워크에서의 수렴은 관련되어 있지만 동일한 사건이 아닙니다.

실질적 통제의 할당

책임성은 광범위한 기관 레이블보다 결정별로 통제를 할당할 때 더 선명해집니다.

행위자실질적 통제증거적 한계
로스텔레콤 / AS12389경로 출처화 및 익스포트 정책, 이웃별 필터, 프리픽스 인벤토리, 구성 검토, 변경 배포, 모니터링, 에스컬레이션, 롤백초기화된 구성과 내부 대응 절차는 공개되지 않음
Rascom AS20764, Cogent AS174, Level 3 AS3356 및 기타 전파 네트워크자체 임포트·익스포트 필터, 관계 정책, 프리픽스 제한, ROV 사용, 예외, 이상 징후 대응, 이후 광고2020년 4월의 구성, 캐시 상태, 계약은 알려지지 않음
프리픽스 보유자자원 기록 정확성, ROA 생성, 출처 ASN 및maxLength선택, 운영 연락처, 독립적 경로 모니터링개별 결정은 거의 200개 영향받은 자율 시스템 전반에서 균일하게 추론될 수 없음
RIPE NCC인증 및 ROA 관리 시스템, 소프트웨어 테스트, 서비스 모니터링, 롤백, 복원, 자신의 역할 내 사건 공개독립 운영되는 라우터가 사용한 경로를 중앙에서 선택하거나 강제하지 않음
의존 당사자 운영자저장소 동기화, 캐시 신선도, 검증 결과 전달, 로컬 Invalid/NotFound 정책, 예외, 최종 라우팅 결정전역 관측자는 모든 의존 당사자의 모든 시점 검증 시각을 추론할 수 없음
경로 모니터링 공급자관측 지점 수집, 이상 징후 분석, 경보 전달, 조율 증거, 사후 보고선별된 라우팅 시각만 관측하며 광고를 통제하거나 모든 내부 행동을 재구성하지 않음

이 할당은 두 가지 반대 오류를 방지합니다. 첫 번째는 모든 책임을 출처 네트워크에 집중하고 전파를 가능하게 한 독립적 수용 결정을 무시하는 것입니다. 두 번째는 통제를 너무 광범위하게 분산해 어떤 결정에도 주인이 없게 만드는 것입니다. 로스텔레콤은 AS12389이 광고하거나 익스포트하는 것을 통제했습니다. 각 이웃은 자신의 수용을 통제했습니다. 각 이후 네트워크는 또 하나의 전파 결정을 통제했습니다. 레지스트리 운영자는 출처 기록의 가용성을 통제했습니다. 의존 당사자들은 그 기록이 라우팅에 영향을 미치는지 여부를 통제했습니다.

한 계층에 대한 통제가 다른 계층에 대한 통제를 함축하지는 않습니다. 프리픽스 보유자는 올바른 ROA를 공개할 수 있지만 모든 네트워크가 그것을 검색하거나 강제하도록 강요할 수 없습니다. RIPE NCC는 삭제된 기록을 복원할 수 있지만 관련 없는 운영자의 BGP 경로를 직접 철회할 수 없습니다. 모니터링 공급자는 로스텔레콤에 경보를 줄 수 있지만 롤백을 실행할 수 없습니다. 업스트림은 자신의 경계에서 경로를 거부할 수 있지만 출처 구성을 수리할 수 없습니다. 운영 연속성은 이 통제들이 함께 작동할 때 생겨납니다.

이 할당은 추론에도 한계를 설정합니다. 보고된 경로에 나타난 자율 시스템은 그 네트워크 식별자가 관측에 나타났다는 증거입니다. 그것 자체는 직원의 심리 상태, 계약 위반 또는 법적 책임에 관한 증거가 아닙니다. 그러한 결론은 여기서 고려한 라우팅 증거를 넘어서는 기록을 필요로 합니다.

근본 원인 증거와 기여 증거의 구분

근본 원인 증거는 예상치 못한 AS12389 동작을 처음 만들어낸 내부 메커니즘을 식별할 것입니다. 예를 들어 구성 델타, 자동화 로그, 커밋 이력, 세션 추적, 일치하는 타임스탬프 등입니다. 공개 기록에는 어느 것도 없습니다. 외부 경로 관측은 사건과 그 확산을 확립하지만, 그 내부 증거 공백을 채우지 못합니다.

기여 증거는 다른 기능을 합니다. 연이은 네트워크들이 경로를 수용하고 익스포트했다는 것은 관측된 경로의 실시간 정책이 더 이른 경계에서 그 경로를 봉쇄하지 않았음을 보여줍니다. 검증 네트워크 너머에서 보이는 Invalid 광고는 데이터 신선도, 집행 또는 예외에 관한 의문을 제기할 수 있지만, 그 네트워크의 실제 RPKI 상태가 알려져 있을 경우에만 가능합니다. ROV를 통과하는 유효 출처 누출은 대신 그 부분에 대해 출처 승인이 잘못된 통제였음을 보여줄 것입니다.

촉발 증거는 내부 행동을 첫 예상치 못한 업데이트와 연결할 것입니다. 감지 증거는 모니터링 시스템이 이상을 식별한 시점을 보여줄 것입니다. 대응 증거는 접촉, 결정, 변경을 기록할 것입니다. 복구 증거는 로컬과 외부 시각에서의 철회 또는 수정을 보여줄 것입니다. 이 증거 범주들을 분리된 상태로 유지하면 사후 계정이 검증 가능해지고, 감지 타임스탬프가 촉발 타임스탬프인 것처럼 보이는 것을 방지합니다.

측정 가능한 개선 조치

이 사건은 계층화된 개선을 뒷받침하지만, 측정치는 책임에 관한 주장이 아니라 관측 가능한 통제로 표현되어야 합니다.

첫째, 출처화 또는 트랜짓 네트워크는 이웃별 경로 인벤토리를 유지하고 배포 전에 임포트와 익스포트 정책을 모두 검증할 수 있습니다. 유용한 측정치에는 이웃별 허용 프리픽스 수, 승인된 기준선으로부터의 변경, 예상치 못한 출처 ASN, 더 구체적 광고, 제안된 업데이트 중 관계 분류가 바뀌는 경로가 있습니다. 검증은 로컬에서 출처화된 경로와 다른 곳에서 학습된 경로를 구분해야 합니다.

둘째, 운영자는 외부 경계에서 봉쇄를 측정할 수 있습니다. 고객 및 피어 세션에서 기본 거부 동작, 명시적 허용 목록, 최대 프리픽스 임계값, 공급자·피어에서 학습한 경로가 다른 부적절한 관계로 들어가지 못하게 하는 익스포트 규칙을 점검할 수 있습니다. 운영 지침에 설명된 일반 필터링 및 검증 관행은 단일 보편 검사가 아니라 계층화된 모델을 제공합니다.[11][16]

셋째, RPKI 운영은 종단 간 측정할 수 있습니다. 관련 지표에는 저장소 동기화 연령, 캐시 시리얼 진행, 검증 피드 가용성, 세션별 Valid·Invalid·NotFound 경로 수, 정책 예외, ROA 커버리지의 급격한 변화에 대한 경보가 있습니다. 발행 시스템에 기록이 존재하는 것만으로는 부족하며, 낡은 캐시나 연결되지 않은 정책 엔진이 실시간 결정에 반영되지 못하게 하면 무의미합니다.[10][15]

넷째, 프리픽스 보유자는 ROA가 현재 출처를 반영하는지,maxLength가 운영적으로 필요한 것보다 넓지 않은지 검토할 수 있습니다. 좁은 승인은 일부 무단 더 구체적 광고를 Invalid로 만들 수 있지만, 지나치게 제한적인 값은 합법적인 트래픽 엔지니어링 광고도 무효화할 수 있습니다. 올바른 설정은 실제 라우팅 계획에 따라 달라지며,maxLength와 위조 출처 서브프리픽스 노출에 관한 이후 분석은 이를 정밀한 운영 선택으로 취급할 필요를 재확인시킵니다.[20]

다섯째, 사건 대응은 시간 기반 측정으로 평가할 수 있습니다. 첫 비정상 업데이트부터 내부 경보까지의 시간, 외부 교차 확인 관측까지의 시간, 관련 이웃 접촉까지의 시간, 영향받은 정책 식별까지의 시간, 새 전파 중단까지의 시간, 여러 관측 지점에서 복구 확인까지의 시간입니다. Qrator의 서술은 그 모든 간격을 공개하지 않으면서도 실시간 경보와 조율의 가치를 보여줍니다.[1]

유용한 사후 기록은 첫 관측된 업데이트, 구성 상태, 경로 정책 평가 결과, RPKI 캐시 상태, 운영자 접촉, 시정 변경, 최종 외부 검증을 보존할 것입니다. 그러한 증거는 이후 검토가 출처 실패, 익스포트 실패, 수용 실패, 낡은 검증 데이터, 지연된 조율을 구분할 수 있게 합니다. 그것 없이 조사자는 부분적인 전역 관측에서 내부 원인을 추론할 수밖에 없습니다.

이 측정치들은 의도와 책임에 대해 중립적입니다. 통제가 존재했는지, 작동했는지, 그 출력이 관측되었는지, 시스템이 얼마나 빨리 회복했는지를 묻습니다. 경로 이상이 반드시 악의를 증명한다거나 하나의 보안 기술이 모든 경로 범주를 막았어야 한다고 가정하는 것보다 이것이 더 강한 책임성 방법입니다.

레지스트리 증거와 실행 중인 현실

레지스트리 객체와 ROA는 필수적인 증거입니다. 데이터베이스 기록은 관리 정보를 네트워크 자원과 연관시키고, ROA는 자원 보유자의 출처 승인을 표현합니다.[8][13] 정확성, 고유성, 최신 보안 메타데이터가 그 기록을 운영자와 조사자에게 유용하게 만듭니다. 그것들은 자원에 대해 누가 기록되어 있는지, 어느 ASN이 프리픽스를 출처화하도록 승인되었는지에 답하는 데 도움이 됩니다.

기록은 법령처럼 인터넷을 작동시키지 않습니다. BGP 스피커는 수신한 업데이트에 자신의 실행 정책을 적용합니다. 의존 당사자는 최신 RPKI 데이터를 얻어야 합니다. 라우터는 검증 결과를 받아야 합니다. 운영자는 무엇을 거부하고 선호하고 조사할지 결정해야 합니다. 익스포트 필터는 의도된 관계를 반영해야 하고, 모니터링은 실제 전파가 그 의도에서 벗어날 때 이를 드러내야 합니다. 조율된 복구가 이어서 증거를 시정 조치로 바꿔야 합니다.

별개의 RIPE NCC 삭제는 이 구조의 양면을 모두 보여줍니다. 레지스트리와 RPKI 서비스가 중요한 이유는 승인을 제거하면 의존 당사자에게 이용 가능한 출처 증거가 바뀔 수 있기 때문입니다. 그러나 삭제는 AS 경로를 중앙에서 재작성하지 않았고, 네트워크들이 AS12389 광고를 수용하게 강요하지도 않았습니다. 운영 연속성은 기록 복원, 최신 캐시, 로컬 라우팅 정책, 활성 필터, 대응 조율이 하나의 사슬로 작동하는 데 의존했습니다.

이 현실 계층적 관점은 레지스트리를 주권적 경로 집행 권위로 취급하는 것을 피합니다. 동시에 집행이 로컬이라는 이유만으로 기록을 무관한 것으로 치부하는 것도 피합니다. ROA는 특정 출처 충돌을 실행 가능하게 만드는 기계 검증 가능한 증거를 제공할 수 있습니다. 그 가치는 기록 정확성, 배포, 캐시 건강, 운영자 정책이 모두 측정 가능할 때 가장 큽니다.

이후의 설계 맥락, 소급 적용되는 요구가 아님

RFC 8212는 임포트 또는 익스포트 정책이 명시적으로 구성되지 않았을 때 외부 BGP 세션에 기본 거부 태세를 적용하는 것을 다룹니다.[18] 설계 맥락으로서 이 접근은 불완전하게 명세된 관계가 기본값으로 경로를 교환할 위험을 줄입니다. 이것은 향후 구성 규율과 관련 있지만, 명명된 모든 운영자가 2020년 4월에 그 동작을 배포했다거나 RFC가 소급되는 책임 기준을 제공한다는 증거는 아닙니다.

RFC 9234는 이후 BGP 역할과 Only-to-Customer 메커니즘을 명세하며, 관계 구조에 기반해 특정 경로 누출을 식별·방지하는 데 도움이 되도록 의도된 프로토콜 신호를 제공합니다.[19] 이 작업은 ROV가 담지 않는 정보, 즉 경로의 전파가 선언된 역할과 일치하는지를 다룹니다. 이것을 2020년 4월의 요구 사항, 사건 원인의 증명, 또는 관측된 세션에서 이용 가능했다고 알려진 메커니즘으로 묘사해서는 안 됩니다.

RFC 9319는 이후 RPKImaxLength와 위조 출처 서브프리픽스 노출을 둘러싼 운영 고려사항을 분석했습니다.[20] 이것은 커버하는 승인이 더 구체적 광고를 제약할 수도 있고 그렇지 않을 수도 있는 방식을 설명하는 데 도움이 됩니다. 그러나 2020년에 영향받은 모든 프리픽스에 대해 보였을 정확한 ROA 구성을 확립하지 않으며, 8,870개 프리픽스 수를 Invalid 경로 수로 바꿀 수도 없습니다.

함께 보면 이 이후 문서들은 왜 계층화된 설계가 필요한지를 보여줍니다. 기본 거부 정책은 빠진 관계 구성을 다룰 수 있습니다. BGP 역할과 경로 신호는 일부 정책 범위 누출을 다룰 수 있습니다. RPKI는 일부 출처 충돌과 프리픽스 길이 위반을 다룰 수 있습니다. 모니터링과 조율은 필요한 채로 남아 있습니다. 어느 하나의 메커니즘도 경로의 모든 속성을 검증하지 않기 때문입니다.

이 기사가 혼동하지 않는 것

2020년 사건은 로스텔레콤의 2017년 금융 경로 이상과 구별됩니다. 더 이른 사건은 다른 시각, 다른 영향받은 경로 집합, 다른 지속 시간, 다른 귀속 문제를 다루었습니다. 여기서 다시 서술하지 않으며, 그 사건의 증거는 2020년 4월 1일 사건의 의도, 반복적 인과, 책임을 추론하는 데 사용될 수 없습니다. 이 분석은 관측된 AS12389 전파 경로, 그 약 1시간의 관측, 그 특정 사건과 관련된 통제에 한정됩니다.

이 기사는 또한 ROA 잘못된 구성과 공통 모드 의존에 관한 일반적 분석과도 구별됩니다. RIPE NCC 삭제가 여기서 중요한 이유는 PI 보유자 3곳과 12개 프리픽스의 측정된 중첩이 있는 별개의 시기적으로 겹친 사건이기 때문입니다.[4][5] ROA 생성 오류에 관한 더 넓은 이론은 구체적 질문을 가릴 것입니다. 이 혼합 라우팅 사건의 어떤 부분을 출처 검증이 식별할 수 있었고, 어떤 부분이 경로 인식 정책과 경계 필터링을 필요로 했는가?

이 구분은 사건의 증거적 중심을 보존합니다. 2020년 책임성 시험은 AS12389 광고, AS20764·AS174·AS3356을 통한 전파, 구분된 경로 범주, 시간 의존적 ROA 상태, 독립적으로 통제된 라우팅 결정에 의존합니다. 그 요소들 없이는 분석이 또 다른 로스텔레콤 사건의 재서술이거나 추상적 RPKI 에세이가 됩니다.

필수적인 불확실성

초기화된 내부 결함 절차는 여전히 알려져 있지 않습니다. 학습 경로 누출과 재출처화된 더 구체적 프리픽스 사이의 정확한 구분도 알려져 있지 않습니다. 영향받은 전달 경로의 전체 집합과 최종 사용자 증상도 알려져 있지 않습니다. 모든 의존 당사자가 각 시점에 본 RPKI 상태도 알려져 있지 않습니다. 각 전파 네트워크가 구성한 임포트·익스포트 필터도 알려져 있지 않습니다.

완전한 대응 연표도 이용할 수 없습니다. Qrator는 실시간 경보, 협력, 트러블슈팅, 복구를 문서화했지만 모든 내부 결정을 문서화하지 않았습니다.[1] 증거는 책임 있는 개인, 의도적 가로채기, 범죄 행위, 침해, 과실 또는 법적 책임을 확립하지 않습니다. 영향받은 집합에 나타났을 수 있는 경로를 가진 모든 서비스의 장애를 측정하지도 않습니다.

이것들은 사소한 주석이 아닙니다. 그것들은 관측된 인프라 동작과 추측 사이의 경계를 정의합니다. 정밀한 계정은 동기와 법적 결론을 미해결로 남긴 채 통제의 주인과 봉쇄 기회를 식별할 수 있습니다.

결론

로스텔레콤의 2020년 4월 1일 사건은 출처 증거와 경로 정책 증거가 서로 다른 질문에 답한다는 것을 보여주었습니다. Qrator는 약 19:28 UTC에 시작해 약 1시간 지속되고 Rascom, Cogent, Level 3를 통해 전파된 대규모 AS12389 사건을 관측했습니다. 거의 200개 자율 시스템과 연관된 8,870개 프리픽스를 집계하고 로스텔레콤과의 실시간 조율을 보고했습니다.[1] 이 관측들은 규모, 전파, 대응을 확립하지만 완전한 내부 원인은 확립하지 않습니다.

동시에 발생한 2,669개 RIPE NCC ROA 삭제는 별개의 운영 실패였습니다. 이후 분석은 로스텔레콤 누출과의 직접 관계를 찾지 못했고, 교집합은 PI 보유자 3곳과 12개 프리픽스뿐이었음을 측정했습니다.[3]-[5] 이 증거는 인과 혼동과, 영향받은 모든 경로가 Invalid였다는 주장을 모두 배제합니다.

ROV는 최신 커버 ROA와 집행 정책이 존재하는 곳에서 일부 무단 출처 또는 과도 길이의 더 구체적 광고에 실행 가능한 증거를 제공할 수 있었습니다. 완전한 AS 경로를 검증하거나 모든 유효 출처 정책 누출을 거부할 수는 없었습니다. 남은 봉쇄 책임은 실행 중인 임포트·익스포트 정책, 관계 인식 필터링, 최신 캐시, 경로 모니터링, 조율된 복구에 있었습니다.

따라서 책임성 교훈은 분산되어 있지만 구체적입니다. 로스텔레콤은 자신의 광고 및 익스포트 결정을 소유했습니다. 전파 네트워크들은 자신의 경계 결정을 소유했습니다. 프리픽스 보유자들은 자신의 승인과 연락처의 정확성을 소유했습니다. RIPE NCC는 자신의 인증 및 ROA 관리 서비스의 신뢰성을 소유했습니다. 의존 당사자들은 데이터 신선도와 집행을 소유했습니다. 모니터링 공급자들은 자신의 관측과 경보의 질과 속도를 소유했습니다. 어느 누구도 전체 시스템을 통제하지 않았지만, 각자는 운영 연속성의 식별 가능한 부분을 통제했습니다.

출처

  1. https://qrator.net/blog/details/how-you-deal-route-leaks/
  2. https://cert.europa.eu/publications/threat-intelligence/threat-memo-bgp-hijacking-russia/pdf
  3. https://www.ripe.net/ripe/mail/archives/routing-wg/2020-April/004072.html
  4. https://www.ripe.net/ripe/mail/archives/routing-wg/2020-April/004083.html
  5. https://labs.ripe.net/author/nathalie_nathalie/lessons-learned-on-improving-rpki/
  6. https://manrs.org/2021/03/a-regional-look-into-bgp-incidents-in-2020/
  7. https://qrator.net/blog/details/2020-report/
  8. https://apps.db.ripe.net/db-web-ui/lookup?key=AS12389&source=ripe&type=aut-num
  9. https://stat.ripe.net/docs/
  10. https://www.ripe.net/manage-ips-and-asns/resource-management/rpki/resource-certification-roa-management/
  11. https://manrs.org/netops/
  12. https://www.rfc-editor.org/rfc/rfc4271
  13. https://www.rfc-editor.org/rfc/rfc6480
  14. https://www.rfc-editor.org/rfc/rfc6811
  15. https://www.rfc-editor.org/rfc/rfc7115
  16. https://www.rfc-editor.org/rfc/rfc7454
  17. https://www.rfc-editor.org/rfc/rfc7908
  18. https://www.rfc-editor.org/rfc/rfc8212
  19. https://www.rfc-editor.org/rfc/rfc9234
  20. https://www.rfc-editor.org/rfc/rfc9319