요약

  • 2023년 일본의 ROV 실증은 정상 운영, Invalid 경로로부터의 보호, 문제 발생 시 복구 능력이라는 세 가지 확인을 중심으로 도입을 구성했습니다.
  • 공개 기록은 실험에서 가이드라인에 이르는 과정을 문서화하고 있습니다. 그러나 이는 18개 RPKI 참여 기업이 모두 실제 운영 환경에서 경로를 거부했거나, 누구도 장애를 겪지 않았거나, JANOG 또는 JPNIC가 운영자의 라우팅 정책을 통제했다는 것을 보여주지 않습니다.

보안 프로젝트는 실패를 자신들이 막으려 설계한 상태로 서술하는 경우가 많습니다. 이 프로젝트는 더 유용한 일을 했습니다. 실패를 테스트 안에 넣은 것입니다. 운영자가 Route Origin Validation(ROV)을 도입 준비가 된 것으로 간주하기 전에, 이 실습은 네트워크가 정상적으로 계속 작동하는지, 이 통제가 Invalid 경로에 대해 실제로 작동하는지, 그리고 통제 자체가 바람직하지 않은 결과를 낳았을 때 운영자가 대응할 수 있는지를 물었습니다.

이 절차가 곧 거버넌스 이야기입니다. ROV가 무해했다는 증명은 아니며, 도입을 일방적인 기술 업그레이드가 아니라 되돌릴 수 있는 결정으로 프레이밍했다는 점을 보여줍니다.

이 작업은 2023년 7월 5일 JANOG52에서 공개적으로 표면화되었습니다. JANOG가 논의를 주관하고 프로그램과 JPNIC의 태지 기무라(Taiji Kimura), BIGLOBE의 야마구치 가쓰시(Katsushi Yamaguchi), 게이오기주쿠대학과 WIDE 소속 나카무라 오사무(Osamu Nakamura)의 발표 자료를 공개했습니다. 그러나 컨퍼런스는 프로젝트 소유자가 아니었고 참여 네트워크에 대한 권한도 확보하지 않았습니다.

권한 구조는 훨씬 분산되어 있었습니다. 일본 총무성이 프로젝트를 후원했고, NTT Communications가 주계약자였으며, 미쓰비시 종합연구소와 JPNIC가 하도급 주체로 지원했습니다. JPNIC는 RPKI 및 DNSSEC 실험의 일부를 기획하고, 테스트 환경을 설계·운영하며, 결과를 취합했고 이후 가이드라인을 발행했습니다. 시설은 게이오기주쿠대학, Cyber Kansai Project를 통한 오사카대학, 나가사키대학에 마련되었습니다. 참여 조직들이 테스트를 수행했고, 각 자율 시스템(AS)은 여전히 자체 경로 정책을 결정했습니다.

JPNIC의 2023 회계연도 보고서는 RPKI 트랙에 18개 기업이 참여했다고 기록하며, DNSSEC는 8개, DMARC는 10개입니다. 이 수치는 프로젝트 트랙 참여를 설명할 뿐입니다. 실제 운영 배포, 완료된 롤아웃, 독립 검증된 성공의 개수가 아닙니다.

프로젝트는 세 가지 형태의 참여 경험을 제공했습니다. 실습 교육, 프로젝트 환경에서의 실험, 참여자 자체 환경에서의 검증입니다. 이 구분은 중요합니다. 참여자 환경의 강의는 운영 현실에 더 가까울 수 있지만, 공개 기록은 어떤 기업이 어떤 과정을 선택했는지, 또는 어떤 테스트가 실제 트래픽을 전달하는 BGP 세션을 변경했는지 식별하지 않습니다.

프로젝트 시설 안에서 엔지니어들은 의도적으로 Invalid BGP 경로를 주입하고 ROA 데이터를 대상으로 ROV를 실습할 수 있었습니다. 장비에는 Arista, Cisco, Juniper, Nokia의 가상 또는 하드웨어 라우터가 포함되었습니다. 복수 벤더 테스트는 실습의 폭을 넓혔지만, 기능의 동등성, 운영 안전성 또는 모든 규모에서의 예측 가능한 동작을 입증하지는 않았습니다.

이 실증에서 벤더 목록보다 더 많은 것을 드러낸 것은 "세 가지 확인"이었습니다. 첫째, 검증을 도입한 뒤에도 네트워크는 정상적으로 계속 운영되어야 했습니다. 둘째, Invalid 경로로부터 보호해야 했습니다. 셋째, 장애가 발생했을 때 운영자가 대응할 수 있어야 했습니다. 남아 있는 JPNIC 가이드라인은 이 아이디어를 운영 절차로 구체화합니다. Invalid 경로를 계속 수용하면서 검증을 적용해 부하와 영향받는 경로를 관찰하고, 의도적으로 Invalid로 만든 사례를 검증한 다음, 의도치 않게 Invalid로 분류된 경로를 로컬 예외나 정책 변경으로 복구할 수 있는지 확인하는 것입니다.

이 마지막 단계는 보안 설계 바깥의 허점이 아닙니다. 설계의 일부입니다. 가이드라인은 ROV 정책의 제거, 라우터 재시작 점검, 캐시 재접속, 의도치 않은 Invalid 분류에 대한 대응을 문서화합니다. 캐시 단절이 홀드 기간을 초과할 수 있는 경우에는 특정 이웃이나 라우터에 대해 ROV를 중단하거나, SLURM을 사용해 Invalid 또는 NotFound 경로가 폐기되지 않도록 하는 방안을 논의합니다.

그러나 가역성에는 자체적인 경계가 필요합니다. SLURM은 RPKI 정보에 대한 로컬 맞춤 뷰를 만들 뿐, 글로벌 시스템을 수정하지는 않습니다. 로컬 오버라이드는 도달 가능성을 유지하면서 동시에 별도의 신뢰 결정을 만들 수 있습니다. 공개 자료는 그러한 예외를 누가 승인했는지, 얼마나 유지되었는지, 나중에 어떻게 정합성을 맞췄는지 설명하지 않습니다.

표준은 정책 경계가 왜 운영자에게 속하는지 설명합니다. RFC 6811은 출처 검증 상태를 경로의 로컬 속성으로 규정합니다. 검증만으로 경로를 조용히 제거해서는 안 되며, 필터링이나 선호도 변경에는 명시적인 로컬 정책이 필요합니다. 또한 조작된 검증 데이터가 서비스 거부 벡터가 될 수 있다고 경고합니다. ROV는 프리픽스와 출처 AS의 관계를 확인할 뿐, 완전한 AS 경로를 검증하지 않으며, 기술적으로 올바른 상태가 운영자가 그 상태로 무엇을 해야 하는지를 결정하지 않습니다.

한 발표 자료는 잠재적 노출의 스냅샷을 더했습니다. 2023년 3월 8일 09:00 기준, AS2500의 RIB에는 905,690개의 IPv4 경로가 있었고 그중 77개가 Invalid였으며, 170,405개의 IPv6 경로 중 231개가 Invalid였습니다. 이는 어느 한 시점에 어느 한 AS가 저장한 경로 뷰일 뿐입니다. 패킷도 고객도 측정하지 않으며, 그 경로들을 거부했을 경우 일본 전역에 무엇이 일어났을지 알려주지 못합니다.

절차는 JANOG52 이후에도 이어졌습니다. JPNIC의 보고서는 실험과 가이드라인에 대한 JANOG52.5 후속 논의를 기록합니다. JPNIC는 이후 문서를 정식으로 공개했으며, 2026년 3월 27일 기준 버전 1.1이 전문가 팀 아래 최신 상태였습니다. 이는 제도적 학습의 증거이지 보편적 도입의 증거가 아닙니다.

따라서 가장 방어 가능한 성공 기준은 검소하고 실용적인 것입니다. 운영자가 의도치 않은 결과를 볼 수 있었는지, 행동할 권한을 유지했는지, 알려진 상태로 돌아갈 수 있었는지입니다. 이 실증은 그 질문을 드러나게 만들었습니다. 그러나 공개 기록은 아직 참여자들이 그 질문에 얼마나 자주 답해야 했는지 말해주지 않습니다.