요약

  • RPKI 신뢰 당사자(relying party)는 분산된 리포지토리, 구성된 신뢰 앵커, 검증 규칙, 동기화 결과 및 선택적 로컬 어서션으로부터 시간 범위가 지정된 로컬 뷰를 구축합니다. 하나의 보편적인 판정을 내려받는 것이 아닙니다.
  • draft-su-sidrops-rpki-rp-requirements-00은 안정적인 캐시 내보내기, 거부 진단, 과거 상태 보존에 대한 제안 운영 요구사항을 추가하여, 검증된 결과의 현재 색상만큼 그 출처가 중요하다는 점을 분명히 합니다.
  • Daniel Kade는 검증기 빌드와 구성, 입력과 실패, 캐시 다이제스트, 로컬 제어 변경, 라우터 전달 컨텍스트, 보존된 상태를 결합하는 검증 상태 영수증을 제안합니다. 이는 편집상의 지침이며 IETF 요구사항도 배포 주장도 아닙니다.

캐시는 파생된 의사결정 표면입니다

RPKI는 흔히 객체에서 바깥으로 설명됩니다. 인증서는 인터넷 번호 자원을 바인딩합니다. 경로 오리진 승인(Route Origin Authorization)은 프리픽스를 오리징할 수 있는 자율 시스템을 식별합니다. 매니페스트는 게시 지점의 현재 객체 목록을 정리합니다. 신뢰 당사자는 자료를 검증하고 라우터에 검증된 페이로드를 제공합니다. 이 설명은 유용하지만, 운영적으로 결정적인 중간 과정을 기계적으로 보이게 남겨둘 수 있습니다.

그 중간 과정은 단일 데이터베이스 조회가 아닙니다. 글로벌 RPKI 자료는 여러 게시 지점에 분산되어 있습니다. 신뢰 당사자는 신뢰 앵커를 선택하고, 리포지토리를 발견하고, 지원되는 동기화 프로토콜을 통해 객체를 가져오고, 인증서와 폐기 목록을 처리하고, 객체별 검증을 적용하고, 로컬 캐시를 구성하고 결과를 배포합니다. 일부 운영자는 SLURM을 통해 로컬 필터나 어서션도 적용합니다. 라우터는 별도의 캐시 프로토콜을 통해 파생된 페이로드를 수신하고 자체적인 라우팅 정책을 적용합니다.

각각의 인계 단계는 증명 가능한 범위를 좁힙니다. 유효한 서명은 명시된 암호학적 관계를 증명할 뿐, 모든 리포지토리에 접근 가능했음을 증명하지 않습니다. 현재 매니페스트는 한 게시 지점에 대한 게시자의 현재 목록을 식별할 뿐, 신뢰 당사자가 다른 모든 게시 지점을 가져왔음을 증명하지 않습니다. 캐시 시리얼은 캐시 세션 내의 논리적 버전을 식별합니다. RFC 8210은 시리얼이 캐시 간 또는 프로토콜 버전 간에 비교 가능하지 않으며 리셋 후 유지될 필요가 없다고 명시합니다. 라우터가 검증된 페이로드를 수신했다는 사실은 이후 경로 선택 정책이 그것으로 무엇을 했는지 증명하지 않습니다.

따라서 올바른 거버넌스 대상은 “RPKI가 초록이었다”가 아니라 한정된 진술입니다. 이 신뢰 당사자 실행이 이 구성 하에서 이러한 소스와 실패를 관찰했고, 이 로컬 검증 상태를 산출했으며, 이러한 공개된 로컬 변환을 적용했고, 이 기간 동안 이 상태를 이 소비자들에게 제공했다는 것입니다.

2026년 드래프트가 바꾸는 운영적 강조점

draft-su-sidrops-rpki-rp-requirements-00(2026년 6월 12일자)는 RFC 8897이 만든 단일 참조 지점을 갱신하려 합니다. 요구사항이 계속 움직여 왔기 때문에 통합이 필요합니다. 이 드래프트는 신뢰 앵커 후속 키, RRDP 동일 출처 검사, 비동기화 복구, 현재 매니페스트와 ROA, 인증서 폐기 처리, ASPA, RSC, TAK, 캐시 전달, 로컬 제어에 관한 최신 작업을 지목합니다.

그 상태는 정확하게 유지되어야 합니다. Datatracker는 이를 RFC 스트림도, 담당 Area Director도, telechat 일자도 없는 활성 개인 Internet-Draft로 기술합니다. 드래프트 헤더는 Informational이며, 승인된 경우에만 “RFC 8897을 업데이트”한다고 명시합니다. 미완성 SIDROPS 문서에 대한 참조는 명시적으로 잠정적입니다. 드래프트의 존재 자체는 워킹 그룹 채택, IETF 합의, 구현, 운영 사용을 증명하지 않습니다.

그 경계 안에서도 이 드래프트는 중요한 전환을 드러냅니다. 운영 및 관리 가능성 섹션에서 신뢰 당사자 소프트웨어에 세 가지를 요구합니다. 검증된 캐시 상태를 안정적인 기계 판독 가능 형식으로 내보낼 것, 동기화 및 객체 거부 결과를 설명하는 진단을 제공할 것, 비교·재생·사후 분석을 위해 과거 출력 상태 또는 이에 상응하는 감사 기록을 보존할 것입니다.

이것들은 장식적인 관찰 가능성 기능이 아닙니다. 암호학적 결과와 책임 있는 운영 의사결정을 구분하는 데 필요한 증거입니다.

“현재”에는 여러 개의 시계가 있습니다

RPKI 체인은 여러 계층에서 시간적으로 동작합니다. 인증서와 폐기 목록에는 유효성 조건이 있습니다. 매니페스트는 현재, 스테일, 무효 또는 접근 불가일 수 있습니다. 리포지토리 동기화에는 세션, 알림 파일, 델타, 스냅샷, 복구 경로가 있습니다. 캐시-라우터 관계에는 자체 세션 식별자, 시리얼, 갱신 간격, 재시도 간격, 만료 간격이 있습니다. 검증기 호스트에는 시계가 있으며, 인증서와 ROA가 시간 의존적이기 때문에 그 시계가 중요합니다.

따라서 운영자는 리포지토리 실패를 기준으로 불완전하면서도 로컬적으로 일관된 캐시를, 다른 신뢰 당사자보다 늦은 캐시를, 예외를 통해 로컬 변환된 캐시를, 또는 라우터가 아직 보유한 것과 이미 다른 캐시를 가질 수 있습니다. 이 어느 조건도 단일 헬스 색상으로는 포착되지 않습니다.

2026년 드래프트는 일부 실패 경계를 명확히 합니다. RRDP 구현은 RFC 9674가 정의한 동일 출처 검사를 적용해야 하며, RFC 9697에 기술된 비동기화 감지 및 복구를 수행하는 것이 바람직합니다. 매니페스트 처리는 매니페스트가 누락·무효·스테일이거나, 나열된 파일을 가져올 수 없거나, 해시가 일치하지 않거나, 자료가 요구된 게시 지점에 없어서 실패할 수 있습니다. 드래프트는 인증서 폐기 상태를 확립할 때 현재 매니페스트와 CRL을 함께 결합합니다.

유용한 기록은 성공한 상태와 그 주변의 실패 지점을 모두 보존해야 합니다. 그렇지 않으면 이후의 성공적인 갱신이, 중요한 시점에 두 검증기가 불일치했던 이유를 덮어씁니다.

로컬 제어는 정당하며 — 로컬로 남아야 합니다

RFC 8897은 ISP가 로컬 필터와 추가 사항을 설정할 수 있음을 인정합니다. RFC 8416은 SLURM에 프리픽스-오리진 검증 자료를 로컬에서 필터링하거나 어서션하기 위한 형식을 제공합니다. 2026년 드래프트는 로컬 제어를 계승하고 ASPA를 위한 유사한 작업을 지향합니다.

이는 아키텍처의 결함이 아닙니다. 운영자는 부정적 조치를 억제하거나, 알려진 게시 문제를 우회하거나, 좁게 통제된 예외를 적용해야 할 수 있습니다. 잘못은 언어적입니다. 로컬에서 변경된 출력을 마치 변경되지 않은 글로벌 RPKI 상태인 것처럼 제시하는 것입니다.

두 운영자는 동일한 리포지토리 자료를 올바르게 처리하고도 신뢰 앵커 집합, 소프트웨어 버전, 실패 처리, 로컬 어서션의 차이 때문에 다른 출력을 낼 수 있습니다. “RPKI가 그렇게 말한다”는 너무 광범위합니다. 책임 있는 문장은 신뢰 당사자, 구성, 시간, 변환을 명시합니다.

이 구분은 글로벌 시스템도 보호합니다. 로컬 정책이 명시적으로 유지되면 예외는 게시자의 객체를 바꾼 것처럼 가장하지 않고 검토·폐지될 수 있습니다. 초록 캐시 안에 숨겨지면, 이후 조사자들은 로컬에서 이루어진 결정을 리포지토리, 인증 기관 또는 경로 보유자의 잘못으로 돌릴 수 있습니다.

출처 없는 내보내기는 휴대 가능한 모호함일 뿐입니다

안정적인 기계 판독 가능 내보내기는 가치 있습니다. 구현 간 비교, 다른 시스템으로의 전파, 분석, 보존을 가능하게 합니다. 정규화된 캐시 표현은 바이트 단위로 동일한 두 상태를 쉽게 식별하게 해 줄 수 있습니다. 그러나 상태 다이제스트만으로는 역사가 되지 못합니다.

동일한 페이로드가 서로 다른 증거 경로를 통해 도착할 수 있습니다. 한 검증기는 깨끗한 RRDP 세션을 완료했을 수 있습니다. 다른 하나는 스냅샷을 통해 비동기화에서 복구했을 수 있습니다. 세 번째는 RRDP 실패 후 rsync를 사용했을 수 있고, 네 번째는 로컬 어서션을 적용했을 수 있습니다. 최종 튜플 집합만 보존된다면, 이 경로들은 겉보기에 동일한 하나의 객체로 붕괴됩니다.

이것이 재현 가능성과 우연의 일치의 차이입니다. 캐시는 입력, 검증 의미론, 구성, 복구 선택, 관련 시간이 있을 때만 재현될 수 있습니다. 내보낸 페이로드는 검토자에게 결과에 무엇이 포함되었는지 말해 줍니다. 진단은 자료가 왜 제외되었는지 말해 줍니다. 과거 상태는 결과가 언제 바뀌었는지 말해 줍니다. 로컬 제어 기록은 어떤 차이가 의도적으로 도입되었는지 말해 줍니다. 라우터 전달 기록은 어떤 소비자가 실제로 그것을 사용할 수 있었는지 말해 줍니다.

검증 상태 영수증

이 드래프트는 여기서 제안하는 영수증을 정의하지 않습니다. 모든 로그 줄을 담거나 운영자의 비밀을 노출하게 만들어서는 안 됩니다. 그 역할은 이미 존재하거나 드래프트가 구현에 제공하도록 요구하는 증거를 결합하는 컴팩트한 조인을 제공하는 것입니다.

먼저 실행 식별이 옵니다. 신뢰 당사자 제품과 버전, 검증 프로필, 구성 다이제스트, 활성화된 객체 계열, 신뢰 앵커 집합, 관련 시계 상태입니다. 다이제스트는 비공개 구성 파일을 게시하지 않고 비교를 가능하게 합니다. 중요한 구성 변경은 새로운 의사결정 에포크를 시작합니다.

다음은 획득입니다. 시도된 게시 지점, 각각에 사용된 동기화 프로토콜, 마지막 성공 관찰, 현재 시도, 복구 또는 폴백 경로, 경계가 지정된 실패 사유입니다. 민감한 네트워크 세부 정보는 편집되거나 그룹화될 수 있으나, 부재가 성공으로 전환되어서는 안 됩니다.

세 번째는 검증입니다. 매니페스트와 CRL 상태, 유형별 수락·거부 객체 수, 사유 계열, 신뢰 앵커 전환 상태, 결과 검증 캐시의 정규화 다이제스트입니다. 영수증은 사용된 규범적 프로필을 식별해야 합니다. 암묵적으로 남겨진 규칙에 대해서는 출력을 재생할 수 없습니다.

네 번째는 로컬 제어입니다. 로컬 필터 또는 어서션 정책 식별자, 변경 승인, 유효 구간, 변환의 다이제스트입니다. 이 기록은 운영자의 내부 심의를 공개할 필요가 없습니다. 출력이 로컬 뷰이며, 어느 부분이 수정되지 않은 검증 자료와 다른지를 명확히 해야 합니다.

다섯 번째는 전달입니다. RPKI-라우터 프로토콜 버전, 캐시 세션 식별자, 시리얼, 내보내기 시각, 소비자 범위, 불완전한 소비자 집합입니다. RFC 8210의 시리얼 비호환 경고 덕분에 세션과 프로토콜 버전은 필수입니다. 맨 숫자만으로는 전역적으로 의미 있는 상태 식별자가 아닙니다.

마지막은 보존입니다. 이전 상태 참조, 보존 기간, 서명자 또는 책임 시스템, 정정 링크입니다. 진단 분류가 나중에 틀린 것으로 밝혀지면, 정정은 이전 상태를 지우지 않고 전환을 설명해야 합니다.

영수증이 증명할 수 없는 것

영수증은 모든 권위 있는 게시자가 올바르다는 것을 증명하지 않습니다. 드래프트를 IETF 표준으로 만들지도 않습니다. 검증된 페이로드가 라우터에 도달했다는 이유만으로 라우터가 경로를 선택·광고·포워딩했음을 보여 주지도 않습니다. 그 결정이 자체 기록을 가지고 있지 않다면, 사람이 로컬 예외를 승인한 이유를 확립하지도 못합니다.

또한 두 구현을 동등하게 만들지도 않습니다. 공통 내보내기 형식은 분기를 드러낼 수 있지만, 관련 명세, 입력 자료, 검증 동작으로 돌아가지 않는 한 어느 구현이 올바른지는 판단하지 못합니다.

투명성이 중앙화가 되어서도 안 됩니다. 운영자는 전체 검증 이력을 하나의 글로벌 서비스로 보낼 필요가 없습니다. 유용한 속성은 명시적 공개 정책 하의 휴대 가능하고 독립적으로 검사 가능한 증거입니다. 일부 필드는 인시던트, 감사 또는 쌍방 비교가 정당한 필요를 만들 때까지 내부에 남을 수 있습니다.

상태 램프에서 검토 가능한 상태로

2026년 드래프트의 가장 강력한 기여는 신뢰 당사자 소프트웨어를 일회성 서명 검사기가 아니라 지속적으로 운영되는 시스템 구성 요소로 인식한 점일 수 있습니다. 지속 운영 구성 요소는 이력, 부분 실패, 구성 변경, 인계를 만들어 냅니다. 그 출력이 라우팅 보안에 영향을 미친다면, 그 전환은 제어 표면의 일부입니다.

초록 캐시는 좋은 소식입니다. 현재 실행이 완료되었고 현재 페이로드가 검증기의 규칙을 충족한다는 의미일 수 있습니다. 거버넌스는 다음 질문에서 시작됩니다. 어떤 입력, 프로필, 로컬 정책, 시간 기준으로 초록인가 — 그리고 다음 갱신 후에도 운영자가 그 답을 보여 줄 수 있는가?

그 답은 기억이나 스크린샷에 의존해서는 안 됩니다. 내보낼 수 있는 상태, 설명된 제외 사항 집합, 로컬 정책 경계, 보존된 변경 체인이어야 합니다. 그것이 암호학적 검증이 경로 의사결정 자체인 것처럼 가장하지 않으면서 운영적 증거가 되는 방식입니다.

출처

  1. Lu Heng — The Policy Mirror
  2. Lu Heng — Minimum Initial Specification
  3. Lu Heng — Why BTW Media Exists
  4. RPKI Relying Party Requirements, revision 00
  5. Datatracker 문서 상태
  6. Datatracker 개정 이력
  7. SIDROPS Working Group
  8. RFC 8897 — RPKI Relying Party Requirements
  9. RFC 6480 — An Infrastructure to Support Secure Internet Routing
  10. RFC 9286 — RPKI Manifests
  11. RFC 9674 — Same-Origin Policy for RRDP
  12. RFC 9697 — Detecting RRDP Session Desynchronization
  13. RFC 9691 — RPKI Trust Anchor Keys
  14. RFC 8416 — SLURM
  15. RFC 8210 — RPKI-to-Router Protocol, Version 1
  16. RFC 9582 — Route Origin Authorizations
  17. RFC 9829 — RPKI CRL Number Extensions