Vodafone Idea 2021 경로 누출, 상류 필터링을 책임성 시험으로 만들다

요약

• 공개 라우팅 분석에 따르면 2021년 4월 16일 Vodafone Idea AS55410이 수만 개 네트워크의 시작점(origin)으로 나타났다. Catchpoint는 자체 분석에서 34,000개가 넘는 네트워크를 집계했고, Mutually Agreed Norms for Routing Security 이니셔티브(MANRS)는 31,000개가 넘는 경로를 언급했다. 이 수치들은 특정 관측 방식에서 도출된 것이며 하나의 보편적 집계로 다루어서는 안 된다 [1][2].

• 공개 기록은 대규모 이상 광고와 광범위한 전파가 존재했음을 뒷받침한다. 그러나 악의적 의도는 입증하지 않는다. MANRS는 이 사건을 하이재크(hijack)라고 불렀고, 다른 보도 및 본 글에서는 기술적 관측을 뒷받침 없는 동기 주장으로 바꾸지 않기 위해 경로 누출(route leak) 또는 시작점 오광고(origin misannouncement)라는 용어를 사용한다 [1][2][3].

• 책임은 AS55410에서 시작됐다. 자신의 라우터가 어떤 경로를 시작하고 내보낼지를 통제한 곳은 바로 이곳이었다. 그러나 책임은 여기서 끝나지 않는다. 상류(upstream) 사업자들은 고객 프리픽스 인가, 최대 프리픽스 정책, 시작점 검증과 이후 전파를 통제했다. MANRS는 자체 분석에서 관측된 광고가 Bharti Airtel AS9498을 거치는 경로로 나가는 것으로 규정하고, 그 전파를 동일 경로를 전달하지 않은 다른 상류 사업자들과 대조했다 [2].

• Resource Public Key Infrastructure(RPKI)는 Route Origin Authorization(ROA)으로 커버되는 프리픽스들에 대해 강력한 증거를 제공할 수 있었다. Catchpoint와 MANRS 모두 각자의 분석에서 영향받은 네트워크 대부분이 실질적인 ROA가 없다고 밝혔다. 따라서 시작점 검증은 강력하지만 불완전한 통제였다. 커버된 프리픽스의 비인가 시작점은 식별할 수 있었지만, ROA가 없는 자원을 보호하거나 전체 AS 경로를 검증할 수는 없었다 [1][2][12][13].

• RIPE Routing Information Service(RIPE RIS)와 RouteViews라는 두 공개 라우트 컬렉터 시스템 덕분에 이 사건은 참여 피어들로부터 관측 가능했다. 이들은 경로를 인가하지도, 사업자의 임포트 정책을 통제하지도, 모든 네트워크가 같은 경로를 선택했다는 것을 증명하지도 않는다. 컬렉터 증거는 노출된 라우팅 상태의 기록이며, 관련 사업자들이 보유한 구성 및 포워딩 증거의 대체물이 아니다 [8][9].

• 방어 가능한 책임성 검토는 예방, 수용, 전파, 탐지, 봉쇄, 회수, 수리 입증을 구분해야 한다. 각 단계는 서로 다른 책임 주체와 서로 다른 증거 경로를 갖는다. 경로 테이블 복원은 필요하지만, 그것만으로 사건이 왜 발생했는지, 동일한 통제 실패가 재발할 수 있는지를 보여주지는 못한다.

공개 증거가 확립하는 것

중심 사건은 2021년 4월 16일과 Vodafone Idea AS55410에 연관된 공개 관측으로 한정된다. Catchpoint는 GMT 13:48:58에 해당 AS가 34,000개가 넘는 네트워크의 시작점으로 나타났다고 보고했다. RIPE RISrrc00컬렉터에 대한 검토에서 Catchpoint는 GMT 13:45부터 15:00 사이 약 225,000개의 BGP 업데이트 메시지를 확인했다고 밝혔다. Catchpoint는 또한 그 컬렉터에 연결된 73개 피어 중 64개가 영향받은 네트워크를 최소 하나 이상 수신했으며, 이상 경로 대부분이 약 1시간 후 제거됐다고 보고했다 [1].

이 수치들은 Catchpoint가 하나의 분석적 관점에서 도출한 것을 기술한다. 모든 인터넷 라우터가 34,000개의 경로를 수신했다거나, 영향받은 모든 프리픽스가 포워딩에 선택됐거나, 모든 목적지가 동일 기간 동안 장애를 겪었다는 증명이 아니다. BGP 컬렉터는 참여 피어들로부터 경로를 수신한다. 서로 다른 피어는 서로 다른 정책 결정을 노출하며, 업데이트 수에는 광고와 회수가 함께 포함될 뿐 사용자나 실패 세션의 직접적인 수는 아니다.

Catchpoint는 또한 이 사건이 3,500개가 넘는 기업에 영향을 미쳤다고 하며, 통신·콘텐츠 전송·금융 서비스에 걸친 예시를 나열했다. 이는 중대한 영향 주장이지만, 그 의미는 발행자의 방법론에 묶여 있어야 한다. 여기서 사용된 공개 자료에는 기업별 장애 기록 전체, 잠재 노출 네트워크 전체에 대한 분모, 검증된 금전 손실 총액이 제공되지 않는다. 이 주장은 폭의 증거로서는 유용하지만, 명명된 모든 조직에 동일한 피해를 배정하는 근거는 아니다 [1].

MANRS는 별도 분석을 발표해 AS55410이 평소 824개의 경로를 광고한다고 기술하고, 사건 기간에 31,000개가 넘는 추가 경로를 광고했다고 밝혔다. MANRS는 이 사건을 대규모 BGP 하이재크라고 불렀다. 또한 자체 분석에서 관측된 광고가 Bharti Airtel AS9498을 통해 외부로 나갔으며, 그 경계에서의 고객 필터링과 프리픽스 한도가 전파를 억제했어야 한다고 주장했다. 아울러 확인된 다른 상류 사업자들은 동일한 경로 집합을 전파하지 않았다고 지적했다 [2].

34,000개가 넘는 네트워크와 31,000개가 넘는 경로의 차이는 반드시 모순은 아니다. 분석자들은 서로 다른 관측 지점에서 프리픽스를 세고, 서로 다른 시간 창을 적용하고, 원 네트워크의 평소 광고를 포함하거나 제외하며, 업데이트를 서로 다르게 중복 제거할 수 있다. 책임 있는 서술은 각 숫자의 출처와 단위를 보존해야지, 그것들을 겉보기에 정확한 전 세계 총계로 뭉개서는 안 된다.

The Register는 이 사건을 더 넓은 독자층에 30,000개가 넘는 허위 프리픽스 광고로 요약하고 라우팅 전문가들이 표명한 우려를 보도했다. 이 보도는 사건이 여러 산업의 주목을 받았음을 확인해 주지만, 경로 수준의 증거를 대체하거나 비공개 라우터 구성을 공개하지는 않는다. 공적 책임성 검토에서는 기술적 발견을 기초 관측에 묶어 두면서, 무엇이 보도되고 무엇이 다툼이 되었는지 확립하는 데 저널리즘을 활용해야 한다 [3].

이러한 서술 전반에서 네 가지 명제가 잘 뒷받침된다. 비정상적으로 많은 경로 집합이 AS55410을 시작점으로 하여 연관됐다. 최소 한 개의 상류 사업자가 그 광고의 상당 부분을 전파했다. 공개 컬렉터와 분석자들이 여러 네트워크 경계에서 사건을 관측했다. 이상 상태는 한정된 기간 내에 상당히 회수됐다. 덜 확실한 것은 동기, 시작점 구성 변경, 수용한 네트워크의 전체 목록, 각 프리픽스의 정확한 포워딩 효과, 이후 수리의 내구성이다.

용어가 책임성 주장을 바꾸는 이유

경로 누출, 시작점 오광고, 하이재크라는 용어는 겹치면서도 서로 다른 개념을 기술한다. RFC 7908은 경로 누출을 의도된 전파 범위의 위반, 즉 기대되는 사업 관계와 충돌하는 방식으로 경로를 재분배하는 것으로 정의한다. 시작점 오광고는 AS가 인가되지 않았거나 시작하도록 의도되지 않은 프리픽스를 시작할 때 발생한다. 하이재크는 경로 시작점이나 트래픽에 대한 무단 통제를 흔히 가리키지만, 공개 논의에서는 경로 데이터만으로 증명할 수 없는 적대적 목적을 함축할 수 있다 [11].

AS55410 사건에는 많은 네트워크에 대해 예상치 못한 시작점이 포함됐다. 이는 유효한 경로가 단지 잘못된 이웃에게 내보내진 평범한 경우보다 심각하다. 그러나 여기서 사용된 공개 증거는 원인이 임포트 후 재분배 실수인지, 경로 생성기 오류인지, 구성 템플릿 문제인지, 경계를 벗어난 테스트 경로인지, 침해된 시스템인지, 고의적 행동인지는 밝혀주지 않는다. 기술적 분류는 그 인과 질문을 해결하지 않고서도 관측된 제어 평면 상태를 기술할 수 있다.

MANRS는 자체 분석에서 하이재크라는 용어를 쓸 자격이 있었고, 그 용어는 공개 기록의 일부이다 [2]. 본 글의 제목은 책임성 질문이 동기가 아니라 운영적 봉쇄에 관한 것이기 때문에 경로 누출을 사용한다. 또한 AS55410이 시작점으로 나타나게 한 특정 통제를 논할 때는 시작점 오광고를 사용한다. 이 용어들을 무단으로 바꿔치기해서는 안 된다. 사후 조사는 어떤 관측이 어떤 라벨을 뒷받침하는지, 의도를 추론하려면 어떤 추가 증거가 필요한지를 명시해야 한다.

이 구분은 거버넌스 차원에서도 중요하다. 사건이 우발적이었다면 변경 관리, 경로 생성 안전장치, 피어 필터링이 중심이 된다. 시스템이 침해되었다면 접근 통제, 자격 증명 증거, 인시던트 대응도 중요해진다. 고의적 행동이었다면 인가와 집행 질문이 더 부각될 것이다. 공개 경로 기록은 위험한 상태와 그것을 전파한 네트워크를 식별할 수 있다. 그러나 그것만으로 여러 인과 서술 중 하나를 고를 수는 없다.

따라서 책임성은 실용적 통제에서 시작한다. AS55410은 동기와 무관하게 자신의 시스템이 시작하고 내보낸 경로에 책임이 있었다. 상류 사업자는 고객이 왜 그런 경로를 보냈는지와 무관하게 수용하고 전달한 고객 경로에 책임이 있었다. 다른 네트워크들은 자신의 검증과 임포트 결정에 책임이 있었다. 이 접근은 사건을 억제했어야 할 통제를 검토하기 전에 결정적인 심리적·법적 라벨을 기다리는 일을 피한다.

지역 광고가 어떻게 더 넓은 도달을 얻었나

BGP는 자율 시스템(AS)들이 도달 가능성 정보를 교환하는 프로토콜이다. 한 광고는 이웃에게 어떤 목적지 프리픽스가 특정 AS 경로를 통해 도달 가능하다고 알려준다. 수신 라우터는 로컬 임포트 정책을 적용하고, 속성을 점검하고, 후보 경로를 비교하고, 선택된 경로를 설치·내보낼 수 있다. RFC 4271이 프로토콜 동작을 정의하지만, 라우터가 무엇을 수용하고 전파할지를 결정하는 정책의 상당 부분은 각 운영자가 통제한다 [10].

이 설계는 복원력과 위험을 함께 분산시킨다. 중앙 라우팅 권한이 각 광고를 사용 전에 승인하지 않는다. 운영자는 이웃 관계, 프리픽스, 시작점 AS, AS 경로, 커뮤니티, 검증 상태 등을 근거로 정책을 표현할 수 있다. 그 정책이 넓거나 부정확하다면, 고객의 이상 광고가 첫 경계를 넘어 훨씬 많은 네트워크에 광고될 수 있다.

원 AS가 첫 통제 지점이다. 라우터는 임포트된 테이블이나 구성 객체에 어떤 프리픽스가 존재한다는 이유만으로 임의의 프리픽스 집합을 시작해서는 안 된다. 의도된 시작점 프리픽스는 승인된 인벤토리에서 생성하고, 최대 프리픽스 길이로 한정하며, 라우트 레지스트리나 RPKI 데이터와 비교할 수 있다. 익스포트 필터는 각 eBGP 세션이 광고할 수 있는 것을 한정할 수 있다. 구성 검토는 수백 개의 평소 경로에서 수만 개로의 갑작스러운 변화를 표시할 수 있다.

고객-사업자 경계가 두 번째 통제 지점이다. 사업자는 자신의 고객이 광고할 권한이 있는 프리픽스가 무엇인지에 대한 정보를 정상적으로 갖는다. 그 정보는 계약, 프로비저닝 기록, Internet Routing Registry 객체, RPKI 기반 검증, 관측된 이력에서 올 수 있다. 그중 어느 것도 단독으로는 완벽하지 않지만, 사업자는 이를 결합해 좁은 수용 정책을 만들 수 있다. 평소 제한된 네트워크 집합을 시작하는 고객이 수만 개의 무관한 프리픽스를 보내도 거부나 긴급 한도 없이 통과해서는 안 된다.

이후의 익스포트가 세 번째 통제 지점이다. 한 사업자의 라우팅 시스템에 경로가 들어왔더라도, 그것을 피어·사업자·고객에게 전달할지는 정책이 결정한다. 관계 인지형 익스포트 규칙은 한 사업자나 피어에게 배운 경로가 무단 트랜짓을 만드는 방식으로 제공되지 않도록 설계된다. 고객 시작 경로에 대해서는, 사업자가 그것을 정당한 고객 도달 가능성으로 다루기 전에 고객이 해당 프리픽스를 시작할 권한이 있는지를 판단해야 한다.

AS55410 사건이 중대해진 것은 이상 경로가 국소에 머물지 않았기 때문이다. MANRS는 자체 서술에서 관측된 전파를 AS9498로 규정하고, 다른 상류 사업자들은 동일 경로를 전파하지 않았다고 강조했다 [2]. 그 대조가 책임성 신호이다. AS55410이 경로를 광고한 시점에 결과가 기계적으로 불가피했던 것은 아니라는 뜻이다. 서로 다른 경계들이 서로 다른 수용·전파 결정을 내렸다.

원 네트워크의 예방 의무

AS55410은 이상 시작점 상태를 만들어 내보낸 시스템을 통제했다. 가장 직접적인 예방 질문은 승인된 시작점 집합이 어떻게 표현되고 강제되었는가이다. 성숙한 프로세스는 네트워크가 시작할 수 있는 프리픽스, 고객을 위해 운반할 경로, 포워딩을 위해 학습하는 풀 테이블 경로, 테스트·완화용 특수 경로를 구분해야 한다. 이 범주들이 하나의 내보낼 수 있는 풀로 무너져서는 안 된다.

승인된 시작점 인벤토리는 기계 검증 가능해야 한다. 각 항목은 프리픽스, 최대 길이, 시작점 AS, 비즈니스 소유자, 프로비저닝 기록, 레지스트리 또는 ROA 증거, 적용 이웃, 만료 또는 검토일을 포함할 수 있다. 경로 생성은 그 인벤토리를 소비해야 하며, 라우팅 테이블에 우연히 존재하는 것에서 시작 권한을 추론해서는 안 된다. 인벤토리 밖의 경로는 폐쇄적으로 실패하거나 명시적이고 기록된 예외를 요구해야 한다.

익스포트 통제는 이웃별이어야 한다. 사업자 대면 세션은 의도된 공개 광고만 받아야 한다. 다른 외부 이웃에게서 학습한 경로는 라우팅 프로토콜 간 재분배, 라우트맵 오류, 넓은 network 문장 때문에 다시 시작되어서는 안 된다. 후보 구성은 커밋 전에 알려진 집합과 대조 테스트할 수 있고, 실제 Adj-RIB-Out 데이터는 변경 후 그 집합과 비교할 수 있다.

규모 자체가 안전 신호이다. AS55410이 평소 수백 개의 경로를 광고했다면, 수만 개로의 도약은 외부 검증 이전에도 로컬 변경 예산을 초과했어야 한다. 원 측 프리픽스 한도는 수신 사업자의 최대 프리픽스 설정과 다르다. 원 측 한도는 네트워크 자신의 익스포트 프로세스가 생산할 수 있는 것을 한정한다. 이 한도는 이웃별로 조정할 수 있고, 이유와 만료를 동반한 의도적 재정의를 요구할 수 있다.

모니터링은 고객 불만이나 상류 경고에만 의존해서는 안 된다. 원 네트워크는 자신의 BGP 출력을 관측하고, 독립 컬렉터를 조회하고, 외부 프리픽스의 예상치 못한 시작점에 경보를 낼 수 있다. 가장 강력한 설계는 의도된 구성, 라우터 출력, 외부 관측을 비교한다. 구성 문법 검사를 통과한 경로도 정책상으로는 여전히 틀릴 수 있다. 외부 관측은 무엇이 경계를 벗어났는지 확인해 준다.

공개 기록은 AS55410에서 이 통제들 중 무엇이 존재했는지, 무엇이 실패했는지, 이후 변경이 그것을 수리했는지를 밝히지 않는다. 책임성 결론은 그 정보를 날조해서는 안 된다. 구성 diff, 라우트 정책 버전, 승인 프리픽스 목록, 변경 티켓, 경보 로그, Adj-RIB-Out 캡처, 회수 기록을 요청해야 한다. 그러한 산출물이 실패가 인가, 생성, 익스포트, 모니터링, 대응 중 어디에 있었는지를 보여줄 것이다.

상류 필터링은 독립된 의무였다

원 네트워크의 실수가 상류의 통제를 제거하지는 않는다. 사업자는 고객 경로를 수용할 때 운영적 결정을 내린다. 고객이 데이터를 공급할 수 있지만, 그 데이터가 사업자의 라우팅 시스템에 들어가고 타인에게 내보내질지는 사업자가 결정한다. 그 경계가 지역적 오류를 멈추거나 인터넷 규모의 사건으로 만드는 곳이다.

MANRS는 AS9498이 고객 관계에 AS 필터링과 프리픽스 한도를 적용했어야 한다고 주장했다 [2]. 그 원칙은 한 명명된 운영자보다 넓다. 사업자는 세션에 기대되는 고객 AS가 무엇인지, 그 뒤에 어떤 시작점이 나타날 수 있는지, 몇 개의 경로가 정상인지, 어떤 프리픽스 길이가 수용 가능한지, 어떤 검증 상태를 거부·검토해야 하는지 알아야 한다. 갑자기 엄청난 수의 무관한 시작점을 제공하는 세션은 BGP 문법이 유효하다는 이유만으로 정상으로 다뤄져서는 안 된다.

프리픽스 필터링은 엄격하거나 적응적일 수 있지만, 증거에 기반해야 한다. 엄격한 허용 목록은 고객의 광고 집합이 안정적일 때 강한 보호를 제공한다. 생성된 필터는 검증된 레지스트리와 RPKI 정보를 사용할 수 있으며, 생성 프로세스가 낡거나 불완전한 기록을 안전하게 다루어야 한다. 적응형 이상 감지 시스템은 현재 경로 수와 시작점 집합을 과거 기준선과 비교할 수 있다. 어떤 방법을 쓰든, 운영자는 각 경로를 수용한 규칙을 설명할 수 있어야 한다.

최대 프리픽스 한도는 거칠지만 가치 있는 후방 보호이다. 그럴듯한 고객 변화보다 훨씬 높게 설정된 한도는 라우터 메모리는 보호할 수 있지만 라우팅 시스템은 보호하지 못한다. 유용한 한도는 고객의 인가된 규모를 반영하고, 강제 종료 지점 아래에 경보 임계값을 포함한다. 운영자는 한도 초과가 인시던트 중 직원이 통제를 영구 해제하는 결과로 이어지지 않도록 복구 절차도 갖추어야 한다.

시작점 검증은 커버되는 자원에 대해 암호학적 신호를 추가한다. 유효한 ROA와 시작점이 충돌하는 경로는 무효(invalid)로 분류될 수 있다. 사업자는 정책에 따라 무효 경로를 거부하거나, 우선순위를 낮추거나, 검토로 보낼 수 있다. 정책 결정은 로컬에 남지만, 검증 상태는 운영자에게 무단 시작점을 거절할 명확하고 감사 가능한 이유를 준다.

이 사건에서 RPKI 커버리지는 불완전했다. Catchpoint는 자체 분석에서 관련 네트워크의 약 20%만이 ROA를 보유했고 AS55410 시작점 때문에 커버된 경로들이 무효로 나타났다고 밝혔다 [1]. MANRS도 약 80%가 ROA가 없으며, 무단 시작점이 무효가 될 커버된 경로가 7,000개를 넘는다고 기술했다 [2]. 정확한 수는 분석 집합에 따라 다르지만 운영적 결론은 일관된다. 시작점 검증은 사건 전체가 아니라 의미 있는 하위 집합을 막을 수 있었다.

그 한계가 필터링을 선택 사항으로 만들지는 않는다. ROA가 없는 프리픽스에 대해서도 사업자는 고객 인가, Internet Routing Registry(IRR) 기반 필터, 프리픽스 한도, 시작점 이력, 이상 감지를 사용할 수 있다. RPKI는 통제 스택의 한 층이다. ROA의 부재를 어떤 고객 시작점이든 수용하는 허가로 다루는 것은 불완전한 배포의 비용을 모든 다운스트림 네트워크에 전가하는 일이다.

이후 익스포트에는 또 하나의 결정이 필요하다. 사업자는 경로를 제한된 내부 처리용으로 수용하면서도 광범위하게 전파하지 않기로 선택할 수 있다. 격리 커뮤니티, 낮은 우선순위, 라우트 서버 통제, 정책 검토가 불확실한 경로를 억제할 수 있다. 인시던트 후 필요한 증거에는 Adj-RIB-In과 Adj-RIB-Out 모두가 포함된다. 수용과 증폭은 서로 다른 행동이기 때문이다.

현재 토폴로지 데이터를 왜 신중하게 다뤄야 하나

CAIDA ASRank, CIDR Report, RIPE Stat은 AS55410에 대해 유용한 공개 맥락을 제공한다 [4][5][6][7]. 이를 통해 AS를 식별하고, 현재 보이는 관계를 검토하고, 광고된 프리픽스를 살펴보고, 공개 라우팅 기록을 비교할 수 있다. 그러나 이들은 2021년 4월 16일 네트워크의 완전하고 불변적인 스냅샷은 아니다.

토폴로지 추론은 특히 한정된다. 오늘 표시된 관계는 사건 이후 바뀌었을 수 있다. 추론된 사업자 또는 피어 관계는 비공개 계약, 라우트 서버 동작, 백업 세션, 정책 예외를 반영하지 못할 수 있다. 현재 광고 프리픽스 데이터는 공개 컬렉터가 현재 해당 AS에 연관시키는 것을 보여줄 수 있지만, 2021년의 정확한 인가된 시작점 목록을 증명할 수는 없다.

이 서비스의 올바른 용도는 보강이다. 조사자가 질문을 구성하고, 식별자를 확인하고, 시간 특정적 경로 아카이브로 검증할 만한 이상을 찾는 데 도움을 준다. 특정 2021년 세션이 특정 정책을 갖고 있다고 주장하는 데 사용해서는 안 되며, 역사적 기록이 그 결론을 뒷받침할 때만 가능하다.

운영자의 내부 증거는 더 정밀해야 한다. 프로비저닝 시스템, 서명된 계약, 고객 프리픽스 기록, 라우터 구성, RPKI 검증기 스냅샷, 라우트 정책 개정은 경계가 무엇을 허용하기로 되어 있었는지를 재구성할 수 있다. 그다음 컬렉터 아카이브는 경계가 실제로 무엇을 노출했는지 보여줄 수 있다. 책임성은 이 두 상태의 차이에 달려 있다.

이는 레지스트리 기록이 도달 가능성에 대한 주권 주장이 아닌 이유이기도 하다. 기록은 할당, 연락처, 라우트 의도, 시작점 인가를 문서화할 수 있다. 그 증거를 사용할지는 라우터를 돌리는 쪽이 결정한다. 정확한 기록이 필수적이지만, 연속성은 그것을 소비하고, 갱신하고, 기록이 불완전하거나 모순될 때 안전하게 실패하는 운영 정책에 달려 있다.

라우트 컬렉터는 증거를 보존하지 권한이 아니다

RIPE RIS와 RouteViews는 참여 피어들로부터 BGP 데이터를 수집해 분석에 제공한다 [8][9]. 인시던트에서 이들의 가치는 상당하다. 광고와 회수에 타임스탬프를 남기고, 어떤 컬렉터 피어가 경로를 수신했는지 보여주고, 시작점과 AS 경로의 변화를 노출하며, 독립 관측자가 전파를 비교할 수 있게 한다.

Catchpoint의rrc00활용이 그 가치를 보여준다. 컬렉터가 외부 관측을 보존했기 때문에 분석은 업데이트량을 추정하고, 영향받은 네트워크를 본 피어를 식별하고, 회수를 추적할 수 있었다 [1]. 이런 시스템이 없다면 공개 이해는 훨씬 더 관련 사업자들의 자발적 진술에 의존해야 했을 것이다.

컬렉터 가시성은 보편적이지 않다. 컬렉터 피어는 모든 대안이 아니라 자신의 최선 경로를 보낼 수 있다. 한 컬렉터에서 보이는 경로가 다른 네트워크에서 선택되지 않을 수 있다. 컬렉터에 없는 경로가 컬렉터가 볼 수 없는 경로를 통해 전파되었을 수도 있다. 피어 세션은 리셋될 수 있고, 정책은 바뀔 수 있으며, 타임스탬프는 사건 자체만큼 수집 동작을 반영할 수 있다.

이 때문에 업데이트 수는 사용자 영향 수가 아니다. 피어 수는 모든 자율 시스템의 수가 아니다. 보이는 경로가 트래픽이 그것을 따랐다는 증명은 아니다. 포워딩 결과는 데이터 평면 측정, 트래픽 텔레메트리 또는 운영자 기록이 필요하다. 컬렉터 증거는 그러한 출처와 결합해야 하며, 범위를 넘어 늘여서는 안 된다.

컬렉터는 경로를 인가하거나 회수하지도 않는다. RIPE NCC와 University of Oregon은 강한 무결성으로 관측 인프라를 운영할 수 있지만, 사업자의 임포트 정책을 통제하지는 않는다. 그들의 책임은 정확하고 잘 문서화된 관측을 보존하고 수집 한계를 공개하는 것이다. 시작점 및 전파 네트워크들은 운영 상태에 대한 책임을 그대로 지닌다.

강한 인시던트 기록은 각 주장에 사용된 정확한 컬렉터, 피어, 타임스탬프, 프리픽스, 시작점, 경로를 보존해야 한다. 최초 광고와 반복 업데이트를 구분하고, 회수와 한 관측 지점에서의 경로 소멸을 구분해야 한다. 요약 차트는 책임성의 핵심인 정책 차이를 숨길 수 있으므로 재현 가능한 질의가 중요하다.

RPKI는 시작점 증거를 제공하지 경로 허가는 아니다

Route Origin Validation은 BGP 광고를 암호학적으로 서명된 Route Origin Authorization과 비교한다. ROA는 특정 AS가 지정된 최대 길이까지 프리픽스를 시작할 권한이 있음을 명시할 수 있다. RFC 6811과 RFC 8893이 검증 모델과 운영 용어를 정의한다 [12][13].

AS55410 사건에서 커버된 프리픽스에 대해 비인가 AS55410 시작점은 무효 결과를 만들 수 있었다. RPKI 무효 경로를 거부하는 네트워크는 그때 수용을 막는 직접 통제를 갖게 된다. 이는 번호 자원 기록이 실용적 보안을 지원하는 강력한 사례이다. 서명된 인가는 검증기와 라우팅 정책이 사용할 때 비로소 운영적이 된다.

사건은 또한 세 가지 한계를 드러냈다. 첫째, 많은 프리픽스가 ROA를 갖지 않았다. 그 경로들은 무효가 아니라 not found가 되어, 무효 거부 정책은 그것들을 막지 못했다. 둘째, RPKI 시작점 검증은 경로 내 모든 AS 관계가 인가되었는지가 아니라 시작점 AS를 다룬다. 셋째, 검증 상태는 라우터에게 행동을 강제하지 않는다. 정책 선택은 의존하는 운영자의 몫이다.

이 한계들은 RPKI 반대 논거가 아니라 계층화된 통제의 이유이다. 프리픽스 보유자는 정확한 ROA를 만들고 최대 길이를 좁게 유지할 수 있다. 지역 인터넷 레지스트리(RIR)와 저장소는 안전하고 가용한 공개 시스템을 유지할 수 있다. 네트워크 운영자는 다양한 검증기를 운영하고, 낡은 데이터를 모니터하고, 명확한 정책을 적용할 수 있다. 사업자는 검증을 고객 프리픽스 목록, AS 경로 점검, 한도와 결합할 수 있다.

RPKI 배포 증거는 시간 특정적이어야 한다. 현재 ROA가 사건 당시 존재했다는 증명은 아니다. 현재의 무효 거부 선언이 관련 라우터나 세션에서 그 정책이 활성화되어 있었다는 증명도 아니다. 조사자는 검증기 캐시나 로그, 정책 버전, 경로 결정 기록, 타임스탬프를 필요로 한다.

공개 보고서의 ROA 커버리지 추정도 신중하게 표현되어야 한다. Catchpoint의 약 5분의 1과 MANRS의 약 5분의 1은 각자의 관련 집합을 기술한다 [1][2]. 이는 전 세계 RPKI 채택률을 확립하지 않는다. 그 중요성은 인시던트에 특화된다. 이상 시작점 수천 개는 검증 신호를 갖고 있어 의존하는 네트워크가 활용할 수 있었지만, 대부분은 여전히 다른 인가 통제가 필요했다.

IRR 기록과 고객 인가는 여전히 필요하다

Internet Routing Registry 객체는 라우팅 정책과 인가된 시작점을 기술할 수 있다. 사업자들은 흔히 이를 필터 생성에 사용한다. IRR은 광범위한 배포를 제공하고 ROA가 없는 프리픽스를 커버할 수 있지만, 정확성은 유지, 인증, 데이터베이스 실무에 달려 있다. 낡았거나 인증이 약한 라우트 객체는 잘못된 자신감을 만들 수 있다.

고객 프로비저닝 기록은 또 하나의 증거 층을 더한다. 사업자는 어느 조직이 서비스를 요청했는지, 어느 AS가 연결되었는지, 어떤 프리픽스가 승인되었는지, 어떤 변경이 인가되었는지 안다. 그 로컬 관계 기록은 공개 레지스트리보다 좁고 최신일 수 있다. 고객의 잘못된 청구가 수용된 경로로 이어지지 않도록, 여전히 독립적인 번호 자원 증거와 대조되어야 한다.

가장 강력한 필터는 따라서 하나의 완벽한 데이터베이스를 가정하지 않는다. 고객 인가, 할당 맥락, 라우트 객체, ROA, 프리픽스 길이 정책, 관측된 이력을 결합한다. 모순은 자동적 광범위 수용이 아니라 검토를 촉발해야 한다. 새로 요청된 프리픽스는 고객 계정과 자원 보유자에 근거한 증명을 요구할 수 있다.

필터 생성 자체에도 거버넌스가 필요하다. 입력은 타임스탬프와 출처를 가져야 한다. 변경은 검토되고, 테스트되고, 안전하게 배포되어야 한다. 운영자는 레지스트리 업데이트가 허용 목록을 언제 바꿨는지 알고, 잘못된 변경을 되돌릴 수 있어야 한다. 갱신되지 않는 생성 필터는 낡아지고, 안전장치 없이 갱신되는 필터는 나쁜 데이터를 빠르게 퍼뜨린다.

AS55410 사건에서 공개 증거는 AS9498이나 다른 사업자가 사용한 정확한 필터 입력을 밝히지 않는다. 책임성은 그것을 요청해야 한다. 질문은 운영자가 일반적 관행으로 IRR이나 RPKI를 언급할 수 있는지가 아니라, 관련 세션의 경로 결정이 당시 유효한 증거와 정책으로 재현될 수 있는가이다.

명시적 정책, 역할, 경로 통제

RFC 7454는 필터링과 한도를 포함해 BGP의 운영 보안 관행을 기술한다. RFC 8212는 eBGP에서 명시적 임포트·익스포트 정책을 기본 안전 원칙으로 만든다. 이 표준들은 반복되는 실패 모드를 다룬다. 운영자가 정책 정의를 잊었다는 이유만으로 경로가 흘러서는 안 된다 [14][15].

명시적 정책은 필요하지만 충분하지 않다. 모든 고객 경로를 허용하는 정책은 명시적이면서도 여전히 안전하지 않다. 규칙은 의도된 관계와 인가를 부호화해야 한다. 감사 질문은 단지 라우트맵이 존재했는지가 아니라, 그것이 고객의 프리픽스, 시작점, 길이, 경로 동작을 한정했는지이다.

RFC 9234는 관계를 표현하고 특정 경로 누출을 감지하는 메커니즘으로 BGP Role과 Only-to-Customer 속성을 정의한다 [16]. Role은 네트워크가 사업자, 고객, 피어, 라우트 서버 관계를 구분하도록 돕는다. OTC는 이러한 역할과 관련된 valley-free 기대에 반해 경로가 전파되지 않도록 하기 위한 정보를 운반할 수 있다.

이 메커니즘은 2021년 4월의 배포 증명이 아니라 관련 있는 통제 옵션이다. 여기서 사용된 공개 증거는 AS55410, AS9498 또는 다른 참여자가 BGP Role을 협상했거나 OTC를 처리했다는 것을 확립하지 않는다. 책임성 보고는 이후의 또는 선택적 표준을 소급적 사실 주장으로 바꾸어서는 안 된다.

경로 통제도 시작점 인가를 대체할 수 없다. 경로는 관계에 일치하는 경로를 갖고도 비인가 시작점을 명명할 수 있다. 반대로 유효한 시작점을 갖는 경로가 무단 경로로 누출될 수도 있다. 운영자는 두 차원이 모두 필요하다. AS55410 사건은 시작점 검증을 중심에 두었지만, 상류 전파 결정들의 차이도 관계와 고객 필터 통제를 드러낸다.

RFC 7999는 블랙홀링을 위한 잘 알려진 BGP 커뮤니티를 정의한다 [17]. 블랙홀링은 BGP 광고가 의도적으로 폐기 동작을 촉발할 수 있음을 보여준다는 점에서 일반적 운영 맥락으로 관련된다. 이 사건에 사용된 출처들은 BLACKHOLE 커뮤니티가 AS55410 사건의 일부였음을 보여주지 않는다. 따라서 사실로서 사건 서술에 삽입되지 않고 통제 예시로 남아 있어야 한다.

더 넓은 요점은 특수 동작에 좁은 인가가 필요하다는 것이다. 경로가 일반 포워딩, 트래픽 엔지니어링 또는 폐기를 요청하든, 사업자는 이웃이 영향받은 프리픽스를 통제하고 그 동작을 요청할 권한이 있음을 확인해야 한다. 방어 메커니즘이 무단 경로를 신뢰하면 해악을 만들 수 있다.

탐지는 실패한 경계를 식별해야 한다

큰 시작점 집합 변화는 외부 보고가 도착하기 전에 원 네트워크 내부에서 탐지 가능해야 한다. 유용한 신호에는 경로 수 델타, 예상치 못한 시작점, Adj-RIB-Out의 새 외부 프리픽스, 무효 검증 상태, 승인 인벤토리와 광고 상태의 차이가 포함된다. 경보는 경로를 만든 구성이나 프로세스를 식별해야 한다.

상류는 독립적인 모니터링이 필요하다. 고객의 수용 프리픽스 수, 새 시작점, 무단 프리픽스, 검증 무효, 경로 다양성의 급변에 경보를 낼 수 있다. 그 경보는 가능한 한 이후 익스포트 전에 평가되어야 한다. 경로가 전파된 후 사건을 탐지하는 것은 가치가 있지만, 수용 통제의 대체물은 아니다.

외부 관측은 또 다른 층을 더한다. 운영자는 자신의 프리픽스와 고객 경로에 대해 RIS, RouteViews, 상용 경로 피드를 모니터할 수 있다. 프리픽스 보유자는 예상치 못한 시작점이 나타나면 경보를 낼 수 있다. 상류는 공개 전파를 자신의 의도된 익스포트와 비교할 수 있다. 다양한 피드는 한 컬렉터의 가시성 의존을 줄인다.

탐지 지표는 소유자별로 분리되어야 한다. 첫 내부 불량 광고부터 원 경보까지의 시간은 AS55410의 모니터링에 귀속된다. 고객 수신부터 사업자 거부·에스컬레이션까지의 시간은 상류에 귀속된다. 공개 관측부터 프리픽스 보유자 통지까지의 시간은 모니터링·조율 시스템에 귀속된다. 이 간격들을 하나의 인시던트 기간으로 합치면 지연이 어디에 쌓였는지 숨겨질 수 있다.

공개 기록은 한정된 관측 구간과 회수 패턴을 제공하지만, 모든 운영자의 내부 경보 타임스탬프는 제공하지 않는다. 진지한 사후 검토는 그 타임스탬프를 통지 기록과 함께 보존해야 한다. 운영자가 자신의 통제, 다른 네트워크, 라우트 컬렉터, 사용자 불만, 공개 보도 중 무엇을 통해 사건을 발견했는지 보여줄 것이다.

경보 품질도 중요하다. 끊임없이 대응 불가능한 경로 경보를 내는 시스템은 운영자가 그것을 억누르도록 만든다. 통제는 증거를 첨부해야 한다. 기대 시작점, 관측 시작점, 고객 인가 출처, 검증 상태, 경로 수 기준선, 익스포트 범위. 설명 가능한 경보는 빠른 거부를 더 안전하게 하고 사후 검토를 더 엄격하게 만든다.

봉쇄는 회수를 기다리는 것 이상이었다

원 네트워크는 시작 프로세스를 멈추고, 익스포트 차단을 적용하고, 회수를 보냄으로써 사건을 봉쇄할 수 있었다. 또한 불량 경로가 자신의 Adj-RIB-Out과 독립 관측에서 사라졌는지 확인해야 했다. 낡은 경로가 다른 곳에 남아 있다면 로컬 구성 롤백만으로는 충분하지 않다.

전파한 상류는 자신의 몫을 독립적으로 봉쇄할 수 있었다. 고객 세션을 필터링하고, 수용한 경로를 피어와 고객에게서 회수하고, 다운스트림 네트워크에 통지할 수 있었다. 그러면 원 네트워크가 수리를 마치지 않았더라도 전파를 줄일 수 있었다. 이것이 상류 책임이 파생적이지 않은 이유이다. 사업자는 별도의 경계를 통제하고 자신의 사건 기여를 한정할 수 있다.

다른 수신 네트워크들은 무효 또는 무단 경로를 거부하고 이전 경로를 복원할 수 있었다. 프리픽스 보유자는 적절한 곳에서 ROA를 게시하거나 수정할 수 있었지만, 새 ROA는 즉각적인 전 세계 회수 메커니즘이 아니다. 검증기는 자신의 일정에 따라 갱신되고, 네트워크는 상태를 어떻게 다룰지 선택한다. 긴급 레지스트리 변경은 일시적 사건에 영향을 주려고 부정확한 장기 기록을 만들어서도 안 된다.

Catchpoint는 대부분의 경로가 약 1시간 후 제거됐다고 기술하고, 분석 기간 동안 더 작은 잔여 집합을 보고했다 [1]. 책임 있는 마무리는 어떤 회수가 AS55410에서 나왔는지, 어떤 것이 사업자에 의해 필터링되었는지, 일부 경로가 선택된 컬렉터에 남았는지를 설명해야 한다. 한 관측 지점에서의 소멸을 보편적 회복으로 다루어서는 안 된다.

회복에는 최소 세 층이 있다. 라우팅 상태는 인가된 시작점으로 돌아가야 한다. 포워딩 측정은 트래픽이 의도된 목적지에 도달함을 보여야 한다. 영향받은 네트워크에 의존하는 서비스가 회복되어야 한다. 각 층은 서로 다른 타임스탬프를 가질 수 있다. 깨끗한 공개 경로 뷰는 캐시, 수렴 중, 애플리케이션 수준 효과와 공존할 수 있다.

내구성 있는 봉쇄에는 반복 테스트가 필요하다. 원 측은 무단 프리픽스가 시작점 집합에 들어갈 수 없음을 증명해야 한다. 상류는 고객이 인가된 집합이나 프리픽스 한도를 넘을 수 없음을 증명해야 한다. 검증은 커버된 무단 시작점을 거부해야 한다. 모니터링은 통제된 테스트에서 외부로 누출하지 않고 경보를 내야 한다. 이러한 테스트의 증거는 필터가 검토되었다는 일반적 보증보다 강하다.

기록을 부풀리지 않고 영향 측정하기

사건의 규모는 광범위한 피해를 그럴듯하게 만들지만, BGP 전파는 서비스 중단과 동일하지 않다. 네트워크는 이상 경로를 수신하면서도 선택하지 않을 수 있다. 일부 위치에서는 선택하고 다른 곳에서는 선택하지 않을 수 있다. 프리픽스마다 토폴로지와 정책에 따라 블랙홀링, 우회, 성능 저하, 눈에 보이지 않는 사용자 효과로 이어질 수 있다.

Catchpoint의 보고된 기업 수와 예시는 사건이 많은 조직 경계를 넘었음에 대한 증거를 제공한다 [1]. 각 기업에 대한 완전한 인과 추적은 제공하지 않는다. 따라서 공개 기사는 명명된 모든 조직이 완전한 장애를 겪었다고 말해서는 안 된다. 광범위한 서비스 집합에 연관된 네트워크를 포함한 이상 라우팅이 관측되었고 일부 서비스가 장애를 겪었다고 정확히 말할 수는 있다.

사용자 영향 증거는 능동 프로브, 트래픽 변화, 오류율, 지연, 지원 보고, 영향받은 지역을 포함해야 한다. 금전적 영향은 라우팅 사건을 일반 변동이나 다른 인시던트와 구분하는 별도의 방법을 요구한다. 여기서 사용된 공개 출처는 완전한 손실 모델을 제공하지 않는다.

증거의 비대칭이 중요하다. 경로 컬렉터는 수천 개의 이상 광고를 상세히 보여줄 수 있는 반면, 서비스 사업자는 고객 효과에 대해 거의 공개하지 않을 수 있다. 그렇다고 경로 수가 피해 증거의 대체물이 되지는 않는다. 알려진 것과 아직 이용 불가능한 것을 모두 책임성 기록이 보존해야 한다는 뜻이다.

영향에는 운영 비용도 포함된다. 경로를 시작하거나 전파하지 않은 네트워크도 경보를 조사하고, 사업자에게 연락하고, 고객 보고를 검증하고, 신뢰를 복원해야 했을 수 있다. 이 비용은 분산되어 있고 집계되는 일이 드물다. 원과 상류 경계에서 더 나은 예방은 중단 위험뿐 아니라 이 외부화된 조사 부담도 줄인다.

방어 가능한 결론에 필요한 증거

AS55410에 대해 핵심 증거는 승인된 프리픽스 인벤토리, 사건 전후의 구성과 정책, 변경 기록, 경로 생성 입력, Adj-RIB-Out, 내부 경보 타임스탬프, 운영자 행동, 회수 확인이다. 접근 및 무결성 기록은 답을 가정하지 않고 사건이 오류, 시스템 실패, 무단 행동 중 무엇이었는지 판단하는 데 도움을 준다.

AS9498과 다른 수신 사업자에 대해 증거는 고객 인가 집합, IRR 및 RPKI 입력, 검증기 상태, 최대 프리픽스 구성, 임포트 정책, Adj-RIB-In, 선택된 경로, Adj-RIB-Out, 경보 이력, 인시던트 대응이다. 사업자는 경로가 왜 수용되었고 왜 전파되었는지 보여줄 수 있어야 한다.

경로를 거부하거나 전파하지 않은 네트워크에도 증거가 중요하다. 그들의 정책은 비교 사례가 된다. 한 상류가 광고를 막은 반면 다른 상류가 전달했다면, 조사자는 프리픽스 필터, 한도, 검증, 관계 구성을 비교할 수 있다. 그러면 사건이 일반적 경고에서 특정 통제의 시험으로 바뀐다.

영향받은 프리픽스 보유자에게 유용한 증거는 당시 존재한 ROA와 라우트 객체, 경보, 도달 가능성 측정, 사업자 통신이다. 컬렉터에 대해서는 재현 가능한 질의 매개변수와 피어 메타데이터가 관측 범위를 확립한다. 서비스 운영자에 대해서는 트래픽과 오류 텔레메트리가 제어 평면 변화를 사용자 결과와 연결한다.

모든 산출물은 안정적인 타임스탬프와 해시가 필요하다. BGP 시간, 라우터 로그 시간, 변경 시스템 시간, 모니터링 시간은 동기화되거나 그 오프셋이 문서화되어야 한다. 그렇지 않으면 겉보기 탐지 지연이 시계 불일치일 수 있다. 보존은 스크린샷이나 요약 차트뿐 아니라 원 증거를 커버해야 한다.

공개 공시는 여전히 유용하면서 한정될 수 있다. 운영자는 고객 비밀이나 악용 가능한 구성을 공개할 필요가 없다. 실패 등급, 그것을 막았어야 할 통제, 그 통제가 왜 실패했는지, 봉쇄 타임라인, 테스트된 수리, 증거 경계를 공개할 수 있다. 라우팅 문제가 해결되었다는 막연한 진술은 피어나 고객이 재발 위험을 평가하도록 하지 못한다.

이 사건의 책임성 매트릭스

관측된 시작점으로서의 Vodafone Idea AS55410.예방 의무는 시작점 생성과 익스포트를 인가된 프리픽스로 한정하는 것이었다. 탐지 의무는 경로 수와 시작점 집합의 극적 편차를 알아차리는 것이었다. 봉쇄 의무는 프로세스를 멈추고 회수를 보내는 것이었다. 공개 기록은 관측된 시작점 상태를 확립하지만, 내부 트리거, 의도, 완전한 수리를 확립하지 않는다. 가장 강한 증명은 구성 diff, 승인 시작점 데이터, 익스포트 캡처, 반복 테스트일 것이다.

MANRS가 식별한 상류 사업자로서의 Bharti Airtel AS9498.예방 의무는 고객 관계를 인증하고, 수용 프리픽스와 시작점을 한정하고, 의미 있는 한도를 강제하고, 이용 가능한 검증 증거를 사용하는 것이었다. 봉쇄 의무는 이후 전파를 멈추고 전달했던 경로를 회수하는 것이었다. MANRS의 분석은 경로를 식별하고 통제를 권고하지만, 본 글은 그 보고 이상의 비공개 정책을 추론하지 않는다 [2]. 결정적 증거는 세션 정책, 경로 입력, 수용·익스포트 테이블, 경보 타이밍, 수정된 필터일 것이다.

다른 상류 사업자와 수신 네트워크.그들의 의무는 관계와 역할에 따라 달랐다. 경로를 전파하지 않은 상류는 봉쇄가 가능했다는 증거를 제공한다. 경로를 수신한 피어나 다운스트림은 자신의 시작점 검증, 임포트 정책, 경로 선택을 통제했다. 공개 컬렉터는 일부 결과를 드러내지만 모든 네트워크의 결정은 아니다. 각 운영자는 자신의 경계에서 보이는 경로와 합리적으로 사용할 수 있었던 증거를 기준으로 판단되어야 한다.

프리픽스 보유자.그들은 자신의 자원에 대해 정확한 ROA와 라우트 객체가 존재했는지를 통제했다. 그들의 기록은 특히 커버된 프리픽스에서 네트워크가 AS55410 시작점을 거부하도록 도울 수 있었다. 그들은 모든 라우터가 그 증거를 소비할지는 통제하지 않았다. 그들의 책임성은 시의적절하고 정확한 인가 데이터, 예상치 못한 시작점에 대한 모니터링, 사업자와의 효과적 조율이다.

RIR과 RPKI 공개 시스템.그들의 의무는 정확한 번호 자원 및 인가 기록 보존, 안전한 공개, 운영 연속성이었다. 그들은 네트워크를 대신해 포워딩 결정을 내리지 않았다. 유효한 ROA는 돌아가는 정책에 공급되는 증거이지 중앙화된 명령이 아니다. 그들의 성과는 저장소 무결성, 가용성, 정정 절차로 평가되어야 한다.

IRR 운영자와 필터 생성 시스템.그들은 라우트 정책 기록의 무결성과 가용성, 기록을 필터로 변환하는 메커니즘을 통제했다. 그 증거는 RPKI와 고객 프로비저닝을 보완할 수 있지만, 낡거나 인증이 약한 객체는 통제를 약화시킨다. 사업자는 생성된 필터를 어떻게 검증하고 배포하는지에 대해 계속 책임을 진다.

RIPE RIS와 RouteViews.그들의 의무는 관측 무결성, 타임스탬프가 찍힌 수집, 문서화, 증거 접근이었다. 외부 경로 상태를 검사 가능하게 만들고 독립 분석을 지원했다. 그들은 AS55410을 인가하지 않았고, 사용자를 위해 경로를 선택하지 않았고, 회수를 강제하지 않았다. 그 역할은 증거 층이다.

MANRS와 기술 분석자.그들의 역할은 관측을 해석하고, 관행을 설명하고, 운영 통제를 권고하는 것이었다. MANRS 자료는 필터링, 안티 스푸핑, 조율, 라우팅 정보를 강조한다 [18]. 이들은 중요한 운영적 기대이지 사법적 결정이나 규제자의 명령이 아니다. 분석자는 방법을 공개하고 증거와 추론을 구분해야 한다.

전파에 영향받은 기업·서비스 운영자.그들의 의무는 자신의 프리픽스와 의존성을 모니터하고, 사업자 연락처를 유지하고, 도달 가능성을 테스트하고, 검증된 영향을 전달하는 것이었다. 그들은 다른 네트워크의 구성을 직접 수리할 수 없었지만, 자신이 네트워크를 운영하는 곳에서 불량 경로를 거부하고, 정확한 인가 데이터를 게시하고, 피해의 증거를 보존할 수 있었다.

이 매트릭스는 모든 결과를 첫 불량 광고에 배정하는 흔한 단순화를 막는다. 원 사건은 필요 조건이었지만, 광범위한 효과는 다운스트림 결정에 달려 있었다. 책임성은 각 행위자가 경로 상태를 예방, 거부, 관측, 봉쇄, 입증할 능력을 따라간다.

검증 가능한 수리의 모습

원 측 수리는 경로 시작을 승인된 인벤토리에 묶고, 예상치 못한 재분배를 거부하고, 익스포트 규모를 한정하고, 실제 광고를 의도와 비교한다. 테스트는 통제된 환경에서 무단 프리픽스를 도입하려 시도하고 외부 세션에 도달할 수 없음을 확인한다.

상류 수리는 대조된 증거에서 좁은 고객 필터를 생성하고, 현실적인 최대 프리픽스 한도를 설정하고, 정책이 요구하는 곳에서 무효 시작점을 거부하고, 비정상 경로 성장에 경보를 낸다. 테스트는 실험실이나 격리 세션에서 통제된 무단·과잉 광고를 보내 정당한 서비스를 불안정하게 하지 않고 거부됨을 확인한다.

관계 수리는 각 세션에 고객, 피어, 사업자 역할을 정의하고 명시적 임포트·익스포트 정책을 적용한다. 지원되는 곳에서는 BGP Role과 OTC가 프로토콜 수준 증거를 더할 수 있다. 테스트는 경로가 정책이 금지하는 방식으로 관계를 통과할 수 없음을 확인한다.

모니터링 수리는 원 익스포트, 사업자 수용, 공개 컬렉터 관측, 프리픽스 보유자 경보를 상호 연관시킨다. 소유자별 탐지 목표를 설정하고 각 경보 뒤의 증거를 보존한다. 테스트는 이상이 광범위하게 보이기 전에, 최소한 문서화된 에스컬레이션 창 안에서 탐지됨을 확인한다.

조율 수리는 최신 라우팅 보안 연락처, 에스컬레이션 경로, 필터링·회수 권한을 유지한다. 대규모 인시던트에서 기술 증거와 책임 있는 연락처가 불량 상태를 통제하는 운영자에게 닿아야 한다. 테스트는 비공식적 개인 채널에 의존하지 않고 통지를 행사한다.

공시 수리는 실패 등급, 통제 소유자, 봉쇄 타임라인, 검증 방법을 공개한다. 무엇이 여전히 알려지지 않았는지 명시한다. 이를 통해 고객과 피어는 테스트된 시정과 안심을 구분할 수 있다. 여기서 사용된 공개 기록은 그렇게 완전한 사업자 간 수리 보고서를 제공하지 않으므로, 본 글은 재발이 제거되었다고 주장할 수 없다.

상류 필터링 책임성 시험

AS55410 사건은 네트워크 인프라 책임성의 직접 시험이다. BGP, AS 관계, 경로 레지스트리, RPKI, 트랜짓 필터링, 컬렉터 증거를 제거하면 논거가 사라지기 때문이다. 이는 일반적 기업 리스크 이야기가 아니다. 이상 시작점을 도달 가능하거나 도달 불가능한 네트워크 상태로 바꾼 라우팅 결정을 누가 통제했는가에 관한 것이다.

첫 시험은 인가이다. 원 측은 시작된 모든 프리픽스가 승인 집합에 속함을 증명할 수 있었는가, 사업자는 모든 고객 경로가 인가되었음을 증명할 수 있었는가.

두 번째 시험은 집행이다. 돌아가는 라우터가 프리픽스, 시작점, 길이, 관계, 검증 증거를 사용해 그 인가 밖의 경로를 거부했는가.

세 번째 시험은 비례성이다. 프리픽스 한도와 이상 임계값이 라우터 메모리를 보호하는 데 그치지 않고 수만 경로 사건을 막을 만큼 정상 고객 규모에 가까웠는가.

네 번째 시험은 관측이다. 운영자와 독립 컬렉터가 경로가 언제 광고되고, 수용되고, 전파되고, 선택되고, 회수되었는지를 보여주면서 각 관측 지점의 한계를 문서화할 수 있었는가.

다섯 번째 시험은 봉쇄이다. 각 운영자가 다른 모든 당사자를 기다리지 않고 자신의 기여를 멈출 수 있었는가, 남은 불량 상태의 소유자에게 도달할 수 있었는가.

여섯 번째 시험은 수리이다. 통제된 테스트가 동일한 무단 시작점이나 비정상 경로 집합이 이제는 차단될 것임을 증명했는가, 그 증명이 보존되었는가.

이 시험들은 하나의 레지스트리나 하나의 표준이 인터넷을 통제한다는 가장 없이 책임을 배정한다. 번호 자원 기록은 중요한 사실을 확립한다. RPKI는 시작점 증거를 강화한다. IRR 데이터와 고객 기록은 수용 경로를 좁힐 수 있다. BGP Role은 관계를 표현한다. 컬렉터는 관측을 보존한다. 어느 것도 운영자가 돌아가는 시스템에 통합하지 않으면 작동하지 않는다.

이것이 현실 층이다. 정확한 기록이 존재한다는 이유만으로 프리픽스가 보호되지 않고, 모범 관행을 찬성한다는 이유만으로 상류가 안전하지 않다. 운영적 결과는 라우터가 수용한 경로, 이웃에게 내보낸 경로, 설치된 포워딩 상태, 그 상태가 인가와 충돌할 때 보존된 증거이다.

이 사건은 또한 책임이 흐려지지 않고 분산될 수 있음을 보여준다. AS55410은 시작을 통제했다. AS9498은 MANRS 분석에서 식별된 고객 경계를 통제했다. 다른 네트워크들은 자신의 수용을 통제했다. 프리픽스 보유자는 인가 기록을 통제했다. 컬렉터는 증거 품질을 통제했다. 각 역할에는 한정된 질문과 대응하는 산출물이 있다.

결론

Vodafone Idea의 2021년 라우팅 사건은 하나의 극적 프리픽스 수나 하나의 다툼이 되는 라벨로 환원되어서는 안 된다. 그 의미는 그것이 노출한 통제의 사슬에 있다. 원 AS는 전례 없는 시작점 집합을 광고했다. 최소 한 개의 상류가 공개 관측 시스템 전반에서 보이는 정도로 널리 전파했다. 다른 상류들은 다른 결정을 내렸다. 커버된 프리픽스 수천 개는 RPKI 증거를 갖고 있었을 수 있지만, 대부분은 여전히 고객 필터, 한도, 운영 판단에 의존했다.

공개 기록은 악의적 의도를 증명하지 않고, 모든 구성을 공개하지 않고, 모든 사용자의 피해를 정량화하지 않는다. 그러나 전파가 BGP의 불가피한 속성이 아니었다는 것은 증명한다. 연속된 경계의 운영자들은 그 광고를 예방, 거부, 관측, 봉쇄할 기회가 있었다.

따라서 책임성은 재현 가능한 결정으로 측정되어야 한다. 원 측이 시작할 수 있었던 프리픽스는 무엇이었나. 상류는 고객이 무엇을 보낼 수 있도록 허용했나. 어떤 검증과 관계 신호가 사용되었나. 모니터링은 언제 모순을 탐지했나. 어떤 경로가 회수되었고, 어디에 보이는 상태로 남았으며, 어떤 테스트가 수리를 증명하는가.

답은 레지스트리 항목 하나만으로, 표준 인용 하나만으로, 사건이 해결되었다는 진술만으로 될 수 없다. 답은 정확한 인가 증거에서 돌아가는 라우터가 강제하는 정책으로, 그다음 독립 관측으로, 한정된 봉쇄로, 보존된 증명으로 이어지는 사슬이다. 그 사슬이 라우팅 보안을 열망에서 책임 있는 네트워크 운영으로 바꾼다.

출처

1. https://www.catchpoint.com/blog/vodafone-idea-bgp-leak
2. https://manrs.org/2021/04/a-major-bgp-hijack-by-as55410-vodafone-idea-ltd/
3. https://www.theregister.com/2021/04/20/if_your_internet_wobbled_last/
4. https://asrank.caida.org/asns/55410
5. https://www.cidr-report.org/cgi-bin/as-report?as=as55410&view=2.0
6. https://stat.ripe.net/data/as-overview/data.json?resource=AS55410
7. https://stat.ripe.net/data/announced-prefixes/data.json?resource=AS55410
8. https://ris.ripe.net/docs/
9. https://www.routeviews.org/routeviews/
10. https://www.rfc-editor.org/rfc/rfc4271
11. https://www.rfc-editor.org/rfc/rfc7908
12. https://www.rfc-editor.org/rfc/rfc6811
13. https://www.rfc-editor.org/rfc/rfc8893
14. https://www.rfc-editor.org/rfc/rfc7454
15. https://www.rfc-editor.org/rfc/rfc8212
16. https://www.rfc-editor.org/rfc/rfc9234
17. https://www.rfc-editor.org/rfc/rfc7999
18. https://manrs.org/resources/