18시 47분, YouTube는 파키스탄으로 갔다 — 멈춘 것은 감시 시스템이 아니었다

요약

• 2008년 2월 24일 18:47 UTC에 Pakistan Telecom(AS17557)이 YouTube의 208.65.153.0/24 대역을 알리기 시작했고, 21:01 UTC에 PCCW Global(AS3491)이 그 대역을 철회하면서 사건이 끝났다. 2시간 14분이다.
• 사건을 드러낸 RIPE NCC의 Routing Information Service(RIS)와 BGPlay는 전 세계 라우팅 테이블을 읽는 장치였다. 남의 라우터에 침묵을 명령하는 장치는 아니었다.

18:47, 대역 하나가 방향을 바꿨다. 2008년 2월 24일 일요일 18:47 UTC, Pakistan Telecom(AS17557)이 208.65.153.0/24를 알리기 시작했다. AS3491 PCCW Global이 그 알림을 전파했고 전 세계 라우터가 이를 받아들였다. YouTube를 향하던 트래픽은 파키스탄으로 갔다. 이 시간표는 RIPE NCC가 남긴 사건 기록에서 그대로 인용한 것이다 (RIPE NCC RIS 사례 연구).

20:07, 피해자가 같은 대역을 다시 알렸다. 20:07 UTC에 YouTube(AS36561)가 같은 208.65.153.0/24를 알렸고, 20:18 UTC에는 더 긴 두 개의 접두사, 208.65.153.128/25와 208.65.153.0/25를 내보냈다. 이것은 최장 접두사 일치(longest-prefix-match)를 이용한 응급 자구책이다. 두 개의 /25는 탈취된 /24가 테이블에 남아 있는 동안에만, 그리고 수신 네트워크가 더 긴 접두사를 실제로 받아들일 때만 트래픽을 되찾아 온다. 조건이 하나만 어긋나도 작동하지 않는 방어였다.

21:01, 끝낸 것은 상류 사업자였다. 21:01 UTC에 AS3491 PCCW Global이 AS17557이 발신한 모든 접두사를 철회했고, 그때 탈취가 멈췄다. 같은 사건을 다룬 NANOG 42 발표자료도 요약 수준에서 이 관계를 뒷받침한다. Pakistan Telecom이 더 긴 접두사를 알렸고, 상류의 PCCW가 그것을 전 세계로 전파했으며, 사건은 압력과 네트워크 운영자들과의 조율 끝에 이뤄진 경로 철회로 종결됐다는 것이다 (NANOG 42 발표자료). 정확한 시각은 이 발표자료가 아니라 위의 RIS 기록에서 가져왔다.

감시는 실패하지 않았다. 감시였을 뿐이다. RIS와 BGPlay는 이 사건을 감지하고 분석하는 데 쓰였다. 라우팅 가시성은 제 몫을 다했다. 문제는 그 다음에 있다. 가시성은 "저 대역은 잘못됐다"는 증거를 만들었지만, 다른 사업자의 라우터에서 그 대역을 지울 권한은 만들지 못했다. 화재경보기는 소방 밸브를 잠그지 않는다. 경보는 울리고, 결정은 다른 건물에서 내려진다.

전파한 관계가 철회한 관계였다. AS3491은 그 경로를 실어 나른 사업자였고, 동시에 그 경로를 거둬들인 사업자였다. 전파와 종결이 같은 상업적 관계를 통과했다는 뜻이고, 그래서 결정적 지렛대는 레지스트리의 조치가 아니라 사적인 운영 판단이었다. 책임은 세 지점에 흩어져 있다. 발신한 쪽, 전파를 허용한 상류, 그리고 그것을 받아들인 수신 네트워크다. 이 사건에서 그중 한 지점이 스스로 문을 닫았고, 그것이 종결의 전부였다.

기록이 말하지 않는 것. 이 사건에 대해 실제로 읽은 자료 안에서 레지스트리나 규제기관, 혹은 자동 검증 체계가 그 알림을 중단시켰다는 기록은 없다. 그것은 그런 행위자가 존재하지 않았다는 증명이 아니라, 읽은 자료가 그런 종결자를 지목하지 않는다는 뜻이다. AS17557의 의도, AS3491의 필터 설정과 의사결정 과정, 트래픽 손실 규모와 경보 지연, 각 경로를 받아들인 네트워크의 수는 이 자료들로 확정되지 않는다.

그래서 무엇을 바꿔야 하나. 오래가는 수리는 사후 대응이 아니라 사전에 분산된 통제에서 나온다. 발신 권한의 인증, 상류 경계에서의 고객 접두사 필터링, 운영자 측 발신지 검증, 미리 합의된 에스컬레이션 경로를 가진 감사 가능한 경보, 그리고 리허설된 비상 철회 절차다. 목표는 실패의 순간에 한 중개자의 재량에 의존하지 않는 것이다. 레지스트리나 규제기관에 남의 라우터를 끄는 스위치를 쥐여주는 것이 아니다. 그 스위치는 이 사건에서도 존재하지 않았고, 존재해서도 곤란하다.