BGP는 아직 안전하지 않은가

3 hours ago 1

인터넷의 핵심 라우팅 프로토콜인 BGP(Border Gateway Protocol) 은 경로 선택 기능을 담당하지만 보안 검증 기능이 내장되어 있지 않음
이로 인해 잘못된 경로 정보가 전파되면 트래픽 탈취나 대규모 장애가 발생할 수 있으며, 이를 방지하기 위해 RPKI(Resource Public Key Infrastructure) 가 도입됨
RPKI는 경로의 진위를 암호학적으로 검증해 잘못된 경로를 ‘invalid’로 판정하고 차단할 수 있음
Cloudflare는 전 세계 주요 ISP와 트랜짓 사업자의 RPKI 적용 현황을 추적·공개하며, 일부 사업자는 여전히 ‘unsafe’ 상태로 남아 있음
모든 주요 네트워크 사업자가 RPKI와 필터링을 완전 도입해야 인터넷 라우팅이 안전해질 수 있음

Border Gateway Protocol(BGP) 은 인터넷의 ‘우편 서비스’로, 데이터가 이동할 수 있는 경로 중 최적의 경로를 선택하는 역할을 담당
그러나 보안 기능이 내장되어 있지 않아, 잘못된 경로 정보가 전파되면 대규모 인터넷 장애나 트래픽 탈취가 발생할 수 있음
이를 해결하기 위해 Resource Public Key Infrastructure(RPKI) 라는 인증 체계를 도입하면 경로의 진위를 검증할 수 있음
여러 글로벌 ISP와 트랜짓 사업자가 RPKI를 도입 중이며, Cloudflare는 이를 추적해 공개
모든 주요 네트워크 사업자가 RPKI를 채택해야 인터넷 라우팅이 안전해질 수 있음

주요 사업자 상태

Cloudflare는 31개 주요 사업자의 RPKI 서명 및 필터링 상태를 공개
Lumen, Arelion, Cogent, NTT, Sparkle, Hurricane Electric, GTT, TATA, Zayo, Vodafone 등 주요 트랜짓 사업자가 모두 ‘safe’ 상태
Comcast, AT&T, Verizon, Deutsche Telekom, KPN, Swisscom, Bell Canada 등 주요 ISP들도 서명 및 필터링 완료
일부 사업자(Google, IIJ, OCN, Vivacom 등)은 부분적으로만 적용되어 ‘partially safe’ 로 분류
China Telecom, KT, SK Broadband, TurkTelekom, Vodafone DE, PLDT, IBM Cloud, OVH 등은 여전히 ‘unsafe’ 상태로 남아 있음

RPKI(Resource Public Key Infrastructure) 는 경로와 자율 시스템을 암호학적으로 연결해 검증하는 보안 프레임워크
80만 개 이상의 인터넷 경로를 수동으로 검증하는 것은 불가능하므로, RPKI가 이를 자동화
RPKI가 활성화되면 잘못된 경로 정보가 전파되더라도 라우터가 이를 ‘invalid’로 판정하고 거부
Cloudflare 블로그에서는 RPKI의 작동 원리와 배포 사례를 상세히 설명

네트워크 운영자와 개발자들은 안전하지 않은 라우팅 프로토콜을 개선하기 위한 표준화 작업을 진행 중
Cloudflare는 MANRS(Mutually Agreed Norms for Routing Security) 이니셔티브에 참여
- MANRS는 라우팅 인프라를 강화하기 위한 글로벌 커뮤니티로, 회원들은 필터링 메커니즘을 구현하기로 동의
더 많은 사업자가 참여할수록 인터넷 전체의 라우팅 보안 수준이 향상