인터넷 라우팅의 70%가 RPKI로 보호받게 되다

핵심 요약

• BGP 라우팅은 신뢰에 의존하는데, 2008년 파키스탄 텔레콤이 유튜브 주소를 잘못 선언해 전 세계 트래픽을 2시간간 파키스탄으로 돌린 사건이 발생했다.
• RPKI(Resource Public Key Infrastructure)는 IP 주소 소유자가 서명된 ROA(Route Origin Authorization)를 발행해 특정 네트워크만 그 주소를 선언하도록 허용하는 인증 시스템이다.
• 2025년 9월부터 2026년 9월 사이 RPKI-유효한 라우팅 경로의 비율이 54.0%에서 70.3%로 올랐으며, 이 중 중국이 3.7%에서 83.0%로 대폭 상승해 전 세계 증가량의 거의 60%를 차지했다.
• RPKI-유효한 경로는 약 596개 BGP 피어에 보이는 반면 무효한 경로는 겨우 2개에만 보이며, 이는 충분한 수의 네트워크가 무효 경로를 거르고 있음을 의미한다.
• 국가별 통계는 경로 개수가 아닌 주소 개수로 가중치를 매겨야 정확한데, 스페인은 무효 경로 비율 28.2%이지만 가중 계산하면 0.057%로 크게 낮아진다.
• RPKI는 경로의 출발점만 검증하고 경로 자체는 검증하지 않으므로, 허가된 범위 내에서 더 구체적인 블록을 선언하는 공격은 막지 못한다.
• 2026년 9월 기준 RPKI로 보호되는 IPv4 경로의 16.2%가 ROA 권한보다 더 구체적인 서브넷을 허용하는 '열린 창'을 가지고 있어, 약 1,800만 개의 더 구체적인 접두사에 대한 공격이 가능하다.
• ASPA(Autonomous System Provider Authorization)는 ASN의 업스트림 제공자를 선언해 경로 검증을 추가로 제공하며, 2025년 9월 131개에서 2026년 9월 3,272개 네트워크로 25배 증가했다.
• ASPA-유효한 관측 경로는 2025년 9월 6.2%에서 2026년 9월 9.7%로 증가했지만, 자동 통과 경로를 제외하면 실제 검증된 경로는 약 0.1%에서 3.5%로만 증가했다.
• 경로 중간에 ASPA 규칙을 위반하는 경우는 0.048%에 불과하며, ASPA 실패의 약 21%는 시리아 텔레콤의 불완전한 레코드 때문이다.
• 2008년 파키스탄 텔레콤 사건 관련자였던 PCCW Global(AS3491)이 아직 ASPA 레코드를 발행하지 않아 그 경로를 지나는 약 6,000개 경로가 ASPA 검증 실패로 기록된다.
• RPKI 커버리지 손실은 중단 없이 발생할 수 있으며, 모로코의 Orange Maroc이나 모리셔스의 SEACOM 같은 사례에서 ROA가 사라졌다가 복구되기도 한다.
• 일부 검증 방법은 실제로는 여전히 보호를 제공하는 RPKI 레코드를 실패로 계산할 수 있으므로, RPKI 통계를 읽을 때 어떤 방식으로 집계했는지 확인이 필요하다.