935. RPKI (Resource Public Key Infrastructure)

⚠️ 이 문서는 전 세계 인터넷의 길 안내 시스템인 BGP(Border Gateway Protocol)가 설계상 치명적인 약점인 "아무나 IP 주소의 주인이라고 거짓말을 칠 수 있는 문제(BGP 하이재킹)"를 안고 있음에 착안하여, 블록체인의 서명처럼 국가 공인 인증서(PKI)를 통해 진짜 IP의 주인을 암호학적으로 증명하고 인터넷 지도의 신뢰를 회복하는 글로벌 보안 인프라인 RPKI 체계를 다룹니다.

핵심 인사이트 (3줄 요약)

  1. 본질: RPKI는 "이 IP 대역(142.250.x.x)은 진짜 구글(AS 번호) 소유가 맞다"는 사실을 증명하기 위해, 공인된 인증 기관이 발급한 '디지털 인증서(ROA)'를 바탕으로 BGP 경로의 진위 여부를 엄격하게 검증하는 공개 키 기반 인프라다.
  2. 가치: 기존 BGP의 "네가 그 IP 주인이라고? 알았어 믿을게"라는 순진한 성선설을 깨부수고, 유튜브 트래픽이 파키스탄 해커 서버로 납치되거나 카카오톡 트래픽이 중국으로 새어나가는 국가급 BGP 스푸핑 및 하이재킹 테러를 원천 차단한다.
  3. 기술 체계: 인터넷 주소 관리 기관(IANA, APNIC 등)이 최상위 신뢰 구조(Trust Anchor)가 되어 암호화 서명(ROA)을 발급하고, 전 세계 통신사의 라우터들은 이 인증서를 다운받아 자신이 받은 라우팅 테이블이 진짜인지 실시간으로 비교/폐기(Route Validation)하는 구조로 설계되었다.

Ⅰ. 개요: 맹목적 믿음이 낳은 대참사 (Context & Necessity)

인터넷은 거대한 국가/기업 단위의 네트워크(AS, Autonomous System)들의 뭉치다. 이들은 BGP라는 프로토콜로 "유튜브 IP(예: 8.8.0.0/16)는 나(구글 AS)한테 보내!"라고 온 동네에 소문을 내며 트래픽을 모은다.

  • BGP의 치명적 결함: BGP에는 "그 IP가 진짜 네 거 맞아?"라고 신분증을 검사하는 기능이 아예 없다!
  • BGP 하이재킹 (대참사):
    • 2008년, 파키스탄 정부가 유튜브를 막으려고 자기네 라우터에 "유튜브 IP는 내 거야!"라고 뻥을 쳤다.
    • 이 거짓말이 실수로 전 세계 BGP 망으로 퍼져나갔고, 전 세계 통신사 라우터들이 속아 넘어가 유튜브 트래픽을 파키스탄으로 쏟아부었다. 결국 파키스탄 통신망이 터져버리고, 전 세계 유튜브가 몇 시간 동안 마비되었다.
    • 최근에는 해커들이 이 짓을 몰래 해서, 암호화폐 거래소의 트래픽을 가로채 해킹하는 짓을 벌이고 있다.

이런 "거짓말쟁이 라우터"를 막기 위해, 통신 공학자들은 인터넷 주소 체계에 은행용 공인인증서(PKI)의 강력한 암호학을 씌우는 **RPKI (Resource PKI)**라는 무기를 만들어 냈다.

📢 섹션 요약 비유: 부동산 거래를 할 때, 웬 사기꾼이 "이 63빌딩 내 거니까 계약합시다!"라고 말로만(BGP) 우기면 사기를 당합니다. RPKI는 국가가 발행한 도장이 찍힌 '진짜 등기부등본(인증서)'을 떼와서 대조해 본 뒤에야 계약을 진행하게 만드는 완벽한 사기 방지 시스템입니다.

Ⅱ. RPKI 아키텍처와 검증 (Route Validation) 메커니즘

RPKI는 두 가지 큰 뼈대(인증서 발행과 라우터의 대조)로 움직인다.

1. ROA (Route Origin Authorization) 서명 발급

  • 세계 IP 관리 기구(IANA, 한국의 KISA 등)가 최상위 인증 기관(Trust Anchor)이 된다.
  • 구글 같은 회사는 KISA에 가서 "유튜브 IP 대역(Prefix)은 우리 구글 AS 번호(AS15169)에서만 방송할 수 있다"고 등록한다.
  • KISA는 이 내용에 강력한 암호화 도장을 쾅 찍어서 **ROA(경로 발신지 인증서)**라는 증명서를 발급하여 RPKI 저장소에 올려둔다.

2. 라우터의 검증 단계 (ROV - Route Origin Validation)

  • 전 세계 통신사(SKT, KT 등)의 라우터 옆에는 RPKI 캐시 서버(검증기)가 돌아가고 있다. 이 서버는 전 세계의 ROA 인증서를 다운받아 둔다.
  • [정상 상황] 구글 라우터가 "유튜브 IP(8.8.0.0)는 내(AS15169) 거야!"라고 외치면, 통신사 라우터는 옆의 캐시 서버에 물어본다. "인증서(ROA) 내용이랑 맞네? 오케이 통과(Valid)!"
  • [해커 공격] 해커 라우터가 "유튜브 IP는 내(해커 AS999) 거야!"라고 뻥을 친다. 통신사 라우터가 캐시 서버에 물어본다. "어? 인증서엔 AS15169 꺼라고 적혀있는데, 쟤는 왜 999라고 우겨? 짭이다! 폐기(Invalid, Drop)!"
┌────────────────────────────────────────────────────────────────────┐
│           RPKI를 통한 BGP 라우팅 스푸핑 방어 시각화                │
├────────────────────────────────────────────────────────────────────┤
│                                                                    │
│ [ KISA / IANA 인증서 보관소 ] : 📜 진짜 등기부등본 (ROA) 저장      │
│   내용: "IP 8.8.8.0/24의 진짜 주인은 구글(AS15169) 임을 보증함"    │
│                                                                    │
│            (다운로드 및 동기화)                                    │
│                   ▼                                                │
│ 🛡️ [ 통신사 라우터 (RPKI 검증 엔진 탑재) ]                         │
│                                                                    │
│   🔊 (구글의 외침): "IP 8.8.8.0은 제껍니다!" (AS15169)             │
│       ▶ 라우터: "등기부등본이랑 일치하군. 통과! (Valid)" ⭕        │
│                                                                    │
│   💣 (해커의 뻥): "IP 8.8.8.0은 내꺼야 당장 줘!" (AS999)           │
│       ▶ 라우터: "거짓말! 인증서에 적힌 주인이랑 다르잖아! 컷!" ❌  │
│                 (패킷 전부 폐기, 하이재킹 차단 성공)               │
└────────────────────────────────────────────────────────────────────┘

Ⅲ. 한계와 점진적 확산

RPKI는 BGP 해킹을 막는 궁극의 무기지만, 전 세계 모든 통신사가 다 같이 힘을 모아야 작동한다는 한계가 있다.

  • 미등록 IP 문제 (NotFound)
    • 아직 세상에는 ROA 인증서를 발급받지 않은 게으른 기업의 IP 대역이 훨씬 더 많다.
    • 라우터가 검사했는데 인증서가 없으면(NotFound), "일단은 짭이 아니니까 통과시켜 주자"라고 넘어가야 인터넷이 안 끊긴다. 해커는 이 인증서 없는 만만한 IP 대역만 골라서 공격한다.
  • 글로벌 연대 필수
    • 구글이 백날 인증서를 만들어놔도, 파키스탄 라우터나 다른 통신사 라우터가 "아 난 RPKI 검사하기 귀찮아, 그냥 주는 대로 다 믿을래(검증 기능 끔)" 해버리면 하이재킹은 여전히 발생한다.
    • 하지만 최근 Cloudflare, AWS 같은 글로벌 거인들이 RPKI 검증을 100% 강제(Invalid 경로 무조건 차단)하면서, 인터넷 생태계가 급속도로 안전해지고 있다.

Ⅳ. 결론

"신뢰할 수 없는 거리에 세워진 가장 견고한 암호학적 검문소." 인터넷의 길을 묻고 답하는 BGP 프로토콜은 애초에 악당이 존재할 거라곤 상상도 못 한 채 만들어졌다. 국가 간 정보 탈취와 암호화폐 도난 등 BGP 하이재킹이 산업 지형을 흔들기 시작하자, 공학자들은 블록체인과 은행이 쓰는 가장 강력한 무기인 PKI 암호 체계를 인터넷의 신경망(IP 관리)에 직접 주입했다. RPKI는 기술적인 우수함을 넘어, 전 세계 통신 사업자들이 함께 모여서 서명 장부를 대조하고 가짜를 색출해 내는 위대한 글로벌 협력과 신뢰 회복의 상징이다.

📌 관련 개념 맵

  • 방어하는 대상: BGP 하이재킹 (BGP Route Hijacking), BGP 스푸핑
  • 핵심 컴포넌트: ROA (Route Origin Authorization), ROV (Route Origin Validation), Relying Party(검증 캐시 서버)
  • 보안 인프라: PKI (Public Key Infrastructure - 공개키 기반 구조), 암호화 서명
  • 유사/보완 보안: BGPsec, BCP 38 (스푸핑 패킷 필터링 지침)

👶 어린이를 위한 3줄 비유 설명

  1. 택배 아저씨들(라우터)은 묻지도 따지지도 않고 "나 구글이요~"라고 소리치는 사람한테 그냥 유튜브 소포를 다 던져줬어요. 가끔 나쁜 도둑이 구글인 척 소리쳐서 소포를 훔쳐 갔죠 (BGP 하이재킹).
  2. 이래선 안 되겠다 싶어 '경찰청(인증기관)'이 생겼고, 진짜 구글에게 위조 방지 도장이 찍힌 '진짜 구글 신분증(ROA)'을 만들어 줬어요. (RPKI 탄생)
  3. 이제 택배 아저씨는 "나 구글이요!" 소리치는 사람에게 무조건 신분증을 내놓으라고 하고, 경찰청 장부랑 맞는지 철저히 검사(Route Validation)한 뒤에만 소포를 건네준답니다! 사기꾼은 꼼짝 못 하겠죠?