RPKI (Resource Public Key Infrastructure)

1. RPKI 등장 배경(BGP 결함에 따른 문제 발생 사례)

• BGP 결함에 따른 경로 누수, 경로 하이재킹 등 문제점 대응 위해 RPKI 등 보안기술 표준 등장

2. 라우팅 정보 무결성 인증, RPKI의 개념 및 주요 기능

(1) RPKI(Resource Public Key Infrastructure)의 개념

개념도
개념	IP 주소와 AS 번호를 PKI 기반 인증서로 발행하여 라우팅 정보 무결성을 보장하는 인터넷 라우팅 보안 기술

(2) BGP 보안취약점과 RPKI의 주요 기능(필요성)

• 2012년 2월 인터넷주소자원(IP주소, AS번호)에 대해 PKI 표준(RFC3779) 기반 암호화된 인증서 발행 및 해당 주소 라우팅 정보 무결성을 보장하는 인터넷 라우팅 보안 기술인 RPKI(RFC6480) 발표

3. RPKI 시스템 구성요소 및 동작 절차

(1) RPKI 시스템 구성요소

• TAL(Trust Anchor Locator): RPKI 저장소 위치와 공개키를 포함한 파일
• RTR(RPKI to Router): 시리얼 번호, 세션 ID 기반 검사기와 라우터 간 DB 동기화

(2) RPKI 시스템의 핵심, 경로원점인증서(ROA)

– 경로원점인증서(ROA, Route Origin Authorization) – 할당받은 IP 주소에 대해 전자 서명된 증명서를 주소자원 인증서(Resource Certification)라 하고, 해당 인증서 기반 IP 주소에 대해 BGP 라우팅 권한이 있음을 AS 번호와 함께 신뢰할 수 있는 객체(Objcets) 정보들로 작성하여 전자 서명

(3) RPKI 시스템 동작 메커니즘

1) RPKI 적용 전: 잘못된 라우팅 경로 광고로 인해 하이재킹 등 문제 발생

– AS4745의 IP주소와 동일한 주소 대역 1.16.66.0/24를 AS3357에서 실수 또는 악의적으로 라우팅 경로를 광고하면, BGP 특성상 기존 정상 경로 AS9695 – AS9568 – AS4745 보다도 경로가 짧은 비정상 경로 AS9695 – AS3357로 패킷 라우팅

2) RPKI 적용: ROA를 RPKI 캐시 서버에 전송/저장, RPKI 라우터에 제공

– AS4745에서 1.16.66.0/24에 대한 BGP 라우팅 권한이 AS4745에 있음을 사전에 인증 받은 ROA 인증서를 글로벌 RPKI 시스템에 반영하면, 저장소에서 RTR 프로토콜로 RPKI 캐시(Cache) 서버에 전송/저장 후 ROA 정보를 RPKI 라우터에 제공

3) RPKI 적용 후: 잘못된 라우팅 경로 차단으로 라우팅 신뢰성 확보

– AS9695의 라우터가 RPKI를 활성화하게 되면 RPKI 서버로부터 받은 ROA 정보와 BGP 정보의 비교 결과인 ROV(Route Origin Validation) 정보를 통해 비정상 경로(Invaild)를 탐지/차단

4. RPKI 기반 라우팅 인증 체계

(1) RPKI 기반 라우팅 인증 체계도

• 대륙별 인터넷주소관리기관(RIR), 국가별 인터넷주소관리기관(NIR), 국내 인터넷주소관리기관(LIR)의 계층적 IP 주소 할당 및 인증 수행

(2) RPKI 기반 라우팅 인증 역할 및 지원 방식

• 현재 한국인터넷진흥원(KISA)에서는 통합 방식(Hosted)만 지원

 
[참고]

• 한국인터넷진흥원(KISA), KRNIC 라우팅 인증(RPKI)