IP 주소에 대한 통제권을 입증한다는 것은 무엇인가?

증거는 요청된 구체적인 행위를 수행할 권한을 입증해야 한다. 네트워크의 한 부분을 변경할 수 있다는 허가가 다른 모든 부분에 대한 권한까지 자동으로 부여하지는 않는다.

누군가 “우리가 이 IP 주소 블록을 통제한다”고 말한다면, 가장 먼저 물어야 할 질문은 이것이다. 어떤 행위를 하기 위한 통제권인가?

하나의 IP 프리픽스는 등록부에 기재되고, BGP로 광고되며, RPKI 인증으로 보호되고, 임대 계약에 따라 사용되는 동시에 실제 사업을 뒷받침할 수 있다. 이 사실들은 서로 연결되어 있지만 같은 사실은 아니다. 이 중 하나를 모든 것의 증거로 취급하면 기술 기록이 운영상의 혼란과 기관 권력의 원천이 된다.

통제권 입증이란 개인이나 조직이 인터넷 번호 자원과 관련된 특정 행위를 수행할 권한을 부여받았음을 증명하는 것이다.

그 행위는 등록 기록 갱신, 경로 승인, ROA 변경, 역방향 DNS 위임, 계약에 따른 주소 공간 사용, 이전 신청, 분쟁 중 자원 보유자 대리 등이 될 수 있다. 각 행위에는 그에 해당하는 질문에 실제로 답할 수 있는 증거가 필요하다.

“소유권”이라는 말보다 행위에서 출발하라

“이 IP는 누구 소유인가?”라는 질문은 단순해 보이지만, 사실 여러 질문을 하나로 묶고 있다.

• 공인된 등록 기록을 갱신할 수 있는 사람은 누구인가?
• 자율 시스템이 프리픽스를 광고하도록 승인할 수 있는 사람은 누구인가?
• 해당 주소 공간을 사용하는 네트워크를 운영하는 사람은 누구인가?
• 역방향 DNS나 보안 설정을 변경할 수 있는 사람은 누구인가?
• 자원을 임대하거나 이전하거나 상업적으로 위임할 수 있는 사람은 누구인가?

유용한 통제권 입증 절차는 먼저 행위를 명시한 뒤, 누가 그 행위를 할 권한을 갖고 있으며 어떤 증거가 그 권한을 뒷받침하는지 묻는다. 이렇게 하면 데이터베이스 필드 하나로 모든 계약적·조직적·법적 관계를 해결할 수 있다고 가장하지 않으면서 운영 조사를 정확하게 진행할 수 있다.

흔히 혼동되는 네 가지 층위

1. 등록부에 대한 통제

등록 기록은 자원과 연결된 조직, 연락처, 상태 등 조정 시스템이 관리하는 공인 상태를 설명한다. 등록 계정에 접근할 수 있다는 사실은 그 시스템 안에서 일부 행위를 수행할 수 있음을 보여줄 수 있다.

그러나 계정 보유자가 자원을 팔거나 이전하거나 모든 상황에서 조직을 대표할 수 있다는 뜻은 아니다. 인증 정보는 오래되었거나 공유되었거나 유출되었을 수 있다. 시스템 접근 권한과 특정 결정을 내릴 권한은 별개다.

2. 라우팅에 대한 통제

BGP는 네트워크가 현재 프리픽스를 어떻게 광고하고 있는지 보여준다. 실제 라우팅 상태에 관한 증거다. 하지만 그것만으로는 광고하는 네트워크가 자원 보유자의 승인을 받았다는 사실을 입증할 수 없다.

프리픽스를 광고하는 주체는 고객, 호스팅 제공업체, 상위 네트워크, 전환 중인 새 제공업체 또는 무단 행위자일 수 있다. 따라서 다음 두 질문은 별개다.

누가 프리픽스를 광고하고 있는가?

누가 그 광고를 승인했는가?

3. 보안에 대한 통제

RPKI와 경로 출처 인증인 ROA는 더 좁은 질문에 대해 암호학적으로 검증할 수 있는 증거를 제공한다. 즉, RPKI 시스템 안에서 어떤 자율 시스템이 특정 프리픽스의 경로를 발신하도록 승인되었는가?

이는 라우팅을 보호하는 데 유용하다. 그러나 유효한 ROA가 모든 것을 증명하는 권리증서는 아니다. 임대 조건, 애플리케이션 운영자, 자원 대금 지급자, 모든 상업적 이해관계 또는 해당 경로가 현재 광고되고 있는지까지 자동으로 입증하지는 않는다.

4. 운영 및 상업적 통제

기업은 등록부상 자신이 보유하지 않은 주소 공간에서 서버, 방화벽, VPN, DNS, 이메일, 고객 서비스를 운영할 수 있다. 다른 조직이 등록 보유자로 남아 있는 동안 임차인이 프리픽스를 사용하고 라우팅할 권한을 가질 수도 있다. 제공업체가 운영자를 대신해 프리픽스를 광고할 수도 있다.

이것이 반드시 모순인 것은 아니다. 명확히 기록해야 하는 일련의 관계다. 누가 자원을 보유하는지, 누가 사용하고 광고할 수 있는지, 누가 RPKI와 역방향 DNS를 관리하는지, 그리고 약정이 종료되면 어떻게 되는지를 기록해야 한다.

각 증거가 보여줄 수 있는 것과 없는 것

목적은 문서 작업 자체를 늘리는 데 있지 않다. 유효한 증거 하나를 실제로 입증하는 범위 너머로 확대 해석하지 못하게 하는 데 있다.

네트워크 변경 시 이것이 중요한 이유

통제권 입증은 중요한 변화가 임박했을 때 가장 중요하다. 기업이 제공업체를 바꾸거나, 프리픽스를 임대하거나, 조직을 개편하거나, 경로를 다른 네트워크로 옮기거나, 두 당사자가 누가 행동할 권한이 있는지 다투는 경우다.

운영 중인 네트워크를 변경하기 전에 신중한 절차를 통해 다음을 확인해야 한다.

1. 관련된 정확한 IPv4 또는 IPv6 프리픽스
2. 마지막으로 검증된 등록 상태
3. 행위를 요청하는 개인이나 조직
4. 그 사람과 자원 보유자를 연결하는 권한 관계
5. 현재 프리픽스의 경로를 발신하는 ASN과 앞으로 발신할 ASN
6. 관련 RPKI, 역방향 DNS, 라우팅, 위임 기록
7. 전환을 뒷받침하는 증거
8. 상태가 바뀌는 동안 서비스를 유지하기 위해 필요한 단계

행정적으로 올바른 변경도 라우팅, DNS, 보안, 협력업체와의 의존 관계를 무시하면 장애를 일으킬 수 있다. 반대로 근거가 되는 권한에 분쟁이 있어도 활성 BGP 광고는 트래픽을 계속 흐르게 할 수 있다. 건전한 절차는 어느 한 사실이 다른 사실을 지우게 두지 않고 둘 다 기록한다.

가장 어려운 경우는 층위 간의 불일치다

등록부에는 조직 A가 기재되어 있고, 프리픽스는 조직 B가 광고하며, 계약상 주소 공간 사용자는 조직 C라고 해보자. 오래된 ROA는 ASN X를 승인하지만 현재 네트워크는 ASN Y를 통해 운영된다. 이때 두 사람이 등록기관에 서로 다른 변경을 요청한다.

시스템 하나를 선택하고 나머지를 무시한다고 충돌이 해결되지는 않는다. 조사에서는 다음을 물어야 한다.

• 마지막으로 검증된 상태는 무엇이며, 어떤 증거로 검증되었는가?
• 그 상태 이후 무엇이 바뀌었는가?
• 각 변경을 누가 승인했는가?
• 어떤 주장이 등록 상태, 라우팅 상태, 보안 상태 또는 운영상 사용을 설명하는가?
• 현재 네트워크의 어느 부분이 고객에게 서비스를 제공하고 있는가?
• 합법적으로 운영 중인 네트워크를 불필요하게 중단하지 않고 요청된 갱신을 수행할 수 있는가?

여기서는 과거 기록이 필수적이다. 신뢰할 수 있는 조정 시스템은 단지 현재 기록만 보여주는 데 그치지 않고, 자원이 한 검증된 상태에서 다른 상태로 어떻게 이동했는지 재구성할 수 있게 해야 한다. 질문은 “오늘 데이터베이스에 무엇이라고 적혀 있는가?”만이 아니다. “그 전환 자체가 유효하고 설명 가능한 것이었는가?”도 물어야 한다.

실무적인 입증 절차는 어떤 모습인가

영향이 큰 변경에는 단계별로 나누어 검증하라.

자원 확인

정확한 프리픽스와 그것이 서비스, 고객 또는 네트워크와 맺는 관계를 확인하라. “그 IP들”에 대한 막연한 주장으로 시작하지 마라.

요청된 행위 확인

요청이 등록 갱신, 경로 승인, RPKI, 역방향 DNS, 임대, 이전 또는 운영상 사용 중 무엇에 관한 것인지 명시하라. 행위가 다르면 필요한 권한도 다르다.

개인과 조직 확인

공인된 보유자, 요청자, 관련 제공업체와 임차인, 그리고 네트워크를 운영할 조직을 확인하라. 보유자에게서 요청된 행위까지 이어지는 권한 관계를 추적하라.

실제 상태와 기록된 상태 비교

등록 기록, 현재 BGP 출처, RPKI 승인, 역방향 DNS, 계약, 운영 기록을 함께 확인하라. 선호하는 출처를 조용히 선택하는 대신 모순을 표시하라.

전환 과정 기록

이전 상태, 새 상태를 뒷받침하는 증거, 승인한 사람, 라우팅·DNS·보안·모니터링에 필요한 변경을 기록하라. 기존 약정을 종료하기 전에 인계를 시험하라.

이렇게 하면 “통제권 입증”이 다른 운영자가 검토할 수 있는 의사결정 기록이 된다. 각 단계에서 무엇을 알고 있었는지 시스템이 보여줄 수 있으므로 분쟁도 더 쉽게 해결할 수 있다.

입증 자료를 옮겨 쓸 수 있어야 하는 이유

모든 증거가 한 기관의 비공개 데이터베이스 안에만 있다면, 자원 보유자가 통제권을 입증할 수 있는지는 그 기관에 계속 접근할 수 있는지에 달리게 된다. 인력 교체, 제공업체의 장애나 사업 실패, 계정 잠금, 기관 간 분쟁이 기술적 사실을 권한 위기로 바꿀 수 있다.

더 회복력 있는 조정 모델은 입증 자료의 중요한 부분을 독립적으로 검증하고 감사할 수 있게 해야 한다. 적절한 경우 이전할 수 있고, 상대방이 이해할 수 있으며, 기관이 제 기능을 하지 못할 때도 복구할 수 있어야 한다. 증거를 옮겨 쓸 수 있게 한다는 이유만으로 인증 정보를 노출해서는 안 된다. 원칙은 더 제한적이다. 유효성이 불필요하게 기관 종속에 좌우되어서는 안 된다.

등록부의 유용한 기능과, 그 관리자가 영구히 존속하거나 자원에 관한 모든 문제를 결정할 정치적 권한을 가져야 한다는 생각을 분리해야 하는 이유도 여기에 있다. 네트워크에는 유일성, 정확한 기록, 보안에 관한 증명, 추적 가능한 변경이 필요하다. 그 뒤에 이어지는 모든 상업적·운영상 결정을 한 기관이 소유할 필요는 없다.

최소한의 조정에는 강한 입증이 필요하다

조정의 범위를 좁힌다는 것은 허술하게 만든다는 뜻이 아니다. 네트워크가 검증할 수 있어야 하는 기능에 공통 계층을 집중한다는 뜻이다.

• 자원의 유일성
• 신원과 통제권 증거
• 정확한 등록 상태
• 보안에 관한 증명
• 이전 및 감사 기록
• 충돌 상태
• 운영 연속성

가격, 고객의 지리적 위치, 일반적인 사업 모델, 인프라 제공업체 선택이 자동으로 같은 계층에 속하는 것은 아니다. 강한 입증은 조정의 무결성을 보호해야 하며, 인터넷 번호 자원과 관련된 모든 결정을 통제하는 막연한 구실이 되어서는 안 된다.

이것이 루헝의 더 큰 논의가 설정하는 경계다. 「유일성 조정 권리장전」은 공통 계층에 유일성, 검증 가능한 통제권, 정확성, 보안, 연속성을 보호하도록 요구한다. 「작동하는 코드의 우선성」이 지향하는 것은 참여 네트워크가 검증하고 채택할 수 있는 기술 규칙이다. 어떤 미래의 체계가 정당한지를 기관의 영구적인 허가가 결정하는 방식이 아니다.

한 문장으로 답하면

통제권 입증은 문서 하나, 로그인 하나, BGP 광고 하나 또는 등록 필드 하나가 아니다.

그것은 다음을 보여주는 정확한 증거의 연결 고리다. 누가 이 특정 행위를 수행할 권한을 가지며, 무엇이 그 권한을 뒷받침하고, 어떤 상태가 바뀌며, 그 결과로 만들어진 네트워크가 계속 운영될 수 있는가.

강한 조정 시스템은 정당한 통제권을 쉽게 입증하게 하고, 무단 변경을 어렵게 하며, 분쟁을 더 쉽게 감사하고 운영 중인 네트워크를 더 쉽게 보호하게 한다. 등록부는 통제권을 정확히 기록해야 한다. 증거는 그것을 검증 가능하게 해야 한다. 입증은 네트워크를 대신하는 것이 아니라 네트워크에 도움이 되어야 한다.

이어서 읽기:

• 노트 9: APNIC 거버넌스와 단호한 결별의 필요성
• 노트 72: 유일성 조정 권리장전
• 노트 65: 작동하는 코드의 우선성
• IP 주소 임대에서 명확한 운영 기록이 중요한 이유