가상자산 탈취나 인터넷 접속 마비 등 네트워크 사고를 막는 RPKI(라우팅인증)의 국내 적용률이 경제협력개발기구(OECD) 국가 중 최하위 수준으로 나타났다. 그러나 내년 정부예산안에 RPKI 보급확대와 관련된 예산은 전혀 책정되지 않았다.
BGP 탈취·누출 막는 RPKI 필요
박정섭 한국인터넷진흥원(KISA) 인프라보호단장은 6일 서울 강남구에서 기자들을 만나 "RPKI 도입을 독려하고, 테스트베드도 운영해야 하는 상황인데 아쉬움이 많은 상황"이라면서 "현재 ISP(인터넷서비스사업자)들도 책임자 선에서는 필요성을 인식하고 있다"고 말했다.
통신사를 비롯한 특정 ISP(인터넷서비스사업자)나 대규모 조직이 관리하는 개별 네트워크 그룹을 AS(자율시스템)라고 부른다. 전 세계적으로 이 AS, 네트워크 그룹은 약 7만 개에 달한다. 이 AS들이 다른 네트워크에 연결하고 길을 찾아주는 것이 바로 BGP(경계경로프로토콜)다. 가장 적절한 경로를 찾아 다른 통신망으로 전송하는 라우터가 있고, BGP는 이웃라우터의 경로전파를 신뢰해 자신의 경로를 업데이트한다.
문제는 이렇게 전달받은 경로정보가 위·변조된 것인지 확인할 수 없다는 점이다. 이 때문에 트래픽을 탈취하기 위한 'BGP 하이재킹(탈취)' 공격이 일어난다. 예를 들어 2022년 발생한 카카오의 블록체인 플랫폼 클레이튼 디파이(DeFi·탈중앙화금융) '클레이스왑'도 BGP 하이재킹으로 인한 가상자산 탈취 사고가 일어났다.
또한 경로정보에 오류가 있는지 확인할 수 없다보니 네트워크 관리자의 단순 실수로 네트워크가 마비되기도 한다. 그 예가 2022년 발생한 KT 전국망 장애 사태다. 당시 네트워크 관리자가 KT 부산지소 내 기업용 라우터의 BGP 경로설정을 실수하자 전국망이 1시간 가량 마비되는 사태가 발생했다.
RPKI는 이러한 BGP의 취약성을 해결하고 안전하게 인터넷 경로를 설정하기 위한 일종의 보안기술이다. 각 AS의 번호와 IP, 보유기관 정보를 공개키 기반 구조(PKI)를 통해 전자서명 인증서(ROA)를 발급한다. BGP 경로 전파 권한을 검증해 잘못된 경로로 전파하려는 시도를 차단한다.
미국은 69.37%, 한국은 0.27%
전세계적으로 RPKI 도입 움직임은 활발하다. 지난해 11월 기준으로 미국의 RPKI 필터링 적용률은 69.37%로 가장 높고, 호주도 49.21% 수준이다. 일본과 중국도 각각 RPKI 도입률이 39.56%, 21.94%에 달한다. 반면 한국은 RPKI 적용률이 0.27%로 최하위 수준이다.
조 바이든 정부는 미국 대형 ISP에 RPKI 적용이 얼마나 진척됐는지 보고하도록 명령하고, 네덜란드 정부는 모든 정부망에 RPKI를 적용하기로 결정하는 등 국가 차원에서의 움직임도 활발하다. 그러나 국내 RPKI 적용은 아직 요원한 상황이다. RPKI를 적용하기 위해서는 서비스 중인 인터넷 서비스 인프라 구성을 바꿔야 하는데, 이 과정에서의 장애를 우려해 손쉽게 도입하기가 어렵다.
또한 한국인터넷진흥원이 검증기관으로서 테스트베드를 구축하고 검증하는 과정이 필요하다. 그러나 내년 예산안에도 RPKI 도입을 위한 예산은 '0원'이다. 한국인터넷진흥원은 테스트베드 구축을 위해 지난해부터 관련 예산이 필요하다는 목소리를 냈지만 받아들여지지 않았다.
박 단장은 "지금까지는 RPKI 없이도 문제 없이 인터넷 서비스를 이용했지만, 전 세계적으로 RPKI 도입이 늘어나는 상황에서 해외 네트워크와의 연결 문제가 발생할 수 있다"면서 "만일 미국 정부가 RPKI가 적용되지 않은 BGP는 차단하겠다고 하면 접속이 어려울 수 있다"고 말했다.
