백악관, 인터넷의 취약한 연결고리 BGP 보안 강화 필요성 제기

 

📰 뉴스 링크

https://www.theregister.com/2024/09/03/white_house_bgp_security/

White House publishes roadmap to secure internet routing

 

 

📍 뉴스 요약 [TL;DR]

• 백악관이 인터넷 라우팅 프로토콜인 BGP의 보안을 강화하기 위한 계획을 발표함
• BGP는 인터넷의 핵심 기술이지만 보안이 취약하여 경로 탈취 공격에 쉽게 노출될 수 있음
• 이를 해결하기 위해 RPKI와 같은 보안 기술을 도입해야 하지만, 미국 내 도입률은 낮은 상황임
• 이번 계획은 미국 공공 및 민간 부문에서 BGP 보안을 가속화하는 것을 목표로 하고 있음

 

📝 핵심 내용

백악관은 인터넷의 핵심 라우팅 프로토콜인 BGP(Border Gateway Protocol)의 보안을 강화하기 위한 로드맵을 발표했다.

BGP는 네트워크 간 트래픽 경로를 관리하는 중요한 역할을 하지만, 보안 측면을 고려해 설계되지 않아 현재 많은 보안 위협에 취약한 상태이다.

BGP의 주요 문제점은 경로 변경을 알리는 네트워크가 실제 권한이 있는지 확인하지 않으며, 메시지의 진위를 검증하거나, 경로 알림이 비즈니스 정책을 위반하는지 여부도 확인하지 않는다는 것이다.

이에 따라 과거에도 여러 차례 문제가 발생했는데, 2008년 파키스탄이 유튜브 트래픽을 방해한 사례나, 2022년 러시아가 우크라이나 침공 중 트위터 트래픽을 제한한 사건 등이 대표적이다.

이러한 경로 탈취는 개인정보 유출, 절도, 국가적 스파이 활동, 중요한 인프라 운영의 방해 등을 초래할 수 있다.

미국 국방부와 국토안보부는 2023년 6월 FCC에 서신을 보내 BGP 보안을 강화해야 한다고 요청했다.

이들은 중국 통신사인 China Telecom Americas가 2010년부터 2019년까지 여러 차례 미국 트래픽을 중국으로 우회시킨 사례를 언급했다. 이에 따라 FCC는 2021년 CTA의 면허를 취소했다.

BGP 보안을 강화하기 위해 현재 RPKI(Resource Public Key Infrastructure)라는 암호 인증 시스템이 있다.

이 시스템은 Route Origin Validation(ROV)과 Route Origin Authorization(ROA)을 포함하고 있지만, 완벽하지 않으며 전 세계적으로도 도입률이 낮다.

유럽에서는 약 70%의 BGP 경로가 ROA로 검증되고 있지만, 미국은 약 39%에 불과하다.

이는 미국의 인터넷 주소 공간이 크고 오래되었으며, 미국 정부가 민간 부문보다 RPKI 도입이 더딘 점 등이 그 원인이다.

백악관의 이번 로드맵은 미국 내 공공 및 민간 부문에서 RPKI 채택을 가속하는 것을 목표로 하고 있다.

FCC 의장 Jessica Rosenworcel은 이번 로드맵이 통신사들이 BGP 보안을 다루는 리스크 관리 계획을 마련하도록 요구하는 FCC 규정과 잘 맞아떨어진다고 평가했다.

 

🤔 나의 궁금증 해결하기

- 우리나라의 BGP 도입률은 어느정도 되는가?

우리나라의 BGP 도입률에 대한 정보를 찾을 수 없었다.

그러나, 한국인터넷진흥원(KISA)에서 RPKI를 지원하고 있는 것을 확인할 수 있었다. 이는 국내에서도 RPKI 사용 권장을 적극적으로 추진하고 있는 것을 알 수 있다.

https://xn--3e0bx5euxnjje69i70af08bea817g.xn--3e0b707e/jsp/resources/rpki.jsp

한국인터넷정보센터(KRNIC)

 

BGP의 취약성을 보완하기 위해 사용하는 RPKI의 ROV와 ROA가 유효하게 적용된 경로는 꾸준히 증가하고 있으나, 이 역시 인터넷 라우팅 보안 문제를 완전히 해결하지 못한다.

 

이를 통해 BGP의 보안 취약점을 보완하기 위한 기술의 도입이 지속적으로 증가하고 있음에도, 라우팅 보안을 위한 지속적인 개선과 발전에 대한 중요성이 강조됨을 알 수 있다.

 

 

 

---

생각 기록

Feedly에서 탐색하다 BGP라는 단어가 눈에 띄어 읽어보았는데, 취약함에도 아직 사용하고 있는 곳이 적지 않다는 것을 알 수 있었다.

BGP와 BGP의 취약성을 이용한 공격에 대해 조금 더 알아봐야겠다...