베네수엘라에서 발생한 BGP 이상 현상 분석

1 month ago 10

베네수엘라의 CANTV(AS8048) 네트워크에서 여러 차례 BGP 라우트 누출(route leak) 이 발생해, 일부 네트워크 경로가 비정상적으로 전파됨
Cloudflare Radar 데이터에 따르면 12월 이후 11건의 누출 이벤트가 확인되었으며, 이는 라우팅 정책 미비로 인한 기술적 오류 가능성이 높음
이번 사건은 AS8048이 상위 제공자 AS6762(Sparkle) 로부터 받은 경로를 다른 제공자 AS52320(V.tal GlobeNet) 에 재전송한 형태로, 전형적인 Type 1 헤어핀 누출 구조
RPKI 기반의 경로 원점 검증(ROV) 은 이번 사례에 효과가 없으며, ASPA(Autonomous System Provider Authorization) 와 RFC9234 같은 새로운 표준이 이러한 누출 방지에 필요함
BGP의 신뢰 기반 구조로 인해 이런 사고는 흔하며, ASPA·Peerlock·RFC9234 같은 기술의 도입이 안전한 인터넷 운영의 핵심임

BGP 라우트 누출의 개념

BGP(Route Gateway Protocol) 은 인터넷 상의 자율 시스템(AS) 간 경로를 교환하는 프로토콜
- 네트워크 간 관계는 고객-제공자(customer-provider) 또는 피어(peer-peer) 형태로 구성
라우트 누출(route leak) 은 RFC7908에서 “의도된 범위를 넘어선 라우팅 정보 전파”로 정의
- 예: 고객이 제공자에게 받은 경로를 다른 제공자에게 다시 전파하는 경우
이러한 누출은 valley-free routing 규칙 위반으로, 트래픽이 비정상적인 경로를 따라 이동하게 됨
- 결과적으로 네트워크 혼잡, 지연, 트래픽 손실 등의 문제가 발생

Cloudflare Radar는 AS8048(CANTV) 가 AS6762(Sparkle) 로부터 받은 경로를 AS52320(V.tal GlobeNet) 에 재전송한 사실을 확인
- 이는 명백한 라우트 누출 형태
누출된 경로의 원점은 AS21980(Dayco Telecom) 으로, AS8048의 고객 네트워크
- 두 AS 간 관계는 Cloudflare Radar와 bgp.tools 데이터에서 제공자-고객 관계로 확인됨
경로에는 AS8048이 다중 프리펜드(prepend) 되어 있었음
- 프리펜드는 경로를 덜 매력적으로 만들어 트래픽을 다른 경로로 유도하는 기법
- 따라서 의도적인 MITM(중간자 공격) 가능성은 낮음
누출은 2026년 1월 2일 15:30~17:45 UTC 사이 여러 차례 발생했으며, 네트워크 정책 오류나 수렴 문제로 인한 현상일 가능성
Cloudflare Radar 기록에 따르면 12월 이후 11건의 유사 누출이 반복되어, 지속적인 정책 미비로 판단됨

AS8048이 제공자 AS52320 에 대한 라우팅 export 정책을 느슨하게 설정했을 가능성
- 고객 BGP 커뮤니티 태그 대신 IRR 기반 프리픽스 리스트만 사용했을 경우, 잘못된 경로 재전송 발생 가능
이러한 정책 오류는 RFC9234의 Only-to-Customer(OTC) 속성을 통해 예방 가능
- OTC는 BGP 역할(고객·제공자·피어)을 명시적으로 정의하여 잘못된 경로 전파를 차단

Sparkle(AS6762) 은 RPKI Route Origin Validation(ROV) 을 완전하게 구현하지 않았으나,
- 이번 사건은 경로(path) 이상이므로 ROV로는 방지 불가
ASPA(Autonomous System Provider Authorization) 는 경로 기반 검증을 제공
- 각 AS가 승인된 상위 제공자 목록을 명시해, 비정상 경로를 자동 차단
- 예: AS6762가 “상위 제공자 없음”을 선언하면, 다른 네트워크가 AS6762를 포함한 잘못된 경로를 거부 가능
ASPA는 RPKI 기반으로 작동하며, 라우트 누출 방지에 직접적 효과를 가짐

BGP는 본질적으로 신뢰 기반 프로토콜이므로, 정책 오류나 실수로 인한 누출이 빈번
ASPA, RFC9234, Peerlock/Peerlock-lite 같은 기술을 병행 적용하면
- 경로 검증 강화
- 잘못된 경로 전파 차단
- 네트워크 안정성 향상
RIPE 는 이미 ASPA 객체 생성을 지원 중이며,
- 운영자들은 RFC9234 구현 요청을 네트워크 장비 벤더에 전달해야 함
이러한 협력적 표준 도입이 베네수엘라 사례와 같은 BGP 사고 예방의 핵심 수단임