💻 computer science

Understanding the Stealthy BGP Hijacking Risk in the ROV Era

이 논문은 피해자가 부분적인 경로 기원 검증(ROV) 배포로 인해 악성 경로를 탐지하지 못하게 되는 위협인 스텔스형 BGP 하이재킹의 개념을 소개하고, 실제 사건에 대한 첫 번째 실증적 연구와 표적 공격에 대해 최대 99.5%의 성공 확률로 상당한 글로벌 위험을 드러내는 고효율 프레임워크인 SHAMAN의 개발을 통해 이를 다룬다.

원저자: Yihao Chen, Qi Li, Ke Xu, Zhuotao Liu, Jianping Wu

게시일 2026-06-23

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Yihao Chen, Qi Li, Ke Xu, Zhuotao Liu, Jianping Wu

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

개요: 인터넷의 주소록

인터넷이 거대한 글로벌 우편 시스템이라고 상상해 보세요. 모든 컴퓨터와 서버는 주소(IP 프리픽스)를 가지고 있고, 모든 우체국(자율 시스템 또는 AS)은 우편물을 배달하는 규칙을 가지고 있습니다. 이 규칙들을 서로 동기화하는 프로토콜이 바로 BGP입니다.

문제는 무엇일까요? 기존의 규칙에는 커다란 보안 결함이 있습니다. 누구나 우체국에 걸어 들어와서 "이봐, 이 주소는 내 거야! 이 동네로 오는 모든 우편물을 나에게 보내!"라고 말할 수 있다는 점입니다. 만약 다른 우체국들이 그 말을 믿는다면, 모든 트래픽이 그곳으로 향하게 됩니다. 이것을 **BGP 하이재킹(BGP Hijacking)**이라고 부릅니다. 보통 이런 경우 우편물이 즉시 분실되거나 잘못된 곳으로 가기 때문에 금방 눈에 띕니다.

새로운 "보안 요원": ROV

이를 해결하기 위해 인터넷 커뮤니티는 RPKI와 ROV(경로 기원 검증)라는 보안 요원 시스템을 도입했습니다.

비유: "검증된 소유자" 명단이 있다고 상상해 보세요. 어떤 우체국이 새로운 배달 지침을 받기 전에, 이 명단을 확인합니다. 만약 지침에는 "내가 주인이다"라고 되어 있는데, 명단에는 "아니, 당신은 주인이 아니다"라고 되어 있다면, 우체국은 그 가짜 지침을 거부합니다.

함정: 모든 우체국이 아직 이 보안 요원을 고용한 것은 아닙니다. 이 논문이 작성될 당시, 전 세계 우체국의 약 10%만이 ROV를 사용하고 있었습니다. 나머지는 여전히 보안이 취약한 기존의 규칙을 사용하고 있습니다.

"스텔스형" 함정: 보이지 않는 하이재킹

이 부분이 이 논문의 핵심 발견입니다. 저자들은 보안 요원이 일부 존재한다는 사실이 오히려 **스텔스형 BGP 하이재킹(Stealthy BGP Hijacking)**이라는 새로운 종류의 보이지 않는 하이재킹을 만들어낸다는 것을 발견했습니다.

보이지 않는 도둑의 비유:

피해자 (AS A): 보안 요원(ROV)을 고용한 우체국.
대상 (AS E): 특정 주소를 소유한 정당한 기업.
도둑 (AS G): 대상의 트래픽을 훔치려는 범죄자.
중간 관리자 (AS C): 보안 요원을 고용하지 않은 우체국.

이론적인 절도 과정은 다음과 같습니다:

도둑이 피해자에게 "내가 대상의 주소를 소유하고 있다!"라고 말하려고 시도합니다.
피해자의 보안 요원(ROV)은 명단을 확인하고, 도둑이 가짜임을 인지한 뒤 그 메시지를 차단합니다. 피해자는 도둑의 존재조차 알지 못합니다.
하지만 도둑은 중간 관리자(AS C)에게는 이 사실을 전달합니다. 중간 관리자는 보안 요원이 없으므로 도둑의 말을 믿습니다.
피해자가 대상을 향해 우편물을 보냅니다. 우편물은 중간 관리자를 거쳐 이동합니다.
도둑의 말을 믿게 된 중간 관리자는 우편물을 도둑의 집으로 돌립니다.
결과: 피해자는 "나는 대상을 향해 우편물을 보내고 있다"라고 생각하지만, 실제 우편물은 도둑에게 탈취됩니다. 피해자의 보안 요원이 도둑의 '발표(announcement)'를 차단했기 때문에, 피해자는 자신이 도둑맞고 있다는 사실을 전혀 모릅니다. 이것이 바로 "조용한" 절도입니다.

연구진이 수행한 작업

Yihao Chen과 동료들이 이끄는 저자들은 이 문제가 얼마나 심각한지 이해하고자 했습니다. 피해자들이 자신이 도둑맞고 있다는 사실조차 모르기 때문에, 단순히 사람들이 신고하기를 기다릴 수는 없었습니다.

탐정 작업 (실증적 연구): 그들은 다양한 관점에서 인터넷의 "우편 로그"(라우팅 테이블)를 스캔하는 시스템을 구축했습니다. 그들은 다음과 같은 불일치를 찾아냈습니다: "대상으로 가는 경로가 보이는데, 도둑에 대한 경로는 보이지 않는다. 그런데 대상까지의 경로가 도둑과 연결될 수 있는 누군가를 거쳐 가고 있다."
- 그들은 이 현상이 발생하는 318건의 고신뢰 실제 사례를 발견했습니다.
- 이러한 공격은 종종 짧게 끝나지만 거의 매일 발생한다는 것을 발견했습니다.
슈퍼 컴퓨터 (SHAMAN 프레임워크): 전체적인 위험을 파악하기 위해, 그들은 인터넷 전체를 시뮬레이션해야 했습니다. 기존 방식은 전 세계의 경로를 계산하는 데 수개월이 걸릴 정도로 너무 느렸습니다.
- 그들은 SHAMAN(보이지 않는 위험을 헤쳐 나가는 안내자라는 뜻)이라 불리는 도구를 만들었습니다.
- 마법 같은 기술: 모든 우체국을 하나씩 시뮬레이션하는 대신, 수학적 "행렬(matrix)" 접근 방식(거대한 스프레드시트와 같은 방식)을 사용하여 모든 가능한 경로를 한 번에 계산했습니다.
- 속도 향상: 이들은 인터넷의 모든 경로를 매핑하는 시간을 3개월 이상에서 단 5.22시간으로 단축했습니다.

충격적인 발견

이 빠른 도구를 사용하여 그들은 83억 개의 가능한 경로를 분석했습니다. 결과는 다음과 같습니다.

성공률: 보안 요원이 배치되어 있음에도 불구하고, 무작위적인 "스텔스형" 하이재킹 시도가 **성공할 확률은 14.1%**에 달합니다.
표적 공격의 위험성: 만약 도둑이 특정 피해자와 특정 경로를 표적으로 삼는다면, 성공률은 **99.5%**까지 치솟습니다. 이는 거의 확실한 절도나 다름없습니다.
양날의 검: ROV는 명백한 하이재킹(도둑이 경로를 발표하여 모두가 알게 되는 경우)을 막는 데는 훌전합니다. 하지만 도둑을 피해자로부터 숨겨버림으로써, 역설적으로 스텔스형 하이재킹을 훨씬 더 용이하게 만듭니다.
"핵심적인 소수": 위험은 균등하게 퍼져 있지 않습니다. 단 **2.9%**의 "중간 관리자" 우체국들이 모든 스텔스형 절도의 **80%**를 책임지고 있습니다. 이 소수의 지점만 해결하면 대부분의 문제를 해결할 수 있습니다.
미래: 더 많은 우체국이 보안 요원을 고용함에 따라 위험은 한동안 높아지겠지만, 결국 모두가 보안 요원을 갖게 된다면 위험은 다시 0으로 떨어질 것입니다. 우리는 현재 "위험이 상승하는" 단계에 있습니다.

요약

이 논문은 역설적인 사실을 밝혀냅니다: 부분적인 보안은 새로운 종류의 불가시성을 만들어냅니다. 일부 사람들에게는 나쁜 발표를 차단하면서 다른 이들에게는 그렇지 않음으로써, 인터넷은 소유자가 자신도 모르는 사이에 트래픽을 탈취당할 수 있는 사각지대를 만들어냈습니다. 저자들은 이 위험을 지도화하기 위해 빠르고 수학적인 도구를 구축했으며, 비록 현재는 위험이 상당하지만 특정 핵심 위치에 집중되어 있어 해결을 위한 명확한 경로가 있음을 보여주었습니다.

기술 요약: ROV 시대의 은밀한 BGP 하이재킹 위험 이해

1. 문제 정의

경계 경로 프로토콜(BGP)은 악의적인 자율 시스템(AS)이 IP 프리픽스를 허위로 발표하여 트래픽을 가로채는 하이재킹에 취 \text{취약합니다}. 이를 완화하기 위해 커뮤니티는 리소스 공개 키 인프라(RPKI)를 사용하는 경로 기원 검증(ROV)을 배포해 왔습니다. ROV가 활성화된 AS는 경로 기원 인증(ROA)을 기준으로 BGP 발표를 검증하고 유효하지 않은 경로를 폐기합니다.

그러나 현재 ROV 배포는 부분적이고 불완க்கவும்(incomplete)합니다. 본 논문은 이러한 부분적 배포에서 발생하는 예상치 못한 보안 위협, 즉 **은밀한 BGP 하이재킹(Stealthy BGP Hijacking)**을 식별합니다.

메커니즘: 부분적인 ROV 환경에서, ROV로 보호받는 피해자 AS는 인접한 ROV 활성화 AS가 악의적인 경로 발표를 필터링하기 때문에 해당 경로를 수신하지 못할 수 있습니다. 결과적으로 피해자의 라우팅 테이블에는 하이재커에 대한 경로가 존재하지 않게 되어, 공격이 제어 평면(control plane) 상에서 보이지 않게 됩니다.
실제 상황: 피해자의 라우팅 테이블이 깨끗해 보임에도 불구하고, 대상(target)으로 향하는 트래픽은 데이터 경로를 따라 "레거시"(비-ROV) AS를 통과할 수 있습니다. 만약 이 레거시 AS가 (정책 선호도나 서브 프리픽스 발표 등의 이유로) 악의적인 경로를 수용한다면, 피해자의 트래픽을 하이재커에게로 우회시킵니다.
격차(Gap): 이러한 형태의 하이재킹은 피해자가 악의적인 경로를 인지하지 못하므로 "은밀하게" 진행되며, 이로 인해 표준 제어 평면 방어 체계가 무력화됩니다. 본 연구 이전에는 이러한 현상을 입증하는 실제 사례, 체계적인 특성 분석, 또는 이 위험의 규모를 평가할 수 있는 도구가 없었습니다.

2. 방법론

저자들은 실세계 사례를 발견하기 위한 경험적 연구와 글로벌 위험을 평가하기 위한 분석적 프레임워크라는 두 가지 접근 방方を 사용합니다.

A. 경험적 발견 (휴리스틱)

실제 환경에서의 은밀한 하이재킹을 식별하기 위해, 저자들은 여러 관측 지점(RouteViews 컬렉터)에서 관찰된 라우팅 테이블 불일치를 기반으로 위험을 공식화하고 휴리스틱을 개발했습니다.

공식 정의: 피해자-대상-하이재커 3-튜플 $(u, v, w)$ $(u, v, w)$ 는 다음 조건을 만족할 때 은밀한 하이재킹 사례로 간주됩니다:
1. 피해자 $u$ 는 대상 $v$ 에 대한 유효한 경로를 가짐.
2. 피해자 $u$ 는 (ROV 필터링으로 인해) 하이재커 $w$ 에 대한 경로를 가짐이 없음.
3. $u$ 에서 $v$ 로 가는 경로상의 중간 AS $a_i$ 는 $w$ 에 대한 경로를 가지고 있으며 트래픽을 $w$ 로 전달함.
휴리스틱: 저자들은 RPKI 유효성, IRR 충돌 및 WHOIS 불일치를 교차 참조하여 이러한 사례를 탐지하는 "느슨한(loose)" 및 "엄격한(strict)" 휴리스틱을 제안했습니다.
데이터 수집: 2025년 1월부터 2월까지의 일일 RIB 스냅샷을 분석하여 1,393개의 잠재적 사건을 포착했습니다. 중복 제거 및 광범위한 지식 베이스(RPKI, IRR, WHOIS)를 통한 검증을 거쳐, 318개의 고신뢰 실세계 사건(2,178개 경로)을 선별했습니다.

B. 분석적 프레임워크 (SHAMAN)

관찰을 넘어 인터넷 전역의 위험을 결정론적으로 평가하기 위해, 저자들은 BGP 경로 추론 프레임워크인 SHAMAN을 개발했습니다.

입력 통합: SHAMAN은 세 가지 소스(APNIC, RoVista, Cloudflare)로부터 ROV 배포 데이터를 집계하여 어떤 AS가 ROV를 활성화했는지에 대한 정확한 뷰를 구축합니다.
토폴로지 압축: 인터넷 토폴로지를 재구성하고 업스트림으로부터 유도 가능한 싱글 홈드(single-homed) AS를 제거함으로써 정점(vertex) 수를 약 36% 줄입니다.
행렬 기반 경로 추론:
- 전통적인 시뮬레이션 대신, SHAMAN은 경로 우선순위(Local Preference 및 Path Length 인코딩)를 위한 독특한 1바이트 인코딩 방식을 사용하는 행렬 기반 접근 방식을 사용합니다.
- "양호한 도달 가능성"(정상 경로)과 "악의적 도달 가능성"(ROV가 전파를 차단하는 경로) 모두에 대해 완전한 AS 레벨 경로를 추론하기 위해 반복적인 행렬 업데이트를 수행합니다.
- 이 방식은 인터넷 규모의 경로 생성 시간을 기존 기술(BGPsim 등)의 3개월 이상에서 5.22시간으로 단축합니다.
위험 평가: 추론된 경로를 사용하여 모든 "피해자-대상-하이재커" 튜플을 전수 조사함으로써, 현재의 ROV 배포 수준 하에서의 은밀한 하이재킹 성공 확률을 계산합니다.

3. 주요 기여

공식화 및 휴리스틱: 은밀한 BGP 하이재킹에 대한 최초의 공식 정의를 제시하고, 라우팅 테이블 불일치를 통해 이를 탐지하기 위한 휴리스틱을 도출했습니다.
최초의 경험적 연구: 은밀한 하이재킹을 실세계에서 추적한 최초의 연구로, 318개의 고신뢰 데이터셋과 장기 모니터링 서비스를 구축했습니다.
SHAMAN 프레임워크: 다중 소스 ROV 데이터를 통합하고 행렬 연산을 활용하여 효율적인 인터넷 규모 경로 추론을 수행하는 새로운 고성능 위험 평가 프레임워크를 선보였습니다.
포괄적 위험 분석: 83억 개의 생성된 경로를 대상으로 은밀한 하이재킹 위험을 전수 조사하여 유병률, 분포 및 토폴로지 동인에 대한 통계적 통찰을 제공했습니다.

4. 주요 결과

성공 확률: 현재의 부분적 ROV 배포 하에서 은밀한 BGP 하이재킹의 전체 성공 확률은 **14.1%**입니다. 반면, ROV가 없다면 이 위험은 0%입니다 (직접적이고 가시적인 공격이 되기 때문).
표적 공격: 평균 위험은 14.1%이지만, 표적 공격(특정 피해자-대상-하이재커 쌍)의 경우 성공 확률이 최대 **99.5%**에 달할 수 있습니다.
양날의 검: 부분적 ROV 배포는 직접적인 하이재킹 위험을 성공적으로 감소시키지만(서브 프리픽스 직접 하이재킹이 ~100%에서 ~42%로 감소), 동시에 은밀한 하이재킹 위험을 도입하고 증폭시킵니다.
위험 집중도:
- 소수의 핵심(Vital Few): 극소수의 AS가 대부분의 위험을 주도합니다. 구체적으로, **2.94%**의 위험 핵심 AS(8,323개 중 245개)와 **2.24%**의 ROV 활성화 AS(1,608개 중 36개)가 모든 은밀한 하이재킹 사례의 **80%**를 차지합니다.
- 지리적 분포: 잠재적 하이재커는 유럽, 남미, 북미에 집중되어 있습니다. 피해자는 주로 북미에, 대상은 남미와 남아시아에 집중되어 있습니다.
진화 패턴: 위험은 "상승 후 하락" 패턴을 따릅니다. ROV 도입이 0%에서 증가함에 따라 은밀한 위험은 상승하며(현재 수준에서 정점), 저자들의 시뮬레이션에 따르면 ROV 도입이 **40%**를 초과하면 위험이 급격히 감소하기 시작하여 거의 보편적인 도입 단계에서는 0에 수렴합니다.
프레임워크 정확도: 실세계 데이터셋에 대한 검증 결과, SHAMAN은 최대 95.9%의 사건 레벨 정확도를 달ей했습니다.
성능: SHAMAN은 기존 방식(BGPsim)보다 500배 빠른 속도를 달성하여, 77,600개의 AS에 대한 경로를 5.22시간 만에 생성합니다.

5. 의의 및 주장

본 논문은 RPKI/ROV로의 전환 과정에서 발생하는 이전에 탐구되지 않은 공격 벡터를 노출함으로써 BGP 보안 연구의 중요한 공백을 메운다고 주장합니다.

의도치 않은 결과: 본 연구는 부분적인 보안 배포가 어떻게 새로운, 보이지 않는 공격 표면을 생성할 수 있는지 강조합니다. "은밀함"은 ROV 자체의 결함이 아니라 현재 생태계의 혼합된 상태에서 비롯된 부산물입니다.
실행 가능한 통찰: 극소수의 AS(the "vital few")가 대다수의 위험을 차지한다는 점을 밝힘으로써, 집중적인 완화 전략의 필요성을 주장합니다. 이 특정 핵심 AS들에 고급 대응책(예: 선제적 재라우팅을 포함한 ROV++)을 배포함으로써 대부분의 위협을 효과적으로 무력화할 수 있습니다.
방법론적 진보: SHAMAN의 도입은 행렬 기반 추론을 통해 인터넷 규모의 결정론적 위험 평가가 가능하다는 것을 입증하며, 제한된 샘플링이나 느린 시뮬레이션을 넘어섰음을 보여줍니다.

저자들은 ROV가 필수적이지만, 현재의 부분적 배포 단계는 고조된 은밀한 취약성 기간임을 결론짓습니다. 그들은 ROV 도입이 자연스럽게 붕괴되는 임계점에 도달할 때까지 지속적인 모니터링과 식별된 고위험 AS에 대한 타겟 완화를 권고합니다.