RPKI가 전 세계 라우트의 70%를 보호한다 — 1년에 16%p, 대부분 중국

IPinfo가 자사 일별 라우팅·RPKI 데이터와 RIPE RIS, RouteViews의 BGP 피어 데이터로 측정한 결과입니다. 기준일은 2026년 9월 28일입니다.

70%의 뜻

• 라우트 수 기준입니다. 주소 수 기준이 아닙니다.
• "RPKI-valid" — ROA가 있다는 게 아니라, 광고된 경로가 검증된 ROA 집합과 일치한다는 뜻입니다.
• 전체 70.3%. IPv4 68%, IPv6 79%.

추세

지표	수치
전체 라우트 RPKI-valid	54.0% → 70.3% (1년, +16.4%p)
그 이전 두 해 상승폭	+3.9%p, +3.2%p
IPv4 주소 기준 전 세계	42.7%(2023) → 47.9% → 53.1% → 65.0%(2026)
중국 IPv4 주소 기준	3.7%(2025) → 83.0%(2026)
중국 제외 IPv4 주소 기준	58.0% → 63.2%
ASPA 등록 네트워크	131곳 → 3,272곳

올해 급등은 중국이 2026년에 몰아서 ROA를 만든 결과입니다. 중국을 빼면 5%p 상승입니다. 이집트(23→99%), 카자흐스탄(16→84%), 멕시코(37→78%)도 크게 올랐고, 모리셔스는 94→69%로 떨어졌습니다. 보호되지 않는 주소의 약 60%가 미국에 있고, 그중 1/4은 미 국방부 소유입니다.

남은 문제

• 30%는 여전히 비보호.
• 느슨한 maxLength. ROA에 maxLength를 넓게 잡으면 공격자가 그 범위 안의 더 구체적인 프리픽스를 위조 출발지로 광고할 수 있습니다. IPv4 적용 라우트의 16.2%, IPv6 20.9%가 해당합니다. 2026년 8월 28일 Hetzner 사례가 이것이었습니다.
• 경로는 검증 안 함. RPKI(ROV)는 출발 AS만 봅니다. 중간 경로 위조는 ASPA가 맡는데, 관측 라우팅의 9.7%가 ASPA를 통과했지만 실제 게시된 레코드로 검증되는 건 **3.5%**뿐입니다.
• ROA 소실. SEACOM, Saudi Telecom, Orange Maroc가 ROA를 잃었다가 일부만 복구됐습니다. 저장소 이동 후 인증서 링크가 끊기면 실패로 집계되는 측정 함정도 있습니다.

글에 없는 것

한국 수치가 없습니다. 전체 70.3%의 정확한 산출식, 국가별로 실제 invalid 경로를 드롭하는지(ROV 적용) 여부도 없습니다. 발행일도 "11일 전"으로만 표시됩니다.

실무에서 할 일

자기 ASN이 있다면 두 가지만 확인하세요. 하나, 광고하는 모든 프리픽스에 ROA가 있는가 — APNIC(MyAPNIC)이나 KRNIC을 통해 봅니다. 둘, 그 ROA의 maxLength가 실제 광고 길이와 같은가 — /16을 광고하면서 maxLength 24를 줬다면 Hetzner와 같은 상태입니다. 프리픽스 하나에 ROA 하나, maxLength는 광고 길이와 동일. 그게 권장입니다. ASN이 없고 클라우드만 쓴다면 할 일이 없습니다 — 클라우드 사업자는 이미 다 했습니다.