이미 유해 사이트 차단과 관련하여 제법 큰 토론이 두번이나 있었고, 개인적으로도 토론에 참여하면서 너무 많은 시간을 뺏겨 과연 내가 글을 더 하나 쓸 필요가 있는 것인가 하는 고민을 많이 했습니다. 하지만, 대규모 개인정보를 다루는 서비스를 개발하는 업계 종사자 시각에선 많이 다뤄지지 않은 좀 더 추상적(?) 레벨의 관점이 있고, 제 판단으로는 이것이 이번 사태가 미치는 큰 파장 중 하나라 생각하여 이번이 마지막이라는 다짐으로 다시 한번 월급을 낭비하기로 손가락을 혹사시키기로 했습니다.

뜬금 없이 '신뢰'라는 좀 추상적인 개념을 제목에서 들먹였지만, 이 논점을 제대로 이해하기 위해서는 어느 정도의 기술적 이야기와 유해 사이트 차단의 역사를 짚고 넘어가야 합니다. So, bear with me, plz.

=====

이해를 돕기 위해 웹서핑을 배달음식점에 전화를 거는 것에 비유할까 합니다. (참고로 이 글의 목적은 이번 차단방법의 기술적 측면을 이해시키기 위한 것이 아니므로 약간 부정확한 비유들이 있습니다.)

기억력이 어마무시한 분들이나 한곳에서 자주 시켜드시는 분들은 전화번호를 외우시겠지만, 대부분의 사람들은 광고전단물, 앱이나 웹사이트 등을 사용해서 전화번호를 찾은 뒤에 전화를 걸겠죠. 좀 단순화시켜서 이 가상 국가 A에서는 모든 사람들이 전화번호부를 선호한다고 합시다.

(DNS 변조)

1. 어느 날 구청 위생과에서 가만 보니까... 아무래도 중국음식이 수상합니다. 배달되는 과정에 뭐가 상하는 건지 중국음식을 시켜먹는 사람들과 복통 간의 상관관계가 있다고 느껴지는 거예요. 그래서 이제 중국음식 배달을 금지시키려고 합니다. 가장 쉬운 방법은 전화번호부에서 중국집 번호를 다 바꿔버리는 겁니다. 중국집 대신 위생과 자동응답전화로 연결시켜서, "중국음식 배달 시켜 먹으면 이렇게 위험합니다, 여러분! 중국 음식은 가서 사드세요. 아니면 분식집에서 제육덮밥 시켜드시던가요."라는 메시지가 나오게 하는 거죠.

당연히 사람들은 분개합니다. "아니 내가 배가 아프든 말든 내가 책임질 껀데 왜 구청에서 난리냐!" "나에게 짬짜면 먹을 권리를 달라!" 하지만 곧 사설 전화번호부(네이버 검색 등)를 쓰면 된다는 걸 알게 됐고, 약간의 불편함을 감수하는 걸로 일단 넘어갔습니다.

(HTTP 헤더 분석)

2. 구청에서는 "어? 그래도 중국 음식 배달차가 많이 다니네? 뭐지?"하고 들여다보니 전화번호부 변조가 사실상 별 소용이 없더라 이겁니다. 고민 끝에 옆동네 정보보호 후진국 B에서나 쓴다는 강경책을 도입하기로 합니다. 전화국의 협조를 받아서 전화를 도청하는 겁니다. (다행히도(?) 이 가상국가 A에서는 전화 도청이 매우 빈번해서 신뢰도도 낮고, 다들 그냥 공개 대화한다고 생각하는 수준으로만 씁니다.)

그럼 전화 통화 내용을 사람이 다 듣고 판단하느냐? 그건 너무 심하잖아요. 생각해보니깐 사람들이 배달집에 전화할 때 공통적인 습관이 있더란 겁니다. 한국에서도 그렇지만 이 A국에서는 한 배달집이 여러 상호를 내걸고 다양한 메뉴를 제공하는 게 아주 흔한 일이예요. 심지어 아예 다른 음식들까지, 그러니깐 한 음식점에서 분식집도 하고 중국집도 하고 막 그래요. 그러다 보니 시켜먹는 사람들도 전화를 걸면 바로 첫마디로 "거기 만리장성이죠?", "거기 철수분식이죠?" 하고 물어보는 게 습관입니다. 이걸 이용해서 첫 한마디에서 중국집 이름을 잡아내는 기계를 만들어서 전화국에 설치했습니다. 중국집 이름을 말하는 순간 바로 구청 위생과 자동응답기로 강제 착신전환시켜버리는 거죠.

전화번호부 바꾸는 것보다 좀 많이 쎄죠? 이쯤 되니 구민들 분위기가 아주 흉흉해집니다. "아니 지금 내 전화를 엿듣는 거야?"

하지만, 앞서 말씀드렸듯이 A국에서는 전화가 워낙 보안 신뢰도가 낮은 통신 수단이라 아무도 중요한 얘기는 전화로 하질 않기 때문에 그래도 크게 소란이 발생하진 않았습니다. 게다가 알고보니 배달집들이 암호화가 아주 잘 돼있다는 '마모톡' 앱으로도 주문을 받고 있더란 거예요. 에이씨, 귀찮아도 이제부터 음식 주문은 다 마모톡으로 해야겠다 하고 넘어갑니다. 애초에 전화가 워낙 보안도가 낮아서 마침 다들 마모톡을 주 통신수단으로 쓰기 시작하던 차였기도 했구요.

(HTTPS/SNI 필드 분석 - 이번 사건)

3.  구청 직원은 또 고민을 합니다. "아이씨~ 어쩌지?" 하지만 짤리란 법은 없어요. 정보보호 후진국 B에서도 비슷한 고민을 했고, 이에 대한 해결책도 만들어놨더라는 겁니다. 알고 보니 마모톡도 대화를 시작하기 직전에 딱 한번은 암호화되지 않은 데이터로 누구랑 대화를 하려는 건지 보내는 단계가 있는 거예요. 구청 생각에는 "어? 이거 뭐 전화 막는 거랑 도찐개찐이네. 이거 보고 막으면 되겠다!"하고 통신사 협조를 받아서 2와 비슷한 기능을 마모톡에도 구현을 해버렸습니다.

그런데 구민들의 반응이 좀 다릅니다. 전화 통화는 그냥 공개 정보나 다름 없겠다 포기하고 쓰던 통신 수단이었으니깐 넘어갔죠. 이번에는 달라요. 안전하다는 믿음을 갖고 쓰던 마모톡인데, 그것도 정보를 보호해줘야 할 구청이랑 통신사가 직접 발벗고 나서서 내 정보를 빼가다니요? 이건 워낙 안전하다고 해서 금융 거래에도 쓰고, 구청장 선거 유세 지원할 때에도 쓰고, 숨겨둔 애인한테 연락할 때에도 쓰는 거거든요. 이건 전화 엿듣는 거랑은 차원이 다른 얘기예요.

=====

구청에서는 당황합니다. "아니 구민 여러분, 우리가 뭐 해킹을 하는 것도 아니구요. 그냥 암호화 안 된 내용, 딱 수신자 이름만 보고 착신 전환만 시키는 거예요. 전이랑 다른 것도 없구요. 이게 다 여러분의 건강을 위한 일이라구요. ㅠㅠ"... "게다가 여러분이 대화하는 내용은 하나도 못 봐요. 감사과에 전화를 해도 여러분이 감사과 친구랑 점심 먹을려고 하는 건지 구청장 비리를 고발하려고 하는 건지 우리는 알 수가 없어요. 걱정마세요!"

하지만 이런 설명에도 사람들의 분노는 줄어들 줄을 모릅니다. 왜일까요?

현대 사회에서 개인 정보, 보안은 가장 귀중한 개념 중 하나입니다. 그래서 수많은 기법과 장치들이 개발되고 있죠. 하지만 잘 생각해보면 어떤 통신 수단, 저장 수단이라도 어느 정도의 "사회적 신뢰"를 바닥에 깔고 들어가야 합니다. 예를 들어보죠. gmail을 메인으로 쓰는 유저들은 구글을 믿고 온갖 다양한 정보를 송수신합니다. 심지어 구글에서는 대놓고 내 메일의 내용을 기반으로 tailor된 광고까지 하는데요. 어째서일까요? 구글이라는 회사의 integrity를 신뢰하는 거죠. 프로그램이 단어나 문구들을 스캔해서 광고 선택 알고리즘을 돌릴지언정, 내 메일의 내용을 분석해서 누군가에게 알리거나 구글 내부 직원들이 들여다 보지는 않을 거라는 믿음이 있는 겁니다.

비슷한 예로, 그리고 이번 건과 상당히 유사한 카테고리의 정보로 전화 송수신목록이 있습니다. 버라이즌, 티모바일 같은 통신사들의 서버 어딘가에는 내 통화목록이 다 저장돼 있습니다. 하지만 대부분의 사람들은 내 통화목록이 불법적으로 유출되거나 내부 사용될지 걱정하지 않습니다. 통신사를 신뢰하는 거죠.

이런 신뢰가 깨지면 어떻게 될까요? 화웨이 논란을 보시면 됩니다. 한번 백도어 논란이 있었던 뒤로는 정부 직원들 대상으로 사용 금지를 하느니, 5G 장비 수입 금지를 하느니 아주 떠들썩하죠. 아무리 잘 설계된 시스템이라도 그 시스템을 실제로 구현하는 참여자들을 믿지 못 하면 보안성은 바닥으로 떨어지는 거거든요.

이번에 대한민국 커뮤니티들 기초 소양 컨셉이 되어버린 SNI 말고 적어도 통신 내용 만큼은 100% 안전할 거라고 믿는 HTTPS 통신도 사실은 핵심 참여자들에 대한 신뢰 없이는 그 보안도가 유지되지 않습니다. 시만텍(한국 인뱅에서 VeriSign이란 상표 익숙하시죠? 거기입니다)의 한국쪽 대행 회사에서 대충 일처리하다가 구글한테 딱 걸려서 시만텍의 보안 인증서 사업이 싹 날라가 버린 건 유명한 일화죠.

이런 관점에서 볼 때 이번 사건은 정말 너무나도 부끄러운 사건입니다. 보안 문제에 대해 가장 민감하고 사용자 보호에 앞장서야 할 주체 둘(통신사, 정부)이 오히려 "야, 우리가 손쉽게 볼 수 있는 정보들 조합하면 유해 사이트 차단은 누워서 떡먹기인데?"하면서 사용자들의 신뢰를 깨버렸으니까요. Just because you can doesn't mean you should. IT선진국이란 자칭;; 별명이 참으로 민망해지죠.

정부는 "아니, 우리는 누가 어느 사이트를 접속하는지 저장하는 것도 아니고, 정말 유해사이트만 자동으로 골라서 답변하는 게 끝이라구요."라고 항변하지만 보안 시스템에 있어서 신뢰는 모 아니면 도(0 or 1)입니다. 일단 정부와 통신사가 사용자의 HTTPS 트래픽 경로를 다 관찰할 수 있는 시스템을 도입한 순간 모든 신뢰는 사라지는 겁니다. 정부는 딱 유해 사이트 차단만 한다고 하지만 그걸 어떻게 믿을 수 있을까요? 근거는 (이미 신뢰가 떨어진) 정부의 말 뿐인데요. 구글에선 gmail 내용을 광고 타게팅 로직만 볼 수 있다고 알고 있었는데, 어느 날 갑자기 다른 용도로 쓰고 있는 흔적이 발견된다면 gmail 유저들이 과연 구글의 말을 신뢰할 수 있을까요?

보안에 있어서 신뢰가 이렇게 소중한 겁니다. 한번 망치면 되돌리기가 힘들어요. SNI 감청이 기존의 HTTP 패킷 헤더 감청에 비해 컨셉적으로 크게 다르지 않다고 하더라도 보안과 신뢰라는 관점에서는 차원이 다른 행위인데, 이걸 정부가 자기네들이 뭘 잘못 했는지 모르고 있는 걸 보면... 음...  기본적으로 A국 구청 위생과직원들은 인터넷과 정보 보안의 개념을 잘 모르고 있는 것 같습니다.