[지디넷코리아]지난 몇 년 동안은 승산이 없는 전쟁처럼 보였다. 하지만 SPF를 개발한 멩 웽 웡과 같은 사람들의 노력으로 탄생한 새로운 기술이 날로 늘어가는 스팸과 피싱 공격을 멈출 수 있는 하나의 해결책이 될 수 있을 것이다.

SPF(Sender Policy Framework)는 이메일에서 송신자 위조 방지 기술로 가장 널리 사용되고 있다. 포박스닷컴(Pobox.com)의 CTO이자 설립자이며 이 기술을 개발한 멩웽웡에 따르면 스팸과의 전쟁은 두더지 잡기 게임과 같다. 그는 “스팸 방지 규칙이 만들어지면 누군가는 재빨리 그걸 우회하는 방법을 찾아낸다”라고 말했다. 하지만 터널의 끝엔 빛이 있기 마련이다.

6월 2, 3일 개최될 예정인 인박스 이메일(INBOX Email) 행사에서 패널로 참여하는 멩은 무죄가 입증될 때까지 유죄로 간주하는 방식을 적용하는 게 답이라고 말한다. “모든 메시지를 받아들이는 대신 ‘선의의 인물’이 보낸 메일만 받아들일 필요가 있다”라고 그는 강조했다.

멩은 인터넷의 공개성을 고려할 때 받아들이기 어려운 논리라는 점도 인정했지만 이메일 열개 중 여덟 개가 스팸이라는 것과 같은 통계적인 수치를 이용하면 뭔가 방법이 도출될 것이라고 말했다. 그는 “받아들일만한 이유가 없는 한 일단은 이메일을 거부한다는 기술적 지향점이 이치에 맞다”라고 그는 덧붙였다.

그러나 이같은 멩의 주장에도 약점은 있다. 멩의 방법에서는 실제로는 거짓이지만 검사에서 참으로 판단하는 경우를 지칭하는 말로 여기서는 스팸이지만 스팸이 아닌 것으로 판단하는, 이른바 ‘가긍정적 판단(false positives)’ 문제와 SPF를 사용하려면 포워딩 MTA가 송신자 주소를 다시 기입해 넣어야 하는 포워딩 문제가 발생할 수 있다.

멩은 이런 약점을 알고 있다며 “인증 기술은 아직 100% 완벽한 상태가 아니다. 하지만 이미 널리 사용되고 있다”라는 말로 현 상황을 설명했다. 사용되고 있다는 말은 인증 기술이 광범위하게 적용된 사례가 있다는 의미다.

이런 사례로는 SPF를 비롯해 MS가 자사 콜러ID와 SPF를 합쳐 만들어낸 새 인증 명세인 센더ID, 야후의 도메인키를 들 수 있다. 이들은 모두 이메일 제공업체에게 이메일 송신자들의 도메인과 송신된 메시지의 무결성을 모두 검증하는 메커니즘을 제공한다.

이상적인 인증 기술은 아래 언급할 세 가지 특색을 모두 갖추고 있어야 한다.

• 인증성
  
  
• 평판성
  
  
• 신임성

1. 인증성
인증 시스템은 어떤 도메인에서 규칙에 맞는 메일을 송신하는 서버나 이메일 주소를 판단할 때 도메인 소유자가 제공하는 정보에 의존한다. 그리고 메시지가 도착하면 규칙에 맞는 주소와 도메인의 상관관계 목록을 검사하며 송신자 주소가 목록에 담겨있는, 도메인과 관련된 주소와 일치하면 인증에 통과할 것이며 목록에 없다면 인증은 실패할 것이다.

멩에 따르면 인증의 목적은 두 가지다. “첫째, 인증은 악의를 가진 사람이 선의를 가진 사람인 체 하지 못하도록 막으며 둘째, 선의를 가진 사람이 그들이 누구이고 누구에게 이메일을 보내는지 확실히 말할 수 있도록 한다”라고 그는 설명했다.

2. 평판성
인증성에서 발생할 수 있는 문제는 스패머들이 자기 자신을 인증할 수 있다는 점이다. 예를 들어 이들은 SPF 기록을 하나 만들어내 사용할 수도 있다.

여기에 대해 멩은 “그래도 문제는 없다”라며 “기대했던 바다. 현 상황은 마치 체스 게임 같다. 지금은 우리가 상대방보다 한 발 앞서 있는 상태다”라고 평했다.

평판을 매기는 단계는 누군가 인증을 받은 후 이뤄진다. 송신자가 알려진 스패머인지, 알려진 규칙에 맞는 송신자인지, 합법적인지 판단할 수 없는 송신자인지 가려내는 게 바로 평판을 매기는 것이다. 멩은 “스팸을 보내지 않는 aol.com과 스팸을 보내는 amazingoffer326.com을 구별해낼 수 있을 것이다. 기본적으로 ‘평판이 안좋음’이라고 간주한다면 블랙리스트에 추가해놓으면 된다. 그게 바로 악인과 선인을 구별하는 능력이다”라고 설명했다.

3. 신임성
그러면 평판이 어떤지 모를 경우는 어떨까? 다른 말로 하면, 여러분이 처음 온 사람이고 아무도 당신이 선한 사람인지 악한 사람인지 알지 못한다면 어떻게 되겠는가. 신임성은 기본적으로 “당신이 선한 사람이라면 여러분과 스패머를 구분하기 위해 뭔가 행동을 취해야 한다”라는 점을 말해준다.

이런 신임성을 제공하는 업체들로는 본디드센더닷컴(BondedSender.com) 등이 있다. 이들은 복잡한 평판 분석을 통해 송신자의 평판을 보장해주며 유료인 경우도 있다.

4. 다음 단계는?
멩은 이젠 IT 관리자들이 인증 기술 도입에 대해 생각할 때가 됐다고 말한다. 그는 “SPF나 센더ID에 대해 생각해 볼 필요가 있다. 이 기술들은 경량급이고 구현하기 쉬우며 추가적인 장비가 필요한 것도 아니다. 또한 도메인키도 생각해 볼 만 하다. 작업이 좀 필요하지만 메일에 서명을 추가할 수 있기 때문에 고려할 만한 가치가 있다”라고 전했다.

멩은 요모조모 따져볼 것을 추천한다. 조직에 도입을 고려할 제품과 송신자 인증 도입에 대해 다루게 될 인박스 행사와 같은 컨퍼런스에서도 유용한 정보를 얻을 수 있을 것이다. 야후나 MS 제품 웹사이트에 방문해 좀더 자세한 정보를 읽어보는 것도 좋다. @