[지디넷코리아]전 세계의 이메일 네트워크는 더 이상 예전처럼 친근하기만 한 곳은 아니다.

스팸 메일이 창궐하고, 스푸핑이나 피싱의 형태를 띈 이메일 사기가 판치면서 사람들은 더 이상 이메일을 믿지 않게 됐다. 안티스팸 소프트웨어 시장은 수백만 달러 규모로 성장했으며, 법 적용을 통해 문제를 해결하려는 몇 번의 시도에도 아랑곳 없이 스패머와 사기꾼들은 보다 지능화되고 있다.

메시지를 보내는 모든 사람은 다른 사람으로 위장할 수 있으며, 이에 대해 책임질 필요도 없다.

문제는 이메일 메시지를 서버 간에 전송하는 SMTP(Simple Mail Transfer Protocol)가 아직도 신뢰를 얻고 있다는 점이다. 이메일 인증의 경우를 보자. 지난해 보안 산업계에서는 다양한 송신측 인증 방식에 주목했다. 이 방식은 기업, ISP, 또한 가장 중요한 스패머를 포함한 모든 송신자가 그들이 보낸 메시지에 책임을 지도록 하는 것이다. 이메일 인증은 메일의 출처를 알려주기 때문에 수신자는 이를 읽을지 말지 결정할 수 있다.

산업계에서는 이러한 개념에 대해 전폭적인 지지를 보냈고, 서로를 경쟁자로 인식하던 업체들이 개별 표준과 기술을 통합했다. IETF는 인증 기술을 가진 업체와의 협력을 위해 부산하게 움직였다. 이들의 노력이 이메일 인증의 진화라는 결실을 맺었지만, 단일 표준안을 만드는 데는 실패했다.

정부도 이의 중요성을 인식했다. 미국 FTC(Federal Trade Commission)와 NIST(National Institute of Standards and Technology)는 몇 주 전 이메일 인증 써밋을 개최하면서 산업계 지도자들이 현재까지의 진척 상황에 대해 토론하고 인증의 미래에 대해 논하는 자리를 마련했다.

이러한 지원에도 불구하고 이메일 인증이라는 이론을 실제 어디에 적용해야 하는지는 문제의 여지가 있다. 실제 적법한 송신자와 수신자가 서로 준비가 되었으며 보호되고 있다는 사실을 어떻게 확인할 수 있는가? 개별 회사가 이런 역할을 해야 한다고 하지만, 무엇을 해야만 할 것인가는 여전히 숙제다.

현재 많은 지지를 받는 두 개의 기술이 있다. SIDF(Sender ID Framework)는 MS의 이메일용 발신자 ID와 멩 웡의 SPF(Sender Policy Framework)를 결합한 IP 기반 솔루션이다. 야후의 도메인키즈란 방식과 시스코 시스템즈의 IIM(Identified Internet Mail)은 서명 기반 방식으로, 둘 다 메시지의 무결성을 확인하기 위해 송신자와 수신자가 소프트웨어를 사용해야 한다.

서명 방식은 탄탄한 이메일 시스템을 만들기 위한 더 장기적 접근 방식으로 이해되고 있으며, SIDF는 쉽게 구현할 수 있고 배포가 용이한 방식으로 인식되고 있다. 현재 이메일 산업계의 최고 전문가들이 시스코, 야후와 함께 단일 서명 표준을 개발하고 있다. 이 결과물은 2005년 하반기 IETF 표준안에 적용될 전망이다.

최근 34명의 산업계 지도자가 FTC에 권장 서한을 보낸 대로 이메일 인증 이니셔티브는 2단계로 전개되어야 한다. 이러한 두 단계 전략은 첫째 IP 기반을 통합하고, 그 후 서명 기반 방식을 통합한다는 것이다. 기업이나 기관은 우선 SIDF를 수용하고 서명 기반 솔루션이 성숙되면 이 방식도 전개해야 할 것이다. 이 두 방식은 장기적으로 서로를 보완하며 다양한 플랫폼, 사용자 환경, 설치 요구사항을 해결하는 탄탄한 솔루션이 될 수 있다.

이를 실용화하는 입장에서 기업들은 기존 인프라에 어떻게 인증을 결합시킬지 계획을 수립해야 하며, 이메일 업체들에게 어떻게 그리고 언제 인증을 이용할 수 있을지 질문해야 할 것이다. 일부 업체들은 SIDF와 서명 방식 모두를 수용하고 있다. 성능에 대한 초기 테스트 결과는 좋은 편이었다. 보고서에 따르면 송신 도메인 중 최대 50%가 송신 이메일을 SIDF와 서명을 사용해 인증하고 있었다.

이러한 결과만 봐도 우리가 알고 있는 형태의 이메일은 종말을 고하고 있다는 사실을 알 수 있다. 이들 방식은 이메일의 안전한 송신과 회사의 브랜드 명과 도메인 명을 보호하려는 모든 회사나 기관들이 수용해야 할 중요한 기술이다. 또한 메일 송신자의 신분을 알고 싶어하는 수신자들도 이 방식을 사용할 수 있어야 하며, 기존의 메일 콘텐츠를 필터링하는 것에 국한하지 않고 보다 안전하고 신뢰성 있는 메시지를 수신할 수 있는 방식 또한 제공해야 할 것이다.

각 수신 사이트는 어떠한 송신자 인증 방식을 취할지 정해야 하며, 요구사항을 제대로 충족시키기 위해 수신 메일에 어떠한 요구 사항을 적용해야 할지 결정해야 할 것이다. 그러나 기업들은 고객, 협력사, 공급자가 다양한 방식을 사용할 수 있다는 것을 예상해야 하며, 그렇지 않다면 이메일 네트워크에서 메시지를 교환할 수 없게 될 것이다. 산업계에서는 이메일 인증 방식만 지원할 수 있다. 이를 채택하는 것은 각 기업의 몫이다. @