[지디넷코리아]지난해 초 MS 회장 빌 게이츠는 스위스 다보스 연례 컨퍼런스에 모인 전세계 엘리트들에게 스팸 문제가 2년 후 해결될 것이라고 말한 바 있다. 그러나 만약 그가 목표 달성에 있어 MS의 센더ID가 주요한 역할을 할 것이라 믿었다면, 잘못된 것이다.

MS가 지지하는 이 프로토콜은 이메일 송신자를 식별해 스팸과 피싱을 억지해주는 것으로 송신자가 자신의 주소를 조작하기 어렵게 하고 필터링을 개선하는 방식으로 동작한다. 그러나 현재까지 제대로 된 기업이 이를 수용한 예는 드물다. 대신 적이라 할 수 있는 스패머들 사이에서 오히려 인기를 끌고 있다.

이건 상당한 문제를 유발할 수 있다. 이메일에 대한 믿음은 점점 사라지고 있으며 온라인 스캠의 남용 사례 또한 급증하고 있다. 만약 제대로 된 기업들이 센더ID나 유사한 기술을 수용하지 않는다면 이러한 경향은 계속될 수 있으며 이메일의 유용성을 훼손할 수 있다.

MS의 사업전략 담당자 사만사 맥매너스는 “현재 이메일에는 자아의 위기가 있다. 이메일 인프라는 다른 세대에 구축됐다. 누가 이메일을 보내는지 알았으며 걱정할 필요가 없었던 시기였다”라고 말했다.

피싱은 가짜 송신자 이름과 가짜 웹사이트를 향하는 링크를 스팸 이메일에 담아 받은 사람이 패스워드와 같은 민감한 정보를 제공하도록 속이는 것이다. 가트너에서는 지난 6월 이러한 사기 기법과 다른 사이버 위협이 고객의 신뢰를 훼손시켜 향후 3년간 전자상거래 성장을 최대 3%까지 감소시킬 수 있다고 예측했다. 동일한 조사에서 이 회사는 미국 온라인 소비자의 80% 이상이 모르는 사람이나 고객의 이메일을 불신한다고 말했다.

기본적으로 센더ID는 특정 인터넷 도메인(예. “customerservice@anybank.com”)에서 온 것으로 보이는 이메일이 정말 그 도메인(“anybank.com”)과 연관된 이메일 서버에서 오는지 검사한다. 이 시스템은 이메일 감별에 DNS를 사용한다. MS의 이메일 기술용 콜러ID와 함께 센더ID를 구성하는 SPF(Sender Policy Framework)도 위에 설명한 것과 동일한 접근방식을 사용한다.

만약 널리 사용되기만 한다면 센더ID와 같은 이메일 인증 기술로 어떤 은행에서 온 것으로 주장하는 이메일이 실제로 그 은행에서 온 것인지 확인할 수 있다. 인증만 사용하면 정크와 스푸프 메시지를 방지할 수는 없으나 스팸 필터를 보다 효과적으로 만들 수 있다. 예를 들어 송신된 이메일에 기반해 필터가 도메인의 등급을 매기도록 할 수 있기 때문이다.

그러나 인증 기술을 사용하려면 이메일 인프라스트럭처에 중대한 변화를 가해야 한다. 기업, 학교, ISP 등 이메일 서버를 유지하는 모든 조직들은 SPF나 센더ID 레코드를 공개해야만 그들의 메일 서버를 식별시킬 수 있다.

이메일 포워딩 업체 POBox.com의 특수 프로젝트 CTO 인 멩 웡은 원본 SPF 명세를 개발했는데 이러한 광범위한 수술이 이메일 인프라스트럭쳐에 필요하다고 말했다.

웡은 “이메일은 고장났다. 이메일 시스템에 충격을 줘야 고칠 수 있을 것이다. 고칠 수 있다면 조금 바꾸는 것은 어느 정도 용인될 수 있다. 누군가의 어깨가 빠졌을 때 다시 제자리에 넣으면 아프지만 이는 임시적이다”라고 말했다.

현재까지 센더ID와 관련기술은 아직 원래의 약속을 실천하지 못하고 있다. 정당한 이메일 송신자들이 이를 수용하는 정도가 낮다. 스패머들은 센더ID와 SPF를 수용했지만 정당한 송신자가 임계 수치를 넘어 이를 수용하지 않는다면 이 기술은 실패할 것이라고 전문가들은 말했다. 이러한 실패는 이메일을 고칠 수 있는 단 한번의 기회를 날려버릴 수 있다.

관련된 것들은?
MS는 SPF와 센더ID의 공개가 이를 원하는 조직에 의해 쉽게 가능하다고 주장한다. 새로운 하드웨어나 소프트웨어를 대개 요구하지 않기 때문이다. 가장 어려운 부분은 메일 서버의 재고를 파악하는 것과 이러한 기록을 계속 유지하는 것이라고 MS 사업 전략 담당자 사만사 맥매너스는 말했다.

큰 조직들은 다른 지역에서 여러명에 의해 관리되는 복잡한 이메일 시스템을 보유한 경우가 많다고 가트너는 전했다. 또한 회사 이메일이나 DNS 인프라의 일부는 아웃소싱될 수 있어서 이러한 태스크를 보다 복잡하게 만들 수도 있다. 다른 극단에서는 수많은 소기업들이 DNS 레코드 내에 있는 자신들의 이메일 서버 정보를 공개할 수 있는 전문 지식어 없다고 가트너는 말했다.

문제를 더욱 복잡하게 만드는 것은 여러 개의 명세가 존재한다는 점이다. 예를 들면 여러 버전의 SPF가 있으며 센더ID도 있다.

이런 점들은 기업에서 왜 이 기술이 인기가 별로 없는지는 말해준다. 가트너 애널리스트 리디아 레옹은 기업들이 곧 이를 수용하기 시작할 것으로 보지 않는다. 그녀는 “수용은 느릴 것이며 많은 회사는 2007년까지 레코드를 공개하지 않을 것”이라고 말했다.

MS 는 약 100만개의 도메인이 현재 SPF 레코드를 공개한다고 말했다. 이는 지난해말 전세계적으로 등록된 7140만개의 도메인에 비해 훨씬 적은 숫자다.

오히려 스팸 발송자들이 더 빨리 사용?
이 기술을 수용한 이들 중 상당 수가 정크 이메일 송신자라는 증거가 있다. 6월말 수집된 1770만 건 이상의 이메일 메시지 샘플 중에서 9%를 약간 넘는 숫자가 SPF나 센더ID를 공개한 도메인에서 비롯됐다고 스팸 필터업체 MX로직은 전했다. 이렇게 진위가 가려진 메시지의 84%가 스팸인 것으로 밝혀졌다.

MX로직의 CTO인 스콧 체이신은 “수용 기업의 대부분은 그들의 메시지에 정당성을 부여하려는 스팸 송신자에 의한 것이다”라고 말했다.

스패머들에게 있어서 정당한 레코드의 발행은 스팸 체크 단계를 합격할 수 있음을 의미한다. 올 연초 MS는 자사의 웹기반 이메일 서비스인 핫메일이 정당한 인증이 없는 메시지는 잠재적 스팸으로 간주해 플래그 표시를 할 것이라고 전했다.

포레스터 애널리스트 폴 스탬프는 “일반인들보다 스패머들에게는 이 기술을 수용할 동기가 더 많다”라고 말했다.

센더ID가 광범위하게 수용되려면 기술의 수용이 쉬워져야 하며 사용자들에게 분명한 수혜가 주어져야 한다고 애널리스트들과 전문가들은 말했다. 스트롱메일의 마케팅 부사장 데이브 루이스는 “정당한 송신자 인증이 임계 숫자에 도달하지 못하면 결과는 부정적일 것”이라고 말했다.

많은 정당한 이메일 송신자들이 이메일 서버 정보를 공개하다가 에러를 겪었다고 안티스팸 기기 업체 바라쿠다 네트웍스의 CEO인 딘 드라코는 전했다.

드라코는 “우리는 SPF의 주요 지지자이며 모든 제품이 이를 지원한다. 그러나 우리 고객들에게 어떠한 필터링도 하지 말 것을 추천하는데 너무나 많은 스팸이 걸러지지 않기 때문이다. SPF 레코드를 공개한 이들 중 상당수가 제대로 이를 수행하지 못했다”라고 말했다.

이메일 인증은 기업이 쉽게 수행할 수 있도록 만들어져야 한다고 스트롱메일의 루이스는 동의했다. 예를 들어 이메일 서버 소프트웨어 업체들은 필요한 정보를 수집하는 간단한 마법사를 포함할 수 있다고 그는 제안했다. 그는 “잘못된 인증의 경우 통보장치가 있어야 한다”라고 전했다.

센더ID는 완벽한 해법이 아닐 수 있다고 루이스는 말했다. 그러나 그는 “완벽한 해법을 기다리고 있다면 이메일에서 고객의 신뢰가 계속적으로 사라지는 것을 보게 될 것”이라고 경고했다.

문제는 허브 자극제나 쉽게 돈버는 법을 광고하는 정크 메일 수준을 넘어선다. 피싱은 희생자들에게 금전적 손해를 실제로 입힌다. 가트너에 따르면 지난 5월까지 12개월 동안 약 242이만명의 미국인이 피싱 공격으로 금전적 손해를 입었다. 손해액은 거의 9억 2900만 달러라고 가트너는 전했다. 이는 온라인 사업과 피해 고객과의 관계에 손상을 준다.

가트너의 레옹은 “현재 피싱 분야에서 송신자 인증은 기업에게 정말로 중요한 문제”라고 말했다.

레옹은 이베이와 같은 전자 상거래 업체나 뱅크 오브 아메리카와 같은 은행이 이 기술을 최초로 수용한 이유도 피싱 때문이라고 전했다. 이들 업체를 비롯한 26인의 법인 및 개인은 MS와 SPF 개발자 웽을 포함해 FTC 에 서한을 보내 이메일 인증과 관련한 업계의 협력을 촉구했다.

이러한 현상은 MS에 있어서 최근에 관찰된 것이다. MS는 게이츠가 2004년 2월 현재 센더ID 명세의 이전 버전을 공개한 이후 광범위한 이메일 인증을 추진해왔다. 그러나 이러한 노력에는 비판도 따랐다. 일부는 MS가 산업계를 강제하여 센더ID를 수용하도록 했다고 비난했다. 특히 핫메일은 인증을 받지 않은 메일을 스팸으로 간주할 수 있다는 위협도 했다.

비평가들은 센더ID가 인정된 표준이 아니라고 지적했으며 일부는 많은 단점이 있다고 말한다. 지난해 표준단체인 IETF는 센더ID 워킹 그룹이 시한이 만료되는 것을 방치했다. IETF에 소속된 IESG(Internet Engineering Steering Group)는 6월 센더ID와 SPF를 두 개의 별도 제안서로 간주해 제안을 받을 것이라고 말했다.

센더ID와 SPF의 대안을 제공하는 야후나 시스코 시스템즈의 DKIM(DomainKeys Identified Mail)과 같은 기술도 있다. 이들 역시 표준 절차를 밟고 있다. DKIM은 발신 이메일에 디지털 서명을 포함시켜 수신자는 메시지가 실제 송신자에서 온 것인지 확인이 가능하다.

그러나 센더ID와 DKIM 진영은 이들 기술이 상호보완적이며 센더ID를 지지하는 많은 업체가 DKIM 역시 지원한다고 밝혔다.

만약 센더ID가 경쟁 기술과 공존해야 된다면 이러한 유연성은 스팸 및 피싱에 대한 싸움에서 장점이 될 것이다. 또한 소프트웨어 산업이 스팸을 쳐부수고 이메일을 계속 동작하도록 하는데 열심이라는 것을 보여준다. 현재는 그러나 열망과 노우하우의 부족으로 대량 수용이 되지 않고 있다.

그러나 바라쿠다 네트워크의 드라코에 있어서 정당한 이메일 송신자가 이메일 인증 기술을 사용하는 것을 방해하는 것은 즉각적인 혜택이 없기 때문이다. 드라코는 “모두가 수용하기 전까지는 문제 해결이 안된다. 만약 이메일의 상당부분이 유효한 SPF 레코드를 보유한 지역이 있다면 보다 효율적으로 스팸에 대항할 수 있다”라고 말했다. @

다른 이메일ID 기술들

센더ID 외에도 송신자를 식별함으로써 스팸을 구분하는 기술들이 있다. 아래에 목록이 있다. 1. 센더ID MS가 2004년 2월 발표한 이메일용 콜러ID와 멩 웡이 개발한 SPF를 결합한 기술이다. IETF 표준 절차의 초기 단계에 있으며 센더ID의 워킹 그룹이 없어진 적도 있었다. 2. SPF Sender Policy Framework의 준말로 센더ID 명세에 합쳐진 기술이다. 다른 버전도 존재하며 IBM의 FairUCE와 같은 다른 이메일 보안 기술과 결합할 계획이다. 3. DKIM 야후의 도메인키즈와 시스코의 IIM(Internet Identified Mail)이 결합된 기술이다. DKIM은 공개키 암호기술에 의존한다. 발신 이메일에 디지털 서명을 포함하여 수신자는 송신자의 진위를 알 수 있다. 4. FairUCE SPF나 센더ID처럼 DNS 를 사용하는 IBM의 프로젝트. 미래의 버전은 SPF나 이와 유사한 송신자 식별 시스템을 포함할 것이다.