최근 국제 표준 기구의 예비 승인을 얻은 신형 스팸방지 기술은 전망이 밝지만, 이 기술의 개발에 참여한 한 엔지니어는 이 기술은 이메일 범죄를 피할 수 있는 확실한 방법이 아니라고 말하고 있다.

DKIM(DomainKeys Identified Mail)이라는 기술은 발신자의 측에 은밀히 삽입한 디지털 서명을 이용하는데, 이는 메시지 발신자의 아이덴티티를 보증하기 위한 것이다. 주요 표준 기구인 인터넷 엔지니어링 태스크 포스는 지난 5월 표준 초안을 채택했다.

야후와 시스코시스템즈, 센드메일, PGP 코퍼레이션의 지원을 받고 있는 이 표준은 무효 서명이 있는 메시지를 정크 메일로 표시해야 한다고 요구하지 않지만, 인터넷 서비스 제공사업자들은 정크 메일로 표시할 가능성이 높다.

하지만 시스코의 저명한 엔지니어 짐 펜톤은 연방무역위원회가 주최하는 스팸 정상회담 참석자들에게 메시지가 인증 테스트를 통과했다고 해서 '양호한 메시지'를 뜻하는 것은 아니라고 경고했다.

DKIM 시스템을 1년 가량 운영하여 2만개가 넘는 도메인에 유효한 서명을 처리한 펜톤은 "사이버 범죄자들은 메시지를 인증할 것이다. 메시지를 합법적으로 보이게 만들 수 있다면 무슨 짓이든 할 것"이라고 말했다.

펜톤은 시스코가 자체 경험을 기반으로 사이버 범죄자들이 '폐기' 도메인 명을 등록하고 있다는 '강력한 정황 증거'가 있으며, 실제로 그렇게 하고 있다고 말했다.

하지만 스패머들이 도메인키스 기록이 유효한 자체 도메인을 작성하더라도, 이 기술은 두 가지 기능을 수행한다. 먼저 이 기술은 스패머가 이용할 수 있는 도메인 수를 감소시킨다. 두 번째, 스팸방지 전문가들은 이 기술을 이용하여 폐기 도메인을 추적하여 스팸 메일 발신지로 표시하는 평판 데이터베이스를 작성할 수 있다.

피셔는 인증을 거친 도메인 명과 흡사한 도메인 명을 입수할 수 있기 때문에 DKIM는 피싱의 만병통치약이 아니다.

하지만 펜톤을 비롯한 표준 초안 작성자들은 이런 음모를 무력화할 수 있도록 설계된 '서명자 발신 프랙티스(signer sending practices)'라는 또 하나의 규격을 개발하고 있다. 이 규격은 서명이 되지 않은 비슷한 도메인 명의 메시지는 이메일 사용자에게 상대적으로 의심스럽게 보이도록 만들기 위해 메일 발신자가 메일에 서명하는 방식을 광고할 수 있는 방법을 제안할 예정이다.

펜톤은 DKIM은 우편함에서 악성 스팸을 분리할 수 있는 간단한 해답이 아니라 신뢰할 수 있는 메일에 관한 단서를 제공하는 '문구멍'이라고 생각하는 것이 가장 적절하다고 말했다. @