[보안이슈]SNI 방식의 불법 사이트 https 차단 정책 '비판' 이어져...

기사 요약

1) 방통위에서 SNI 필드 차단 기술을 통해 https 보안 프로토콜을 사용하는 불법사이트로의 접속을 차단

2) 인터넷 검열국이 되는 것이냐며 인터넷 이용자의 불만의 목소리가 점점 커짐.

3) 패킷의 내용 자체를 들여다 보는 것은 아니나 패킷의 목적지를 확인하는 행위만으로도 이용자의 자유도가 하락함 

4) 불법을 근절하기 위한 고육지책인가, 개인의 자유를 침해하는 잘못된 제도인가

5) 세계적으로도 과도한 심의정책으로 이미 제한적인 인터넷 자유국으로 분류됨.

---

KT를 시작으로 SK와 LG U+ 등 인터넷 서비스 업체(ISP)의 불법사이트의 https 접근을 차단하는 제도가 시행되었다.

기본적으로 https는 패킷의 내용을 암호화하여 전송하기 때문에 패킷의 내용을 볼 수가 없다. 볼 수는 있어도 깨져있을 뿐..

그렇다면 어떤 방식으로 차단을 하는 것일까? 

여기서 SNI 기술을 알아보자.

Server Name Indication의 약자로 TLS의 확장 표준 중 하나이다.

기본적으로 도메인 하나 = IP 하나로 알고 있지만 최근에는 하나의 IP에 여러 개의 도메인을 연결하는 서비스가 대중화되었다.

https는 클라이언트가 사이트에 접속할 때 안전한 접속을 하기 위한 인증을 진행하는데, 인증서를 사용한다. 하지만 IP 하나에 여러 사이트를 사용하니 인증서 관리에 문제점이 생겼고, 그로 인해 SNI 기술이 나오게 되었다.

SNI 기술은 여러 사이트를 서비스하는 웹서버의 경우에도 인증서를 통해 https를 사용할 수 있다. 즉, 서버와 클라이언트간의 인증 기술인 셈.

그렇다면 이 기술을 어떻게 활용하는 것인가?

기본적으로 https을 사용하면 서버-클라이언트간의 통신은 암호화하지만 SNI를 통한 인증 과정은 암호화되지 않고 평문으로 전송 된다. 그리고 이 인증 과정에서 주고 받은 SNI 패킷에 기록된 도메인을 보고 차단여부를 결정하는 식으로 이용하게 되는 것이다. 

SNI 패킷의 평문 전송은 제3자에게 쉽게 노출되어 보안상의 문제가 있었으며, 2018년 9월에 암호화한 SNI(Encrypted SNI) 서비스를 시범적으로 개시했다.

결국 DNS에서 내용을 확인하고 전달해줘야하는데 이 과정 전에 암호화를 하기 때문에 별도의 DNS 서버가 필요하다. 그래서 클라우드플레어라는 기업의 DNS 서비스를 이용해야한다. 

다만 문제는 이 클라우드플레어를 이용 중인 사이트의 경우에만 접속이 가능하다는 것이다. 이용하지 않는 사이트는 클라이언트가 ESNI를 이용하더라도 접속할 수가 없다. 아직 시범단계인 기술이기 때문에 비표준인 ESNI의 도입은 시간이 걸릴 것이다.

이 제도 시행 후 인터넷 커뮤니티에서는 격렬한 반대의 말들이 많다. 말이 불법사이트 단속이지 인터넷 검열- 사생활 감시로 이어지는 것으로 느낄 수 밖에 없기 때문이다. 이 제도가 확대 시행되면 불법적인 사이트 근절 외에도 사용하는 주체에 따라 이용하는 민간인의 사찰도 가능하기 때문이다.

그렇다면이 차단을 우회하는 방법은 없는가?

늘 그렇듯 방법은 존재한다. 가장 확실한 방법은 VPN을 이용해 모든 통신 과정을 암호화 하는 것이다. 

계속...