OCSP Stapling vs CRL: 인증서 폐기 싸움에서 OCSP가 진 이유
인증서가 침해되면 폐기해야 한다. CRL과 OCSP는 각자 다른 방식으로 브라우저에서 실패했고, 2025년 업계는 모두가 버렸다고 생각한 쪽을 조용히 골랐다.
블로그
프로토콜, 보안 사건, 그리고 인터넷이 실제로 작동하는 방식. 147편.
포스트 양자 암호: TLS에서 뭐가 바뀌어야 하는가
양자 컴퓨터가 RSA와 타원곡선을 깨뜨린다. 전환은 이미 시작됐다 — 양자 컴퓨터가 아직 없어서가 아니라 '지금 수확하고 나중에 복호화'가 실제 위협이라서.
SNI: 목적지를 유출하는 필드
HTTPS가 모든 걸 암호화한다고? 아니다. 어떤 사이트에 접속하는지는 TLS 핸드셰이크에서 평문으로 전송된다.
TLS 1.0/1.1 — 2026년에 아직 누가 쓰는가?
TLS 1.0과 1.1은 공식 폐기되고 모든 브라우저가 거부한다. 그런데 서버는 아직 제공한다. 얼마나, 왜?
VPN은 익명성을 주지 않는다
VPN은 트래픽을 보는 주체를 ISP에서 VPN 제공자로 바꾼다. 신뢰를 제거하는 게 아니라 옮기는 것이다.
우리는 인터넷이 어떻게 작동하는지 가르치기를 멈췄다
추상화가 인터넷을 쓸 수 있게 만들었다. 불투명하게도 만들었다. 그 비용이 나쁜 보안 결정, 장애 시 무력함, 카고컬트 설정에서 나타난다.
"종단간 암호화"가 실제로 뜻하는 것 (그리고 뜻하지 않는 것)
모든 메시징 앱이 E2EE를 내세우고, 사용자 대부분은 그걸 완전한 비밀 보장으로 받아들인다. 실제 보장 범위는 그보다 좁고, 마케팅은 그걸 부풀린다.
BGP: 신뢰 위에 돌아가는 프로토콜
BGP는 인증 장치 없이 인터넷의 경로를 정한다. 어느 AS든 어느 프리픽스든 광고할 수 있고, 경로 하이재킹은 어이없을 만큼 쉽다. BGP의 작동 방식과 RPKI가 고치려는 것.
Certificate Transparency: 모든 인증서가 공개인 이유
공인 CA가 발급하는 모든 TLS 인증서는 공개 검색 가능한 추가 전용 로그에 기록된다. DigiNotar 때문에 이렇게 됐다.
컴플라이언스는 보안이 아니다
SOC 2, ISO 27001, PCI DSS — 조직은 컴플라이언스를 보안의 증거로 취급한다. 아니다. 컴플라이언스는 바닥이다. 보안은 방어의 실제 상태다.
DMARC 채택 현황: 2026년에도 여전히 장식
DMARC가 '있다'는 도메인의 절반 이상이 집행을 안 한다. 대개 p=none — 감시만 하고 차단은 안 한다. 사이렌 없는 화재 감지기다.
DNS 쿼리의 처음 50밀리초에 무슨 일이 일어나는가
URL을 입력하면 페이지가 뜬다. 그 사이에 컴퓨터는 서버 네 곳과 대화했을 수도 있고, 1983년에 설계된 계층 구조를 탐색했고, 대부분의 쿼리가 첫 리졸버를 벗어나지도 않을 만큼 공격적인 캐싱에 기댔다.