DNSSEC 작동 원리 (그리고 아무도 안 쓰는 이유)
DNSSEC는 우아한 암호학이지만 운영 현실은 잔인하다. 20년이 지나도 도메인 대부분은 여전히 서명되지 않았다. 프로토콜이 문제가 아니다.
블로그
프로토콜, 보안 사건, 그리고 인터넷이 실제로 작동하는 방식. 147편.
이메일 인증 5개 전부 갖춘 도메인이 얼마나 될까?
SPF, DKIM, DMARC, MTA-STS, BIMI — 5개 표준, 20년. 다섯 개를 다 갖춘 도메인 수를 깔끔하게 내놓을 수 있는 사람은 없다. 다만 부분적인 측정들은 모두 같은 방향을 가리킨다.
12개 HTTP 보안 헤더 (실제로 중요한 것은?)
모든 보안 헤더가 같지 않다. 어떤 건 매일 실제 공격을 막고, 어떤 건 브라우저가 무시하는 레거시다. 솔직한 우선순위.
HTTP 보안 헤더: 실제로 CSP를 갖춘 곳은?
쉬운 헤더와 어려운 헤더 사이의 격차가 엄청나다. 대부분의 사이트가 X-Content-Type-Options는 설정하고 CSP는 건너뛴다.
Let's Encrypt가 인터넷을 바꿨다 (좋은 쪽으로도, 나쁜 쪽으로도)
2015년 전에는 HTTPS가 누군가 신경 쓴다는 뜻이었다. Let's Encrypt 이후 HTTPS는 서버가 존재한다는 뜻이다. 암호화는 얻었고 신뢰 신호는 잃었다.
MCP: 보안 도구에 어떤 의미인가
Model Context Protocol은 AI 에이전트에게 보안 도구를 호출하는 표준 방법을 준다. 정찰 워크플로우가 바뀐다. 판단 부분은 안 바뀐다.
브라우저 자물쇠 아이콘은 제거되어야 한다
자물쇠는 수억 명의 사용자에게 거짓 신뢰를 만든다. HTTPS는 암호화를 의미하지, 안전을 의미하지 않는다. 아이콘은 사라져야 한다.
패스키 vs 패스워드: 자꾸만 멈춰 서는 전환
패스키는 기술적으로 모든 면에서 우월하다 — 피싱 방지, 공유 비밀 없음, 생체인증 친화적. Apple, Google, Microsoft 모두 지원한다. 그런데도 거의 모든 곳에서 기본값은 여전히 패스워드다.
보안 점수는 의미 없다
보안 점수 시스템을 만드는 사람이 말한다. 점수는 실제 보안을 측정하지 않는다. 그런데도 계속 만드는 이유.
SPF 10-Lookup 제한: 20년 된 실수
RFC 7208은 SPF를 DNS 조회 10회로 제한한다. 초과하면 이메일 인증이 조용히 깨진다. 2006년에는 말이 됐다. 지금은 아니다.
TLS 핸드셰이크 7단계
모든 HTTPS 연결은 대부분의 개발자가 생각조차 안 하는 협상으로 시작된다. TLS 1.3에서 정확히 무슨 일이 일어나는지 단계별로, 그리고 예전 TLS 1.2 핸드셰이크는 무엇이 달랐는지.
2단계 인증은 피싱을 막지 못한다
2FA는 크리덴셜 스터핑을 막는다. 2026년에 실제로 세션을 훔치는 실시간 피싱 프록시는 거의 늦추지도 못한다.