페이스북이 인터넷에서 스스로를 지운 날
2021년 10월, 페이스북은 해킹당하지도 DDoS를 맞지도 않았다. 명령어 하나를 실행했고, 자사의 안전장치가 페이스북을 인터넷 지도에서 지워버렸다 — 그리고 해결책이 있는 방에서 엔지니어들을 잠가버렸다.
블로그
프로토콜, 보안 사건, 그리고 인터넷이 실제로 작동하는 방식. 147편.
XZ 백도어: 존재한 적 없는 메인테이너
최근 몇 년간 가장 정교했던 공급망 공격은 스캐너도, SBOM도, 보안팀도 잡지 못했다. SSH 로그인이 0.5초쯤 느린 게 거슬렸던 엔지니어 한 명이 잡았다.
NSEC3는 당신의 DNS 존을 숨겨줄 거였다. 못 숨긴다.
이름이 존재하지 않음을 증명하는 DNSSEC의 장치가, 존재하는 이름 목록을 통째로 흘린다. NSEC3는 이름을 해시해 zone walking을 막으려 했지만 — 오프라인 크래킹이 그대로 뚫었다. RFC 9276이 왜 iterations를 0으로 두라고 하는지, 그리고 실제로 통하는 게 뭔지.
.internal TLD, 10년 걸려서 나왔는데 절반짜리 해결책이다
ICANN이 2024년 7월 드디어 .internal을 사내망 전용으로 예약했다. .corp·.home을 괴롭히던 name collision 위험은 없앴지만, special-use domain이 아니라 그냥 '예약'이라 쿼리 유출은 여전히 당신 몫이다.
BIMI: 그 브랜드 로고는 연 1,000달러의 값을 하는가
받은편지함의 로고는 매년 네 자릿수 비용이 든다 — 프로토콜이 비싸서가 아니라, 두 메일 사업자가 당신과 그림 한 장 사이에 인증기관을 세우기로 결정했기 때문이다.
크롬은 이제 자기 루트 저장소를 돌린다
크롬은 오랫동안 OS가 신뢰하는 것을 그대로 신뢰했다. 2022년 9월 크롬은 그 질문을 멈추기 시작했고, 2024년 11월 윈도우가 여전히 신뢰하던 CA 하나를 잘라냈다.
Chrome은 DNS를 암호화했다. 검증한 적은 없다.
Chrome에서 보안 DNS를 켜면 리졸버로 가는 파이프가 암호화된다. 돌아온 답이 진짜라는 증명은 전혀 하지 않는다. 암호화와 인증은 다른 문제이고, 브라우저는 조용히 하나만 골랐다.
"그냥 DMARC 추가하세요"는 최악의 조언이다
DMARC 레코드를 올리는 건 쉬운 5%다. 스푸핑을 실제로 막는 나머지 — alignment, 리포트 읽기, 집행까지의 느린 걸음 — 를 조언은 통째로 건너뛴다.
모든 DNS 제공자는 DNSSEC를 기본값으로 켜야 한다
DNSSEC의 진짜 문제는 암호학이 아니다. DNS 호스트와 등록대행자 사이의 2자 핸드셰이크를 거의 아무도 끝내지 않는다는 것이다. 자동화는 이미 이걸 해결했다.
CAA 레코드: 아무도 안 거는 인증서 자물쇠
모든 공개 CA는 2017년부터 CAA 레코드를 지킬 의무가 있다. 공짜에 DNS 한 줄이면 되는데, 9년이 지난 지금도 채택률은 겨우 15%다.
보안 헤더 체크리스트는 보안이 아니다
사이트가 모든 헤더 스캐너에서 초록색 A+를 받고도 손쉽게 털릴 수 있다. 체크리스트는 편지가 아니라 봉투를 채점한다 — 그리고 그 틈에 공격이 산다.
HTTPS Everywhere는 이겼다. 그게 쉬운 쪽이었다.
2026년 10월, Chrome이 평문 HTTP에 기본으로 경고를 띄우기 시작한다. 15년짜리 캠페인이 끝났다 — 그런데 우리가 푼 건 풀 수 있는 문제였지, 어려운 문제가 아니었다.