이메일이 슬랙보다 안전하다
모두가 슬랙을 이메일의 현대적이고 안전한 후계자로 취급한다. 하지만 슬랙 상위 요금제에서 조직 소유자는 당신이 보낸 모든 DM을 — 보존 설정이 남겨 두고 있다면 수정·삭제 기록까지 — 내보낼 수 있고, 슬랙은 그걸 할 평문을 쥐고 있다. 이메일의 전송 계층은 1982년산 재앙이다. 그런데도 이메일이 슬랙은 구조적으로 줄 수 없는 것을 준다: 보관 주권(custody). 아무도 변호하지 않는 매체를 위한 변론.
블로그
프로토콜, 보안 사건, 그리고 인터넷이 실제로 작동하는 방식. 147편.
무료 npm 패키지를 올렸다면, EU 사이버 복원력법이 적용될까?
EU 사이버 복원력법(CRA)이 이미 발효됐고, 신고 의무는 2026년 9월부터 문다. 당신의 오픈소스 프로젝트에 이게 적용되는지는 두 단어 - '상업적 활동' - 와, 메인테이너를 폭발 반경에서 빼내려고 새로 만든 법적 역할 하나에 달려 있다.
Log4Shell는 우리의 서류를 고쳤지, 의존성을 고치지 않았다
패치가 나온 지 4년 뒤에도 Sonatype 조사에서 Log4j 다운로드 여덟 건 중 대략 한 건은 여전히 취약한 버전이었다. 우리는 깨진 의존성을 목록으로 정리하는 데는 아주 능숙해졌고, 그걸 배포하지 않는 데는 거의 나아지지 않았다.
WHOIS 프라이버시는 양날의 검이다
GDPR은 2018년에 모두의 WHOIS를 가렸다 — 할머니와 피싱 운영자가 같은 날 같은 익명성을 얻었다. 균형을 맞출 접근 시스템은 2,000만~2,700만 달러로 추산됐다가 보류됐다. 검의 한쪽 날만 벼려졌다.
버그 바운티는 뒤틀린 인센티브를 만들었다
버그 바운티는 채택된 리포트당 돈을 준다. 그래서 보안이 아니라 채택된 리포트를 최적화한다. 그 틈은 AI 슬롭이 터지기 한참 전부터 조용히 메인테이너를 갈아 넣고 있었다.
DNS는 인터넷의 가장 약한 고리다
당신의 DNS를 장악한 사람은 당신 도메인의 유효한 TLS 인증서를 발급받고, 메일을 빼돌리고, 당신 행세를 할 수 있다. 아무도 서명하지 않는 신뢰의 뿌리.
SSL Labs A+ 등급은 너무 쉽다
SSL Labs A+는 TLS 채널 설정이 잘 됐다는 증명입니다. 사람들은 이걸 '우리는 안전하다'는 증거처럼 휘두릅니다. 현재 기준으로 A-와 A+의 차이는 HTTP 헤더 하나일 수 있고 — 피싱 키트도 그 문턱을 넘습니다.
애플 Private Relay는 VPN이 아니다
다들 iCloud Private Relay를 '애플 VPN'이라 부른다. 구조상으로는 오히려 VPN의 정반대에 가깝고, 바로 그 차이가 핵심이다.
IPv6는 (완전히는) 끝나지 않는다
2026년 3월 IPv6가 처음으로 Google 트래픽의 50%를 넘었다. 다들 이정표라고 했다. 사실은 영구적 교착 상태의 모양이다.
레이트 리밋은 보안 전략이 아니다
잘 만든 레이트 리미터도 다들 이게 막아준다고 믿는 바로 그 공격은 못 막는다. 레이트 리밋은 보안 배지를 단 가용성 통제다.
Cloudflare의 장애는 계속 운율을 맞춘다
세 번의 Cloudflare 장애 — 2019년 정규식, 2025년 서드파티 의존성, 2025년 피처 파일 — 은 결국 옷만 갈아입은 같은 장애다: 한 번에 전 세계로 퍼진 변경이, 숨을 곳 없는 버그를 만난 것.
BGP 하이재킹: 같은 실수의 역사
1997년 AS7007 사고부터 2022년 KLAYswap 암호화폐 탈취까지, BGP 하이재킹은 매번 같은 빈 자리를 노립니다: 누구도 경로 소유를 증명할 필요가 없다는 것. 그 패턴, 그리고 왜 해결책은 여전히 선택 사항인가.