.io 도메인에는 정치적 문제가 있다
스타트업은 .io를 input/output의 줄임말로 여긴다. 그 두 글자는 사실 지금 넘겨지고 있는 분쟁 중인 식민 영토를 가리키고, 도메인은 그 영토의 존재 위에 얹혀 있다.
블로그
프로토콜, 보안 사건, 그리고 인터넷이 실제로 작동하는 방식. 147편.
NIST 새 비밀번호 규칙은 확정됐다. 따르는 곳은 거의 없다.
NIST가 2025년 SP 800-63B-4를 확정했다. 강제 변경 없음, 복잡도 규칙 없음, 최소 15자, 유출 목록 대조 필수. 그런데 회사는 아직도 90일마다 P@ssw0rd1을 돌리게 한다. 표준은 바뀌었다. 행동은 안 바뀌었다.
이메일은 고칠 수 없다
SMTP는 1982년, 모두가 서로를 믿던 네트워크를 위해 설계됐다. 그 이후 우리가 원한 모든 보안 속성 — 누가 보냈는지 아는 것, 전송 중 암호화 — 은 교체할 수 없는 프로토콜 위에 선택적 패치로 덧붙여졌다. 이건 아직 못 고친 버그가 아니다. 이것 자체가 이메일의 생김새다.
DDoS의 경제학: 왜 공격 한 번이 1만 원인가
작은 사이트를 오후 내내 다운시키는 DDoS 공격 비용은 피자 한 판 값이다. 흥미로운 건 싸다는 사실이 아니라, 그 값을 실제로 누가 치르고 있느냐다 — 공격자는 아니다.
무료 SSL 인증서가 피싱을 더 쉽게 만들었다
HTTPS가 돈이 들던 시절엔 피싱 사이트 대부분이 그냥 HTTP였다. 무료 인증서는 TLS를 망가뜨린 게 아니라, 사용자들이 기대고 있던 우연한 신호 하나를 녹여버렸다.
와일드카드 인증서는 보안 안티패턴이다
모든 서버에 같은 개인키 하나, 그게 앞으로 만들 모든 서브도메인을 덮는다. 와일드카드 인증서는 작은 편의를 보이지 않는 폭발 반경과 맞바꾼다 — 그리고 지금의 표준도 그 위험을 분명히 적어 둔다.
CDN은 단일 장애점이다
CDN이 몇 곳으로 몰리면서 한 번의 장애가 수천 개 사이트를 동시에 내린다. 우리는 분산된 회복력을 중앙화된 편리함과 맞바꿨다.
TLS 1.0/1.1 — 2026년에 아직 누가 쓰는가?
TLS 1.0과 1.1은 공식 폐기되고 모든 브라우저가 거부한다. 그런데 서버는 아직 제공한다. 얼마나, 왜?
VPN은 익명성을 주지 않는다
VPN은 트래픽을 보는 주체를 ISP에서 VPN 제공자로 바꾼다. 신뢰를 제거하는 게 아니라 옮기는 것이다.
우리는 인터넷이 어떻게 작동하는지 가르치기를 멈췄다
추상화가 인터넷을 쓸 수 있게 만들었다. 불투명하게도 만들었다. 그 비용이 나쁜 보안 결정, 장애 시 무력함, 카고컬트 설정에서 나타난다.
컴플라이언스는 보안이 아니다
SOC 2, ISO 27001, PCI DSS — 조직은 컴플라이언스를 보안의 증거로 취급한다. 아니다. 컴플라이언스는 바닥이다. 보안은 방어의 실제 상태다.
DMARC 채택 현황: 2026년에도 여전히 장식
DMARC가 '있다'는 도메인의 절반 이상이 집행을 안 한다. 대개 p=none — 감시만 하고 차단은 안 한다. 사이렌 없는 화재 감지기다.