보안 헤더 체크리스트는 보안이 아니다
사이트가 모든 헤더 스캐너에서 초록색 A+를 받고도 손쉽게 털릴 수 있다. 체크리스트는 편지가 아니라 봉투를 채점한다 — 그리고 그 틈에 공격이 산다.
블로그
프로토콜, 보안 사건, 그리고 인터넷이 실제로 작동하는 방식. 147편.
HTTPS Everywhere는 이겼다. 그게 쉬운 쪽이었다.
2026년 10월, Chrome이 평문 HTTP에 기본으로 경고를 띄우기 시작한다. 15년짜리 캠페인이 끝났다 — 그런데 우리가 푼 건 풀 수 있는 문제였지, 어려운 문제가 아니었다.
이메일이 슬랙보다 안전하다
모두가 슬랙을 이메일의 현대적이고 안전한 후계자로 취급한다. 하지만 슬랙 상위 요금제에서 조직 소유자는 당신이 보낸 모든 DM을 — 보존 설정이 남겨 두고 있다면 수정·삭제 기록까지 — 내보낼 수 있고, 슬랙은 그걸 할 평문을 쥐고 있다. 이메일의 전송 계층은 1982년산 재앙이다. 그런데도 이메일이 슬랙은 구조적으로 줄 수 없는 것을 준다: 보관 주권(custody). 아무도 변호하지 않는 매체를 위한 변론.
무료 npm 패키지를 올렸다면, EU 사이버 복원력법이 적용될까?
EU 사이버 복원력법(CRA)이 이미 발효됐고, 신고 의무는 2026년 9월부터 문다. 당신의 오픈소스 프로젝트에 이게 적용되는지는 두 단어 - '상업적 활동' - 와, 메인테이너를 폭발 반경에서 빼내려고 새로 만든 법적 역할 하나에 달려 있다.
Log4Shell는 우리의 서류를 고쳤지, 의존성을 고치지 않았다
패치가 나온 지 4년 뒤에도 Sonatype 조사에서 Log4j 다운로드 여덟 건 중 대략 한 건은 여전히 취약한 버전이었다. 우리는 깨진 의존성을 목록으로 정리하는 데는 아주 능숙해졌고, 그걸 배포하지 않는 데는 거의 나아지지 않았다.
WHOIS 프라이버시는 양날의 검이다
GDPR은 2018년에 모두의 WHOIS를 가렸다 — 할머니와 피싱 운영자가 같은 날 같은 익명성을 얻었다. 균형을 맞출 접근 시스템은 2,000만~2,700만 달러로 추산됐다가 보류됐다. 검의 한쪽 날만 벼려졌다.
버그 바운티는 뒤틀린 인센티브를 만들었다
버그 바운티는 채택된 리포트당 돈을 준다. 그래서 보안이 아니라 채택된 리포트를 최적화한다. 그 틈은 AI 슬롭이 터지기 한참 전부터 조용히 메인테이너를 갈아 넣고 있었다.
DNS는 인터넷의 가장 약한 고리다
당신의 DNS를 장악한 사람은 당신 도메인의 유효한 TLS 인증서를 발급받고, 메일을 빼돌리고, 당신 행세를 할 수 있다. 아무도 서명하지 않는 신뢰의 뿌리.
SSL Labs A+ 등급은 너무 쉽다
SSL Labs A+는 TLS 채널 설정이 잘 됐다는 증명입니다. 사람들은 이걸 '우리는 안전하다'는 증거처럼 휘두릅니다. 현재 기준으로 A-와 A+의 차이는 HTTP 헤더 하나일 수 있고 — 피싱 키트도 그 문턱을 넘습니다.
애플 Private Relay는 VPN이 아니다
다들 iCloud Private Relay를 '애플 VPN'이라 부른다. 구조상으로는 오히려 VPN의 정반대에 가깝고, 바로 그 차이가 핵심이다.
IPv6는 (완전히는) 끝나지 않는다
2026년 3월 IPv6가 처음으로 Google 트래픽의 50%를 넘었다. 다들 이정표라고 했다. 사실은 영구적 교착 상태의 모양이다.
서드파티 쿠키는 죽지 않았다. DNS로 옮겨갔을 뿐.
구글은 5년 동안 서드파티 쿠키를 죽이겠다고 하다가 조용히 포기했다. 별로 중요하지 않았다. 트래킹은 이미 DNS 계층으로 도망쳤고, 당신의 세션 쿠키까지 데려갔으니까.