레이트 리밋은 보안 전략이 아니다
잘 만든 레이트 리미터도 다들 이게 막아준다고 믿는 바로 그 공격은 못 막는다. 레이트 리밋은 보안 배지를 단 가용성 통제다.
블로그
프로토콜, 보안 사건, 그리고 인터넷이 실제로 작동하는 방식. 147편.
Cloudflare의 장애는 계속 운율을 맞춘다
세 번의 Cloudflare 장애 — 2019년 정규식, 2025년 서드파티 의존성, 2025년 피처 파일 — 은 결국 옷만 갈아입은 같은 장애다: 한 번에 전 세계로 퍼진 변경이, 숨을 곳 없는 버그를 만난 것.
BGP 하이재킹: 같은 실수의 역사
1997년 AS7007 사고부터 2022년 KLAYswap 암호화폐 탈취까지, BGP 하이재킹은 매번 같은 빈 자리를 노립니다: 누구도 경로 소유를 증명할 필요가 없다는 것. 그 패턴, 그리고 왜 해결책은 여전히 선택 사항인가.
레지스트라는 왜 계속 뚫리는가
2016년, 공격자들이 브라질 대형 은행의 온라인 전체를 5시간 동안 장악했다. 서버는 하나도 건드리지 않았다. 그들은 그냥 도메인 레지스트라에 로그인했다.
.io 도메인에는 정치적 문제가 있다
스타트업은 .io를 input/output의 줄임말로 여긴다. 그 두 글자는 사실 지금 넘겨지고 있는 분쟁 중인 식민 영토를 가리키고, 도메인은 그 영토의 존재 위에 얹혀 있다.
NIST 새 비밀번호 규칙은 확정됐다. 따르는 곳은 거의 없다.
NIST가 2025년 SP 800-63B-4를 확정했다. 강제 변경 없음, 복잡도 규칙 없음, 최소 15자, 유출 목록 대조 필수. 그런데 회사는 아직도 90일마다 P@ssw0rd1을 돌리게 한다. 표준은 바뀌었다. 행동은 안 바뀌었다.
이메일은 고칠 수 없다
SMTP는 1982년, 모두가 서로를 믿던 네트워크를 위해 설계됐다. 그 이후 우리가 원한 모든 보안 속성 — 누가 보냈는지 아는 것, 전송 중 암호화 — 은 교체할 수 없는 프로토콜 위에 선택적 패치로 덧붙여졌다. 이건 아직 못 고친 버그가 아니다. 이것 자체가 이메일의 생김새다.
DDoS의 경제학: 왜 공격 한 번이 1만 원인가
작은 사이트를 오후 내내 다운시키는 DDoS 공격 비용은 피자 한 판 값이다. 흥미로운 건 싸다는 사실이 아니라, 그 값을 실제로 누가 치르고 있느냐다 — 공격자는 아니다.
2026년의 포트 스캔: 알 수 있는 것과 없는 것
포트 스캔은 정찰의 첫 단계라고들 한다. 2026년에 타깃을 풀 스캔하면 대개 알려주는 건 '방화벽과 로드밸런서 뒤에 있다'뿐이다. 인터넷의 지도는 더 이상 스캐너가 그리지 않는다.
무료 SSL 인증서가 피싱을 더 쉽게 만들었다
HTTPS가 돈이 들던 시절엔 피싱 사이트 대부분이 그냥 HTTP였다. 무료 인증서는 TLS를 망가뜨린 게 아니라, 사용자들이 기대고 있던 우연한 신호 하나를 녹여버렸다.
RDAP가 WHOIS를 대체하고 있다 (아주 천천히)
WHOIS는 파싱 불가능한 텍스트를 돌려주는 1982년 프로토콜이다. RDAP는 2015년에 그 모든 걸 고쳤다. 그런데 업계를 움직인 건 더 나은 엔지니어링이 아니라 계약이었다. 2019년 RDAP 의무화, 2025년 WHOIS 종료.
당신의 TLS 인증서는 이미 짧아졌다
다들 2029년에 올 47일 인증서에 패닉했지만, 첫 번째 단축은 이미 일어났다. 200일, 2026년 3월부터 의무다. 진짜 핵심은 유효기간이 아니라 10일까지 줄어드는 재검증 주기다.