이메일 인증은 더 이상 선택이 아니다
20년 동안 SPF·DKIM·DMARC는 무시해도 되는 권고였다. 그러다 14개월 만에 지메일·야후·아웃룩이 그것을 입장료로 바꿨다 — SMTP는 1바이트도 건드리지 않고.
블로그
프로토콜, 보안 사건, 그리고 인터넷이 실제로 작동하는 방식. 147편.
25번 포트: ISP가 이메일 연방을 포기한 날
집 인터넷 회선에서는 메일 서버를 돌릴 수 없다. SMTP가 1982년에 태어난 그 포트는 대부분의 소비자 네트워크에서 막혀 있다 — 그리고 그 조용하고 전적으로 정당했던 방어가, 피어끼리 주고받는 시스템으로서의 이메일을 끝낸 장본인이기도 하다.
SPF ~all vs -all: 소프트페일 전염병
아주 많은 도메인이 SPF 레코드를 ~all로 끝낸다. 실패한 메일을 받아들이라는 뜻이다. SPF 혼자서는 스푸핑을 막을 수 없게 만드는, 안전해 보이는 기본값이다.
DKIM 리플레이: 유효한 서명은 동의가 아니다
2025년 4월, no-reply@google.com에서 유효한 Google DKIM 서명과 DMARC 통과를 달고 피싱 메일이 도착했다. 아무것도 위조되지 않았다. 그게 바로 DKIM의 문제다.
BIMI: 그 브랜드 로고는 연 1,000달러의 값을 하는가
받은편지함의 로고는 매년 네 자릿수 비용이 든다 — 프로토콜이 비싸서가 아니라, 두 메일 사업자가 당신과 그림 한 장 사이에 인증기관을 세우기로 결정했기 때문이다.
SMTP 스머글링: SPF와 DMARC를 통과한 위조 메일
2023년 12월, 한 연구자가 microsoft.com 같은 도메인을 사칭한 위조 메일을 보냈고 그 메일은 SPF와 DMARC를 통과했다. 인증을 깬 게 아니다. 수신 서버가 한 통의 메일을 두 통으로 읽게 만들었다.
"그냥 DMARC 추가하세요"는 최악의 조언이다
DMARC 레코드를 올리는 건 쉬운 5%다. 스푸핑을 실제로 막는 나머지 — alignment, 리포트 읽기, 집행까지의 느린 걸음 — 를 조언은 통째로 건너뛴다.
이메일이 슬랙보다 안전하다
모두가 슬랙을 이메일의 현대적이고 안전한 후계자로 취급한다. 하지만 슬랙 상위 요금제에서 조직 소유자는 당신이 보낸 모든 DM을 — 보존 설정이 남겨 두고 있다면 수정·삭제 기록까지 — 내보낼 수 있고, 슬랙은 그걸 할 평문을 쥐고 있다. 이메일의 전송 계층은 1982년산 재앙이다. 그런데도 이메일이 슬랙은 구조적으로 줄 수 없는 것을 준다: 보관 주권(custody). 아무도 변호하지 않는 매체를 위한 변론.
이메일은 고칠 수 없다
SMTP는 1982년, 모두가 서로를 믿던 네트워크를 위해 설계됐다. 그 이후 우리가 원한 모든 보안 속성 — 누가 보냈는지 아는 것, 전송 중 암호화 — 은 교체할 수 없는 프로토콜 위에 선택적 패치로 덧붙여졌다. 이건 아직 못 고친 버그가 아니다. 이것 자체가 이메일의 생김새다.
DANE: 웹에서 실패하고 이메일에서 이긴 프로토콜
다들 DANE은 죽었다고 한다 — DNSSEC 뒤에 발이 묶여 아무도 안 쓴 아름다운 프로토콜. 그 판정은 미국식이다. 네덜란드에선 의무고, 마이크로소프트는 Exchange Online에서 검증하고, 웹에선 정말로 죽었다. 같은 프로토콜, 세 갈래 운명.
MTA-STS: 아무도 모르는 이메일 보안 프로토콜
SMTP 암호화에는 트럭이 지나갈 만한 구멍이 있다: 경로상의 공격자가 STARTTLS를 벗겨내고 메일을 평문으로 읽을 수 있다. MTA-STS가 그걸 막는다. 그러려면 웹 페이지를 하나 띄워야 하고, 그래서 거의 아무도 안 했다.
SMTP relay는 2026년에 실제로 어떻게 작동하는가
1982년엔 모든 메일 서버가 아무한테나 relay해줬다 — 그게 설계였다. 지금은 모르는 사람한테 relay해주면 점심도 되기 전에 블록리스트에 오른다. 'relay'라는 단어는 살아남았고, 그 아래 모든 게 뒤집혔다.