폴리필 공격의 정체는 도메인 매매였다
뚫린 서버는 없었다. 2024년 2월 어떤 회사가 polyfill.io 도메인을 샀고, 넉 달 뒤 그 도메인은 10만 개가 넘는 사이트에 조용히 악성코드를 뿌렸다. 공격은 곧 그 구매였다.
블로그
프로토콜, 보안 사건, 그리고 인터넷이 실제로 작동하는 방식. 147편.
이메일 인증은 더 이상 선택이 아니다
20년 동안 SPF·DKIM·DMARC는 무시해도 되는 권고였다. 그러다 14개월 만에 지메일·야후·아웃룩이 그것을 입장료로 바꿨다 — SMTP는 1바이트도 건드리지 않고.
DNSSEC 채택률은 레지스트리 할인 지도다
.nl 도메인은 60% 안팎이 DNSSEC를 켜는데 .com은 4%쯤이다. 프로토콜 때문이 아니다. 돈을 따라가라 — 채택률은 레지스트리가 등록기관에 서명 값을 치르는지를 따라간다.
인터넷은 이제 손상을 우회하지 않는다
대륙 간 데이터의 99%는 몇백 가닥의 해저 케이블을 타고 몇 안 되는 병목을 지난다. 하나가 끊기면 우회할 길이 없다 — 배를 기다릴 뿐이다.
security.txt: 아무도 읽지 않는 표준
RFC 9116이 나온 지 4년, security.txt를 게시한 사이트는 대략 100곳 중 1곳 — 그나마도 상당수는 필수인 만료일을 빼먹었거나 이미 넘겼다. 이 표준이 실패한 건 나빠서가 아니다. 텍스트 파일 하나로는 그것이 대신 서 있는 그것, 제보를 실제로 읽을 사람을 만들어낼 수 없기 때문이다.
25번 포트: ISP가 이메일 연방을 포기한 날
집 인터넷 회선에서는 메일 서버를 돌릴 수 없다. SMTP가 1982년에 태어난 그 포트는 대부분의 소비자 네트워크에서 막혀 있다 — 그리고 그 조용하고 전적으로 정당했던 방어가, 피어끼리 주고받는 시스템으로서의 이메일을 끝낸 장본인이기도 하다.
ROBOT: 19년 만에 돌아온 공격
1998년 블라이헨바허가 TLS의 RSA를 깼다. 그 '수정'은 취약한 우회책이었고, 2017년 상위 100대 도메인 중 27곳에서 다시 깨졌다.
루트 키가 처음으로 바뀌던 날
8년 동안 서명된 DNS의 보안 전체가 단 한 번도 바뀐 적 없는 키 하나에 매달려 있었다. 2018년 마침내 그 키를 교체했을 때, 무서웠던 건 암호학이 아니라 — 어느 리졸버가 따라올 준비가 됐는지 아무도 볼 수 없다는 사실이었다.
8분간 이어진 1.35Tbps 공격
2018년 2월 28일, GitHub은 당시 사상 최대인 1.35Tbps DDoS를 견뎠다. 이 무기를 만든 봇넷은 없었다. 열린 채 방치된 memcached 서버와, 인터넷이 2000년부터 고치기를 거부해 온 라우팅 결함으로 조립된 것이었다.
NAT: 인터넷을 삼켜버린 임시방편
1994년 NAT는 IPv6가 나올 때까지 시간을 버는 단기 패치로 제안됐다. 30년 뒤 그것은 없으면 안 되는 인프라가 됐고, 인터넷의 설계 원칙을 조용히 지웠으며, 너무 잘 작동한 나머지 자신의 대체제까지 지연시켰다.
카민스키 버그: DNS가 무너질 뻔한 날
2008년, 연구자 한 명이 인터넷의 어떤 도메인이든 몇 초 만에 위조하는 법을 찾아냈다. 해결책은 새 프로토콜이 아니라 25년 된 설계에 덧댄 16비트의 무작위성이었고, 우리는 아직도 거기 기대고 있다.
미라이: 카메라로 만든 봇넷
2016년, 가정용 카메라와 DVR로 만든 봇넷이 인터넷의 한 조각을 마비시켰다. 대단한 취약점을 찌른 게 아니다. 공장 초기 비밀번호로 그냥 로그인했다.