TLS 패킷은 sir.kr로 접속하고 있다는 것을 SNI 필드는 평문으로 노출하게 되죠. 그래서 현행 SNI 필드를 이용한 HTTPS 차단 방식은 모든 TLS Handshake 패킷을 까본 뒤, SNI 필드의 도메인 값이 차단 대상이면 차단시켜버리는 방식으로 작동합니다.

이런게 감청이 아니고 뭘까요? 애당초 sni 는 평문이기 때문에 변조에 취약하다는 단점이 있습니다. 이런 단점을 이용해서 패킷을 들여다보는 것이 감청이 아니라고요? HTTP에서 왜 HTTPS 로 바뀌었다고 보시나요? 그냥 폼나게 S 하나 더 붙인건가요??

DNS over HTTPS 가 있는 이유는 DNS privacy 침해를 허용하지 않기 위해서 입니다.

그리고 sni 가 왜 평문인가라고하면 어떤 IP 주소에 여러 도메인이 할당 (가상 호스트)되어 각각 별도의 인증서를 사용하는 경우, Handshake 중에 어떤 도메인에 연결 요청을 보낼지에 대해서 서버는 클라이언트에서 가르쳐주지 않으면 적절한 인증서를 선택할 수 없기 때문입니다.

또한 TLS 1.3을 통한 ESNI가 제안되는 이유도, 이런 평문인 SNI 를 보호하기 위함 입니다. SNI를 통한 변조, 감청, 스푸핑을 방지하기 위해 ESNI가 거론되는 마당에, SNI를 차단에 이용한다? 외국에 있는 개발자들 대부분이 비웃습니다. poor korean이 그냥 나온 게 아니예요.

애당초 SNI는 차단을 위한 매개체로 만들어진 것이 아닙니다...SNI 필드를 이용해서 차단을 한다는 발상자체가 대단히 미개한 생각입니다...보안 헛점을 이용한 해킹이나 다름없는데, 이 행위 자체로 인해 자칫 방심위에 유리한 선례가 기록 될 지도 모를 일입니다.

그리고 이번 방심위의 선례로 인해 많은 것이 달라질 겁니다. 우선 ISP 업체들은 인터넷 서비스를 제공하는 동시에 이용고객에 대해서 어떤 'profiles'이 굳이 필요하지 않더라도 ISP 업체에서는 방심위의 선례로 인해 ISP 업체를 이용하는 사람들에 대한 온라인 활동 'profiles' 을 만들 수 있는 권한을 부여받았다고 착각할테니까요. 그리고 이것은 정당하다 라는 뉘앙스를 띄겠죠.

그러니까 sni 는 ISP 업체들이 저런 'profiles' 을 충족시키기 위해 사용할 수 있는 중요한 정보 출처 중 하나거든요. 그리고, 우리나라 정부에선 너희들이 온라인 활동을 통해 얻어지는 메타데이터 같은 sni 정보를 수집하는 것을 법적으로 정당화 하려고 하겠죠. 여기까지가 팩트입니다.

sni 패킷 감청은 이제부터 시작 입니다. 러시아도 그렇고, 미국은 아예 ISP 업체가 개인 데이터를 수집하는데 있어서 아무런 규제사항이 없습니다. 지금 우리나라도 이런 꼴이 나는 단계 중 하나를 건너 왔을 뿐이예요.

그리고 제 17차 유엔 인권이사회의 한국발표에서 유엔 특별보고관인 프랑크 라 뤼(Frank La Rue) 보고서는 실제로 있었던 사건을 위주로 작성되었고, 방심위는 민간독립기구로 정의되고 있지만 방심위의 결정이  자의적이고, 정치적인 영향을 받는다는 내용은 허구가 아닙니다. 실 사례를 모아서 그런 근거자료들을 바탕으로 나온 보고서이기 때문에 신빙성 여부는 굳이 들먹이지 않아도 될 정도 입니다.

선정 주체인 방심위가 절대적인 민간독립기관이라고 장담하실 수 있다면, 그런 사례가 있다면, 꼭 좀 알려주시기 바랍니다. 방심위는 정부나 주무부처 등 다른 기관으로부터 영향을 받을 소지가 있기 때문에 더욱 더 방심위에서 진행하는 것은 옳지 않습니다. 방심위가 "응 그래 우리는 절대 너네들의 데이터로 악용하지 않아" 이 말은 누가 쉽게 믿을 수 있을까요? 유럽에서 GDPR은 그냥 다시한번 확고하게 기반을 마련한 것 뿐입니다. 유럽은 이미 개인정보보호에 관해서는 우리나라와는 수준이 틀립니다. 내가 해커에게 털리는 정보로 인한 두려움보다, 내가 가입한 서비스 제공자의 정보유출, 관리미흡으로 인해 해커에게 털리는 것을 더욱 더 두려워 합니다. 왜 그럴까요? 첫째로 그런 전례들이 수없이 있어왔기 때문이고, 둘째로 국내 기업들 과징금 물어봤자 솜방망이 수준입니다. 그리고 개인은 피해보상을 받기는 커녕 그냥 사과문만 보는 것으로 퉁치는 게 작금의 대한민국 입니다. 이전에도 지금도 꾸준히 국내 서비스 제공자에 대한 근거있는 불신이 가득한 나라에서, 이런 나라에서 방심위의 의도를 순수하게 믿으라는 것은 매우 순진한 생각 입니다.

http://guatemalademos.org/relatoria/dr-frak-la-rue/ (프랑크 라 뤼 그는 누구인가?)
http://ap.ohchr.org/documents/sdpage_e.aspx?b=10&se=116&t=9 (제 17차 유엔인권이사회 보고서)
http://act.jinbo.net/wp/6393/ (보고서 요약 및 NGO 번역본)

국회의원에게 자유한국당은 왕따 입니까? 라고 하니, 명예훼손으로 고소 받는 미친나라가 대한민국 입니다. ( https://www.youtube.com/watch?v=2bVhNMjeuv0 ), 공익을 위한 제보를 해도 사실적시 명예훼손으로 고소를 당하는 일은 허다합니다. 오히려 처벌수위를 높인다는 얘기가 최근에 들려오더군요. 정부에 대한 비판도 자유롭게 하지 못하도록 명예훼손으로 옥죄고 있는, 표현의 자유를 억압하는 이런 나라에서 방심위를, 그간 전력이 있는 방심위를 쉽게 믿는다는 것이 가능할까요?

- 새창으로 보기 -
https://i.imgur.com/bYBs0Uw.png

쉽게 풀어보자면 이렇습니다. 취지나 의도는 좋습니다. 그러나 방법이 잘못된 겁니다. 빈대 잡으려고 초가삼간을 태운다 라는 속담이 있습니다. 왜 sni의 평문을 뒤집어 까서 차단하는 방식을 채택한 걸까요? 그건 가장 쉽게 가는 방법이니깐 그렇습니다. 일일이 손으로 빈대를 잡으려면, 오래걸리고 귀찮거든요. 그리고 그런 인력도 부족하고요. 그래서 그냥 전부 불태워버려서 전부 때려잡는 거죠.
결국 sni 필드를 통제해서 차단하는 겁니다.

sni 필드를 통해서 알아내는 것은 ip나 클라이언트의 정보, 내가 접속할 사이트 말고는 털리는 정보가 없는데 무슨 호들갑이냐 라고 하는게, 옹호하시는 분들의 공통적인 주장이죠. 근데, 이런 정보가 쌓이고 쌓이면서, profiles 화 된다라는 것은 아무도 생각을 못하시는 것 같습니다. 이런 profiles 화 된 개인의 정보가 체계화를 갖춰 빅데이터화 된다면,

이 정보의 관리주체가 정치적인 영향력이 미치는 기관에게 권한이 있기 때문에 결코 간과할 수 없는 일입니다.

@사랑은봄비처럼
감청:기밀을 보호하거나 수사 따위에 필요한 참고 자료를 얻기 위하여 통신 내용을 엿듣는 일.

기밀인가요? 기밀이라면 기밀 등급으로 나눌텐데 과연 SNI필드 패킷이 그 자체만으로 가치가 있는 정보인가도 생각해봐야 하는 문제고 이 패킷 정보를 이용해 크로스 채킹을 하지 않는 이상 이 기밀에 가치는 치과 정보 만도 못 되는 등급이겠죠.

통신사 가입과 함께 우린 이미 사회 안전망에 의지 한채 실시간 개인 정보를 모두 내어 주고 있다고 해도 무방합니다. 기밀이라면 기밀에 가치를 매겨 이 패킷에 대한 사회 안전망이나 국민 개인의 방어기재는 어떠한 것이 있냐에 대한 논란이라면 적극 환영하겠는데 이미 사방 팔방 실시간으로 개인정보를 내어 주고 있는 마당에 이제와서 정부기관 불신을 전제로 감청이니 사생활 침해니 하는 문제 재기가 합리적인지 의문이네요.

아주 작은 단위에서 생각해보자면 SIR.KR이용시 님의 현재 위치 정보는 냑의 감청일까요? 아주 사적인 공간인 쪽지는 암호화 처리가 되어져 있을 까요? 그럼에도 불구하고 "냑이 나를 감청한다!"라고 문제를 삼지 않습니다. 하물며 정부기관인데 사찰을 전제로 불법이라 하고 영장발부를 전제로 감청이라하면 앱을 포함한 의료정보를 포함한 또는 다른 그 모든 정보는 왜 동의하고 문제를 삼지 않을까요.

편리, 공공성, 사회안전망 등등을 전제하기에 또는 정부라는 국가 최고 기관을 신뢰하기에 그런거죠?

신뢰하지 않는다. 라고 하시면 더 드릴 말이 없습니다만 설령 제가 감.도청을 한다고 해도 SNI패킷 따위를 얻어 다른 정보와 크로스 채킹하는 일은 없을 겁니다. 실시간 정보 열람이 가능한데 어렵게 영장 발부받아 더 어렵게 다른 데이터와 조합해서 크로스 채킹을 하고 하는  감.도청을 할 필요가 없다는 것이죠.

DNS, SNI 차단을 외국인이 비웃는다 하셨는데 사회 안전망은 확대하고 보안하고 지속적인 노력이 필요한 사업이고 정책입니다. 아무 제재없이 리벤지 포르노가 만연한 사회가 미개한 것이죠? E-SNI가 나오면 무용한 정책을 왜 펴냐?라 물으신다면 화장실 물은 왜 내려야합니까?라고 묻고 싶습니다. 똥기계가 똥을 버리면서 만들고 버리고를 반복하는 일, 논란의 가치가 없죠.

이슈나 논란을 삼는다면 왜?라고 묻고 대책내놔!라 해야겠죠. 정부에 물어 보세요. 그럼 내 정보에는 어떠한 제도적 롹이 걸려 있어 안전한지를? 이미 있습니다. 다만 그간의 정부들이 권력 호구를 위해 영장을 남발해서 그게 문제 였던 것이죠.

좀 가치있는 토론이 되었으면 하고 SNI 패킷 이용이 부당하다면 다른 대안이 있냐라고도 묻고 싶군요. 그냥 "응~ 너희들은  미개한 한국정부이니 그 무슨 짓도 하지마?"라는 식이면 곤란하구요.

이 이슈나 논란에 그래서?는 없고 했지? 할거지? 했네~했어~만 있는 실정이 안타깝습니다.

@묵공 감청(監聽)이란 전기통신에 대하여 그 당사자인 송신인과 수신인이 아닌 제3자가 당사자의 동의를 받지 않고 전자장치등을 이용하여 통신의 음향, 문언, 부호, 영상을 청취, 공독하여 그 내용을 지득하는 등의 행위를 뜻한다.

@묵공 디지털 통신의 암호화를 보장해야 한다는 것이 국제적인 흐름이다. 세계인권선언 제12조는 “어느 누구도 그의 … 통신에 대하여 자의적인 간섭을” 받지 않으며 이로부터 “법의 보호를 받을 권리를 가진다”고 선언하고 있으며, 시민적 및 정치적 권리에 관한 국제규약 제17조는 “어느 누구도 그의 …통신에 대하여 자의적이거나 불법적인 간섭을” 받지 않는다고 하고 있다. 이에 대해 작년 7월 유엔인권최고대표는 “디지털 시대의 프라이버시권”이라는 보고서에서 디지털 통신 감청은 프라이버시권만 아니라 표현의 자유, 집회와 결사의 자유 등에 영향을 미치며, 기업에게 감청설비 의무를 지우는 법은 “싹슬이(sweeping) 감시 조치를 촉진하는 환경을 낳기 때문에” 특별히 우려된다고 한 바 있다. 또한 유엔 표현의 자유 특별보고관은 올해 5월 발표한 보고서에서 디지털 통신에서의 암호화와 익명성은 프라이버시권뿐만 아니라 표현의 자유 보장을 위해 강하게 보호되어야 한다고 하면서, 특히 국내 법은 국민들이 통신의 프라이버시를 보호하기 위해 암호화 기술이나 도구를 사용하는 것을 승인해야 한다고 권고했다. 이처럼 통신의 암호화는 오늘날 매우 중요한 인권인 프라이버시권과 표현의 자유의 수호자로서 쉽게 양보되어서는 안 된다.

범죄를 예방하고 진압하기 위해서는 “익명성이 제거되고 투명화가 이루어져야 한다”는 주장도 있으나, 이는 모든 사람이 잠재적인 범죄자이기 때문에 감시할 수 있어야 한다는 주장과 다를 바가 없다. 또한 우리나라에서 감청의 90% 이상이 국정원에 의해 이루어진다는 통계는, 일반적인 범죄의 수사는 감청이라는 극단적인 수단을 사용하지 않아도 된다는 반증이다. 게다가 불과 몇 달 전 국정원이 해킹팀의 감청프로그램 RCS(Remote Control System)를 구입해서 사용해왔다는 사실이 밝혀졌다. 하지만 이런 불법적 감청에 대한 제대로 된 통제수단도 존재하지 않는 상황이다. 여기에 카카오톡 감청법까지 입법된다면 우리나라에서는 통신의 비밀을 지키는 것이 불가능해진다.

그리고 다른 나라에서 시행되고 있는 인터넷망 감청의 경우 미국, EU 등에서는 사업자가 준수해야 할 감청 기술 표준을 정해 보급하고 있다. 이런 표준도 정해지지 않은 상황에서 의무를 지우고 이행강제금까지 감수하게 하는 것은 사업자의 영업수행의 자유를 심각하게 제약하게 된다. 또한 범죄의 수사라는 국가의 역할에 대한 부담을 사업자에게 전가시키는 것이며, 사실상 사업자에게 잠재적 범죄자를 찾아내야 할 의무이자 권한을 넘겨주는 것이다. 이에 더하여 한국에만 존재하는 갈라파고스적인 제도는 해외 사업자에게는 적용하기 어려워 역차별 문제가 발생할 뿐만 아니라, 국내 사업자의 기술에 대한 제한으로 작용하며 관련 산업계에도 부정적인 영향을 미친다는 점도 고려되어야 할 것이다.

https://opennet.or.kr/10799

@묵공

@사랑은봄비처럼 의견 존중합니다. 그냥 제 의견도 있다는 댓글이었구요.

http://naver.me/Fmb5pdS0

다만 제가 우려하는 바는 위 좌표의 댓글에 있습니다. 프레임이 가동 되었다는 것이죠. 마땅한 대안도 없는 사안입니다. 그렇다고 규제를 하지 말아야 할까요. 이미 발생한 피해자를 뒤로 하고 미래에 발생될지 모르는 그 가능성 때문에 이 문제를 외면한다면 시도조차 하지 않은 무능한 사회이지 않을까요. 왜 디도스가 아직까지 유용할까를 생각하면  이 네트워크 문제에 대한 대안이란게 정말 협소합니다.

초가 삼간을 태우더라고 막을 수만 있다면 막아야 하지 않을까요..
무작정 태우기만 하지 않습니다..
정부에서 발표를 하는 것은 다 문서입니다...
이걸 시행하는 사람들이 기술자 들이구요 문서의 글자 그대로만 해석해서 이해 한다면 뭘 할수 있겠습니까?

일단 취지는 막자는 것이고 방향을 이것저것 해보다 보면 좋은 방향이 나오겠죠 모든 프로그램 시행방법을 글로 작성할수가 없잖아요...

저는 그렇게 이해 하고 있습니다...
하다 보면 좋은 방법을 찾을 겁니다..시작한다는 취지가 좋잖아요..