[기자수첩] 'SNI 감청' 억울하다는 방통위, '국민 의혹' 해소해야

방송통신위원회가 불법정보 유통금지를 위해 듣기에 생소한 'HTTPS SNI 필드 차단'을 도입했다고 발표한지 며칠 째다. 주초부터 이를 알아차리고 차단 정책에 반대한다며 청와대 국민청원 홈페이지에 올라온 글에 참여한 사람이 15일 오후 5시 현재 20만명을 넘었다.

국가 검열 시도에 이용 가능한 감청 기법을 HTTPS에 적용, HTTPS를 차단하는 걸 반대한다는게 청원 요지다. 합법저작물 불법복제판이나 성범죄 불법촬영물 유통을 막겠다는 좋은 의도와 별개로, 언젠가 여론 통제에 동원될 위험이 큰 시도라는 지적이다.

방통위는 '감청 운운'을 극구 부인한다. 이미 노출된 정보를 이용할 뿐 보안이 필요한 통신내용을 엿듣는 감청이 아니라는 것이다. 또 이미 HTTPS 암호화통신 내용의 감청은 기술적으로 불가능하고, 심의 대상에 내린 차단 명령을 통신사업자가 실행해 정부 의도가 낄 여지가 없다고 설명한다.

방통위가 방심위 의결 해외 불법사이트 대상으로 HTTPS SNI필드 차단방식을 도입했다. 암호화된 패킷내용을 들여다보는게 아니라 접속하려는 사이트 정보를 바탕으로 연결을 막는 것인데, 이를 근거로 방통위는 검열이나 감청이 아니라 주장하고 비판하는 쪽에선 프라이버시 침해 우려가 크고 실효성이 없을뿐아니라 감청에도 해당한다고 지적하기도 한다. [사진=Pixabay]

SNI 차단은 감청이 아니라는 방통위 설명은 보기에 따라 사실일 수도 아닐 수도 있다.

먼저 HTTP 통신은 웹서버와 브라우저가 주고받는 정보를 암호화하지 않은 값, 즉 '평문(plain text)'으로 노출한다. 웹서버가 보낸 HTML 문서뿐 아니라 방문자가 온라인으로 입력하는 아이디, 패스워드, 신용카드정보, 실명, 주민등록번호 등 유출되면 안 될 정보라도 예외가 없다.

인터넷은 송수신자 사이에 정보를 중개하는 불특정 다수에 의존하는 구조다. 여기서 HTTP 방식으로 통신하면, 나쁜 마음을 먹은 누군가 타인의 명의를 도용하고, 이익을 가로채고, 가짜 메시지와 기록을 만들 수 있다. 이런 HTTP 통신의 허점을 보완하기위해 HTTPS 방식이 나왔다.

HTTPS 방식은 HTTP 통신을 암호화한 것이다. 누군가 중간에 엿보거나 가로챈 정보에서 내용을 읽으려 해도 암호화돼 알아볼 수 없다. 그런데 HTTPS 방식으로 송수신되는 정보 중 예외가 있다. HTTPS 암호화통신을 '시작하려는' 방문자가 웹사이트 쪽으로 보내는 접속요청이다.

이 암호화되지 않는 접속요청 정보가 바로 SNI다. SNI는 '서버이름지시(Server Name Indication)'를 줄인 약어다. HTTPS 통신 초기 단계에, 방문자가 '나랑 암호로 얘기하자'고 보내는 정보 중 한 자리를 차지하고 있다. 이 자리의 값을 보고 필요시 차단하는 게 바로 'SNI 차단'이다.

요약하면, 방통위는 HTTPS 암호화통신을 본격 개시하기 전에 오가는 SNI 정보를 새로운 차단 기준으로 삼았다. 이는 SNI가 적힌 자리의 값을 컴퓨터가 읽어서 막는다. 사람이 방문자와 웹서버간 주고받은 '내용'을 어떻게 하는 게 아니니, 누가 의도를 갖고 감청하는 게 절대 아니라는 게 방통위 입장이다.

여기까지 확인된 내용만 보면 방통위는 사실대로 얘기했다. 실제 웹서버 도메인명은 외부에 당연히 알려져야 하는 정보다. 도메인이 없으면 인터넷에서 그와 연결된 IP주소를 아는 사람만 웹사이트에 방문할 수 있다.

하지만 의구심은 계속 남는다. SNI 특성 때문이다. SNI라는 값은 그냥 도메인명이 아니다. 방문자의 행적을 추적할 수 있는 단서가 되기 때문이다. 염두에 둘 점이 또 있다. 자동화 시스템을 통해 SNI를 차단하는 것과 감청의 경계가

기술적으로 뚜렷하지 않다는 점이다.

취재 초기, 정부가 감청을 시도했거나 하고 있다고 문제 삼는 일반인 가운데 이를 기술적으로 이해하지 못해 불안해하는 사람이 많을지 모른다고 생각했다. 하지만 지난 며칠 취재 결과 반대였다. 기술을 잘 이해하면 할수록 방통위 조치를 문제시하는 경향을 보였다.

통신사업자 인프라에서 SNI 필드 값을 기준으로 누군가의 HTTPS 암호화통신을 차단한다는 것은, 최소 두 가지 정보가 본래 인터넷서비스와 다른 목적으로 처리된다는 의미다.

하나는 모든 회선 이용자의 접속요청, 또 하나는 그중 차단될 SNI를 포함한 접속요청이다.

그리고 방통위의 명령에 따라 이 정보를 다루려면, 통신사는 역시 본래 서비스 목적과 별개로, 최소 두 가지의 기술 수단을 구축하고 관리해야 한다. 패킷을 복제하는 장비와, 복제된 패킷의 SNI 값을 확인해 차단목록과 대조하고 그 원래 패킷을 제어하는 '필터링시스템'이다.

지난 14일 방통위가 발표한 해명자료의 'SNI 필드 접속차단 흐름도'에서 국내ISP의 '국제관문국'에 연결되는 '차단시스템' 및 '차단목록DB'로 표현된 구성요소가 이 필터링시스템에 해당한다. 왜인지 그림에 표현되지 않았지만, 이 시스템 구성엔 패킷을 복제하는 장비가 한 세트다.

여기서 패킷(packet)은 온라인서비스에서 주고받는 정보를 통신장비가 처리할 수 있게 잘게 쪼갠 데이터 조각이다.

그리고 네트워크에서 흘러다니는 패킷을 당사자 모르게 복제하고 다른 곳에서 재조합해 그 내용을 알려는 시도가 기술적인 의미의 '패킷감청'이라고 할 수 있다.

방통위 명령에 따르는 통신사들이 갖췄다는 차단시스템의 실제 형태와 구성까진 알 수 없다. 다만 최근 대화해 본 네트워크 보안 전문가의 견해에 따르면, 이런 차단시스템의 역할은 '액티브 (패킷) 필터링'인데, 액티브 필터링 중인 네트워크 장비는 그대로 감청에 쓸 수 있다.

물론 이론적인 얘기다.

실제로 쪼개진 패킷을 모아서 재조합해 내용까지 읽으려면 여건을 더 갖춰야 한다. 단순한 차단 목적의 시스템보다 더 막대한 데이터 저장공간과 처리성능을 갖춘 시스템을 추가로 필요로 할 수 있고, 실행시 서비스에 성능이나 품질 이상을 초래할 수도 있다.

하지만 이 실행하기 어려운 '가능성' 조차도 문제다. 사람들은 방통위와 통신사가 감청할 의지가 있으면 그렇게 할 수 있다는 점을 우려한다. 차단해야 할 마땅한 불법정보를 접근하지 못하게 한다는 명분을 아무리 내세워도, 지금이든 나중에든 보이지 않게 일을 저지를 수 있을 거라는 의심을 한다.

왜 이런 의심을 할까. 두 가지를 짐작해 본다.

하나는 엄밀한 기술적 사실을 외면한 채 법적인 의미의 감청이 아니라는 주장만 반복하며 비판을 회피하려는 방통위 태도에 있다. 앞서 지적한 것 처럼, 정부는 기술적으로 감청 가능한 수단을 통신사에 갖추토록 강제하고 있고, 해외에서 이는 실질적인 인터넷 감청 및 검열로 인식된다.

또 하나는 제도다. 방통위는 통신사에 차단시스템을 갖추게 만든 근거로 '정보통신망법 제44조의7(불법정보의 유통금지 등)'을 내건다. 이 조항은 차단할 수 있는 '허용되지 않는 정보'를 꼼꼼히 열거한 반면, 그 기술적 수단을 통제할 근거는 담지 않았다.

이 조항의 큰 틀은 지난 2008년 6월 13일 전문개정을 통해 만들어졌다. 그런데 법이 만들어진지 거의 11년동안 조치할 대상만을 꾸준히 다듬어왔을 뿐, 조치 수단을 어떻게 통제 및 감시하고 또 투명하게 관리할 것인지 고려한 흔적이 없다.

법 시행령과 시행규칙 내용도 마찬가지다. 이 44조의7과 관련한 시행령은 44조의7 제4항 제2호에서 위임한 내용이다. 이는 문제가 되는 정보의 처리 정지를 명령할 대상자에게 의견제출 기회를 안 줘도 되는 '제35조(의견제출의 예외사유)' 뿐이다.

요컨대 법 조항, 시행령, 시행규칙을 통틀어 봐도 정부의 기술 수단 남용 방지와 투명성 확보를 보장할 장치가 없다.

방통위는 지난 10여년간 IP주소, DNS, URL 차단 도입과 실행에 별다른 제도적 저항을 겪은 바 없고, 그래서 HTTPS SNI 차단도 '적법'한 수단쯤으로 여겼음직하다.

궁극적으로 불법사이트 차단 정책을 폐기하는 게 옳더라도 '감청' 같은 프라이버시 이슈를 촉발 할 수 있다면 이를 실행하기에 앞서 사회적 논의를 하는 것이 필요하다. 즉, 전문가 집단이 먼저 차단정책에 따른 실제 범죄 피해 감소 효과를 낱낱이 분석하고, 통신사에 내린 차단 명령의 실행 현황과 이력을 감시해 투명하게 공개하는 등의 사회적 장치가 먼저 요구된다.