HTTPS 프로토콜을 이용하는 유해 사이트 접속을 막기 위해 정부가 새로운 차단 방식을 적용하면서 패킷 감청 논란이 뜨겁다. 온라인상에서 갑론을박이 벌어지고 있는 가운데 보안전문가 사이에서도 패킷 감청을 두고 의견이 갈렸다.
방송통신위원회는 11일부터 불법 음란물·도박 관련 해외 웹사이트에 서버네임인디케이션(SNI) 필드 차단을 적용했다. 우선 895개 웹사이트를 차단했다. KT를 시작으로 LG유플러스, SK브로드밴드, 삼성SDS, KINX, 세종텔레콤, 드림라인 등 7개 주요 인터넷서비스제공사업자(ISP) 인터넷망을 대상으로 한다.
기존에 HTTPS 프로토콜로 우회 접속이 가능하던 웹사이트가 차단되면서 온라인에서는 과도한 규제라는 불만이 쏟아졌다. 인터넷 검열로 이어질 수 있다는 우려가 높아지면서 정책에 반대하는 국민 청원 참여자가 17만3000명(14일 오후 2시 기준)을 돌파했다.
이번에 유해 사이트 접속 차단에 쓰인 SNI 기술은 2000년부터 사용자가 원하는 도메인 연결에 쓰였다. 접속 과정에서 다수 도메인을 관리하는 서버를 경유하는 경우 사용자가 원하는 도메인 주소가 기재된 SNI 필드를 확인, 해당 웹사이트 인증서를 제공하는 방식이다.
정보보안 전문가 A씨는 “SNI는 접속 차단에 쓰라고 만들어진 게 아니다. 기술이 전혀 다른 목적으로 쓰인다는 맥락에서 일종의 취약점 공격”이라면서 “접속 도메인을 확인 가능하다는 것은 곧 전 국민의 브라우저 히스토리가 노출된다는 의미”라고 꼬집었다. A씨는 “만약 정부 내부 이용자가 정부기관 발급 인증서까지 악용하면 이론상 해당 인증서를 쓰는 웹사이트를 전부 감청할 수 있다”고 덧붙였다.
시민단체 오픈넷은 “접속 차단이 곧바로 개별 이용자 패킷이나 접속 기록 내용을 직접 들여다보는 감청으로 이어지는 것은 아니지만 이용자의 패킷을 읽고 '송·수신을 방해'하는 형식의 감청으로 해석될 여지는 있다”고 설명했다.
이번 조치가 과도하지 않다는 주장도 있다. 또 다른 정보보안 전문가 B씨는 “HTTPS는 보안이 취약한 HTTP를 대신하기 위해 나왔지만 대다수 유해 사이트까지 이를 악용, 차단이 어렵다”면서 “SNI 필드를 확인하는 방법이 최선”이라고 말했다. B씨는 “SNI 필드에는 시닷컴(C.com)과 같은 도메인명만 나오고 C.com/d나 C.com/e 등 하위 경로까지는 확인되지 않는다. 감청에 해당되느냐는 법적 해석 문제고, 기술적으로는 정교한 차단이 아니다”라고 부연했다.
방통위는 감청 논란에 적극 대응했다. 방통위는 통신비밀보호법상 감청이란 암호화돼 송수신되는 전기통신 내용을 열람 가능한 상태로 전환해서 내용을 파악하는 것이라고 설명했다. 암호화되지 않고 그대로 노출된 SNI 필드 영역은 통신비밀보호법에서 보호하고자 하는 통신 비밀에 해당하지 않는다고 강조했다. 방송통신심의위원회에서 심의·의결로 정한 불법 사이트를 ISP가 스팸 차단과 같이 기계적으로 접속 차단 조치할 뿐이라는 주장이다.
김재영 방통위 이용자정책국장은 “합법적인 성인물이나 성인영화는 차단하지 않는다. SNI 필드 차단은 명백한 불법 정보를 대상으로 한다”면서 “문재인 정부의 큰 국정 과제가 표현의 자유 증진이다. 검열이나 감청은 있을 수가 없다”고 말했다.
이 같은 논의와 별개로 온라인상에서는 이미 우회 방법이 넘쳐난다. 정보보안 전문가도 정부의 이번 조치가 미봉책에 그칠 것이라는 데 의견을 함께했다. B씨는 “일부 웹브라우저에 적용된 ESNI(SNI 암호화) 기능, 패킷 분할 전송 방법 등으로 이미 충분히 차단을 피할 수 있다”면서 “차단 기능을 개발하면서 고려했을 만한 부분인데 심사숙고하지 않았거나 급하게 개발이 진행된 것 같다”고 지적했다.
팽동현기자 paing@etnews.com
