저는 현재 정보보안분야에 종사중인 사람입니다.
금번 이슈에서 불필요한 억측이 우후죽순처럼 퍼져서 약간이나마 오해를 풀자는 의미로 글을 적어보고자 합니다.
먼저 말씀드리는 건, 저는 성인사이트를 차단하는 행위 자체에 대한 옹호를 하고자 함이 아닙니다.
저 역시 성인으로서의 자유는 충분히 누릴 수 있어야 한다고 생각하며,
과도한 억압이라고 생각하고 있습니다.
하지만 기술적인 부분에서 다수의 무지(외람된 말씀입니다만, 기술적인 부분이므로 무지라고 표현하겠습니다)를 악용한
악의적인 루머 유포가 되고 있는 듯 하여 이에 대해 반박하고자 합니다.
이를 위해 이번 SNI 필터링으로 인한 https 차단(이하 https 차단)에 대한 오해에 대해 설명하고자 합니다.
1. 현재 차단 방식에 대한 설명
먼저 https에 대해 간단히 설명하고자 합니다.
https는 쉽게 말하면 http를 암호화 시킨 프로토콜이라고 할 수 있습니다.
당연히 웹 사이트 열람 시 주고받는 정보를 보호하기 위한 조치로,
현재 대부분의 대형 사이트들은 전체 웹 서비스를 https로 제공하거나
로그인 등 중요 부분만을 https로 처리하기도 합니다.
이번 차단조치의 동작방식을 이해하기 위해서는 https의 연결 수립 과정을 이해하여야 합니다.
https는 http + ssl(또는 tls)의 조합으로 동작합니다.
네트워크에 대해 공부해 보신 분들은 아마 OSI 7 Layer나 TCP/IP 프로토콜 스택에 대해
공부해 보셨으리라 생각합니다.
OSI 7 Layer는 이론적으로 통신을 구현하기 위한 프로토콜 스택 모델이지만,
현재 사용중인 인터넷 환경에서는 이를 4계층으로 축소시킨 TCP/IP 프로토콜 스택 모델을 사용합니다.
두 모델의 가장 큰 차이점이라고 하면 OSI 5~7계층(Session, Presentation, Application)을
TCP/IP에서는 Application 계층으로 묶어 놓은 것이라고 볼 수 있습니다.
https 프로토콜은 TCP/IP 모델에서는 Application 계층에 해당되지만,
실제 조금 더 정확하게 나누면 http는 Application 계층으로,
ssl(tls)는 Session 계층으로 구분할 수 있습니다.
실제 암호화를 담당하는 부분이 ssl,
웹 서비스와 관련된 데이터는 http 이기 때문입니다.
여기서 SNI 차단은 ssl의 연결 수립을 위한 handshake 과정에서 차단을 수행합니다.
http가 아니라는 말씀을 드리고 싶습니다. 
현재 단계에서는 연결이 되지 않았기 때문에 웹을 통해 주고받는 정보는 전혀 전달되지 않습니다.
위에서 말씀드리지 않았지만, 실제 웹 사이트를 보기 위해 전송하는 패킷은 이미 전송되는 과정에서
수없이 일부가 벗겨지고 다시 씌워지는 과정을 반복합니다.
Ethernet 인터페이스를 사용하여 인터넷으로 데이터를 전달 할 경우
여러분이 전송하고자 하는 데이터(예를 들어 http)는 전송하기 위해 캡슐화(Encapsulation) 과정을 거칩니다.
물리적인 주소(MAC 주소)를 담당하는 데이터링크계층(OSI 2계층), 
논리적인 주소(IP주소) 정보를 담고 있는 네트워크계층 (OSI 3계층),
동일 호스트 내 서비스를 구분하기 위한 전송계층 (OSI 4계층) 등
각 계층에 해당하는 헤더(header)라는 정보를 덧씌워서 전송하게 됩니다.
반대로 전송과정에서는 필요에 따라 일부 헤더를 벗겨내고 다시 씌우게 됩니다.
그림을 그리기 용이하지 않아 이와 같은 구조를 간단히 설명하고 있는 아래 이미지를 참고하시기 바랍니다.
https://i.ytimg.com/vi/NSlWZreFHD8/maxresdefault.jpg
현재 SNI 차단은 이와 같은 구조에서 
실제 개인정보에 해당하는 http프로토콜(7계층)에서 생성되는 정보가 아닌 5계층 정도에 해당하는 
ssl의 연결 수립과정에서 발생되는 ssl프로토콜의 헤더를 열어보고 차단하는 정책입니다.
2. 개인정보사찰에 대한 우려
저는 개인정보 사찰에 대한 우려에 대한 제도적/기술적 가능성 여부에 대해 말해보고자 합니다.
https 프로토콜로 전송되는 데이터를 감청하기 위한 방식은 매우 제한적입니다.
첫 번째 방식은 https 프로토콜에 대한 중대한 보안 취약점을 통해 암호화를 풀어내는 방법입니다.
하지만 현재 사용중인 https 프로토콜에 대해 암호화를 쉽게 풀어낼 수 있는일반적인 취약점은 없는 것으로 알고 있습니다,
그렇다면 두 번째 방식은 MITM을 사용하는 방식입니다.
MITM은 Man in the middle 의 약자로, 흔히 중간자공격이라고 말하는 공격입니다.
조금 더 쉽게 설명하면, https 연결의 데이터를 훔쳐보기 위해
웹 서버와 클라이언트가 직접 통신하는 사이에 끼어들어서
웹서버에게는 내가 클라이언트인 것 처럼, 클라이언트에게는 내가 웹 서버인 것 처럼
양쪽을 모두 속이며 사이에 끼어드는 방식입니다.
여기서 잠깐 곁으로 새 나가는 것 같지만 https에서 암호화가 이루어지는 방식에 대해 설명하고자 합니다.
https는 암호화를 통해 데이터를 보호합니다.
그렇다면 이 때 암호화는 어떻게 이루어지는 걸까요?
암호화를 하기 위해서는 암호화를 하기 위한 키(Key)가 있어야 합니다.
문을 열 때 열쇠가 필요한 것과 같이, 암호화 및 복호화에는 반드시 키가 필요합니다.
이 키를 사용하는 방식은 크게 두 가지 방식이 있습니다.
첫 번째는 대칭 키 방식, 두 번째는 비대칭 키 방식입니다.
대칭 키 방식은 서버와 클라이언트가 동일한 키를 가지고 암호화 및 복호화를 수행하는 방식입니다.
이 방식은 짧은 길이의 키로도 안전하게 암호화를 수행할 수 있으며
암호화에 소요되는 연산이 간단하다는 장점이 있습니다.
하지만 서버와 클라이언트가 어떻게 안전하게 키를 공유할 것인가 하는 문제가 있죠.
이에 비해 비대칭 키 방식은 암호화/복호화에 사용되는 키가 서로 다릅니다.
보통 이 키를 공개키, 개인키 이렇게 부르고 있습니다.
동작 방식은 공개키로 암호화 한 데이터는 개인키로만 복호화 가능,
반대로 개인키로 암호화 한 데이터는 공개키로만 복호화 가능합니다.
그리고 이 방식은 키의 길이가 상대적으로 길어야 하며, 암호화/복호화에 조금 더 복잡한 연산이 필요합니다.
그렇다면 https는 이 중 어느 방식을 사용할까요?
정답은 '둘 다 사용한다' 입니다.
https는 대칭키를 안전하게 교환하기 위해 비대칭키 방식으로 초기 연결을 수행하는 방식을 사용합니다.
대칭키 방식이 훨씬 더 효율적인 암호화 방식이며,
비대칭 키 방식을 통해야지만 안전하게 네트워크로 대칭키를 공유할 수 있기 때문입니다.
https 연결을 최초 수행하게 되면 웹 서버는 클라이언트에게 '인증서'를 전달합니다.
웹 서버에서 전달된 인증서에는 웹 서버의 공개키가 들어있습니다.
웹 서버에서 전달받은 공개키를 가지고 클라이언트가 서버에게 대칭키를 전달하고,
웹 서버만이 개인키를 가지고 있으므로 개인키로 대칭키를 획득하여 이후 통신을 대칭키 암호화로 수행합니다.
(이 과정은 조금 더 복잡한 과정을 거칩니다만, 최대한 간단하게만 설명하였습니다)
따라서 서버/클라이언트 사이에 주고받는 패킷을 훔쳐보는 것 만으로 https 프로토콜의 암호화를 해제할 수는 없습니다.
서버에서 사용중인 개인키가 없으므로 클라이언트가 암호화한 패킷을 복호화할 수 없기 때문입니다.
앞에서 MITM을 살짝 언급했습니다만, MITM은 이 사이에 완전히 끼어들 수 있는 방식입니다.
공격자는 서버와는 서버의 공개키를 통해 통신, 클라이언트에게는 내 공개키를 사용해 통신을 수행하므로
사이에서 암호화가 풀린 데이터를 모두 훔쳐볼 수 있는 방식입니다.
하지만 MITM방식에는 치명적인 문제점이 있습니다.
MITM 방식 사용시 클라이언트에게 전달되는 공격자의 인증서는 
클라이언트의 브라우저에서 안전한 것으로 인식되지 않습니다.
현재 웹 사이트에서 사용중인 인증서는 Root CA라고 부르는 기관으로부터 인증서를 발급받아 사용하고 있습니다.
인증서는 '이 사이트가 접속하고자 하는 사이트가 맞다' 라고 하는 정보를 가지고 있습니다.
여러분이 사용중인 모든 웹 브라우저는 Root CA에서 제공한 인증서 검증 방식을 보유하고 있으며,
공격자가 임의로 전달한 인증서는 당연히 Root CA의 검증을 통과할 수 없어서
웹 브라우저에서 안전하지 않다는 경고를 발생시킵니다.
종종 웹 서핑을 하다가 인증서 유효하지 않다고 빨간색으로 표시되는 경우를 보셨을 텐데,
이런 경우가 여기에 해당합니다.
만약 정부가 모든 국민에 대한 MITM을 수행하겠다고 한다면,
정부가 MITM을 하기 위해 국민들에게 전달할 인증서를 Root CA로부터 발급받으면 되겠지만
전 세계 어느 Root CA도 이와 같은 짓을 용인할 기관은 없습니다.
만약 이와 같은 것을 하게 된다면, 해당 기관의 CA 권한은 박탈될 것이며
이를 시도하고자 하는 국가는 상상도 못할 비난에 직면하게 될 것입니다.
따라서 MITM을 통한 개인정보 사찰은 제도적으로 불가능하다는 말씀을 드리고 싶습니다.
짧게 쓰려 했으나 쓰다보니 좀 길어졌습니다만, 전달하고자 하는 바가 잘 전달되었으면 합니다.
이와 같은 잘못된 정보에 의한 공작이 그동안 왜곡된 언론과 정치인들을 통해 수없이 이루어져 왔음을
우리는 지금까지 많이 보아왔습니다.
분명 정부의 잘못된 시책에 대한 질책은 필요합니다만,
잘못된 정보에 의한 부적절한 비난은 없어야 한다고 생각합니다.
인터넷에 떠도는 잘못된 정보에 미혹되지 마시기 바랍니다.
http://tvcafe.co.kr/plugin/mobile/board.php?bo_table=etoboard01&wr_id=841863
(군사/무기)
미국은 암살할때 총 대신 칼 6개를 쓴다 ㄷㄷ
(8)
