Summary

  • 2026년 11월 2일 갱신된 MIMI 프로토콜 초안 07판은 암호화된 첨부파일을 외부에 저장하고, 메시지의 ExternalPart에 HTTPS 다운로드 주소를 담는다.
  • 직접 내려받으면 파일 서버가 수신자의 IP 주소와 요청 시각을 본다. 허브 프록시를 거치면 파일 서버에서 IP를 감출 수 있지만, 수신 사업자는 주소를 이용자와 대화방에 연결할 수 있다.
  • Oblivious HTTP는 릴레이와 게이트웨이로 관찰 지점을 나눈다. 초안은 허브의 게이트웨이를 의무화하고 다른 사업자의 릴레이 제공을 권고한다.

세 메신저의 이용자가 한 대화방에서 사진을 주고받는다고 하자. 사진은 암호화된 채 파일 서버에 놓인다. 메시지는 그 사진을 가져올 주소를 전달한다. 수신자가 사진을 누르면 대화 내용과 별개의 네트워크 요청이 생긴다. 그 요청에는 출발지와 도착지, 시각이 있다. 파일을 읽지 못하는 사업자도 그 기록을 통해 누가 언제 접근했는지 일부 알 수 있다.

RFC 9420의 MLS는 그룹 메시지의 내용을 보호한다. MIMI는 사업자 간 메시지 전달을 다루면서 첨부파일을 외부의 암호화된 객체로 취급한다. 함께 논의되는 대화방 정책 초안의 asset_policy는 허용할 파일 서버 도메인을 정한다. 저장할 곳을 고르는 일은 곧 어느 운영자에게 다운로드 신호를 보낼지 고르는 일이다.

직행하면 파일 서버가 독자를 맞는다

첫 경로에서는 이용자의 기기가 파일 서버에 직접 요청한다. MIMI 초안 5.10절에 따르면 서버는 수신자의 IP 주소와 다운로드 시각을 본다. 같은 파일에 대한 반복 요청은 접속 상태나 공통 대화방을 추정할 단서가 된다. 초안은 특히 사업자 간 다운로드에 이 방식을 NOT RECOMMENDED로 표시한다. 사진의 암호문을 푸는 능력과 접속 기록을 쌓는 능력은 별개다.

둘째 경로에서는 수신 사업자가 대화방 허브에 GET /proxyDownload/{downloadUrl}을 요청한다. 허브가 파일 서버에서 자료를 가져온다. 파일 서버에는 이용자의 IP 대신 허브가 나타난다. 허브는 요청한 사업자와 대상 URL을 보지만, 그 요청 자체에 특정 이용자나 대화방의 식별자가 들어 있지는 않다. 원본 서버의 시야에서 독자 주소 하나를 걷어낸 셈이다.

수신 사업자의 시야는 여전히 넓다. 이 사업자는 자기 이용자와 요청한 URL을 알고, URL을 이용자에게 연결해 어떤 대화방에서 공유됐는지도 추정할 수 있다. 초안은 대화방과 관련된 수신 메시지 시각과 프록시 요청 시각을 맞춰 볼 수 있다고 설명한다. 사업자나 허브의 캐시는 매번 새 요청이 발생하지 않게 해 일부 연결을 어렵게 만든다. 허브는 프록시를 제공해야 하며, 요청 대상이 협력 사업자의 설정된 파일 서버 도메인인지 확인해야 한다. 이 제한이 없으면 첨부파일 통로가 아무 사이트나 접속할 수 있는 공개 프록시가 된다.

OHTTP는 기록을 나눠 갖게 한다

셋째 경로에서 이용자는 수신 사업자의 OHTTP 릴레이로 요청을 보내고, 허브의 게이트웨이가 대상 파일을 가져온다. RFC 9458은 두 역할을 구분한다. 릴레이는 이용자와의 연결을 보되 보호된 대상 요청을 읽지 못하고, 게이트웨이는 대상 요청을 보되 두 역할이 분리돼 있다면 이용자의 원래 연결을 직접 받지 않는다. MIMI는 허브에 게이트웨이를 요구하고 다른 사업자에는 릴레이를 권고한다. 게이트웨이도 협력 사업자의 설정된 파일 도메인만 대상으로 삼아야 한다.

초안이 꼽는 구체적인 이득은 수신 사업자가 이용자가 접속하는 모든 파일 저장 사업자의 도메인을 직접 알지 못하게 되는 것이다. 게이트웨이는 파일을 가져오기 위해 대상 주소를 알아야 한다. 수신 사업자는 자기 이용자가 어느 시각에 릴레이를 썼는지 안다. 두 역할의 로그를 한 운영자가 모으거나 시각을 정밀하게 맞출 수 있다면, 설계가 나눈 정보가 운영 과정에서 다시 합쳐진다. 따라서 관건은 릴레이와 게이트웨이의 소유권, 로그 보관 장소, 로그를 결합할 권한이다.

공식 문서에는 실제 서비스에서 대화방 구성원을 얼마나 정확히 추정할 수 있는지 측정한 결과가 없다. 같은 파일을 세 경로로 전송하고 캐시를 켰다 끄면서 각 운영자의 로그를 비교하면 확인할 수 있다. 서비스가 먼저 정해야 할 것은 경로와 기록의 관리 주체다. 암호화는 사진을 보호한다. 다운로드 경로는 방문자 명단을 누구에게 줄지 정한다.

MIMI 초안 · RFC 9458 · RFC 9420 · MIMI 대화방 정책