요약

  • RFC 7844는 DHCP 익명성 프로필을 정의하며, 익명 주소 자체를 정의하지 않는다. DUID, IAID, 이전 주소 힌트, 서버 식별자, FQDN 및 클래스 옵션은 겉보기에 새로운 접속을 이전 접속과 다시 연결할 수 있다.
  • 명시적인 이름이 없더라도 옵션의 선택과 순서는 구현체를 핑거프린팅할 수 있다. 이 프로필은 요청을 최소화하고 순서를 다양화하여, 개인정보 보호 구현체가 흔한 실수로 자신을 광고하는 일을 막는다.
  • 조율된 망각에는 비용이 따른다. 서버는 사용되지 않는 상태를 유지할 수 있고, 주소 풀과 바인딩 테이블은 더 많은 부담을 감당할 수 있으며, 사전 등록된 기기만 허용하는 네트워크는 접속을 거부할 수 있다. 이는 선택된 DHCP 상관관계를 줄일 뿐, 완전한 은폐를 보장하지 않는다.

주소는 바뀌었지만 클라이언트는 그대로였다

주소 무작위화는 눈으로 보기에 설득력이 있다. 한 값이 사라지고 다른 값이 그 자리를 대신하면, 패킷 추적 기록은 서로 다른 두 기기를 보여주는 것처럼 보인다. 해결책에 앞선 분석인 RFC 7824는 경계를 넘어 변경되지 않고 넘어온 것이 무엇인지를 묻는다.

DHCP는 주소 요청 이상의 것을 실어 나른다. DHCPv6에서 DUID는 클라이언트를 서버에 식별시킨다. IAID는 그 클라이언트 내부의 ID 연결을 구분한다. 클라이언트 FQDN은 호스트에 이름을 부여할 수 있다. 사용자 클래스(User Class)와 벤더 클래스(Vendor Class) 옵션은 호스트의 역할이나 구현체를 설명할 수 있다. 옵션 요청 옵션(ORO)은 클라이언트가 어떤 정보를 원하는지를 기록하며, 그 순서 자체가 특징적일 수 있다. 이전에 사용하던 주소를 요청하면 같은 클라이언트가 이전에 어디에 접속해 있었는지를 드러낼 수 있다.

문제는 이 필드들이 모두 항상 전역적으로 고유하다는 데 있지 않다. 상관관계는 그보다 적은 것만으로 충분하다. 안정적인 DUID에 희귀한 옵션 패턴이 더해지면 두 관찰을 높은 신뢰도로 연결하는 데 충분할 수 있다. 링크 계층 주소를 포함하는 DUID 유형은 새로 무작위화된 무선 주소의 보호를 직접적으로 무력화할 수 있다. 관찰자는 두 방문이 같은 기기에서 이루어졌을 가능성이 높음을 알기 위해 소유자의 실명 신원을 알아낼 필요가 없다.

Huitema는 Tomek Mrugalski 및 Suresh Krishnan과 함께 2016년에 RFC 7844로 이에 응답했다. 그들의 목표는 의도적으로 은폐보다 좁게 설정되었다. 사용자가 익명성을 선택할 때 DHCP 공개를 줄이기 위한 공통 클라이언트 프로필을 정의한 것이다. 공유 프로필이 중요한 이유는, 각기 다른 아홉 가지 개인정보 보호 시도가 아홉 개의 새로운 핑거프린트를 만들어낼 수 있기 때문이다.

DUID와 IAID에는 신화가 아니라 경계가 필요하다

일반적인 DHCPv6 동작은 안정적인 식별자를 중시한다. 안정성은 서버가 돌아온 클라이언트를 인식하고 상태를 갱신하며 연속성을 제공하는 데 도움이 된다. 개인정보 보호는 거래의 목적을 바꾼다. 클라이언트가 새로운 링크 계층 신원을 채택하면서도 이전 DUID를 유지한다면, 그 안정적인 값은 두 등장 사이를 잇는 다리가 된다.

그래서 RFC 7844는 식별자 처리를 링크 전환에 묶는다. 링크 계층 주소가 무작위화되는 경우, DHCP 신원이 그 신원이 함께하도록 만들어진 대상보다 조용히 오래 살아남아서는 안 된다. 이 프로필은 링크 계층 무작위화가 없는 관련 사례를 위한 무작위 DUID 동작도 지정한다. 현재의 DHCPv6 기본 사양인 RFC 9915는 DUID 안정성에 대한 일반적 기대를 유지하면서 RFC 7844의 예외를 명시적으로 인정한다. 모순은 없다. 식별자는 하나의 운영 계약 안에서는 안정적이며, 다른 계약에서는 의도적으로 교체된다.

IAID는 범위가 더 작지만 같은 증거적 위험을 지닌다. 그것이 영구적인 기기 서명처럼 구성되어서는 안 된다. IAID의 유용한 안정성은 현재의 링크 계층 연관에 속한다. 어느 쪽 필드든 "그냥 숫자"라고 부르는 것은 운영상의 질문을 가린다. 누구를 위해서, 어떤 변경 사이에서, 어떤 서비스를 위해서 안정적인가?

이전 주소와 서버 식별자도 같은 규율이 필요하다. 이전에 사용하던 주소를 요청하면 중단을 줄일 수 있지만, 직접적인 연속성 힌트를 제공한다. 다른 링크에서 캐시된 서버 상태를 재사용하면 이전 맥락이 드러날 수 있다. 익명성 프로필에서는 링크 계층 주소가 바뀔 때 저장된 주소를 지운다. 클라이언트는 편리한 재회를 포기하고 더 깨끗한 단절을 얻는다.

이름 없이 식별되는 목록

가장 흥미로운 핑거프린트에는 식별자가 전혀 없을 수 있다. DHCP 클라이언트는 서로 다른 조합의 설정 옵션을 요청하며, 그 구현체는 이러한 요청을 안정적인 순서로 담을 수 있다. RFC 7824는 그 집합과 순서가 운영체제 계열이나 클라이언트 구현체를 드러낼 수 있는 방법을 설명한다.

RFC 7844의 대응은 절제되어 있다. 최소한의 하위 집합만 요청하라. 캐시된 옵션 값을 재전송하지 마라. 순서를 다양화하라. 습관 때문에 사용자 클래스, 벤더 클래스, 벤더별 정보나 클라이언트 FQDN을 보내지 마라. 범위가 매우 좁은 FQDN은 유용할 수 있지만, 이 모드를 무력화하는 휴대용 이름이 되어서는 안 된다.

이것은 최소 명세의 한 형태다. 표준은 모든 클라이언트에게 개인정보 보호를 위한 장대한 선언을 요구하지 않는다. 클라이언트가 내보내는 것의 양과 규칙성을 줄인다. Huitema와 공동 저자들은 전용 익명성 플래그를 명시적으로 거부했다. "나는 익명성을 원한다"고 선언하는 클라이언트가 가장 쉽게 표적화되고 차단되고 감시되는 클라이언트가 될 수 있기 때문이다.

같은 신중함이 임시 주소 체계에 대한 그들의 다룸에서도 나타난다. 드물게 사용되는 옵션은 희소한 배포나 고르지 못한 구현을 통해 개인정보 보호 의도를 드러낼 수 있다. 개인정보 보호라는 이름이 붙은 기능이 전송되는 신호 중 가장 사적인 것이라는 보장은 없다.

이 프로필이 지우지 못하는 것

RFC 7844는 무선 핑거프린팅을 그 범위 밖으로 남겨둔다. 하드웨어 동작, 트래픽 타이밍, 애플리케이션 계정 및 다른 프로토콜들은 상관관계를 유지할 수 있다. 이 인정은 표준을 강화한다. 하나의 프로토콜 개선을 사용자 전체에 대한 총괄적 주장으로 바꾸는 대신, 경계를 명명한다.

운영상의 비용도 똑같이 실재한다. 돌아온 클라이언트를 인식하지 못하는 서버는 임대가 만료될 때까지 이전 할당을 유지하고 새로운 신원을 위한 새 상태를 만들 수 있다. 잦은 변경은 주소나 바인딩 테이블 항목의 소비를 늘릴 수 있다. 사전 등록된 링크 계층 주소만 허용하는 네트워크는 접속을 거부할 수 있다. 클라이언트 인식에 의존하던 상태 기반 서비스는 연속성을 잃을 수 있다.

이러한 결과들이 프로필이 깨졌다는 증거는 아니다. 그것들은 경쟁하는 목적들을 드러낸다. 서버는 경제적인 상태와 예측 가능한 복귀를 원한다. 접입 허가 시스템은 안정적인 핸들을 원한다. 사용자는 두 방문이 연결되지 않기를 원할 수 있다. RFC 7844는 하나의 식별자 정책이 모든 당사자를 만족시킨다는 착각 대신, 선택을 사용자에게 돌리고 그 결과를 설명한다.

Huitema의 기여는 절제의 프로필이었다

IETF의 Christian Huitema 프로필은 수십 년에 걸친 표준 작업을 기록하며 그의 후기 관심사 중 개인정보 보호와 QUIC을 지목한다. 그 자신의 소개는 전송, 명명, 보안에 걸친 경력과 정보의 자유로운 흐름에 대한 지속적 관심을 서술한다. 그러나 RFC 7844는 혼자서 탄생한 발명이 아니다. Mrugalski와 Krishnan이 공동 저자이며, 그 분석은 RFC 7824에서 더 넓은 DHCP 커뮤니티가 남긴 작업에 기반한다.

역사적으로 유용한 교훈은 하나의 방법이다. 프로토콜은 소박한 필드들의 결합을 통해 신원을 공개할 수 있다. 따라서 수리는 모든 관찰 표면을 목록화하고, 동기화된 경계를 정의하고, 실행되는 메커니즘이 제공할 수 있는 것 이상을 약속하지 않는 데서 시작된다.

필드는 사람이 아니며, 안정적인 식별자는 소유가 아니다. 그것은 특정 정책 아래에서 발행되는 영수증이다. Huitema의 익명성 프로필은 운영자들에게 그 영수증을 올바른 범위에서 읽도록 요구하고, 클라이언트들에게는 더 이상 사용자의 목적에 부합하지 않는 경계를 넘어 그 영수증을 지니고 다니지 말도록 요구한다.

출처