IETF 이메일 전환 후 반송 처리를 중단한 이유

요약

IETF의 9월 25일 업데이트가 수정됐다고 밝힌 문제는 8가지였다. 확인된 발신자가 검토 대상으로 보내지고 대량 메일이 알림 없이 버려졌으며, 발신자 인증 규칙도 일부 메일을 막았다.
반송 문제는 이전부터 쌓인 주소를 드러냈다. 새 처리가 잘못됐을 수도 있는 반송을 근거로 구독자를 비활성화하기 시작하자 IETF는 처리를 멈추고, 수정될 때까지 대상 주소를 다시 활성화했다.

완료 발표는 먼저 나왔다. 9월 11일 IETF는 새 이메일 인프라 전환이 끝났다고 밝혔다. 게시물은 필터와 인증서 처리 개선 등 새 시스템의 장점을 소개했지만, 기술 설명 대부분은 8월 28일 원문 그대로였다. 완료 날짜는 말해 줬어도, 새 시스템이 주소 상태를 정확히 판단하는지는 아직 보여주지 못했다.

이는 전환 시점을 기록한 자료다. 운영 결과 보고서는 아니다.

운영 보고는 9월 25일에 나왔다. IETF 실행 책임자 Jay Daley는 대부분의 문제가 해결됐다며, 수정된 8개와 아직 처리 중인 2개를 밝혔다. 새 인프라 설계·구축 작업은 3년 전 맡겨졌고, 문제가 반복된 뒤 새 계약자가 마무리를 이어받았다고도 설명했다. 이전 작업의 핵심 구성 요소 하나는 새 계약자가 다시 작성하지 않았고, 그 안의 문제는 출시 전에 발견되지 않았다. Daley는 “그건 우리의 실수였다”고 썼다.

대규모 장애 하나가 전부를 무너뜨린 건 아니었다. 메일링리스트와 실제 발신자 사이의 작은 규칙들이 경계에서 실패했다. 리스트에 가입하지 않았어도 발신 확인을 마친 주소가 전역 허용 목록에서 빠져 메시지가 검토 대기열로 갔다. Precedence: Bulk 메시지는 알림 없이 폐기됐고, 주로 IANA의 메일에 영향을 줬다. BATV 주소가 잘못 처리됐다. 대문자가 들어간 이미 확인된 주소가 새 주소로 취급돼 다시 확인해야 했다. 특이한 발신자를 위한 규칙은 실행되지 않았다. 일부 Outlook From 이름은 두 부분으로 분리됐다. 웹 관리 인터페이스 Postorius의 사이트 소유자 필드가 비어 있어 알림에 임시 발신 주소가 사용됐다. DMARC 재작성도 수신자 수와 연관된 일부 전송에서 실패했다.

실행 책임자는 이 8개 문제가 수정됐다고 보고했다. 이는 이름이 붙은 결함의 수이지, 실패한 전체 메시지나 영향을 받은 참여자 수가 아니다. 업데이트에는 그 수를 계산할 분모가 없다.

더 까다로운 문제는 반송 처리였다. 이전 인프라의 구조적 한계 때문에 반송 메시지는 리스트에 도착해 처리되지 않았다. 그래서 해당 주소도 비활성화되지 않았다. 도달 불가하다고 설명되는 주소들이 구독 상태로 남아 쌓였다. 새 처리가 그 누적분을 다루기 시작하자 리스트 관리자들은 반송 과다로 구독자가 비활성화된다는 알림을 많이 받았다.

시스템은 대기열을 갖고 판정도 내렸다. 다만 아직 믿을 만한 판정은 아니었다. IETF는 일부 반송이 잘못됐다는 근거가 있다고 밝혔다. 그래서 처리를 끄고, 해당 처리로 비활성화된 주소를 모두 다시 활성화해 수정이 끝날 때까지 기다렸다. 일시적으로 죽은 주소일 수도 있는 계정을 남기는 쪽을 택해, 자동화가 실제 사용자를 잘못 내보낼 위험을 줄였다. 구체적인 보호 조치였지만 누적분이 사라졌다는 뜻은 아니다.

같은 업데이트에는 성능상의 또 다른 놀라움도 담겼다. Mailman 기본 VERP 모드에서 메일 처리 시간이 네다섯 자릿수만큼 길어지는 현상이 나타나 조사 동안 VERP를 껐다. 기준이 된 처리 시간, 부하 조건, 절대 지연은 공개되지 않았다. 새 Rspamd 필터도 스팸이 너무 많이 통과해 조정 중이었다.

사건의 순서가 중요하다. 9월 11일 전환 안내는 반송 처리 개선과 스팸 유입 기회 감소를 예상 효과로 내세웠다. 9월 25일의 기록은 의도와 운영 증거 사이의 간격을 보여준다. 새 처리는 오래된 누적분과 의심스러운 신호를 드러냈고, 스팸 필터는 더 조정해야 했다. 모듈형 인프라가 과거의 데이터 부채를 지우지는 않는다. 배포 발표만으로 최초의 자동 판정이 신뢰를 얻지도 않는다.

공용 메일링리스트에 기대는 조직이라면 이 차이를 알아야 한다. 전환 완료는 날짜가 있는 사건이다. 신뢰할 수 있는 전달은 발신자 식별, 검토, 리스트 확장, 주소 재작성, 인증, 반송 판독, 수신까지 반복해서 성립해야 하는 결과다. 각 경계에서 자체 시험을 통과해도 메시지는 다음 단계에서 실패할 수 있다.

공개된 보고는 통제 결정을 보여주지만 그 비용은 알려주지 않는다. 다시 활성화된 주소 수, 잘못된 반송의 비율, 처리 중단 기간, VERP의 기준 측정치, Rspamd 조정 완료일은 빠져 있다. 이 수치는 복구 상황에 대한 평가를 바꿀 것이다. 현재 확실한 결론은 좁고 분명하다. IETF는 반송 증거를 신뢰할 수 없을 때 구독자 비활성화를 멈췄고, 그 수정을 공개했다.