요약

  • ARIN 등록 서비스 책임자 Leslie Nobile는 2003년 10월 23일 ARIN XII에서 허가 없이 WHOIS 등록 항목을 바꾸는 수법을 설명했다. 주로 오래된 주소 블록의 연락처가 표적이었고, 변경된 기록은 타인이 IP 주소나 자율시스템 번호를 다룰 권한이 있는 듯한 인상을 줄 수 있었다.
  • ARIN은 그해 4월부터 10월까지 제보받거나 자체 발견한 사건 110건을 열었다. 발표 당시 84건은 종결, 15건은 조사 중, 11건은 탈취 증거가 없었다. 발표 속 전형적인 수법에는 나중에 경로를 광고할 가능성이 그려졌지만 실제 광고 건수는 제시되지 않았다.
  • Nobile는 ARIN의 조사·추적·기록 잠금 조치와, 더 강한 신원 확인·변경 이력·옛 자원 별도 등록부 같은 검토안을 구분했다. 참석자들은 오래전부터 주소를 쓰던 사람의 권리와 새 검증 비용을 누가 감당할지 논쟁했다.

명함을 믿는 순간

네트워크 운영자가 IP 주소 블록의 담당자를 찾아야 한다고 하자. WHOIS를 열면 조직과 연락처가 보인다. 장애 신고를 보내거나, 등록 변경 요청의 상대를 확인하거나, 타 네트워크와 문제를 풀 때 이 정보가 출발점이 된다. 화면 속 연락처가 본인 모르게 교체됐다면, 등록기관의 공개 페이지가 엉뚱한 사람을 소개해 주는 셈이다.

Leslie Nobile가 2003년 10월 23일 ARIN XII에서 발표한 자료는 이 문제를 정면으로 다뤘다. 당시 그녀는 등록 서비스 부서장이었다. ARIN은 주로 오래된 IP 주소 블록의 WHOIS 정보를 허락 없이 바꿔, 잘못된 내용이 그 사람에게 자원 기록을 관리할 권한이 있는 듯 보이게 하는 행위를 설명했다. IP 주소와 자율시스템 번호가 영향을 받을 수 있었다.

ARIN이 적은 피해는 운영자의 오판, WHOIS 신뢰 훼손, 법적 책임, 직원 업무 증가, 답변 지연, 인력과 법률 비용이었다. 잘못된 연락처 하나가 다른 조직의 판단으로 건너갈 수 있기 때문이다. 등록부가 유용할수록, 공격자에게 그 등록부의 명함은 더 값지다.

110건의 세 칸짜리 표

회의 기록과 원래 슬라이드에는 사건 상태가 남아 있다. 2003년 4월부터 10월까지 ARIN은 제보받거나 직접 찾아 110건의 사건을 열었다. 발표 시점에 84건은 종결됐고 15건은 조사 중이며 11건에서는 탈취를 뒷받침하는 증거가 없었다. 84, 15, 11을 합하면 110이다. 이 숫자는 조사 업무의 크기와 그 분류를 함께 보여 준다.

오해는 마지막 열을 빼고 읽을 때 시작된다. 탈취 증거가 없던 11건도 이미 열린 사건에 포함돼 있다. 전체 110건은 확인된 침입의 총계가 아니라 접수·발견된 사건의 수다. 슬라이드에는 위조된 등록 정보가 실제로 몇 건의 BGP 경로 광고까지 이어졌는지도 적혀 있지 않다. 그런 결과를 알기 위해서는 해당 사건의 등록 변경 자료와 별도의 라우팅 기록이 필요하다.

다른 표에는 오래된 Class C 기록 45개, Class B 48개, Class A 한 개, 직접 할당 네 개와 재할당 한 개가 나온다. 이것은 검토한 기록의 유형이고, 84·15·11은 사건의 처리 상태다. 두 표를 같은 종류의 수치로 섞으면 서사가 틀어진다. 오래된 주소 항목이 중심에 있었다는 사실은 분명하다. 오래됐다는 이유만으로 실제 소유자나 현재 운영자를 결정할 수는 없다.

주소보다 오래된 연락처

전형적 수법을 그린 그림에서 목표는 경로가 현재 광고되지 않고 연락처가 낡았거나 비어 있는 기존 주소 블록이다. 침입자는 연결된 도메인을 조사하고, 만료된 도메인 또는 비슷한 이름을 등록한다. 이어 담당자, 조직, 네트워크 항목을 조금씩 바꾼다. 마지막에 그 네트워크를 광고할 수도 있다. 그림은 가능한 흐름을 보여 준다. 사건 상태 표가 모든 110건에 대해 이 경로를 확인해 주지는 않는다.

옛 자원은 관리상의 시간이 길다. ARIN 설립 전에 주소를 받은 조직이나 개인도 있었다. 그 사이 담당자가 바뀌고 회사 이름이 달라지고 이메일 도메인이 사라질 수 있다. 실제 보유자는 여전히 기록을 고칠 권리가 있지만, 오랜 공백 뒤에는 그 권리를 어떻게 증명할지가 어려워진다. 침입자가 노린 것은 바로 이 느슨해진 증거의 틈이었다.

한 번 바뀐 항목은 다음 변경의 발판이 된다. 새 이메일이 기록에 올라가면 이후 조직 정보 수정을 요청하는 사람이 그 이메일로 연락할 수 있다. 마지막 화면만 보는 사람에게는 문서가 깔끔해 보인다. 그래서 참석자 중에는 WHOIS 변경 이력을 공개하자는 의견도 있었다. 현재의 명함뿐 아니라 언제, 어떤 순서로 이름이 적혔는지 보여 달라는 요구였다.

이미 하던 일과 검토하던 일

Nobile는 ARIN의 활동을 구분해 발표했다. 등록기관은 무단 변경 패턴을 찾아냈고, 보고되거나 발견된 사건을 조사하고 기록하며 추적했다. 처리 절차를 고치고 법 집행기관 및 다른 지역 등록기관과도 협력했다. 데이터베이스 항목을 잠글 수 있는 새로운 상태 속성도 개발했다고 밝혔다. 의심스러운 변경을 멈추고 확인할 시간을 벌기 위한 수단이었다.

ARIN은 모든 사건을 수사기관에 넘기는 방식으로 운영하지 않았고, 개별 조사 내용도 일반 공개하지 않았다. 회의 참석자에게 제공된 것은 전체 건수와 수법, 제도적 선택지였다. 피해자 이름과 증빙 서류를 내놓지 않은 채 운영 규칙을 논의하는 방식이었다.

뒤따르는 슬라이드는 가능한 조치를 열거했다. 세금 식별번호나 회사 도장이 찍힌 서류처럼 더 많은 신원 증거를 요구하거나, 계약을 바꾸고 법적 수단을 쓰는 안이었다. WHOIS 변경 이력 공개, 더 강한 검증 소프트웨어, 정기적 재확인, 인증과 권한 관리 강화도 있었다. 오래된 주소를 별도 Registry of Legacy Resources로 옮겨 관리하는 방안까지 나왔다. 원문은 이를 가능한 조치라고 적었다. 실제 시행 여부는 뒤에 나온 정책이나 운영 기록으로 확인해야 한다.

각 안은 다른 질문에 답한다. 잠금은 다음 변경을 막고, 이력은 앞선 변경을 드러낸다. 강화된 신원 확인은 새로운 요청의 진위를 가른다. 그런데 옛 주소를 합법적으로 받은 개인에게 회사 도장을 요구하면 그 사람은 자기 기록을 고치기 어렵다. 보안 장치의 설계는 공격자가 들어오는 길만큼이나 보유자가 돌아오는 길을 결정한다.

오래된 보유자에게 새 청구서를 보내도 될까

ARIN XII 회의록에는 다양한 반응이 담겨 있다. 개인 명의의 할당을 언급하며 법인 서류 요구를 문제 삼은 참가자가 있었다. 회원들이 오래된 자원 기록의 유지비까지 계속 내는 구조를 바꾸자고 한 사람도 있었다. 한 참석자는 ARIN이 기록을 옮기기 전에 실제 보유자에게 연락해 위험을 설명해야 한다고 했다. 옛 주소 블록 보유자는 새로운 요금을 매기려면 계약상의 근거가 필요하다고 지적했다.

등록부가 정확하려면 확인 작업에 돈과 사람이 든다. ARIN 직원이 일일이 조사하면 비용이 늘고, 오래된 보유자에게 문서와 요금을 요구하면 관계 자체가 달라진다. 공개 이력은 네트워크 운영자가 일부 판단을 할 수 있게 하지만, 잘못된 기재의 책임을 누구에게 묻는지는 남는다. 2003년의 회의는 이런 비용과 권한을 신원 확인 항목 하나에 압축해 놓았다.

ARIN 2004년 연례보고서는 Nobile가 이끈 부서의 일을 번호 자원 배정, 등록·라우팅 디렉터리 관리, 역방향 DNS, 고객 문의 처리로 적고 있다. 2003년 보고서도 그녀의 탈취 발표를 기록했다. 회의장 정책은 다음날 직원에게 도착하는 실제 변경 요청의 검토 기준이 된다.

발표 끝에 ARIN은 운영자에게 자기 조직과 고객의 자원 정보를 최신으로 유지하고 가능한 강한 인증을 쓰라고 권했다. 오래된 이메일 주소를 정리하는 일이 사소해 보일 수 있다. 하지만 만료된 도메인을 주워 첫 변경을 시도하는 그림을 본 뒤에는 그 주소 하나의 무게가 달라진다. 등록부의 신뢰는 이처럼 평범한 갱신 작업 위에 놓인다.

Nobile가 공개회의에 가져온 것은 110건이라는 숫자와 그 안의 84·15·11이라는 분류였다. 수법을 보여 주고, 진행 중인 조치와 검토안을 나누었다. 참석자들은 과거 보유자에게 새 기준과 비용을 요구할 수 있는지를 따졌다. 가짜 명함을 거두려면 등록기관의 권한을 행사해야 하지만, 진짜 주인이 자기 이름을 증명할 길도 함께 열어 두어야 했다.