요약

  • draft-skoglund-epp-registry-lock-00은 제한 시간 내에 하나 이상의 레지스트리 록 연락처가 보호 도메인의 변경을 승인하는 보류(pending) EPP 워크플로를 제안합니다.
  • 정책 데이터는 필요한 연락처 승인 수를 명시할 수 있고 poll 결과는 승인한 연락처 ID를 알려줄 수 있지만, 이 초안은 신원 보증, 챌린지 바인딩 또는 연락처와 채널의 독립성은 표준화하지 않습니다.
  • 운영자는 요청 전후 상태, 서로 다른 통제 도메인, 챌린지, 응답, 예외, 시점, 최종 트랜잭션 결과를 묶는 별도의 승인 절차 기록이 필요합니다. 이는 거버넌스 제안이지 IETF 요구사항이 아닙니다.

쿼럼의 매력은 숫자의 명확성입니다. 승인자가 한 명이면 단일 장애점이고, 둘이나 셋이면 더 안전해 보입니다. 그러나 두 록 연락처가 같은 기업 메일 테넌트 내 서로 다른 주소를 사용하고, 같은 헬프데스크를 통해 계정을 복구하며, 같은 관리자가 관리하는 휴대폰으로 토큰을 받는 경우를 생각해 보십시오. 프로토콜은 두 건의 승인을 셀 수 있습니다. 공격자는 단 하나의 권한 도메인만 침해하면 될 수도 있습니다.

이 간극이 중요한 이유는, 레지스트리 록은 일반적인 계정 복구보다 훨씬 큰 파급력을 가질 수 있는 도메인을 위해 설계되었기 때문입니다. 네임서버 변경은 트래픽을 우회시킬 수 있고, 소유자 변경은 법적 통제권을 바꿀 수 있으며, 등록관리인(registrar) 이전은 운영 관계를 이동시킬 수 있습니다. 레지스트리 수준의 잠금은 등록관리인의 일반 자격 증명 경로 밖에 또 하나의 기관을 추가합니다. 그 보호의 일부를 자동화하는 것은, 자동화가 두 번째 기관에 가치를 부여한 독립성을 무너뜨리지 않을 때만 유용합니다.

제안된 확장은 2026년 6월 30일draft-skoglund-epp-registry-lock-00으로 공개되었습니다. 렌더링된 헤더는 Standards Track으로 표시하지만, Datatracker 기록은 이를 개인 Internet-Draft로 분류하고 스트림이나 의도된 RFC 상태를 명시하지 않으며 IETF 표준화 절차상 공식 지위가 없다고 밝힙니다. 따라서 이는 논의 중인 제안일 뿐, RFC나 확립된 REGEXT 합의가 아닙니다.

잠금은 두 번째 결정 평면을 만든다

이 초안은 레지스트리 록을 등록관리인이 아니라 레지스트리에서 적용되는 보호로 묘사합니다. 많은 운영자가 이미 서로 다르고 흔히 수작업인 절차를 통해 유사한 서비스를 제공합니다. 이 확장은 후원 EPP 클라이언트가 잠긴 도메인을 더 자동으로 생성하고 관리할 수 있게 하려는 것입니다.

적용되면 도메인은serverDeleteProhibited를 가져야 합니다. 변환 요청이 승인을 기다리는 동안에는serverPendingUpdate를 가져야 합니다. 잠금 설정이나 잠긴 도메인 업데이트는 EPP 결과 코드 1001을 생성하며, 이는 명령이 수용됐지만 다른 조치가 보류 중임을 나타냅니다. 기한 전 승인은 성공 poll 메시지로, 기한 내 승인이 없으면 실패 poll 메시지로 이어집니다.

이것은 시간상 중요한 전환입니다. 최초의 EPP 명령은 더 이상 완료된 상태 전이와 대응하지 않습니다. 승인 에피소드를 여는 것입니다. 클라이언트는 나중에 큐 이벤트를 이전 명령과 연계해야 하며, 사용자는 "수용되어 보류 중"을 "변경됨"으로 오해해서는 안 됩니다.

초안의 poll 데이터는 도움이 됩니다. 도메인, 작업, 이전 서버 트랜잭션 식별자, 승인으로 기록된 연락처 ID를 식별합니다. 외부 poll 응답은 RFC 5730의 일반적인 큐 및 트랜잭션 식별자도 함께 전달합니다. 이들 결합하면 프로토콜 수준에서 시작과 완료를 연결할 수 있습니다.

그러나 그것만으로는 그 두 지점 사이에 무슨 일이 있었는지 설명할 수 없습니다.

숫자는 분리 규칙이 아니다

정책 데이터에는 선택적 타임아웃과 선택적 양의 0이 아닌 승인 수가 포함될 수 있으며, 리비전 00에서는quorom으로 표기되어 있습니다. 서버는 허용되는 값을 제한할 수 있습니다. 도메인은 여러 록 연락처를 가질 수 있고, 지정된 수는 그중 몇 명이 승인해야 하는지를 말합니다.

이 숫자는 유용합니다. 한 개나 두 개의 응답이 충분한지에 대해 서버와 클라이언트가 내밀하게 불일치하는 것을 막습니다. 그러나 연락처가 서로 다른 자연인, 서로 다른 고용주, 서로 다른 기기, 서로 다른 복구 경로인지에 대해서는 아무것도 말하지 않습니다. 세 개의 식별자가 하나의 공유 메일함으로 끝날 수 있습니다. 두 자회사가 같은 신원 공급자(IdP)를 사용할 수 있습니다. 보안 벤더가 모든 전화와 토큰을 관리할 수 있습니다.

이것이 다중성과 독립성의 차이입니다. 다중성은 데이터베이스 속성입니다. 여러 연락처 행이 존재합니다. 독립성은 아키텍처 속성입니다. 하나의 실패, 강압 또는 복구 워크플로로는 모든 필수 승인을 충족할 수 없어야 합니다.

프로토콜이 기업 거버넌스를 해결할 필요는 없지만, 운영자는 절차가 분리를 강제하지 않는 한quorom=2를 두 사람 통제로 마케팅해서는 안 됩니다. 최소한 그 주장에는 선언된 독립성 정책과 실제 승인이 이를 충족했다는 증거가 필요합니다.

방법 이름이 보증 수준을 정의하지 않는다

각 레지스트리 록 연락처에는 식별자가 있고 승인 방법을 지정할 수 있습니다. 초안은 잘 알려진 문자열 — 이메일, 문자, 서신, 전화, 토큰 — 을 제시하며 서버가 다른 값을 받아들이도록 허용합니다.

이 라벨은 전달 범주를 설명할 뿐 보증 수준을 설명하지 않습니다. "이메일"은 서명된 링크, 회신, 포털 로그인 또는 헬프데스크 교환 중 무엇이 사용되었는지 말하지 않습니다. "문자"는 대상 번호가 최근에 검증되었는지, 번호 재할당에 방어되어 있는지, 임명된 사람에게 연결되어 있는지 말하지 않습니다. "토큰"은 하드웨어 인증기와 전달 가능한 코드를 구별하지 않습니다. "전화"는 발신자의 신원을 확립하지 않으며, 우편 서신은 기록된 수신자와 챌린지가 없다면 큰 의미가 없습니다.

이 확장은 챌린지 내용, 제안된 변경에 대한 바인딩, 리플레이 방지, 채널 등록, 신원 증명 또는 복구 절차를 표준화하지 않습니다. 초기 EPP 매핑으로서는 적절한 생략일 수 있습니다. 레지스트리는 이미 서로 다른 서비스 모델을 운영하며, 하나의 전역 절차를 강제하면 채택을 저해할 수 있습니다.

그러나 이 생략은 poll 결과가 증명할 수 있는 범위를 바꿉니다.approvedBy연락처 ID는 레지스트리가 자체 절차 하에 승인을 기록했다는 의미입니다. 모든 절차가 동등하다는 뜻이 아니며, 등록관리인이 공유 침해에 대한 승인의 저항력을 추론할 수 있게 해주지도 않습니다.

연락처 객체 동결은 하나의 변경 경로만 보호한다

초안은 연락처 객체가 보호 도메인의 록 연락처로 연관되어 있는 동안 해당 객체에 대한 업데이트를 거부하도록 요구합니다. 그런 연락처의 삭제도 거부되어야 합니다. 이는 명백한 공격 — 연락처 객체의 이메일이나 전화를 변경한 뒤 새로 대체된 엔드포인트로 승인 — 을 차단합니다.

동시에 레지스트리 록 업데이트 구문은 록 연락처를 추가·제거하고 정책 데이터를 변경할 수 있습니다. 잠긴 도메인에 대한 모든 업데이트는 보류 승인 흐름에 들어가도록 되어 있지만, 거버넌스 문제는 재귀적으로 남습니다. 기존의 어떤 권한이 권한 집합 자체의 변경을 승인할 수 있는가?

세 번째 승인자를 추가하는 것은 네임서버를 변경하는 것과 동등하지 않습니다. 한 회사의 신원 시스템 밖에 있는 유일한 연락처를 제거하면 분리가 사라질 수 있습니다. 필요 승인 수를 낮추거나 타임아웃을 단축하면 이후 운영 변경 전에 절차를 약화시킬 수 있습니다. 일반적인 "업데이트 성공" poll 결과는 반드시 어떤 이전 정책이 새 정책을 승인했는지 보여주지 않습니다.

따라서 이전 상태가 중요해야 합니다. 권한 변경의 승인은 요청이 시작될 때 존재하던 정책과 연락처 집합 하에서 평가되어야 하며, 이용 불가 또는 이탈 연락처에 대한 명시적 규칙을 두어야 합니다. 그렇지 않으면 워크플로가 연속성이 가장 필요한 순간에 스스로를 개정할 수 있습니다.

예외가 실제 보호 경계를 정의한다

레지스트리 록은 모든 행위를 동결하라는 지시가 아닙니다. 초안은 갱신은 계속될 수 있다고 말합니다. 또한 레지스트리가 자동화된 DNSSEC 프로비저닝이 록 승인을 우회하도록 허용할 수 있으며, CDSS 또는 CSYNC 스캔을 예로 듭니다. 잠금 제거는 사양 밖의 수작업 운영 절차로 남습니다.

이 경계는 방어 가능합니다. 갱신을 막으면 보안 통제가 만료 위험으로 변할 수 있습니다. 자동화된 DNSSEC 유지관리는 연속성을 보존하고 키 롤오버 실패를 줄일 수 있습니다. 제거를 초기 자동화 제안 밖에 두면 더 강한 비상 절차를 유지할 수 있습니다.

그러나 모든 예외는 실질 정책의 일부입니다. 단순히 "레지스트리 잠김"이라고 불리는 도메인도 자동화된 스캐너를 통해 변경될 수 있습니다. 가장 중대한 탈출 경로인 잠금 제거는 다른 곳에서 통제됩니다. EPP 상태를 읽는 사람은 잠금이 절대적 상태가 아니라 명명된 개구부를 가진 경계임을 알아야 합니다.

자동화된 DNSSEC 예외는 어떤 스캐너가 변경을 개시했는지, 어떤 레코드가 관찰되었는지, 어떤 정책이 우회를 허용했는지, 결과적인 전후 위임 상태가 무엇인지를 기록해야 합니다. 수작업 제거는 제거 자체가 범위 밖이더라도 EPP 이력과 연계 가능한 증거를 생성해야 합니다. 그렇지 않으면 가장 강한 경로가 기계 감사 가능성이 가장 낮은 경로가 됩니다.

기존 서비스는 절차를 추론할 수 없는 이유를 보여준다

현재 IANA EPP 확장 레지스트리는 스웨덴 인터넷 재단(Internetstiftelsen)의 Registry Lock Extension을.se와.nu용 활성 비-RFC 사양으로 등재합니다. 그 항목은 기존 운영자 확장이지 새 개인 초안이 표준화되었다는 증거가 아닙니다.

Internetstiftelsen의 공개 서비스 설명은 요청자가 소유자인지 검증하는 방법을 등록관리인이 결정한다고 말합니다. 등록관리인이 잠금 해제를 수행하고, 요청된 등록 변경을 하며, 등록관리인이 설정한 기간 후에 직접 또는 자동으로 도메인을 다시 잠급니다. 보이는 제품은 중요한 보증과 시점 선택을 등록관리인에 위임합니다.

DENIC은.de에 대해 다른 절차를 묘사합니다. 소유자가 록 연락처를 임명합니다. 공급자를 통한 변경 요청이 도착하면 DENIC은 저장된 휴대폰 번호로 토큰을, 기록된 주소로 이메일을 보냅니다. 요청이 7일(달력 기준) 내에 확인되지 않으면 거부되며, DENIC은 잠금의 설정·변경·제거 요청과 잠긴 도메인 데이터 변경을 별도로 검사합니다.

어느 공개 설명도 리비전 00의 구현 주장으로 읽어서는 안 됩니다. 그 가치는 비교에 있습니다. 레지스트리 록이라는 같은 문구가 서로 다른 등록, 검증, 타임아웃, 잠금 해제 및 재잠금 방식을 감출 수 있습니다. 미래의 공통 EPP 구문이 그 차이를 지우지는 않을 것입니다. 오히려 그 차이를 명시하는 일이 더 중요해질 것입니다.

승인 절차 기록을 보존하라

저는 보류 중인 각 레지스트리 록 변환에 대해 승인 절차 기록을 제안합니다. 이는 Daniel Kade의 거버넌스 권고이며, 초안이 부과하는 필드 집합이 아닙니다.

기록은 요청된 변경으로 시작합니다. 도메인, 후원 클라이언트, 인증된 EPP 세션,clTRID,svTRID, 요청 시각, 작업, 영향받는 데이터의 정규화된 전후 표현. 기존 록 정책, 타임아웃, 승인 수, 연락처 집합, 정책 버전을 기록합니다. 이후 업데이트는 그 시작점을 다시 쓸 수 없습니다.

각 필수 승인자에 대해 기록은 대표하는 권한, 연락처 ID, 등록 시각, 승인 방법, 독립성과 관련된 통제 도메인(고용주 또는 실질 권한, 신원 공급자, 메일함 테넌트, 기기 관리, 전화 계정, 토큰 발급자, 복구 데스크)을 식별합니다. 민감한 값은 공개 노출 대신 통제된 참조 또는 안정적인 익명 도메인으로 표현될 수 있습니다.

챌린지 기록은 논스 또는 다이제스트를 정확한 제안 변경, 전달 엔드포인트, 발급·만료 시각, 응답 시각, 검증 결과, 안티리플레이 상태에 바인딩합니다. 무응답, 명시적 거부, 검증 실패를 구별합니다. 최종 결정은 어떤 독립성 규칙이 평가되었는지, 어떤 승인이 계수되고 배제되었는지, 예외나 수작업 재정이 사용되었는지, 그 이탈을 누가 승인했는지를 밝힙니다.

완료는 원래의 보류 트랜잭션을 poll 결과, 최종 EPP 결과, 적용된 상태, 알림에 바인딩합니다. DNSSEC 자동화가 승인을 우회하면 기록은 자동화 신원, 관찰, 정책을 명시합니다. 잠금 제거가 EPP 밖에서 발생하면 외부 절차 식별자가 같은 연표에 들어갑니다.

목표는 보호 도메인에 대한 공개 서류가 아닙니다. 소유자, 등록관리인, 레지스트리가 연락처 ID의 개수 이상을 증명할 수 있게 하는, 접근 통제된 내구성 있는 기록입니다. 수치 쿼럼은 서버가 몇 건의 승인을 계수했는지 답합니다. 절차 기록은 그 승인들이 보안 주장이 약속한 독립된 권한을 실제로 대표했는지 답합니다.

출처