요약

  • RFC 1087은 1989년 IAB가 역사적으로 특정한, 미국이 지원한 연구용 인터넷을 위해 발표한 정책 성명으로, 집행 절차를 규정하지 않은 채 받아들일 수 없는 의도적 행위를 명시했다.
  • 이후의 사이트 보안 핸드북들은 이 빠진 운영 계층을 명확히 한다. 소유자가 있는 사이트는 스스로 허용 사용 정책, 절차와 한계를 선택하고, 전달하고, 구현해야 한다.

좁은 종류의 힘을 지닌 강한 문장

RFC 1087은 짧아서 문체가 그 범위를 가릴 수 있다. Internet Activities Board는 미국 정부, 산업계, 학계의 자원으로 구성되어 처음에는 네트워크 연구, 그다음에는 더 넓은 연구 공동체를 위해 만들어진 인터넷을 묘사했다. 이 문서는 그 체계를 국가적 시설로 규정하고, 유용성을 가용성과 접근 가능성에 연결하며, 무책임한 사용이 서비스 지속을 위협한다고 경고했다. 그런 맥락에서 이 문서는 접근과 사용이 특권이라고 밝혔다.

성명은 이어 다섯 부분의 경계를 지지했다. 의도적인 무단 접근, 의도된 사용의 방해, 인력·용량·컴퓨터 자원의 낭비, 정보 무결성의 파괴, 사용자 프라이버시의 침해가 각각 비윤리적이며 받아들일 수 없다고 규정된 것이다. 이 범주들이 의미를 가졌다. 연결된 연구 인프라가 기관 경계를 넘어 방해받을 만큼 가치 있어진 시기에 공동의 우려를 읽을 수 있게 만든 것이다.

그러나 범주는 판정이 아니다. '무단 접근'은 어떤 자원이 누구의 소유인지, 어떤 로컬 규칙이 적용되는지, 어떤 계정이나 패킷이 관련되었는지, 행위자가 의도적으로 행동했는지, 어떤 증거가 남았는지 말하지 않는다. '방해'는 장애 시간을 측정하거나 원인을 특정하거나 처방을 고르지 않는다. 정책은 사실적·운영적 작업을 해결하지 않은 채 어떤 질문이 주목받을 만한지 틀을 제공할 수 있다.

이는 1989년에만 고유한 약점이 아니다. 규범과 통제 사이의 기본적 경계이다. 통제에는 범위, 책임 운영자, 메커니즘, 입력, 결정 규칙이 필요하다. 판정에는 주장된 사건에 적합한 증거가 필요하다. 승인에는 영향받는 자원에 대한 권한을 지닌 주체가 필요하다. RFC 1087은 이런 것을 일반 인터넷 서비스로서 제공하지 않았다. 정책 성명을 제공했을 뿐이다.

문서는 그렇지 않다고 주장하지 않았다

이 절제는 RFC의 마지막 대목에서 드러난다. IAB는 연방 기관과 다른 이해관계자들과 함께 인터넷이 방해에 더 저항할 수 있게 하는 기술적·절차적 메커니즘을 식별하고 마련할 계획이라고 밝혔다. 이 표현은 우려 자체와 그것을 다룰 메커니즘을 분리한다. 또한 트레이드오프도 인정한다. 보안은 비용이 들 수 있고, 네트워크를 가치 있게 만드는 정보의 자유로운 흐름을 억제할 수 있다는 것이다.

그 문장은 보편적인 집행 평면을 선언하지 않는다. 센서, 자격 증명, 라우팅 규칙, 제재, 재판소, 관할권을 정의하지 않는다. 모든 네트워크가 같은 소유자, 위험 수용도, 법적 환경을 지닌다고도 말하지 않는다. 메커니즘과 절차는 여전히 관련 당사자들과 협력하여 찾고 마련해야 한다고 말할 뿐이다.

이 구분이 중요한 이유는 정책 언어가 사후에 상상의 기계장치를 얻기 때문이다. 규칙이 그럴듯하게 들리기 시작하면 독자는 이미 운영자를 선정하고 증거를 검증하고 결과를 승인했다고 가정한다. 그 후속 단계는 필요할 수 있다. 그러나 첫 문장의 도덕적 명료함 안에 담겨 있지는 않다.

공유 경고에서 사이트 소유 정책으로

2년 뒤 발표된 RFC 1244, 즉Site Security Handbook은 다음 계층을 구체화한다. 자신을 요리책이 아니라 가이드이자 프레임워크로 규정한다. 사이트는 결정을 내리고, 합의를 얻고, 정책을 전달하고, 구현해야 한다. 사이트의 정의는 컴퓨터나 네트워크 관련 자원을 지닌 조직을 중심에 두며, 이 가이드는 사이트가 자원 소유자들의 동의와 지지 아래 절차를 정할 수 있다고 가정한다.

이는 운영 자세에서 실질적 변화다. 사이트의 허용 사용 정책은 어떤 계정, 시스템, 트래픽이 범위에 드는지 말할 수 있다. 접근과 권한의 한계를 명시하고, 인시던트에 대응할 수 있는 사람을 식별하며, 사용자에게 기대되는 행동을 설명할 수 있다. 정책은 여전히 패킷 트레이스가 아니지만, 적어도 선언된 규칙을 책임 있는 자원 보유자와 구현 맥락에 연결한다.

RFC 2196은 이후 더 명시적인 정책 구조로 같은 논리를 반복한다. 자신을 정보성 문서로 규정하고, 보안 정책은 요구 사항이 충족될 수 있는 메커니즘을 명시해야 한다고 말하며, 적절한 사용 정책을 더 넓은 로컬 보안 정책의 일부로 다룬다. 법률과 규정을 고려하고, 기대를 전달하고, 정책을 검토하도록 독자에게 요청한다. RFC 2504는 이어서 사용자를 위한 동반 핸드북으로서 특정 사이트가 사용자에게 권한을 부여했다고 증명한다는 주장 없이 지침을 제공한다.

네 문서를 함께 보면 유용한 역사적 순서가 드러난다. 포괄적 정책은 위험을 명명할 수 있다. 사이트는 실제로 지배하는 자원에 대한 규칙으로 그 위험을 번역해야 한다. 운영자는 메커니즘과 절차를 선택해야 한다. 특정 사건을 침해라고 부르기 전에 증거를 수집해야 한다. 그 어떤 단계도 첫 정책 문장을 더 크게 반복함으로써 건너뛸 수 없다.

허용 사용 성명이 정할 수 없는 것

1989년 IAB 성명은 오늘의 법적 규칙, 현재 공급자의 약관, 조직의 자산 소유, 사용자의 승인을 결정하지 않는다. 특정 패킷이 악의적이었는지, 장애가 의도적이었는지, 모니터링 시스템이 올바르게 구성되었는지, 집행 조치가 비례적이었는지 증명하지 않는다. 현재의 배치, 계약 관계, 관할권, 사실적 사건을 확립하지도 않는다.

이 한계는 엄밀성과 되돌릴 수 있음을 모두 보호한다. 우려가 침입이라면 사이트는 자신의 자산을 정의하고, 관련 증거를 수집하고, 책임 있는 통제를 선택하고, 위험이 바뀌면 수정할 수 있다. 우려가 서비스 연속성이라면 운영자는 실제로 중요한 경로, 용량, 호스트 상태를 식별할 수 있다. 역사적 정책을 마치 이미 그런 로컬 결정을 내린 것처럼 다루면 서로 다른 종류의 권한을 하나의 문서로 압축하여, 사실이 다를 때 수정이 더 어려워진다.

출처와 증거 경계

고정된 원본 패킷은 RFC 1087, 1244, 2196, 2504이다. RFC 1087은 1989년 IAB 성명, 그 연구 인프라 맥락, 다섯 개의 열거된 범주, 미래의 기술적·절차적 메커니즘 언급을 제공한다. RFC 1244와 2196은 사이트 소유 정책, 구현, 메커니즘, 검토 비교를 제공한다. RFC 2504는 사용자 대면 동반 맥락을 제공한다. 어느 것도 현재의 위반, 신원, 권한, 법적 결과, 관할권, 배치, 집행 결과, 보편적 권한을 증명하지 않는다.