요약

  • RFC 1135는 의도와 사후 윤리에 대한 의견 차이를 기록했다. 이는 표준도, 단일 채택 규범도 아닌 정보성 메모였다.
  • MIT 팀은 취약점과 그 알고리즘을 설명하는 것과 역컴파일된 소스를 공개적으로 배포하는 것을 구분했다. CPSR의 결함 설명 공개 요구는 별개의 소스 코드 결정을 해소하지 못했다.
  • 이 기록들은 상충하는 선택들의 역사를 뒷받침할 뿐, 보편적 공개 정책이나 완전한 언론 보도, 또는 어떤 입장이 인터넷 전체에서 채택되었다는 증거를 제공하지 않는다.

하나의 단어 안에 숨어 있던 두 가지 결정

1988년 11월 5일 토요일 오후, MIT의 연구자들은 웜의 역컴파일 소스를 공개할지 여부를 논의했다. 그들의 연표에 따르면 팀은 위기 상황 동안 그 소스를 공개하지 않기로 합의했다. 동시에 팀은 프로그램의 내부 작동 방식을 숨기고 싶지 않았다. 즉, 다른 사람들이 무슨 일이 있었는지 이해할 수 있도록 알고리즘을 설명할 의도였다. 팀이 밝힌 우려는 실용적인 것이었다. 작동하는 프로그램에 파괴적인 변경을 추가하고 재컴파일하는 것이 설명을 듣고 프로그램을 다시 만드는 것보다 적은 노력이 들었다.

이것은 비밀주의와 개방 사이의 단순한 선택이 아니었다. 기술적 설명, 소스 목록, 방어용 패치, 다른 연구자에게 보내는 비공개 사본은 서로 다른 대상과 위험을 지닌 서로 다른 산출물이었다. MIT 측 기록에 따르면 팀은 각 사이트가 수정 사항을 설치할 시간을 가진 뒤의 추가 배포 가능성도 검토했다. 이것은 팀이 기록으로 남긴 결정이었지, MIT 행정부의 정책 명령이나 모든 인터넷 운영자를 위한 규칙이 아니었다.MIT 연표는 이 선택을 직접 서술한다.

두 번째 당대 기록은 이 차이를 드러냈다. 1989년 12월, Jon Reynolds의 RFC 1135는 웜 사건의 여파를 검토하고 인터넷활동위원회(IAB), 미국 국립과학재단(NSF), MIT, 그리고 Computer Professionals for Social Responsibility(CPSR)의 성명을 정리했다. 이 문서는 자신을 인터넷 사건에 대한 보고서라고 부르며 표준을 명시하지 않는다고 밝힌다. 이 문서의 가치는 의견 차이를 기록했다는 점에 있고, 바로 그 지위 때문에 그 공개가 증명할 수 있는 것에는 한계가 있다.RFC 1135는 입장들의 기록 저장소이지, 커뮤니티가 그중 하나를 채택했음을 보여주는 투표가 아니다.

네 가지 성명이 하나의 규범을 만들지는 않았다

IAB의 1989년 1월 RFC 1087은 인터넷을 공유 연구 시설로 규정하고 전문직 윤리를 그 지속적 가용성을 중심으로 다루었다. 이 문서는 목적에 의한 무단 접근, 방해, 자원 낭비, 정보 무결성에 대한 손상, 사생활 침해를 용납할 수 없는 행위로 명시했다. 또한 네트워크 전역 실험이 연구자를 넘어선 사람들에게 영향을 줄 수 있고, 보호 조치는 정보의 자유로운 흐름을 가로막을 경우 역효과를 낼 수 있다고 경고했다. 이 성명은 절제와 개방을 결합했지만, 모든 지역 징계 사안을 결정할 수 있는 중앙 기구를 서술하지는 않았다.RFC 1087은 명시적으로 IAB의 정책 성명이다.

RFC 1135는 NSF 산하 자문 패널의 1988년 11월 성명에서 다른 강조점을 보고한다. Reynolds가 요약한 바에 따르면, 이 패널은 고의적 방해에 더해 과실까지 포함시키고, 네트워크를 관리하는 조직에게 자체 윤리 정책과 징계 절차를 공개하도록 권했다. 이 권고는 특정 시스템을 책임지는 기관의 조치를 가리켰다. RFC 1135에 보존된 텍스트에서 이는 보편적인 집행 기구를 설립하지 않았다.

MIT의 책임 있는 컴퓨터 사용에 관한 성명은 웜 사건보다 앞선 것이었다. RFC 1135는 이를 의도된 사용, 사생활, 보안, 시스템 무결성, 지적 재산에 관한 캠퍼스 지침으로 묘사한다. 이는 중요하다. 대학의 행동 규범은 자기 구성원과 시스템을 규율할 뿐, 그 존재가 이를 인터넷 전역의 법으로 만들지는 않기 때문이다.

반면 CPSR은 효과적인 수정을 위해서는 보안 결함에 대한 설명을 공개해야 한다고 주장했다. 이 성명은 개방적 교류를 옹호하고 연구자들이 아이디어를 공유할 수 있는 능력을 제한하는 정책을 경고했다. 그러나 '결함 설명을 공개하라'는 명제는 '작동하는 악용 코드 사본을 공개하라'는 명제와 같지 않다. MIT 팀의 기록은 바로 이 구분을 명시적으로 만든다. 두 기록을 함께 읽으면, 개방이라는 슬로건이 여러 개의 별개 결정을 감출 수 있는 공개 스펙트럼이 드러난다. RFC 1135가 CPSR 입장을 인용한 것은 1989년 메모가 보고한 내용에 대한 증거이지, CPSR의 모든 행동에 대한 완전한 독립적 역사가 아니다.

설명과 실행은 서로 다른 비용을 지녔다

MIT 연구자들은 프로그램에 대한 상세한 지식이 숨겨져서는 안 된다고 말했다. 그럼에도 그들은 공개적 소스 릴리스는 다르게 취급할 가치가 있다고 보았다. 수신자가 파괴적 변경을 더 쉽게 추가하고 재빌드할 수 있기 때문이다. 그들의 기록은 즉각 대응 기간 동안 자신들의 역컴파일 소스를 공개적으로 보류하면서 알고리즘을 논의하고 다른 연구자들과 협력했다고 서술한다. 또한 영향받은 사이트들이 패치할 시간을 가진 뒤의 공개 가능성을 주장한 입장을 기록하고 있으며, 이는 Jerry Saltzer와 연관된 주장이었다.

이 구분이 모든 위험을 해소하지는 못했다. 소스를 비공개로 유지하면 독립적 검증이 어려워질 수 있었고, 공개하면 프로그램 재사용에 필요한 노력이 줄어들 수 있었다. 설명을 공개하는 것은 방어자를 도울 수 있으면서도 그 방식을 재구성할 수 있는 사람에게 정보를 제공할 수 있었다. 패치는 운영자에게 구체적 수리를 제공하면서도, 어느 수준의 기술적 세부사항이 공개 기록에 들어가야 하는지는 정하지 않았다. 자료들은 한 팀의 결정과 그를 둘러싼 논쟁을 기록할 뿐, 어떤 선택이 결과를 얼마나 바꾸었는지에 대한 측정된 증거는 아니다.MIT 팀의 결론은 소스 가용성과 개방성을 모두 이 사건이 드러낸 문제들로 나열한다.

이 차이는 '인터넷은 공개를 선택했다'는 말이 지나치게 광범위한 이유도 설명한다. RFC 1135는 여러 성명을 나란히 놓지만 채택 득표수, 투표, 배포 기록, 이후 준수 감사를 제공하지 않는다. 웜이 우연히 새어 나왔는지 의도적으로 공개되었는지에 대한 논쟁에 관한 문서 자체의 서술도 의도에 대한 결론이 아니다. 이는 당대 저자가 상충하는 계정을 기록하고 침해를 결함 노출의 수용 가능한 방식으로 거부했다는 것을 보여줄 뿐이다. 행위자의 동기를 이것만으로 확정할 수는 없다.

언론도 또 하나의 경계였지, 단일 행위자가 아니었다

RFC 1135는 선정적 보도를 비판하고 일부 버클리 연구자들이 언론을 방해로 여겼다고 보고한다. MIT 연표는 더 지역적인 기록을 제공한다. 팀에 따르면 그 뉴스 사무국은 기자 요청들을 기자회견으로 일괄 처리하고 기자들이 분석 작업 대부분에 접근하지 못하게 했다. 연구자들은 또한 많은 기자들이 진지한 질문을 했다고 말하면서도, 잘못된 주장과 극적인 시연에 대한 기대를 회고한다.

이 기록들은 서로 배타적이지 않다. 서로 다른 경험을 서술하며 '미디어'를 하나의 균질한 기관으로 다루어서는 안 되는 이유를 보여준다. 뉴스 직원은 연구자들의 시간을 보호하면서 공개적 채널을 제공할 수 있었고, 헤드라인이나 소문은 여전히 독자들이 생각한 바를 왜곡할 수 있었다. RFC 1135는 저자의 1989년 평가를 기록하고, MIT 연표는 한 팀의 시각을 기록한다. 어느 쪽도 전체 보도의 조사나 지연의 정량적 측정이 아니다.

이 경계가 중요한 이유는 공개적 해석이 실용적 효과를 지녔기 때문이다. 공격자가 영웅이라는 주장은 무단 행위를 보안 서비스로 재구성할 수 있었고, 새로운 확산이 진행 중이라는 주장은 보고가 거짓일 때조차 주의를 소모할 수 있었다. 증거는 이것들을 문서화된 커뮤니케이션 문제로 뒷받침할 뿐, 언론 보도가 사건을 일으켰거나 기술적 대응을 통제했다는 주장으로 뒷받침하지 않는다.

이 RFC가 보존할 수 있었던 것

RFC 1135는 인터넷 전역의 윤리 표준이 아니다. 그 페이지들은 조직들이 서로 다른 규모로 책임을 서술하던 순간을 보존한다. 공유 인프라에 대한 IAB 정책, 네트워크 운영자와 기관을 향한 NSF 권고, 기존 캠퍼스 행동 규범, 그리고 개방적 연구를 위한 시민사회의 주장이 그것이다. MIT 기록은 방법론의 공개와 실행 가능한 소스 배포 사이의 구체적 구분을 추가한다. 이 기록은 이 관점들이 조화되었거나 보편적으로 채택되었음을 보여주지 않는다.

Lu Heng의 후속 Note 64는 유용한 해석 렌즈를 제공한다. 공개는 시스템을 운영하는 참여자들의 구현이나 채택과 같은 것이 아니라는 것이다. 이 2026년 설계 원칙은 1988년에 대한 증거가 아니며, IAB나 Reynolds에게 돌려서는 안 된다. 신중히 적용하면 역사적 질문을 던지는 데 도움이 된다. 공표된 성명이 원칙을 서술한 것인가, 아니면 기록이 어떤 조직이 그것을 구현했음을 보여주는가? RFC 1135의 경우 대답은 대개 전자다.

따라서 지속되는 기록은 하나의 정착된 공개 규칙이 아니다. 그것은 분리 가능한 선택들의 집합이다. 결함을 서술하거나, 알고리즘을 설명하거나, 패치를 보내거나, 제한된 집단과 소스 사본을 공유하거나, 작동하는 코드를 공개하는 일. 각 선택은 누가 그 자료를 검열하고, 수리하고, 재현하고, 재사용할 수 있는지를 바꾼다. 1989년 메모는 그 의견 차이를 읽을 수 있게 만든다. 그것은 모든 네트워크에 대한 답을 결정할 권한을 단일 기구에 부여하지 않는다.

출처