요약

  • RFC 1281은 인터넷 보안 지침을 자발적이고 대체로 강제할 수 없는 것으로 기술했지만, 공유 규칙의 준수를 가입의 약속의 일부로 다루었다. 그 약속은 중앙 집행 권한을 만들지 않았다.
  • 책임은 사용자, 서비스 제공자, 벤더, 시스템 개발자, 네트워크 운영자 사이에 분산되었다. 따라서 각 사이트는 자체 정책, 준수 한계, 공개 연락처, 결정 권한을 명시해야 했다.
  • 탐지된 사건은 아직 특정 위반자가 확인된 것이 아니었고, 신원 확인은 아직 제재가 아니었다. 로그, 통지, 조사, 귀속, 대응, 처벌은 각각 별도의 증거와 위임을 필요로 했다.

중앙 보안관 없는 약속

1991년 11월에 발표된인터넷의 안전한 운영을 위한 지침(Guidelines for the Secure Operation of the Internet)은 인터넷 표준이 아니라 정보성(Informational) RFC였다. 그 출발점은 기술이 아니라 제도에 있었다. 인터넷은 협력을 통해 운영되었다. 참여하는 각 네트워크는 자체 운영에 책임이 있었고, 가입 구성 요소 위에 서는 중앙 관리 기구는 없었다.

이 배열은 역설을 낳았다. RFC 1281은 인터넷의 자발적 성격을 강점이자 어쩌면 가장 취약한 측면으로 동시에 불렀다. 규칙은 자발적이고 대체로 강제할 수 없었으며, 국내법이 힘을 공급하는 경우를 제외하면 그랬다. 그러나 가입 자체도 선택이었다. 따라서 공유 규칙의 준수는 가입을 위한 약속의 일부가 될 수 있었고, 위반은 제재의 근거가 될 수 있었다.

중요한 단어는 단순히 "제재"가 아니라 "근거"이다. 공유 지침은 결과를 고려할 이유를 제공할 수 있었지만, 그 자체로 적법한 주체를 특정하거나 위반을 입증하거나 결과를 선택하지는 않았다. 부록은 제재를 사이트에 위치시키고 그것이 인시던트의 성격에 의존하도록 했다. 인터넷 전역의 규범과 지역적 결정은 서로 다른 권한 층위로 남았다.

책임은 하나의 주체로 수렴하지 않았다

이 메모는 보안을 기밀 유지 이상으로 다루었다. 여기에는 사생활 보호, 무단 변경, 서비스 거부, 무단 접근이 포함되었다. 그리고 여섯 그룹과 관행에 걸쳐 의무를 분배했다. 사용자는 정책을 이해하고 존중하며, 책임을 지고, 이용 가능한 보호 장치를 사용해야 했다. 서비스 제공자는 보안을 유지하고 정책과 변경 사항을 사용자에게 통지해야 했다. 벤더와 시스템 개발자는 건전한 시스템과 적절한 통제를 공급해야 했다. 모두가 협력해야 했으며, 개선은 지속적이어야 했고, 보안은 나중에 붙이는 장식이 아니라 설계에 속해야 했다.

이러한 배분은 편안한 허구를 막았다. 즉, 하나의 보안 부서가 모든 이의 의무를 물려받을 수 있다는 생각이다. 사용자는 시스템이 약하다는 이유로 침입을 용서받을 수 없었다. 개방된 사이트가 다른 사이트를 돕는 의무를 잃지 않았다. 벤더가 기능을 설명하고 결함을 수리하며 수정 사항을 배포할 의무가 있다고 해서 운영자가 구성하고 대응할 의무가 지워지지 않았다.

따라서 책임성은 모든 실패를 던져 넣을 수 있는 바구니가 아니라 서로 구별되는 책임의 지도였다. 한 주체를 비난하기 전에, 증거는 어떤 의무가 적용되고, 어떤 당사자가 그것을 지녔으며, 그 당사자가 합리적으로 무엇을 할 수 있었는지를 보여야 했다.

통지는 책임성에 앞서야 했다

부록 A는 지역 정책이 명확하고, 전달되고, 보관되며, 접근의 일부로 이용 가능해야 한다고 요구했다. 이것은 공개 에티켓 이상이었다. 어떤 버전이 적용되고, 언제 효력을 발생했으며, 누가 그것을 받았고, 변경이 어떻게 공지되었는지 보여줄 수 없는 사이트는 규칙을 이용 조건으로 신뢰할 수 있게 다룰 수 없었다.

바로 앞서 발표된RFC 1244는 이 증거적 순서를 더욱 명확히 했다. 정책은 사용자와 유지보수 담당자에게 전달되었을 때에만 효력을 가졌다. 접근 조건에는 사용자가 규칙을 읽고 이해했다는 서명된 진술이 포함될 수 있었다. 공지, 의견 제출 기회, 확인은 모두 가능한 기록이었다. 어느 것도 정책 본문 자체와 서로 바꿔 쓸 수 없었다.

이것이 중요한 이유는 "규칙이 존재했다"와 "이 사람이 이 시점에 이 규칙에 구속되었다"는 서로 다른 주장이기 때문이다. 첫째는 진본인 정책을 필요로 한다. 둘째는 전달, 범위, 시점을 필요로 한다. 이후의 제재에는 아직 더 많은 것이 필요하다. 행위의 증거, 권한 부여된 결정, 적용 가능한 정책이나 법이 허용하는 결과가 그것이다.

감시 권한에는 사생활 대장이 따랐다

RFC 1281은 사이트가 로그, 감사, 추적을 적절히 사용하여 컴플라이언스와 인시던트를 감시하도록 권고했다. 같은 숨결로, 어떤 정보가 수집되고, 누가 볼 수 있으며, 왜 그런지에 대한 공개된 설명을 요구했다. 감시는 역량이었고, 사생활 정책이 그 합법적 경계를 정했다.

RFC 1244는 일상적 진단 수집을 조사와 구별했다. 동일한 패킷 추적이 한 맥락에서는 운영 증거였고 다른 맥락에서는 의심되는 위반에 대한 조사였다. 목적이 바뀌면 요구되는 권한도 바뀌었다. 감사는 무엇이 검사되었고 어떤 결과가 기대되었는지 문서화할 수 있었지만, 테스트는 절대적 증명이 아니라 보증을 제공했다.

이 구별은 익숙한 지름길에 저항한다. 더 많은 텔레메트리가 자동으로 더 많은 정당성을 만들지는 않는다. 유용한 기록은 자체적인 지배적 맥락을 지닌다. 수집 목적, 시간, 시스템, 보존, 접근, 무결성, 그리고 그것이 실제로 답할 수 있는 질문이 그것이다. 그 대장이 없으면 관측은 조용히 서비스 유지에서 사람을 판단하는 것으로 확장될 수 있다.

연락처는 아직 권한이 아니었다

RFC 1281은 모든 사이트가 알려진 보안 연락처를 공개하기를 원했다. 그러나 도달 가능성을 지휘 권한과 혼동하지 않았다. 연락처는 결정을 내릴 수 있도록 사전에 위임받았거나, 그런 사람에게 연락할 수 있어야 했다. 이 두 상태는 운영적으로 다르다.

전화번호나 메일함은 메시지가 갈 곳이 있었다는 것을 증명할 수 있다. 수신자가 시스템을 격리하거나, 사용자 정보를 공개하거나, 사법 기관에 연락하거나, 접근을 중단할 수 있는지는 증명하지 못한다. RFC 1244는 사이트가 그러한 권한을 사전에 결정하도록 권고했다. 원격 사이트, 언론, 사법 기관과 누가 대화할 수 있으며, 어떤 정보를 공개할 수 있는지가 그것이다.

이후의 실무는 같은 경계를 더 날카롭게 했다.RFC 2350은 인시던트 대응팀의 후원 대상(consituency)과 그것이 통제할 수 있는 시스템을 분리하고, 헌장에 후원자와 권한을 공개하도록 요구했다. 그 후기 어휘를 1991년에 이미 완성된 제도로 거슬러 투영해서는 안 된다. 그러나 그것은 RFC 1281이 피한 지속적인 오류를 드러낸다. 공개된 문은 만능 수권증이 아니다.

탐지, 대응, 신원 확인, 제재는 서로 다른 사건이었다

침입 중에 RFC 1281은 어려운 선택을 인식했다. 사이트는 침입로를 신속히 닫거나, 위반자를 식별하는 데 도움이 되도록 충분히 오랫동안 경로를 관측 가능하게 남겨둘 수 있었다. 또한 침투의 영향을 받은 다른 이들에게 통지하도록 촉구했다. 그러나 세부 사항의 노출이 새로운 위험을 만들 수 있으므로 무제한 공개를 처방하지는 않았다.

이 순서에는 여러 독립적인 결정이 담겨 있다. 신호가 탐지되어야 한다. 그 관련성이 평가되어야 한다. 영향받을 가능성이 있는 사이트가 특정되어야 한다. 통지가 적절한 연락처에 도달해야 한다. 지역 권한이 봉쇄 또는 지속 관측을 선택한다. 증거는 귀속을 지지할 수도 있고 아닐 수도 있다. 그 후에야 적법한 기구가 사건과 사이트에 맞는 제재를 고려할 수 있다.

이 사슬을 하나로 뭉개는 것은 위험하다. 경보는 인시던트가 아니고, 인시던트는 신원이 아니며, 신원은 의도가 아니고, 의도는 미리 정해진 처벌이 아니다. 이후의RFC 2196은 정책 시험을 더 명시적으로 만들었다. 좋은 정책은 실행 가능하고 강제 가능하며 책임에 대해 명확해야 했고, 제재 결정은 실수, 순진함, 의도를 구별해야 했다.

RFC 1281의 익살스러운 보안 비고는 보안 고려 사항이 너무 자주 무시되었기 때문에 이 메모가 가능했다고 말했다. 그 더 깊은 기여는 연극적 해법을 거부한 것이었다. 인터넷 전역의 단일 레버는 존재하지 않을 것이었다. 보안은 각 참여자가 규칙, 통지, 관측 경계, 책임 연락처, 결정 권한, 그리고 한 행위를 다음 행위와 연결하는 증거를 보여줄 수 있을 때에만 개선될 것이었다.

출처와 한계

핵심 서술은RFC 1281의 공식 RFC 에디터 본문에서 나온다.RFC 1244는 그 즉시의 사이트 정책 맥락을 공급한다. RFC 1244는 스스로를 불완전한 첫 시도라고 밝혔으며 강한 미국 자원 편향을 반영했으므로, 어느 문서도 보편적 법으로 다루어서는 안 된다. 이후의 핸드북RFC 2196과RFC 2350은 정책, 제재, 후원 대상, 권한이 이후 어떻게 더 공식적으로 기술되었는지 보여주는 데만 사용된다.