요약

  • RFC 3323은 프라이버시를 신원, 관찰자, 중개자 사이의 관계로 다루었습니다. 발신자는 최종 수신자에게는 익명이면서도 프라이버시 서비스나 인증 시스템에게는 여전히 식별될 수 있었습니다.
  • critical선호 설정은 실패를 명시적으로 만들었습니다. 요청된 프라이버시가 제공될 수 없다면, 신원이 예기치 않게 노출된 채로 요청을 전달하는 대신 거부해야 했습니다.

중개자는 자신이 감추는 것을 알고 있었다

권장된 익명 From 형식은 결단력 있어 보였습니다.Anonymous표시 이름과 예약된 익명 SIP 도메인을 짝지은 형태였습니다. 이는 일반적인 수신자가 이 필드에서 발신자의 재사용 가능한 주소 레코드(address of record)를 알아내는 것을 막았습니다. 그러나 SIP 대화에는 From 값 이상의 것이 필요했습니다. Contact와 Via는 기능적 라우팅 정보를 전달했습니다. SDP는 세션 트래픽용 주소를 드러낼 수 있었습니다. 인증은 적어도 한쪽 당사자에게는 신원을 노출하는 경우가 흔했습니다. 직접적인 종단 간 교환은 상대방의 네트워크 주소를 서로에게 숨길 수 없었습니다.

따라서 RFC 3323은 여러 가지 서로 다른 프라이버시 관계를 기술했습니다. 한 사용자는 수신자에게는 신원을 숨기되 중개자에게는 공개할 수 있었습니다. 다른 사용자는 일부 중개자에게는 정보를 감추면서 최종 수신자에게는 보호된 신원 자료를 보낼 수 있었습니다. 세 번째 사용자는 양쪽 모두에게 감추기를 원할 수 있었습니다. 이러한 상태들 중 어느 것도 단일한anonymous=true플래그로 정직하게 표현될 수 없었습니다.

네트워크가 제공하는 프라이버시에는 논리적 프라이버시 서비스가 필요했습니다. 사용자는 중개자에게 식별 정보를 담은 헤더를 제거하거나 재작성할 책임을 맡기고, 세션 프라이버시의 경우 미디어 경로에 서게 했습니다. 이 서비스는 다른 이에게 감추는 지식과 접근성을 스스로 보유하면서 운영상의 권한을 얻었습니다. 따라서 수신자에게 익명이라는 것이 서비스 제공자에게는 식별 가능하다는 의미일 수 있었습니다.

선호는 실행의 증거가 아니었다

새로 도입된Privacy헤더는header,session,user기능을 요청할 수 있었습니다.header는 라우팅을 깨지 않고서는 사용자 에이전트가 단순히 위조하기 어려운 Via와 Contact 같은 필드를 가려 달라고 서비스에 요청했습니다.session은 중개자에게 세션 트래픽의 표면상 출처를 감추라고 요청했습니다.user는 단말이 스스로 제공할 수 없는 사용자 수준의 정리 작업을 네트워크에 요청했습니다.

이 토큰들은 의도를 기록했을 뿐입니다. 메시지가 능력 있는 서비스에 도달했는지, 그 서비스가 올바르게 구성되었는지, 법적·운영적 조건이 준수를 허용했는지는 증명하지 않았습니다. RFC 3323은 프라이버시 요청이 법적 제약, 미구현 기능, 설정 오류 또는 예외 상황으로 인해 이행되지 않을 수 있음을 명시적으로 경고했습니다.

critical값은 요청에 페일클로즈드(fail-closed) 의미론을 부여했습니다. 요청된 기능을 제공할 수 없다면 요청은 거부되어야 했습니다. 침묵은 성공이 아니었습니다. critical 프라이버시 실패 이후 보호되지 않은 통화를 전달하는 것은 사용자의 선호를 뒤집는 일이었습니다. 사적으로 소통하려던 시도가 신원을 노출하는 사건이 되어 버립니다.

반대 값인none역시 의도를 보호했습니다. 이는 프로비저닝된 프로필이나 기본 설정이 평소라면 수행했을지라도 프라이버시 서비스가 어떤 프라이버시 기능도 적용하지 않도록 지시했고, 중개자가 이를 제거하거나 변경하는 것은 금지되었습니다. 따라서 RFC 3323은 사용자의 명시적 선택에 어긋나는 자동 익명화가 프라이버시 부재만큼이나 잘못될 수 있음을 인정했습니다.

보안은 신뢰된 서비스 앞에서 끝났다

이 문서는 TLS 같은 직접적인 보호 경로를 통해 프라이버시 서비스에 연결할 것을 강력히 권장했습니다. 그렇지 않으면 정보가 감추기를 담당하는 주체에게 도달하기 전에 새어 나가거나, 중간 프록시가 프라이버시 요청을 제거할 수 있었습니다. 서비스까지의 전송 보호는 그 노출을 줄이고 인증서 검사를 가능하게 했습니다. 그러나 서비스가 자신이 처리하는 것을 볼 수 없게 만들지는 않았습니다.

세션 프라이버시는 신뢰 경계를 더욱 날카롭게 만들었습니다. SDP를 재작성하고 미디어를 중계하는 중개자는 사용자의 네트워크 주소를 상대편으로부터 가릴 수 있었지만, 암호화되지 않은 세션 트래픽은 익명화 서비스에게 노출될 수 있었습니다. 수신자로부터의 프라이버시와 서비스로부터의 기밀성은 별개의 속성이었습니다. 하나를 개선하는 메커니즘은 다른 하나에 대한 의존을 높일 수 있었습니다.

수신자와 프록시 역시 식별되지 않은 발신자를 거부할 권리를 유지했습니다. 이 사양은 사용자가 신원을 감출 수 있는 능력과 다른 주체가 익명 요청을 거부할 수 있는 능력 사이에 균형을 맞췄습니다. 프라이버시 선호가 수락을 강제할 권한이 되지는 않았습니다.

이 작업과 함께 발표된 RFC 3325는 신뢰된 네트워크 내부에서의 주장된(asserted) 신원을 다루었습니다. 이후의 신원 및 이력 사양들은 SIP의 증거 표면 중 다른 부분들을 바꾸었습니다. 이들의 공존은 핵심 구분을 강화합니다. 하나의 신원은 한 관찰자에게는 인증되거나 주장될 수 있으면서 다른 관찰자에게는 의도적으로 보류될 수 있다는 것입니다. 관찰자, 신뢰 도메인, 처리 단계, 시점은 모두 주장(claim)에 포함되어야 합니다.

따라서 RFC 3323의 역사적 교훈은 외형적이기보다 구조적입니다. 이름을 “Anonymous”로 바꾸는 것은 눈에 보이는 가장자리일 뿐이었습니다. 실제 시스템은 지식과 라우팅 책임을 재분배했습니다. 프라이버시는 올바른 중개자가 요청을 받아 약속된 변환을 수행하고, 수행할 수 없을 때 안전하게 실패했을 때에만 성립했습니다.

출처