요약

  • RFC 3965는 팩스 오프램프 발신 다이얼을 별도로 승인해야 하는 행위로 다루었으며, 어떤 이메일 수신자도 그 권한을 물려받아야 하는 부작용이 아니라고 보았습니다.
  • 문서의 전체 회신 예시는 가상의 재전송(리플레이) 경고입니다. 권한은 특정 발신자와 특정 메시지에 묶여야 하며, RFC는 실제 악용 사례를 보고하지 않습니다.

이메일로 주소를 지정할 수 있는 대상은 팩스 기기만이 아니었습니다. RFC 3965의 모델에서 메시지는 인터넷 팩스 오프램프에도 도달할 수 있었습니다. 오프램프는 메일을 받아들인 뒤 Group 3 팩스 장치를 향해 승인된 전화를 거는 소프트웨어입니다. 따라서 게이트웨이는 서로 매우 다른 두 행위 사이에 놓여 있었습니다. 하나는 메시지를 인터넷 메일로 중계하는 것이고, 다른 하나는 전화 회선 용량과 비용을 소모할 수 있는 행위였습니다.

이 경계는 평범한 이메일 동작에 예상치 못한 결과를 부여했습니다. "전체 회신"을 선택한 수신자는 원래 수신자 목록에 보이던 그 팩스 게이트웨이로 새 메시지를 보낼 수 있었습니다. 게이트웨이가 이전 발신자의 권한을 재사용 가능한 것으로 취급했다면, 이 회신은 다시 발신 다이얼을 촉발할 수 있었습니다. 회신을 작성한 사람은 첫 번째 발신을 허용한 권한의 발신자가 아니었음에도 말입니다. RFC 3965는 이를 리플레이의 악의적이지 않은 예로 서술합니다. 이것은 위협 모델이며, 실제로 팩스가 재전송되었거나 시스템이 침해되었다는 보고가 아닙니다.

구분은 게이트웨이가 무엇을 받는지에서 시작됩니다. RFC는 목적지 번호와 오프램프 호스트가 SMTPRCPT TO같은 인터넷 메일 전송 필드에 속하며, 로컬 파트는 지정된 메일 전송 에이전트가 해석한다고 명시합니다. 게이트웨이는 단순히 팩스 기기 주소록의 복사본이 아닙니다. 메시지가 통화를 일으키도록 허용될지를 결정하는 서비스입니다. 많은 팩스 사용자를 대상으로 하는 배포는 메일 전송 에이전트로 동작할 수 있고, 단일 수신자용 게이트웨이는 사용자 에이전트에 가깝게 동작할 수 있습니다.

또한 이메일 주소만으로 메시지의 발신자가 확정되지 않습니다. RFC 3965는 실제 발신자가From이나Sender헤더, SMTP 봉투의MAIL FROM과 다를 수 있다고 경고합니다. SMTP는 메시지 작성자를 본래 인증하지 않습니다. 게이트웨이는 발신자를 인증하고 사내 승인 테이블을 참조하거나, 발신 호스트나 네트워크로 필터링할 수 있지만, RFC에 따르면 당시 인터넷 프로토콜에는 이 서비스를 위한 표준 권한 부여 기법이 없었습니다. 따라서 이 요구사항은 표준화된 토큰 형식이 아니라, 서비스가 지켜야 할 경계에 관한 것입니다.

규칙은 특이할 만큼 구체적입니다. 권한은 특정 발신자와 특정 메시지 둘 모두에 부착되어야 합니다. 이 짝은 한 팩스를 위해 만든 승인이 조용히 이후 메시지에 대한 권한이 되는 일을 막습니다. 동시에 "같은 수신자 목록"으로는 충분하지 않은 이유를 명확히 합니다. 회신은 주소를 물려받으면서 작성자, 내용, 목적, 요청 시각을 바꿀 수 있습니다. 대화의 연속성은 권한의 연속성이 아닙니다.

같은 경계에는 또 다른 노출이 있었습니다. 통화를 걸기 위해 필요한 정보, 예컨대 전화카드 승인 번호가 주소 매개변수에 담겨 팩스 표지에 인쇄될 수 있었습니다. RFC 3965는 발신자가 그러한 노출을 막을 수단을 갖추어야 한다고 밝히면서, 표준 보호 메커니즘은 아직 마련되지 않았다고 지적합니다. 또한 팩스 수신자는 발신자를 추적할 수 있을 만큼의 정보를 필요로 하며,From이나MAIL FROM만으로는 그 부담을 짊어질 수 없다고 말합니다. 권한 부여, 기밀성, 책임성은 서로 겹치지만 어느 하나가 다른 것을 대신하지 못합니다.

실패 통지에도 같은 분리가 필요합니다. SMTP 중계 실패에는 실패 메시지, 바람직하게는 배달 상태 통지(DSN)가 필요합니다. 수신 장치가 TIFF 내용을 처리하지 못하는 것은 별개의 사건이며, 그 통지는 로컬에서 처리됩니다. 메일 중계의 성공도 반송도, 팩스가 인쇄되었는지, 누군가 보았는지, 사람이 접수했는지는 증명하지 못합니다. 명세는 메일 단계와 게이트웨이 단계를 서술할 뿐, 이를 하나의 종단 간 수신 확인으로 만들지 않습니다.

RFC 3965의 역사적 중요성은 명시적으로 드러낸 불일치에 있습니다. 이메일 스레드는 수신자는 유지하면서 각 메시지의 권한은 바꿀 수 있습니다. 안전한 게이트웨이는 팩스 주소가 그대로 복사·전달되었다는 사실만으로 권한을 추론해서는 안 됩니다. 이 메시지와 이 발신 다이얼에 누구의 권한이 적용되는지를 물어야 합니다. 이 표준은 그 설계 문제를 기록할 뿐, 특정 게이트웨이가 그 문제를 얼마나 널리 해결했는지는 확립하지 않습니다.

출처:RFC 3965,RFC 2305,RFC 3191,RFC 3192,RFC 3461,RFC 3464,RFC 5321,RFC 5322,RFC 3949,RFC 2306.