요약

  • Warren Kumari는 RIPE 92 폐막 전체 회의에서 다른 도메인과 메모리 비트 하나만 다른 유효한 이름을 일부 등록했다고 말했다. 그 서버에는 호스트명, SNI, URL, 쿠키가 왔다. 그는 키보드 오타와 자동 스캔의 영향을 줄이려 했다.
  • 새 최상위 도메인에 한 비트 이웃을 금지하는 규칙을 생각했지만, 기존 TLD 사이에 이미 약 60쌍이 있다는 조사 결과를 제시했다. 공식 발표 안내는 이 내용을 10분짜리 연구 발표로 기록한다.

도메인 이름이 잘못 전달되면 누가 받는가. Kumari는 그 질문을 시험하기 위해 직접 받을 사람의 자리에 섰다. 기존 이름에서 비트 하나가 뒤집혀도 유효한 DNS 이름이 되는 후보를 찾아 몇 개를 등록하고 서버를 열었다. 2026년 5월 22일 RIPE 92에서 그는 그곳에 도착한 주소와 쿠키를 보여줬다. 사람의 오타만이 아니라 기계 안에서 이름 자체가 바뀌는 경로를 겨냥한 실험이었다.

그는 단순 방문 횟수를 증거로 내세우지 않았다. 새 도메인은 로봇이 훑고, 사람은 인접한 자판을 잘못 누른다. 그래서 자판상 멀리 떨어진 글자 조합을 택하고, 사람이 타이핑하기 어려운 긴 서비스 호스트명과 API 경로를 살폈다. 스캔 노이즈도 걸러냈다. 회의 발언록에는 이런 방법이 남아 있지만 요청 원자료 전부가 공개돼 각 방문 원인을 확정할 수는 없다.

서버가 받은 내용은 한층 무거웠다. Kumari는 JavaScript 파일을 찾는 요청이 수천 건, 쿠키도 매우 많았다고 보고했다. 일부 쿠키는 인증 토큰처럼 보였다. 자신이 관리하는 이름으로 TLS 연결이 계속돼 쿠키가 넘어온 예도 제시했다. 비트가 어느 처리 단계에서 바뀌었는지에 따라 인증서 검사가 막을 수 있는 범위가 달라진다. 발표는 데이터를 받은 현장을 보여주지만 그 정보를 이용해 계정을 침해했다는 사건 보고는 아니다.

다음으로 그는 새 gTLD 신청을 떠올렸다. 기존 최상위 도메인에서 한 비트밖에 떨어지지 않은 새 이름을 거절하면 되지 않을까. 제안서를 쓰기 전에 현재 명단을 확인했더니, 이미 약 60쌍이 같은 조건에 걸렸다. 문지기는 새 입주자에게 규칙을 적용할 수 있다. 오래전 들어온 이웃에게는 그 문지기가 소급해서 작동하지 않는다.

Kumari는 ICANN에 제출된 공식 규칙을 발표하지 않았다. 오류 정정 메모리가 도움이 될 수 있다고 말하면서도 모든 휴대전화와 컴퓨터가 그런 메모리를 쓰는 세상은 아니라고 했다. 최상위 이름을 배정하는 쪽, 실제 접속 대상을 확인하는 소프트웨어, 이름을 보관하는 장치가 각각 다른 손잡이를 쥐고 있다.

정책을 먼저 쓰고 현실을 나중에 보는 습관이라면, 이 발표는 반대 순서를 보여준다. Kumari는 기존 이름을 세어 본 뒤에야 신규 이름을 막는 규칙의 빈틈을 봤다. 한 비트의 오류는 작다. 이미 살아 있는 이웃 도메인과 거기로 흘러간 쿠키는 작지 않다.