KISA 화이트 도메인에 등록했으면 관리나 잘 하시던가

현재 국내 포털 웹메일들은 KISA 화이트 도메인이라는 통합 화이트 IP 서비스에 참여하고 있습니다. 기존까지 각사에서 ‘IP 등록’ 등의 명칭으로 따로 관리하던 “신뢰할 수 있는 메일 발송 서버”의 목록을 2006년 9월부터 방송통신위원회 산하 한국정보보호진흥원의 “KISA 화이트 도메인”으로 통합한 것이지요.

각 사에서 따로 등록을 받던 시절에는 회사별로 사업자 등록증을 따로 보내고 승인 받고 하는 귀찮음이 등록 단계부터 존재했고, 또 나중에 서버가 변경되어 IP가 바뀐다던지, 도메인이 바뀐다던지 하는 변경 사항이 발생하면 똑같이 각 사별로 수정하고 하는 번거로움이 있었습니다만, KISA 화이트 도메인으로 통합된 이후로는 적어도 이러한 번거로움은 현저히 감소될 수 있었습니다. KISA 화이트 도메인쪽에만 등록이나 수정하면 위에 참여하는 사업자에게 모두 적용이 되니까요.

KISA 화이트 도메인에 등록하기 위해서는 기존 IP 등록시 필요한 사항 외에도 도메인에 대한 SPF 레코드 출판이라는 추가 조건이 필수적으로 붙습니다. SPF는 이 블로그에서도 여러차례 언급했고, 또 KISA 화이트 도메인 등록 안내 페이지에도 상세히 설명이 되어있으니 더 이상의 설명은 생략하겠습니다.

자, 이런 저런 절차를 거쳐 KISA 화이트 도메인에 등록하면 기존 각 메일 서비스의 화이트 IP에 상당하는 등급을 획득하게 됩니다. 각 사마다 조금씩 정책이 다르긴 하지만, 화이트 IP에 등록되었다는 건 적어도 보내자마자 바로 짤리는 등의 굴욕(?)을 당할 가능성이 대폭 낮아지고, 동시에 메일의 전송 성공율이 높아진다는 장점이 있습니다. 각 사에서는 각 사 내부 서버의 메일링에는 미치지 못하더라도 상당 수준의 등급을 보장하기 때문에, 메일의 사용자 도달율은 대폭 높아집니다.

문제는 이렇게 화이트 도메인에 등록한 서버로부터 스팸이 전송된다면 대책이 없어진다는 겁니다. 각 사 입장에서는 KISA에서 ‘신뢰할 수 있는 메일 발송자’로 보증해준 서버에서 스팸이 날아들 때 제일 짜증이 날 수 밖에 없습니다. 우리쪽에서 그 대역대를 관리하고 있다면 모를까, 남이 보증을 섰는데 스팸을 보내고 있으면 열이 받을 수 밖에 없잖아요? 벌써 스팸은 수천 수만통이 날아든 판에 나중에 차단해봤자 입니다.

물론, 해킹을 당했다거나, 우연찮게 약점이 노출되어 당하는 경우가 대부분일것이라 생각합니다. 그러나 몇개월간 수차례 화이트 도메인에서 제외되었다가 재등록하고 그 과정을 거치면서도, 지금까지도 여전히 그쪽 서버에서 스팸이 날아든다면 업체 입장에서는 보통 짜증이 나는 일이 아닙니다. 몇개 업체는 제가 직접 연락도 해보고, 조치하겠다는 말을 믿고 냅뒀다가 또 당해서 KISA 에 항의한 것도 여러 차례입니다만, 오늘 또 K업체의 T서비스가 말썽을 부리고 있습니다. 분명 며칠전에 KISA에 항의해서 화이트 도메인에서 제외했음에도 불구하고 다시 등록해서 또 그러는군요. 도대체 이 업체는 KISA 화이트 도메인에 등록했다는 건 그만큼 서버 관리에 대한 책임이 발생한다는 것을 모르는 것일까요?

업체뿐 아니라, K대학의 S연구실 마찬가지입니다. 이 연구실은 제가 유선으로 직접 스팸 전송에 대한 내용을 통보했고, 조치하겠다는 약속만 믿고 KISA 쪽에 별도 통보는 안했는데, 이번주 또 스팸 날아들기 시작했습니다. 그러면서 IT 쪽 연구실이라고 떡하니 등록해두고 있는 것을 보면 기도 안 차지요. 아는 것 많은 분들이 허술하게 짝이 없이 서버 관리를 개판으로 하는 걸 보니 그 대학 출신들이 현업에서 실무 뛰면 얼마나 잘 하실지 걱정부터 앞섭습니다(뭐 그 연구실 출신이시면 현업에서 실무뛰는 것보다는 어디 중간 관리자로 날아들어서 이래라 저래라 지시나 하시겠지만서도).

KISA 에서도 화이트 도메인 제외 후 필요한 조치를 취했는지 확인도 안하고 그냥 재등록시켜주는 것으로 보이는데, 수천수백만개의 계정이 스팸 피해를 입고 있는 와중에 그리 너그럽게 운용할꺼면 도대체 왜 승인 절차를 두고 있는지 모르겠습니다. 그냥 자동 등록을 하게 하던가, 아니면 승인 과정에서 검증을 빡시게 하던가 해야지요. 이래서야 원, KISA 화이트 도메인 믿겠습니까. 진짜 내부에서 말 나왔던대로 KISA 화이트 도메인조차 무시하는 슈퍼블랙IP 리스트를 만들던지 해야지, 서비스 운영하는 사람 이래저래 힘들게 하네요.

화이트 도메인이고 뭐고를 다 떠나서, 오픈 릴레이 차단 등 서버 관리 제대로 안할꺼면 서버 운용은 왜합니까. 그리고 화이트 도메인 등록은 왜 해서 메일 서비스 욕 먹게, 엿 먹게 하는지 도무지 사상을 이해할 수 없군요. ⓣ