저는 사진을 많이 찍습니다. 때로는 Wi-Fi를 사용하고, 또 어떤 때는 연못가에 나가서(굳이 말씀드리자면 낚시를 하면서) 휴대전화 데이터 연결을 사용합니다. 같은 집이고, 같은 장소입니다.
그런데도 같은 장소에서 찍은 사진에 삽입된 위치 정보는 Wi-Fi를 사용하는지 셀룰러 네트워크를 사용하는지에 따라 달라진다. 어떤 때는 내가 ‘라이트스타운 근처’에 있다고 나오고, 또 어떤 때는 그렇지 않다. 유선으로 연결된 컴퓨터를 사용하면 상황은 더 황당해진다. 지금 이 글을 쓰는 동안에는 내 위치가 위스콘신주 애플턴으로 표시된다. 여기서 남쪽으로 약 20마일 떨어진 곳이다. 같은 책상 위에 있는 내 iPhone은 내가 로렌스 타운에 있다고 알려 준다(이게 맞다). Facebook에 올린 사진에는 내가 5~10마일 정도 떨어진 라이트스타운 근처에 있다고 나온다.
말할 필요도 없이, IP 주소를 기반으로 한 지리적 위치 확인은 때로 과학이라기보다 예술에 가까울 수 있다는 사실을 우리 모두 잘 알고 있습니다. 예전에, 아직 제가 코딩을 할 수 있었던 시절에 GIS 분야에서 일해 본 경험이 있어, 정확성이 의심스러운 IP 주소에 의존하지 않고 좌표를 정확한 지명에 대응시키려면 얼마나 복잡한 수학적 계산이 필요한지 잘 알고 있습니다. IP 기반 지오코딩의 변덕스러움 때문에 발생한 다음의 기이한 상황을 살펴보세요:
MaxMind는 기기를 인터넷에 연결하는 데 사용되는 IP 주소를 실제 위치와 연결합니다. MaxMind는 이러한 위치 정보가 정확한 위치를 나타내기 위한 것은 아니라고 밝혔습니다.
제임스 아널드와 테리사 아널드는 이 업체가 6억 개가 넘는 IP 주소의 위치로 자신들의 집을 등록했다고 말합니다.
이로 인해 많은 사람이 해당 주택에서 수많은 범죄가 저질러졌다고 잘못 믿게 됐다고 이들은 말합니다.
“아널드 가족이 이사 온 첫 주에 버틀러 카운티 보안관실 소속 보안관보 두 명이 도난당한 트럭을 찾으러 집에 찾아왔다. 이후 5년 동안 이런 일이 셀 수 없이 반복됐다”고 캔자스주 법원에 제출된 서류에는 적혀 있다.
http://www.bbc.com/news/technology-37048521
제가 아널드 가족*이 아니라서 다행입니다. 이 사례가 이례적이기는 하지만, IP 주소에 의존하는 것이 반드시 현명한 방법은 아니라는 점을 잘 보여 줍니다. 특히 IP 주소를 애플리케이션 접근 권한을 부여하는 데 일부라도 사용하고 있다면 더욱 그렇습니다.
특히 많은 금융 기관이 로그인 시도의 유효성을 확인할 때 기기만큼이나 IP 주소에 의존한다는 사실을 우리는 알고 있습니다. 거의 항상 같은 장소에서 같은 기기를 사용한다면 IP 주소가 크게 바뀌지 않으므로 이는 좋은 방법입니다. 하지만 고객과 소통하는 주요 수단으로 점점 자리 잡고 있는 모바일 앱에서는 문제가 될 수 있습니다. 이동할 때마다 제 IP 주소가 바뀌는 데다, 집 밖에서는 WiFi 도달 범위가 제한적이어서 이동하지 않을 때조차 IP 주소가 바뀌기도 합니다.
어쨌든 IP 주소는 식별 수단으로서 이미 오래전에 그 유용성을 잃었습니다. 예전에는 광대역 연결을 사용하는 모든 사람이 DHCP를 통해 서비스 제공업체로부터 직접 IP를 할당받았기 때문에 각자 고유한 IP를 사용했습니다. 하지만 가정에서 인터넷에 연결된 기기 수가 사람 수보다 많아지면서 그런 방식은 자취를 감췄습니다. 최근 설문조사에 따르면, “현재 미국의 인터넷 이용 가정에서 사용 중인 연결 기기는 7억 3,400만 대이며, 가구당 평균 7.8대입니다.” 이는 2015년 미국의 가구당 평균 가구원 수인 3.14명의 두 배입니다.
이는 공급자가 할당할 수 있는 IPv4 공인 IP 주소의 수가 제한되어 있다는 점을 고려하면, 사람마다(이제는 사물마다) 하나의 IP 주소를 부여한다는 개념은 대체로 실현 불가능하다는 뜻입니다. 일반적으로 각 가정에서는 공인 IP 하나만 사용하며, 나머지 모든 기기는 그 작은 검은색 상자를 통해 라우팅됩니다.
권위 있는 식별 수단으로서의 IP는 이제 수명을 다했습니다.
토큰이든 사용자 이름/비밀번호든, 아니면 아직 발견되지 않은 다른 방식이든, 자격 증명은 사용자를 식별하고 그에 따라 인증하는 가장 좋은 수단입니다. 또한 다양한 공격에서 IP 주소가 악용되는 현실을 고려하면, 오늘날 애플리케이션을 보호하는 데도 가장 효과적인 방법입니다. 사용자 에이전트를 속이는 것만큼이나 손쉽게 IP를 위조할 수 있는 상황에서, IP를 신뢰할 수 있는 정보 출처로 간주하는 것은 바람직하지 않습니다.
허용 목록이나 차단 목록에 사용하는 것도 적절하지 않습니다. 솔직히 말해 인터넷에서는 IP 주소를 단 몇 초 만에 바꿀 수 있기 때문입니다. 수천만 개의 IP 주소가 DDoS 공격에 가담한 것으로 흔히 확인됩니다. 일부는 고의로 가담하지만, 잘못된 사이트를 방문하거나 잘못된 기기를 구매해 우연히 연루되는 경우도 있습니다. IP 주소를 기준으로 차단하면 소비자에게 골칫거리가 생깁니다. 앞으로 IP 평판을 활용하는 방식은 인터넷이 아직 순수하고 선의를 가진 사람들로 가득했던 초창기만큼 효과적이지 않을 것입니다. 이제 인터넷은 오래되고 냉소적인 공간이 되었으며, 다른 무엇보다도 여러분의 기기를 악용하려는 공격자들로 넘쳐나므로 다른 대안을 찾아야 합니다.
애플리케이션이라는 새로운 경계를 보호하려면 ID를 새로운 방화벽으로 삼아야 합니다. 페더레이션을 통하든 기존의 기업 ID 관리를 통하든, IP보다 ID에 더 의존하여 경계 없는 비즈니스를 보호하고기업 사용자와 일반 소비자를 아우르는, 갈수록 더 모바일화되는 사용자층에 액세스를 제공해야 합니다.
* 흥미롭게도 제 외가도 아놀드 집안입니다. 물론 아무 관계도 없겠지만, 또 모르죠…
작성자 소개
Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.
Lori Mac Vittie의 다른 블로그 게시물관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.