Page 1 of 1

전자메일 보낸곳이 수상할때 대처법

Posted: 2019/10/02 Wed 3:46 pm
by 황병희
보통사람은 전자메일 전체헤더(원본보기)를 잘 보지 않습니다. 보낸곳을 그냥 믿어버리기에 가끔 오해가 발생합니다.

IETF 에서 꽤 오랫동안 이 문제를 풀기위해서 논의 끝에 DKIM 이란걸 만들었는데,
놀랍게도 이 DKIM인터넷 표준(INTERNET STANDARD -- STD76) 이 되었습니다.

전자메일 자체가 돈이 안되는고로 우리나라에선 신경쓰는 회사도 개발자도 거의 존재치 않습니다.

Gmail 사용자는 발신자의 진짜/가짜를 구분하기 쉽습니다. 아래 스크린샷 나갑니다.

꾸벅,,,

[크롬OS 에서 작성했으며 여러차례 내용을 다듬었습니다]
[안드로이드서 1회 오타 수정했어요]
[스크린샷으로 출처를 대신합니다]

Re: 전자메일 보낸곳이 수상할때 대처법

Posted: 2019/10/02 Wed 4:20 pm
by 황병희
조금더 보충합니다.

전자메일엔 2종류의 발신자 주소가 있습니다.
- RFC2821-From [1]
- RFC2822-From [2]

[1] 은 기계가 인지하는 주소 즉 Return-Path 입니다.
전달실패가 일어나면 반송될 주소를 뜻하구요, 전체헤더를 까발려야 겨우 확인가능합니다.
관련 기술은 SPF 입니다. SPF 는 결함이 있어서 표준이 못되었어요. 현재 단계는 표준 아래단계중 하나인 [PROPOSED STANDARD] 입니다.
[2] 는 사람이 인지하는 주소입니다. 이 주소의 위조를 막기위하여(좀더 정확히 진짜/가짜 구분) DKIM 이 만들어졌습니다.

[크롬OS 에서 작성했으며 내용을 몇차례 다듬었습니다]
[내용갱신: RFC2821은 RFC5321로, RFC2822는 RFC5322로 각각 판올림되었습니다 -- 확인날짜: 20191003]

Re: 전자메일 보낸곳이 수상할때 대처법

Posted: 2019/10/02 Wed 7:36 pm
by 황병희
DKIM/SPF 둘 다 스팸을 막기위한 기술이 아닙니다. 위조를 방어하기 위한 기술입니다.
스팸과 위조중 어느것이 더 나쁘냐는 사람들마다 가치판단이 다르지만,,,
위조가 훨씬 더 위험하다는게 저 기술을 만든 배경 같아요.
저도 위조가 더 위험하다고 생각합니다. 아래에 계속...

독일에선 법적효력을 가질 법원 관련 서류를 보낼때 DKIM 서명을 한다는 활용사례를 10년전에 본거 같은데 너무 오래되어서 출처를 못찾겠네요.
그리고 미국은 은행에서 돈/계좌 관련 자료를 보낼때엔 반드시 DKIM 서명을 하여서 고객으로 하여금 은행의 신뢰도를 확보한다는 활용사례도 과거에 읽었던 적이 있어요.

정리하면 발신자의 신뢰도를 확보하기위하여 DKIM/SPF 를 쓰는 것이지, 스팸을 막기위하여 두 기술을 쓰는게 아닙니다.
(그래서 국외에 이름있는 인터넷기업/공공기관/대학교들은 거의다 DKIM 서명을 합니다)

넷상에서 사람들이 DKIM/SPF 에 관하여 잘못 이해하고있었던 부분을 용기내어 한번 적어봤어요~

[크롬OS 에서 작성했씁니다]
[우분투 18.04 파여폭스 나비에서 내용을 다듬었습니다]

Re: 전자메일 보낸곳이 수상할때 대처법

Posted: 2019/10/12 Sat 9:44 am
by 황병희
[추가 첨언]

DKIM 은 진짜 어렵고 난이도가 높은 기술입니다. 그래서 함부로 도입하기가 쉽지않아요.
국외에서도 번스타인교수의 도메인(cr.yp.to)나 데비안프로젝트 도메인(debian.org)엔 아직 DKIM 을 도입하지 않고있습니다.
아직 해결되지 않은게 하나 있는 까닭입니다. 오픈소스플젝의 필수 소통 수단인 메일링리스트상에서 DKIM 서명이 100% 깨지거등요.

이 문제점(DKIM 서명이 메일링에서 깨지는것)을 보완할 방책에 대하여 관련 논의를 IETF 에서 하고 있습니다. [1][2]

(그냥 Gmail을 쓰고있으면 이런거 DKIM/SPF/ARC 같은 기술들을 하나도 몰라도됩니다.)
(Gmail 은 오래전부터 관련기술들이 내부적으로 구현되어진채로 운영되어왔었어요~)

### 주석 및 참고문헌 ###
[1] 갱신: 석달전에 RFC 8617 (Experimental) 로 공식문서화 되었습니다.
[2] https://en.wikipedia.org/wiki/Authentic ... ived_Chain

Re: 전자메일 보낸곳이 수상할때 대처법

Posted: 2019/10/26 Sat 2:29 pm
by 황병희
[갈무리]

추가로 작년 9월에 RFC 8461 [https://tools.ietf.org/html/rfc8461] 이 공식문서화 되었습니다.
(이것도 발신자의 신뢰도를 높이는데에 일조합니다. 신뢰도 높은 MTA 라는걸 뒷받침해줍니다)
MTA 사이에 이제 보안없이 통신시도하려는 MTA 들은 왕따당합니다... 점점 더 어어어어려워집니다...

돈이 안되어서 우리나라 개발자들과 회사들은 관심을 거의 안가지는데
국외의 전자메일 기술들은 점점더 안드로메다밖으로 진출해가고 있는 형국입니다.

그저 우리나라 사람들이 할수있는건 저런것들이 다 잘 구현되어 있는 국외의 전자메일 서비스중에서 잘 선택하는길밖에요~
(Gmail/AWS/Mailgun/etc.,... 이게 다 클라우드입니다...;;;)
(개인적으로 전자메일서비스는 한결같이 Gmail 을 쓰고있씁니다)

심지어 전업으로 전자메일 연구에 몰빵하더라도 전자메일 서비스는 갈수록 우리나라에선 어렵다는게 제 생각이어요,,,

[우분투 18.04 파여폭스 나비에서 작성했습니다]