IANA는 특정 최상위 도메인으로 트래픽이 몰리는 걸 분산시키고자 여러 다양한 최상위 도메인을 도입시킨 바 있다. 하지만 분산 효과는 그리 크게 나타나지 않고 있으면서 기업과 조직들의 골칫거리만 늘어난 꼴이 됐다.

[보안뉴스 문가용 기자] 인터넷의 최상위 도메인(TLD)이 보안의 가장 큰 보안 ‘골칫거리’일지도 모른다는 가능성을 제기한 연구 결과가 발표됐다. 이는 보안 업체 파사이트 시큐리티(Farsight Security)가 발표한 보고서의 내용으로, 2010~2019년 동안 생성된 패시브 DNS(passive DNS) 데이터를 수집하고 분석한 결과다. DNSSEC과 관계된 기록들은 포함되지 않았다.


[이미지 = utoimage]

파사이트 시큐리티 측이 수집하고 분석한 트래픽은 최상위 도메인들과 관련된 것으로, 여기서 말하는 최상위 도메인들이란 .com, .net, .org와 각종 국가 코드(.kr, .uk, .za 등)를 말한다. 또한 새로운 최상위 도메인들인 .aarp, .nba, .abc와 국제화 된 도메인, 라틴 문자열로 구성되지 않은 최상위 도메인들도 포함되어 있다.

최상위 도메인들은 지난 10년 동안 대단한 인기를 누려왔다. ‘닷컴’의 경우 얼마나 인기가 많고 널리 활용되고 있는지, 그 자체로 ‘인터넷’과 동일한 의미를 가질 때도 있을 정도다. 파사이트의 수석 보안 책임자인 벤 에이프릴(Ben April)은 “최근 인터넷 할당 번호 관리 기관인 IANA가 더 많은 도메인을 ‘최상위’로 인정했다”며 “그러한 결정이 보안이라는 측면에서 어떤 영향을 미쳤는지 조사하고 싶었다”고 이번 연구의 취지를 설명한다.

“결론부터 말하자면 새롭게 최상위 도메인이 된 도메인들이 대단한 인기를 보여주고 있지는 않습니다. 닷컴 등에 몰려 있는 트래픽을 조금 분산시키고자 하는 목적이 있었는데, 기대만큼의 성과를 거두지는 못했습니다. 예를 들어 은행들의 경우 .com을 버리고 .bank로 이주하기를 기대했었는데, 그런 곳은 거의 없었습니다.” 에이프릴의 설명이다.

그렇다면 최상위 도메인이 증가했을 때 ‘보안’의 측면에서 어떤 문제점이 있는 것일까? “공격자들이 피싱, 사이버 스쿼팅 등의 악성 행위를 하기 위한 사전 스푸핑 작업의 재료가 늘어났다는 뜻이 됩니다. 예를 들어 인기 높은 브랜드의 도메인 이름을 공격자들이 미리 등록하는 행위가 더 쉬워진다는 것이죠. 예전에는 nike.com을 선점하는 게 공격자들로서 중요했는데, 지금은 닷컴이 아니더라도 사용할 수 있는 다른 최상위 도메인이 많아졌다는 뜻입니다.”

실제 2019년 보안 업체 프루프포인트(Proofpoint)는 96%의 조직들이 자신들의 브랜드 이름으로 만들어진 최상위 도메인을 발견하기도 했다. 그렇다는 건 기업들이 미리 생각하고 선점해야 하는 도메인의 수가 더 많아졌다는 뜻이다. 브랜드를 많이 가진 조직이라면 이 작업이 매우 복잡하고 골치 아픈 일이 될 수밖에 없다.

에이프릴은 “특정 기업들에 대한 공격 표면이 얼마나 되는지, 그럼으로써 실질적인 위협 수준이 얼마나 되는지 알아보려면 브랜드와 관련이 있는 최상위 도메인의 수를 세는 것부터 해야 한다”고 말한다. “즉 브랜드의 최상위 도메인 수와 기업의 위험도가 정비례 관계에 있다는 것입니다. IANA가 최상위 도메인의 가짓수를 늘렸다는 건, 이러한 맥락에서 오히려 기업과 조직들의 위험수위를 높였다는 뜻도 됩니다.”

그러나 에이프릴은 “늘어난 최상위 도메인의 수만큼 위험도가 증가한 것이라고 말하기는 힘들다”고 덧붙였다. “어떤 최상위 도메인들은 진짜 보안 위협이 될 수 있는데, 그렇지 않은 것들도 존재합니다. 예를 들어 .aero나 .gov의 경우, 아무나 생성할 수 없는 도메인입니다. 따라서 공격자들이 이런 도메인을 만들까봐 걱정할 사실상 없다고 봐도 됩니다. 제가 도소매 업자였다면 .bargains, .blackfriday, .boutique, .shop은 미리 선점해도 .university, .travel, .webcam과 같은 도메인은 그리 신경 쓰지 않을 것이기도 하고요.”

그 외에 하위 문자열 매칭(substring matching)이라는 것을 검토하는 것도 좋은 방안이라고 에이프릴은 권고한다. “최상위 도메인 중 조직의 도메인이나 브랜드 이름이 최상위 도메인의 이름과 겹치는 경우가 있습니다. 예를 들어 bobsyoga.com라는 사이트를 런칭했다고 한다면, .yoga라는 최상위 도메인도 검토해야 합니다. bobs.yoga를 만들어 확보해두는 게 안전하다는 얘기죠.”

3줄 요약
1. 인터넷 최상위 도메인, 보안 위협으로 활용될 가능성 높음.
2. 브랜드를 사칭하기 위해 특정 브랜드 이름으로 된 최상위 도메인을 공격자가 미리 등록하기가 쉬워지기 때문.
3. 최상위 도메인 늘리는 의도는 좋았으나 효과는 미비하고 악영향만 높아진 상태.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>