요약
Quad9이 프랑스 법원의 도메인 차단 명령을 따르지 않고 11월 24일부터 프랑스 서비스를 끊습니다.
Quad9은 무료 공개 DNS 리졸버(도메인 이름을 IP 주소로 바꿔 주는 서버)를 운영하는 스위스 비영리 공익재단입니다. 카타르 방송사 비인(beIN)이 스포츠 중계 불법 스트리밍 도메인을 막으라며 낸 소송에서 10월 21일 불리한 판결을 받자, 원칙을 지키겠다며 철수를 발표했습니다.
왜 중요한가
- 리졸버에 저작권 차단을 맡기는 판결 때문에 중립을 지키려는 공개 DNS가 한 나라에서 아예 빠지게 됐습니다.
- 프랑스 정부 기관, 대학 연구망 RENATER, EDF·SNCF 같은 기업, 병원 등이 한 달 안에 리졸버를 바꿔야 합니다.
핵심 내용
- Quad9은 문제의 도메인을 막지 않겠다고 했고, 판결을 따르는 대신 프랑스 이용자에게 서비스를 중단합니다.
- 법원은 이행강제금을 58만 유로에서 하루 1,000유로로 크게 낮췄고, Quad9은 항소해 계속 다툴 계획입니다.
- 가입도 신원 확인도 없는 서비스라서 이용자가 어느 나라에 있는지 알 수 없다고 했습니다.
- 독일 소니 뮤직 소송에서는 지역별 IP 차단을 했지만 원고가 VPN으로 우회해 법정 모독 벌금을 물었습니다.
- 프랑스에 비슷한 소송이 20건가량 더 걸려 있어 벌금이 쌓이면 재단이 버틸 수 없다고 밝혔습니다.
HN 반응
- Quad9 CTO는 특정 도메인만 막으면 DNS 검열을 인정하는 셈이라 차라리 서비스를 끊는다고 설명했고, 지지하는 댓글이 이어졌습니다.
- DNS 캐시 유지 시간이 경기보다 길어 차단이 소용없다는 지적과, 스페인은 축구 중계 때 클라우드플레어 대역까지 막는다는 경험담이 나왔습니다.
(참고로 저는 Quad9의 CTO이고, 변호사들을 상대하는 사람 중 하나입니다.)
"프랑스 이용자를 어떻게 차단할 것이냐"에 관심이 쏠리는 건 이해합니다. 저희가 geoIP 차단만으로는 특정 이름의 확인(resolution)을 선별적으로 막기에 부족하다고 말해 왔는데도 말이죠. 이 모순을 저희도 알고 있지만, 그런 데 힘을 쓰는 건 엉뚱한 곳에 에너지를 쓰는 일이라고 봅니다.
11월 24일 이후에는 geoIP 필터로 프랑스 이용자를 저희 서비스에서 차단하게 될 가능성이 큽니다. 지금 당장 같은 geoIP 필터 목록을 적용해, 저희에게 접근 불가로 만들라고 요구된 사이트만 프랑스 이용자가 못 보게 할 수도 있습니다. 하지만 그렇게 하면 저희의 핵심 전제가 무너집니다. 그 전제란 DNS는 이런 일이 벌어질 곳이 아니라는 것이고, 프랑스 안에서만 요구에 맞춰 준다면 이용자에게 돌아갈 최악의 결과를 저희가 받아들이는 셈이면서도 법적으로 완벽히 충족하는 것도 아닙니다. 저희는 먼저 핵심 사명에 일관되게 남고, 그다음으로 저희에게 지워진 법적 제약을 최대한 지키려 합니다. 차단 요구를 받아들이면 그런 요구가 저희 사명 안에서 허용된다고 인정하는 셈이 됩니다. 곧 기업(또는 다른 누군가)을 대신해 실효성 없고 엉뚱한 곳을 겨냥한 콘텐츠 통제 체제를 만드는 일에 저희가 나서겠다고 인정하는 겁니다.
그것이 문제를 해결한다고 저희가 생각한다고 인정하는 셈이기도 합니다. 해결되지 않습니다. 차단할 이름의 수가 계속 늘어나도 저희가 그렇게 하겠다고 인정하는 셈이기도 한데, 저희는 그렇게 하지 않을 겁니다. 도덕적, 종교적, 사회적, 정치적 이유로 하는 필터링에까지 이런 방식을 적용하도록 허용하는 셈이기도 합니다. 그래서는 안 됩니다.
그래서 저희는 차단에 오류가 생길 가능성을 받아들입니다. 다만 이번 경우(프랑스 이용자 차단)에는 DNS의 무결성이라는 저희가 내세운 사명과의 일관성을 지킵니다. 저희 서비스 이용자에게는 분명한 구분이 있기를 바랍니다. 이용자가 기대하는 그대로의 DNS를 쓰시거나, Quad9이 예상치 못한 임의의 파편화 요구를 수없이 받아 서비스를 오염시키도록 강제된다면 서비스를 아예 제공하지 않거나, 둘 중 하나입니다.
근본적인 문제는 geoIP 차단이 효과가 없다는 점만이 아닙니다. 이런 요구의 전제 자체가 재귀 DNS 확인 제공자에게 적용되는 것이 부당하다는 점입니다. 이번 소송 결과에 대해 저희가 갖는 가장 근본적인 이견을 놓고 논의가 이어지기를 바랍니다. 아직 완전히 정해지지 않았고 앞으로 계속 조정될 수 있는 기술적 구현 세부 사항을 두고 논쟁하는 것은 바라지 않습니다.
프랑스에 아무 거점이 없다면 판결이나 벌금을 신경 쓸 필요가 있나요?
EU 차원에서 그런 현지 판결에 실효성을 부여하는 규정이 아마 있겠죠, 안 그래요?
계속 힘내세요! 신념을 지키며 우리 모두를 위해 최선을 다하려는 모습이 정말 좋습니다.
이런 터무니없는 결정을 내린 재판부가 11월 24일에 DNS 접속을 잃게 되는 기관 중 하나이기를 바랄 수밖에요.
"원고(Sony Music Entertainment GmbH)는 이후 VPN을 사용해 독일에서 차단된 콘텐츠에 접속함으로써 geoIP 차단을 우회했습니다. 법원은 이 비준수 주장에서 소니의 손을 들어 주었고, 저희는 법정 모독으로 벌금을 부과받았습니다."
막으려고 할 수 있는 건 다 했는데, 상대가 또 다른 서비스로 보호 조치를 우회하고, 그래서 벌금을 맞는다고 상상해 보세요.
이런 트롤들을 상대로 뭘 할 수 있는지, 제안조차 못 하겠네요.
마치 "법원이 요구한 대로 자물쇠를 달았는데, 원고가 나중에 우리를 해킹해서 유죄가 됐다"는 소리나 마찬가지입니다.
기사에서 소니 사건을 언급한 건 맞지만, 기사는 실제로는 주로 다른 회사 이야기입니다.
관련 위키백과 문서는 이것인 듯합니다: https://en.wikipedia.org/wiki/BeIN_Channels_Network
...실제 스포츠 경기의 스트리밍 권리를 지키겠다고 현실의 법원을 동원해 DNS 제공자에게 신속 가처분을 받아 낸다니, 어이가 없네요. 중복으로 여러 겹 깔려 있는 해적판 히드라의 머리 하나를 치겠다는 건데, DNS TTL은 침해당하는 실제 경기보다 더 긴 경우가 흔하거든요.
...비유하자면 이런 겁니다. 5분 전에 동네에서 마약 거래가 있었다고, 다음 전화번호부 인쇄는 6개월 뒤인데도, 전화번호부를 찍어 준 독립 인쇄소를 찾아가 악질 인물들을 번호부에서 지우라고 하는 격이죠.
그리고 애초에 DNSSEC이 이걸 막아 주지 않나요?
더 심한 경우도 있어요. 여기 스페인에서는 몇 년 전에 법원 명령을 하나 받아 내더니, 축구 경기가 있을 때마다 인터넷의 절반(즉 Cloudflare 전체)을 제멋대로 차단하거든요...
아, 그게 그 이유였어요? Cloudflare가 저를 싫어하는 줄 알았어요. 알려 줘서 고마워요, 다음에 또 그러면 확인해 볼게요.
저는 스포츠를 싫어해서 축구 경기가 언제 하는지 전혀 몰라요. 그래서 연관 지어 생각 못 했네요.
정부에 반대하는 큰 시위가 있을 때 인터넷을 끄는 나라도 있고, 텔레비전에서 축구를 할 때 인터넷을 끄는 나라도 있죠.
공평하게 말하면, 축구 훌리건은 폭력 시위대처럼 보이긴 해요. 다만 그 사람들이 항의하는 대상은 자기 두뇌뿐인 것 같지만요.
https://hayahora.futbol/ 을 즐겨찾기 해 두면 좋을 거예요.
늘 그렇듯 아니요. DNSSEC은 DNSSEC을 검증하는 신뢰할 수 있는 리졸버에서 리졸버 캐시 오염을 막아 줄 뿐입니다. 정말 그게 전부예요. DNS를 겨냥한 공격 대부분에는 아무 보안도 제공하지 못합니다.
리졸버 상류의 중간자 공격(MitM)에 대한 보호도 제한적이에요. 스푸핑은 막지만 서비스 거부는 여전히 가능합니다.
힙합 아티스트 노래의 샘플을 해설하는 유튜버가 있는데, 그의 영상을 따라다니며 노리는 누군가 때문에 저작권 경고를 받거나 수익을 전부 빼앗기곤 합니다. 샘플을 15초 미만으로 잘라 쓰는데도 경고를 받아요. 항변조차 못 하는데, 그 사람은 아마 공정 이용(FAIR USE) 범위 안일 겁니다.
어딘가의 누군가가 일부러 그 사람 영상에 경고를 먹이고 있어요. 말도 안 됩니다. 뉴스 채널에서 통제할 수 없이 배경에 저작권 있는 음악이 나올 때도 경고를 날리기는 하나요?
네, 날려요. 브라질에서는 밀수품을 파는 가게를 다룬 뉴스 보도를 막으려고, 가게 주인들이 배경에 디즈니 노래를 틀기 시작했어요. 그러면 그 영상을 올리거나 방송할 수 없게 되거든요.
제가 충분히 생각해 보지 않은 걸 수도 있지만, 오디오를 지우고 한 말을 자막으로 넣으면 되지 않나요? 그 부분 앞에 가게 주인들이 촬영을 막으려고 저작권 있는 디즈니 음악을 틀고 있다는 설명을 붙이고요. 무음이 어떤 이유로든 곤란하다면 상황을 설명하는 내레이션을 넣어도 되고요.
그쪽이 지금 논의되는 사안보다 훨씬 합리적으로 보입니다. 공정 이용이 어느 정도 보호해 주는 건 맞지만, 유튜브라는 플랫폼에 공정 이용에 해당하는 개별 유튜버의 수익까지 지켜 줄 의무는 없어요. 공정 이용은 사실상 일반 규칙의 예외라서, content id처럼 대규모로 처리할 수 있는 게 아니라 사안마다 실제 판단을 거쳐야 하거든요. 실제로 소송을 당했다면 법정에서 공정 이용을 항변으로 쓸 수 있고, 판사가 맞는지 아닌지 결정하겠죠. 말씀하신 경우에는 유튜브가 법원 없이 처리했기 때문에 소송을 당한 사람이 없어서, 공정 이용이 실제로 끼어들 여지가 없는 겁니다.
지금 논의되는 사안은 오히려 법원이 구글에게 그날 아침에 막 생긴 스팸 봇 유튜브 계정들을 개별적으로 내리라고 하는 것과 비슷해요. 법 체계는 그렇게 빨리 움직이지 않고(DNS도 마찬가지고), 그 정도의 강경한 조치가 필요한 일은 보통 몇 달, 몇 년 걸리는 훨씬 더딘 절차로 처리하니까 터무니없는 일이죠.
모든 테크 기업이 늘 곤경에 빠지는 게 바로 이런 경우 아닌가요? 문제가 될 만한 일이 터지면(예컨대 ChatGPT가 누군가의 폭탄 제조를 도왔다거나) "더 잘해라" 하고 나오잖아요.
그런 경우에는 보통 회사가 할 수 있는 걸 한참 못 다 했다고 사람들이 생각하는 거라고 봅니다. 빠져나갈 수 있겠다 싶은 최소한만 해 놓고는, 그걸로 부족했다는 데 놀란 척한다는 거죠.
여기서는 어느 두 나라든 규칙이 충돌하면 그 둘 모두에 서비스를 노출할 수 없습니다. 서비스가 아무리 완벽하게 탐지하려 해도 VPN/프록시 경로를 전부 막는 건 불가능하니까요. 결제도 없고, 계정도 없고, 아무것도 없습니다. 독일 법에 따르면 독일에서 온 게 아니라고 보고되는 IP에 그냥 DNS를 제공할 뿐이에요. 어느 시점부터는 회사의 실수나 악의가 아니라 이용자의 문제가 됩니다. 그 경계가 어디인지는 아마 사람마다 다르겠지만요.
맞아요. 실물 제품도 마찬가지로 돌아갑니다. 인터넷은 서비스를 전 세계에 제공하기 쉽고 그게 기본값이라서, 전 세계 어디서든 법과 충돌하기도 쉬울 뿐이에요. 어떤 법은 어기기로 고르고, 어떤 법은 노출을 최소화해서 따르고, 어떤 법은 특정 시장에 맞춘 버전을 따로 만들어서 따라야 합니다.
자신 있게 말씀하시지만, 이건 어떻게 돌아가야 하는지에 대한 하나의 이론일 뿐입니다.
제가 합법인 우리나라에서 제품을 만들었는데, 구매자가 그걸 사서 불법인 당신네 해외로 가져갔고, 당신네 나라의 누군가가 그걸 이유로 저를 고소하려 한다면, 보통은 쉽지 않을 겁니다. (당신네 나라가 우리나라의 주권을 침해할 만큼 강대하지 않다면요.)
대부분의 경우 당신이 제 웹사이트에 접속하는 건 이 시나리오에 더 가깝습니다. 중개자(ISP)가 당신에게 그 제품을 가져다준 거죠. 저는 제 "가게"(서버)에 온 사람이면 누구에게나 제공했을 뿐이고요. 당신이 저에게 직접 돈을 낸다면 이 역학이 달라진다는 건 인정합니다.
당신의 틀대로라면 모든 소셜 웹사이트는 태국 군주를 모욕하는 걸 이용자에게 허용할지[0] 결정해야 하고, 허용하기로 하면 태국인의 접속을 막아야 합니다. 현실에서는 아무도 그렇게 하지 않아요. 걱정된다면 태국에 서버를 두지 않기로 선택할 수는 있겠지만요.
[0] https://en.wikipedia.org/wiki/L%C3%A8se-majest%C3%A9_in_Thailand
다만 그 예시에서 ISP에 해당하는 건 UPS인데, UPS는 배달하는 소포의 내용물에 대한 책임이 훨씬 작죠(있기나 하다면요?).
은유일 뿐이고, 모든 은유가 그렇듯 세부로 너무 깊이 들어가면 맞지 않게 됩니다. 그래도 굳이 따지자면, 판매자인 저도 책임이 없습니다. 제가 서점 주인이고, 당신이 직접 만나 현금으로 값을 치른 뒤 제가 금서를 UPS로 보냈는데 당신네 세관이 압수했다면, 당신은 소포를 못 받을 뿐 저에겐 아무 일도 없습니다. 곤란해지는 건 당신일 수 있어요.
제가 금지된 물건을 당신네 나라로 계속 보낸다면 그 나라에 가는 건 좋은 생각이 아닐 수 있습니다. 하지만 그 밖에는 아무 일도 일어나지 않아요. 당신네가 세계적 강대국이라 저를 드론으로 노리거나 우리 정부에 저를 인도하라고 압박하는 경우가 아니라면요. (또는 우리나라가 그런 일에 대해 상호 인도 협정을 맺을 만큼 어리석었다면요.)
(위에서 직접 만나 현금이라고 못 박은 건, 앞서 말했듯 전자 결제가 끼면 일이 복잡해지기 때문입니다. 그래도 대부분의 웹사이트는 "무료"예요.)
UPS는 국제 소포의 신고를 잘못한 데 대해, 그리고 불법임을 알았어야 할 소포를 배달하려 한 데 대해 부분적으로 책임이 있습니다...
특정 나라에 웹사이트를 제공하는 건 ISP가 대신 정해 준 게 아니라, 당신이 직접 한 겁니다. 제가 도박 사이트를 만들어 모나코에 호스팅하고 캘리포니아에 있는 누군가에게 서비스하면서, 그건 제 책임이 아니라 Comcast 탓이라고 말할 수는 없어요.
웹사이트를 어떻게 한 나라에 "적극적으로" 제공한다는 건가요?
웹사이트는 방송을 하는 게 아니라 거기 가만히 있다가 요청에 응답하는 겁니다. 왜 세상 모든 서버가 요청한 클라이언트의 국적에 따라 응답이 허용되는지를 일일이 알아내야 하나요?
요청을 보내지 않을 책임은 왜 이용자에게 없죠? 요청을 라우팅하지 않을 책임은 왜 ISP에게 없나요? 중간에 있는 라우터 하나하나는요?
틀렸습니다. 웹사이트를 인터넷에서 접속할 수 있게 해 두는 건 누구에게도 "제공"하는 게 아니에요. 제가 그 나라에서 광고비를 내고 있다면 따져 볼 여지가 있을지도 모르죠.
그리고 사실 해외에 도박 사이트를 만드는 건 얼마든지 할 수 있어요. 사람들이 예전부터 해 왔습니다. 결제를 받는 데는 문제가 있을 수 있지만요.
영국의 온라인 안전법(Online Safety Act)과 영국 규제 기관 Ofcom도 참고해 보세요. Ofcom은 이렇게 밝혔습니다.
'Ofcom은 BBC에 이렇게 말했습니다. "이번 소송은 알고 있습니다. 온라인 안전법에 따라, 영국과 연관된 서비스는 이제 어디에 기반을 두고 있든 영국 이용자를 보호할 의무가 있습니다."
서비스가 이 법의 적용을 받고 그래서 Ofcom의 조치를 받으려면 영국에 기반을 두어야 하는 것은 아닙니다.'
문제의 서비스들을 대리하는 미국 변호사들은 아주 다르게 봅니다....
모르는 분들을 위해 알려 드리면, Ofcom은 사실상 이 건에서 패배를 인정했습니다: https://news.ycombinator.com/item?id=50167028