접속 단계별 차단 위치 비교
| 방식 | 개입하는 단계 | 주로 보는 정보 | 대표적 부작용 |
|---|---|---|---|
| DNS 차단 | 도메인 조회 | 조회하는 도메인 | 도메인 아래 서비스 전체가 막힘 |
| IP 차단 | 패킷 전달 | 목적지 IP 주소 | 같은 IP를 쓰는 무관한 서비스까지 막힘(오버 블로킹) |
| URL·키워드 필터링 | HTTP 요청 | URL 경로, 내용 문자열 | HTTPS에는 그대로 적용 불가, 오탐 |
| SNI 검사 | TLS 접속 초반 | 평문 SNI 필드(서버 이름) | 통신 정보를 들여다본다는 프라이버시 논쟁 |
| DPI | 패킷 내용 전반 | 페이로드 패턴, 프로토콜 | 높은 비용과 처리 부담, 암호화 시 한계 |
공개된 사례로 보는 차단과 그 부작용
사례 1. 한국의 SNI 필드 기반 접속 차단 도입과 논쟁 (2019년)
2019년 2월 방송통신위원회와 방송통신심의위원회의 심의 결정에 따라 해외 불법 사이트를 차단하는 데 HTTPS 접속의 SNI 필드를 이용하는 방식이 적용되기 시작했다고 당시 언론이 보도했습니다. 통신사가 접속하려는 도메인을 SNI로 확인해 심의위 차단 목록과 일치하면 연결을 막는 구조입니다. 방통위는 불법 정보로 결정된 해외 사이트만 막고 실제 차단은 민간 통신사가 수행하므로 통신 내용을 감청하는 것이 아니라고 설명했습니다. 반면 시민단체는 기준의 객관성과 실효성 문제를 지적했고, 청와대 국민청원에는 20만 명 넘는 인원이 참여한 반대 청원이 올라왔다고 보도되었습니다(보도마다 정확한 인원 수치는 조금 다릅니다). 같은 달 말에는 한 통신사가 기존 URL 차단 방식을 적용하던 사이트에도 SNI 차단을 적용해 과잉 차단이 발생했다는 보도가 있었고 일부는 해제되었다고 전해집니다. 배울 점은 차단 방식의 기술적 가능성과 별개로, 제도의 기준·투명성·오차 처리 절차가 함께 논의되어야 한다는 것입니다. 한국의 차단 제도의 법적 근거와 절차는 방송통신심의위원회 등 공식 안내를 확인해 주세요. 이 글은 당시 보도에 나온 범위만 요약했습니다.
사례 2. 파키스탄 통신사의 유튜브 차단 시도가 전 세계로 번진 일 (2008년)
RIPE NCC의 사례 분석에 따르면 2008년 2월 24일(일), 파키스탄 텔레콤(AS17557)이 유튜브 주소 대역(208.65.153.0/24)을 허가 없이 라우팅 경로로 광고하기 시작했습니다. 목적은 파키스탄 내에서 유튜브를 막는 것이었다고 설명됩니다. 그런데 상위 사업자 PCCW Global이 이 경로를 인터넷 전체로 전달하면서 전 세계 라우터가 잘못된 경로를 받았고, 유튜브 트래픽이 파키스탄으로 향하는 일이 광범위하게 벌어졌습니다. 유튜브는 같은 대역과 더 세부적인 대역을 광고해 대응했고, 잘못된 광고는 UTC 18시 47분에 시작되어 21시 1분에 철회되었습니다(약 2시간 14분). 배울 점은 IP 수준의 차단은 한 나라 안에서 끝나지 않고 경로 정보를 통해 바깥으로 새어 나갈 수 있으며, 경로 광고를 검증하는 운영 원칙이 중요하다는 것입니다.
사례 3. 러시아의 텔레그램 IP 차단과 연쇄 장애 (2018년)
위키백과 기준으로 2018년 4월 13일 모스크바 법원은 텔레그램이 암호 해독에 필요한 키를 보안기관에 제공하지 않았다는 이유로 차단을 명령했습니다. 당국은 이 서비스와 연관된 IP 주소를 차단하는 방식으로 집행했고, 그 수는 1900만 개가 넘는 것으로 보도되었다고 정리됩니다. 그런데 텔레그램이 아마존 웹 서비스와 구글 클라우드 같은 대형 클라우드를 경로로 쓰고 있었기 때문에, 온라인 쇼핑몰, 카드 결제 인증, 다른 메신저 서비스 등 무관한 서비스에도 장애가 발생했습니다. 차단은 2020년 6월 18일 해제되었습니다. 배울 점은 클라우드와 CDN이 IP를 공유하는 오늘날 IP 단위 차단은 오버 블로킹 위험이 특히 크다는 것입니다.
가상 예시. 학교 방화벽에서 사이트 하나를 막았더니 수업 자료가 안 열린다
아래는 실제 사건이 아닌 가상 예시입니다. 한 학교가 특정 게임 사이트를 막으려고 그 사이트의 IP를 방화벽에 등록했습니다. 그런데 그 IP는 여러 서비스가 함께 쓰는 CDN 주소여서, 같은 CDN을 쓰는 온라인 수업 자료 사이트도 열리지 않게 되었습니다. 관리자는 IP 차단을 풀고, 대신 도메인 단위(DNS 또는 SNI 기준) 정책으로 바꾸고 예외 신고 창구를 마련했습니다. 방식을 고를 때 "공유 인프라를 쓰는 서비스가 있는가"를 먼저 확인하라는 교훈을 보여 줍니다.
관리자를 위한 정책 설계 체크리스트
- 무엇을, 왜 막는지 목적을 문서로 정의하고 주기적으로 재검토합니다.
- IP 단위 차단을 쓰기 전에 그 IP를 다른 서비스가 공유하는지 확인합니다.
- 잘못 막힌 서비스를 신고하고 빠르게 해제하는 절차를 마련합니다.
- 사용자에게 차단 사실과 사유를 안내하는 화면이나 문서를 둡니다.
- 트래픽을 검사하는 정책은 개인정보와 통신 비밀 관련 법령 준수 여부를 법무 담당과 확인합니다.
- 차단 로그는 필요한 기간과 범위만 보관합니다.
흔한 오해와 정정
- 오해: HTTPS면 도메인도 완전히 숨겨진다. 실제: 기존 TLS에서는 SNI가 평문으로 오가 접속 대상 도메인이 보입니다. ECH가 적용되면 달라지지만 서버·클라이언트가 모두 지원해야 합니다.
- 오해: 차단 화면이 뜨면 모두 같은 방식이다. 실제: 안내 페이지로 돌리는 방식, 연결을 끊는 방식, 응답을 주지 않는 방식 등 다양하며 원인도 다릅니다.
- 오해: 사이트가 안 열리면 그 사이트의 문제다. 실제: 중간 경로의 정책이나 오버 블로킹이 원인일 수 있습니다. 앞선 사례들이 그런 경우입니다.
- 오해: 차단 기술은 한 가지로 충분하다. 실제: 방식마다 보는 정보가 달라 실제 시스템은 여러 방식을 조합하는 경우가 많고, 그만큼 부작용도 겹칠 수 있습니다.
한계와 논쟁
차단은 기술 문제이면서 동시에 표현의 자유, 통신 비밀, 불법 정보 대응 같은 가치가 충돌하는 정책 문제입니다. 어떤 차단이 정당한지는 나라와 법에 따라 다르며, 이 글은 그 판단을 대신하지 않습니다. 또한 기술은 계속 변해 오늘 유효한 설명이 몇 년 뒤에는 달라질 수 있습니다(ECH 보급이 한 예입니다). 법령과 제도는 일반 정보 수준으로만 설명했으므로 구체적인 판단은 방송통신심의위원회와 법령 정보를 확인하시기 바랍니다.
이어서 읽어 볼 가이드
DNS 조회 과정은 DNS 조회 과정을, 조회를 암호화하는 표준의 개념은DNS 오버 HTTPS(DoH)와 DNS 오버 TLS(DoT) 완전정리를, 암호화 연결 설정은 TLS 핸드셰이크를, 방화벽의 기본은 방화벽 기초를 확인해 보세요.
자주 묻는 질문
회사 방화벽에서 특정 사이트가 안 열리는 것도 같은 원리인가요?
원리는 크게 다르지 않습니다. 회사나 학교의 네트워크 방화벽도 흔히 DNS 필터링, URL 필터링, SNI 검사를 조합해 접속을 제한합니다. 업무상 필요한 사이트라면 정책 담당 부서에 예외를 요청하는 것이 정석입니다.
SNI 차단은 왜 논란이 됐나요?
SNI 확인은 HTTPS 접속의 극히 일부(도메인명)만 보는 것이지만, 통신 정보를 들여다본다는 우려, 기준의 객관성 문제, 같은 서버를 쓰는 사이트까지 영향을 받을 수 있다는 점이 맞물려 논쟁이 됐습니다. 당국은 감청이 아니라는 입장을 밝혔습니다.
IP 차단이 오버 블로킹을 일으키는 이유는 무엇인가요?
하나의 IP 주소 뒤에 여러 도메인과 서비스가 있을 수 있기 때문입니다. IP는 "어느 서비스"가 아니라 "어느 서버 주소"만 알려 주므로, 그 주소를 막으면 함께 쓰는 모든 서비스가 영향을 받습니다.
접속이 안 될 때 차단인지 장애인지 구분하는 방법이 있나요?
안내 페이지가 표시되는지, 다른 네트워크에서도 같은 증상인지, 해당 서비스의 공지나 상태 페이지에 장애가 있는지를 확인합니다. 조직 네트워크라면 관리자에게 문의하는 것이 가장 빠릅니다.
DPI는 암호화된 내용도 읽을 수 있나요?
일반적으로 올바르게 암호화된 내용 자체를 읽을 수는 없습니다. 다만 암호화되지 않은 헤더 정보나 트래픽의 크기·패턴 같은 외형 정보로 일부를 추정할 수 있고, 조직이 관리하는 단말에 인증서를 배포해 복호화하는 구성도 있습니다.