전자우편 프로토콜과 보안

핵심 정리

전자우편은 작성자의 프로그램에서 받는 사람의 사서함까지 한 번에 옮겨지지 않는다. 전자우편 주소는 보통 사용자 이름 부분, 골뱅이 표, 도메인 네임으로 이루어진다. 메일 시스템은 저장 후 전달 모델을 따르며, 메일 서버가 메시지를 받아 보관하고 다음 서버로 넘긴다. 받는 사람은 자신의 메일 서버에 쌓인 메일을 가져가 읽는다. 그래서 전달 과정은 보내는 단계와 받는 단계로 나뉘고, 단계마다 맡는 프로토콜과 에이전트가 다르다. 이 구분을 정확히 잡는 것이 이 개념 전체의 출발점이다. 송신자 메일서버에서 수신자 메일서버로 메시지를 넘기는 역할은 SMTP가 맡는다.

받는 단계에서 대표적인 프로토콜은 POP3다. POP3는 메일 서버에서 메일을 내려받는 기능을 제공한다. 내려받은 전자우편은 보통 클라이언트에 보관되는 방식으로 설명되며, 이 점이 메일을 서버에 두고 여러 번 조회하는 방식과 대비된다. 메일 클라이언트는 메일을 보낼 때 SMTP를 쓰고, 받을 때는 POP3나 IMAP을 쓴다는 식으로 프로토콜을 짝지어 기억하면 편하다.

보안 기술은 메일 내용을 숨기는 쪽과 메시지의 작성자를 확인하는 쪽으로 나누어 볼 수 있다. S/MIME은 전자우편 메시지에 전자서명과 암호화 기능을 제공하는 보안 프로토콜이며, MIME 데이터의 공개키 암호화와 전자서명을 위한 표준이다. 한 기술 안에 암호화와 서명이 함께 들어 있을 수 있어서, 선지는 두 기능 중 어느 것이 어느 기술의 것인지를 뒤바꾸어 묻기 쉽다.

메일 전달의 운영 측면도 함께 알아 둔다. SMTP는 메시지를 생성하는 방법을 규정하지 않는다. 메시지는 로컬 편집이나 단순한 전자우편 응용으로 만들어지고, 생성된 뒤 호출된 SMTP가 메시지를 받아 TCP를 이용하여 다른 호스트의 SMTP에게 전달한다. 상대 서버를 지정할 때는 DNS의 MX 레코드가 쓰인다. SMTP는 RFC2821에 따라 규정되어 있다. 즉 SMTP는 메시지를 작성하는 프로토콜이 아니라 전달을 맡는 프로토콜이다.

정리하면 송신은 SMTP가, 수신은 POP3나 IMAP이, 보안은 S/MIME·PEM·PGP·DKIM 같은 기술이 맡는 구도다. 송신은 SMTP, 수신은 POP3·IMAP 이 역할 배정이 맞는지 가르는 것이 선지 판단의 기본이다.

자세히

SMTP 송신과 MIME 확장

SMTP는 주로 TCP 25번 포트를 사용한다. 연결이 이루어지면 SMTP는 요구와 응답 메시지로 대화하며, 본래 텍스트 기반이라 문자 표현에 쓰는 것 외의 데이터를 바로 실을 수 없다. 이 대화에는 VRFY 명령도 있다. SMTP의 VRFY 명령은 사용자 주소의 유효성을 확인하는 명령으로, 계정 존재 여부 파악에 악용될 수 있다. 편의를 위한 명령이 정보 노출의 통로가 될 수 있다는 점을 함께 기억해야 한다.

그래서 2진 데이터는 MIME 등으로 텍스트로 인코딩하여 SMTP로 전송한다. MIME은 SMTP를 확장해 오디오·비디오·응용 프로그램 등 여러 종류의 데이터 파일을 전자우편으로 주고받게 한다. 첨부 파일은 본래 전자우편의 일부가 아니지만 전자우편과 함께 보내진다. 전자우편은 원래 텍스트 전용 ASCII 매체였고 MIME에 의해 확장되어 확장된 문자 세트의 텍스트와 이미지 같은 멀티미디어 내용을 실을 수 있게 되었다. 국제화 이메일은 UTF-8 주소를 포함하지만 널리 채택되지는 않았다.

크기 측면에서는 SMTP 서버가 메일 크기 제한을 두어 특정 크기 이상의 메일을 거부할 수 있다. 이 제한은 프로토콜의 규정이라기보다 서버가 정하는 운영 조건에 가깝다. 따라서 큰 첨부가 전달되지 않는 현상은 서버의 제한으로 설명하는 것이 자연스럽다.

PEM·PGP와 DKIM의 암호·서명

PEM은 전자우편을 발송 전에 암호화하여 전송 중 내용 노출을 막는 전자우편 보안 기술이다. PGP는 공개키 암호 방식으로 전자우편을 암호화하고 전자서명으로 인증을 제공하는 프로그램이다. PEM과 PGP는 모두 전자우편의 내용을 보호하는 쪽에서 이야기되므로 선지에서 설명을 바꿔 치기하기 쉽다. 기술인지 프로그램인지 같은 이름과 형태를 함께 확인하면 구별이 빨라진다.