내 IP 주소가 플래그되는 이유
“IP 순수도”는 IP 평판을 부르는 비공식 명칭입니다. 메일 서버, 웹사이트, 사기 탐지 시스템이 IP 주소에 무엇을 허용할지 결정하기 전에 그 주소에 대해 내리는 판단입니다. 단일한 순수도 점수는 존재하지 않으며, 이를 발급하는 중앙 기관도 없습니다. 대신 수십 개의 독립적인 목록과 데이터베이스가 각자 고유한 기록을 유지합니다. 어떤 주소가 스팸을 보냈는지, 어떤 주소가 데이터센터에 속하는지, 어떤 주소가 Tor 네트워크의 출구인지 말입니다. 그리고 사용자가 방문하는 모든 서비스는 자신이 신뢰하는 조합을 조회합니다. 이 글에서는 누가 이러한 기록을 유지하는지, 왜 지극히 평범한 사용자가 플래그된 주소를 물려받을 수 있는지, 흔한 플래그들이 실제로 무엇을 측정하는지, 그리고 자신이 얻은 적 없는 나쁜 평판에 대해 무엇을 할 수 있고 무엇을 할 수 없는지 설명합니다. IP 순수도 검사를 이용하면 자신의 주소를 이러한 시스템들이 보는 방식으로 확인할 수 있습니다.
단일한 순수도 점수는 존재하지 않는다
“IP 순수도”라는 표현은 실험실 측정을 연상시킵니다. 하나의 숫자, 객관적으로 참되며, 어디에서나 동일합니다. 그러나 현실은 훨씬 더 어수선합니다. 평판은 서로 다른 일을 위해 구축된 시스템들에 분산되어 있습니다. DNS 기반 차단 목록(DNSBL)은 메일 서버가 연결을 수락할지 결정하도록 돕기 위해 존재합니다. 위치 정보 및 IP 인텔리전스 데이터베이스는 주소가 속한 네트워크의 종류(주거용, 모바일, 데이터센터, 프록시)를 분류합니다. 악용 피드는 공격에서 목격된 주소를 기록합니다. Tor 프로젝트는 자체 출구 릴레이 목록을 게시합니다. 각 정보원은 서로 다른 질문에 답하고, 각자의 일정에 따라 업데이트되며, 데이터가 다르면 서로 모순됩니다.
따라서 검사 도구가 보여주는 모든 “점수”는 특정 시점에 선택된 정보원 일부에 대한 요약일 뿐입니다. 이 사이트의 점수도 마찬가지입니다. 두 검사 도구가 서로 다른 목록을 조회했기 때문에 같은 주소에 대해 서로 다른 판정을 내릴 수 있으며, 그렇다고 어느 한쪽이 틀린 것은 아닙니다. 순수도 결과를 정직하게 읽는 방법은 그것을 단일 등급이 아니라, 각자 고유한 정보원과 한계를 지닌 별개의 신호들의 집합으로 보는 것입니다. 이 글에서는 바로 그 증거를 신호 하나하나 살펴봅니다.
무고한 IP가 플래그되는 이유
가장 흔한 이유는 사용자와 전혀 무관합니다. 주소는 공유되고 재활용됩니다. 많은 ISP는 통신사급 NAT(CGNAT)를 이용해 수백에서 수천 가구를 하나의 공인 IPv4 주소 뒤에 배치하므로, 악용하는 이웃 한 명이 그 공유 주소를 사용하는 모든 사람에게 피해를 줍니다. 동적 주소는 끊임없이 재할당되며, 평판은 사람이 아니라 주소를 따라갑니다. 오늘 아침에 받은 IP는 지난주에 스팸 조직의 것이었을 수 있습니다. 데이터센터 주소 범위도 테넌트 간에 같은 방식으로 재활용되며, 한때 악용 고객에게 임대되었던 범위는 그 고객이 떠난 뒤에도 오랫동안 오명을 유지합니다. 이웃 문제는 별도의 글로 다룰 만큼 흔합니다. 이웃이 내 IP를 블랙리스트에 올릴 때를 참고하세요.
공유 출구는 같은 영향을 더 멀리 퍼뜨립니다. VPN이나 프록시 서비스는 수천 명의 사용자를 소수의 출구 주소를 통해 내보내므로, 소수 사용자의 악용으로 출구가 플래그되고 그 뒤에 있는 모든 사용자가 CAPTCHA, 차단, 의심을 물려받습니다. 특정 범위에서 발생하는 자동화된 행동(공격적인 스크래핑, 자격 증명 스터핑, 취약점 스캔)도 같은 취급을 받습니다. 그리고 일부 등재는 악용과 전혀 무관합니다. 정책 목록은 동작과 관계없이 인터넷에 직접 메일을 보내서는 안 되는 주거용 및 동적 범위를 의도적으로 플래그합니다. 플래그가 기록하는 것은 주소가 외부에서 어떻게 보이는지이지, 현재 사용자가 무엇을 했는지가 아닙니다.
프록시, 호스팅, 모바일 플래그가 실제로 측정하는 것
이 세 가지 플래그는 IP 인텔리전스 데이터베이스에서 나오며, 사용자의 행동이 아니라 연결의 종류를 분류합니다. “호스팅”은 해당 주소가 데이터센터나 호스팅 제공업체 명의로 등록된 범위에 있다는 의미입니다. “프록시”는 데이터베이스가 해당 주소를 프록시, VPN 또는 Tor 출구로 판단한다는 의미입니다. “모바일”은 해당 주소가 이동통신사 범위에 속한다는 의미입니다. 분류는 할당 기록, 소유 네트워크, 역방향 DNS 명명 패턴, 관찰된 트래픽, 사용자 신고를 조합해 만들어집니다. 휴리스틱의 누더기이며, 주소가 재할당됨에 따라 낡아집니다.
오탐은 일상적이며, 가장 명확한 예는 유명한 주소입니다. Google의 공개 DNS 리졸버인 8.8.8.8은 프록시와 호스팅 플래그를 반환합니다. 데이터센터 인프라에서 실행되는 애니캐스트 서비스이기 때문입니다. 이는 정확히 휴리스틱이 주목하는 특징입니다. VPN이 아니며, 누구도 몸을 숨기기 위해 “사용”하지 않는데도 말입니다. 기업 출구 지점, 대학 네트워크, iCloud Private Relay, 통신사급 NAT도 같은 이유로 같은 플래그를 유발합니다. 플래그는 데이터베이스의 힌트일 뿐, 결코 판결이 아닙니다. 그래서 IP 순수도 검사는 각 신호를 정보원과 함께 개별적으로 표시하고, 하나의 숫자 뒤에 숨기지 않습니다.
DNSBL: 등재의 의미와 삭제 절차
DNS 기반 차단 목록은 등재 정보를 DNS 레코드로 게시하므로 조회가 빠르고 보편적입니다. IP의 옥텟을 뒤집고, 영역 이름을 추가한 뒤 조회합니다. 응답이 없으면(NXDOMAIN) 등재되지 않은 것이고, 127.0.0.x 범위의 응답은 등재를 의미하며, 정확한 코드가 이유를 알려줍니다. 스팸 발신원, 침해된 호스트, 또는 메일을 보내서는 안 되는 범위에 대한 정책 등재입니다. 메일 서버는 연결이 도착하면 이 검사를 실행하고 거부, 연기, 또는 수락 후 더 엄격한 필터링 중 무엇을 할지 스스로 결정합니다. 목록마다 가중치가 크게 다릅니다. Spamhaus ZEN 등재는 수천 개의 수신 네트워크에서 동시에 메일이 거부되는 원인이 될 수 있는 반면, 폐지되었거나 무명한 목록의 등재는 아무도 신경 쓰지 않을 수 있습니다.
삭제는 양식이 아니라 원인에서 시작합니다. 침해된 기기를 수리하고, 오픈 릴레이를 닫고, 스팸 발송을 중단한 뒤, 해당 목록 운영자의 고유한 절차에 따라 삭제 해제를 요청합니다. 자동으로 만료되는 등재도 있고, 수동 검토가 필요한 등재도 있습니다. 동적 주거용 범위에 대한 정책 등재는 보통 그대로 유지됩니다. 해당 범위는 실제로 직접 메일을 보내서는 안 되기 때문입니다. 그런 사용자는 대신 ISP 릴레이나 메일 서비스를 통해 발송해야 합니다. 목록별 단계별 절차는 DNS 블랙리스트에서 삭제되는 방법에서 확인할 수 있습니다. 한 가지 경고가 있습니다. 평판 좋은 운영자는 삭제 해제에 요금을 청구하지 않으므로, “삭제 보장”을 판매하는 사람은 운영자가 무료로 제공하는 것을 판매하는 것입니다.
Tor 출구는 Tor 사용자가 아니다
Tor 트래픽은 자원봉사자가 운영하는 출구 릴레이를 통해 개방형 인터넷에 도달하며, 트래픽이 방문하는 모든 사이트는 사용자의 주소가 아니라 출구 릴레이의 주소를 봅니다. Tor 프로젝트는 대량 출구 목록, 즉 현재 출구가 허용된 릴레이의 주소를 게시하는데, 이는 정확히 서비스가 이를 인식할 수 있도록 하기 위함입니다. 해당 목록에 있는 주소는 개별 연결 뒤에 있는 사람에 대해 아무것도 말해주지 않습니다. 수천 명의 사용자가 각 출구를 공유하며, 저널리즘과 연구부터 악용에 이르기까지 모든 목적으로 사용하고, 출구 주소는 이들을 구분할 수 없습니다.
바로 이러한 구별 불가능성 때문에 많은 사이트가 출구 주소를 신뢰가 아닌 추가적인 마찰로 대합니다. 더 많은 CAPTCHA, 읽기 전용 액세스, 때로는 노골적인 차단입니다. 사이트는 개별 사용자를 비난하는 것이 아닙니다. 뒤에 있는 사용자를 평가할 방법이 없으므로 출구 전체를 평가하는 것입니다. 목록 자체는 릴레이가 참여하고 떠나고 정책을 변경함에 따라 끊임없이 변하는 스냅샷입니다. 주소는 몇 시간 안에 등재되었다가 사라질 수 있으며, 대량 내보내기는 IPv4만 다룹니다. 자신의 주소가 목록에 나타나는데 릴레이를 운영하지 않는다면, 일반적인 설명은 재활용입니다. 해당 주소는 이전 보유자 시절에 출구였습니다.
플래그된 IP에 대해 할 수 있는 일과 할 수 없는 일
먼저 손쉬운 조치부터 시작하세요. 라우터를 재시작하면 보통 동적 주소가 교체되어 다른 이력을 가진 새 주소를 얻게 됩니다. 다만 새 주소에도 고유한 이력이 있을 수 있습니다. ISP에 새 주소를 요청하거나, 서버를 운영하는 경우 고정 IP를 요청하세요. 고정 주소는 목록에서 삭제하기도 쉽고 깨끗하게 유지하기도 쉽습니다. 평판이 오롯이 자신의 것이기 때문입니다. 특정 목록에 등재되어 있다면 원인을 수정한 뒤 해당 운영자에게 삭제 해제를 요청합니다. 주거용 연결에서 직접 메일을 보내는 것을 중단하고 ISP 릴레이나 메일 제공업체를 이용하세요. VPN 사용 중 서비스에 차단된다면 출구 서버를 변경하거나 해당 서비스에 대해 연결을 해제하면 보통 해결됩니다.
할 수 없는 일은 깨끗한 평판을 구매하는 것, 그리고 민간 플랫폼에 플래그 해제를 강제하는 것입니다. 해당 플랫폼의 이의 제기 채널이 유일한 경로이며, 내부 점수는 공개되지 않습니다. 또한 “깨끗하다”는 것이 신뢰를 보장하지도 않습니다. 깨끗한 결과는 알려진 나쁜 신호가 발생하지 않았다는 의미일 뿐이며, 서비스는 행동을 별도로 판단합니다. 계정 이력, 요청 패턴, 브라우저가 드러내는 모든 것이 대상입니다. 그래서 웹사이트가 당신에 대해 아는 것은 주소 너머를 살펴봅니다. 평판은 소유하는 것이 아니라 빌리는 것입니다. 주소를 따라다니고, 목록이 업데이트됨에 따라 변하며, 최상의 장기적 방어는 이력이 짧고 조용하며 오롯이 자신의 것인 주소입니다.