🌐 [클래식] Security Problems in the TCP/IP Protocol Suite — 인터넷의 '신뢰 가정'을 처음 무너뜨린 네트워크 보안의 창시 논문 (1989)

논문 정보

연구 배경 — 1989년, "인터넷은 원래 선한 사람들의 것"이라는 착각

1989년의 인터넷은 지금과 전혀 다른 공간이었다. TCP/IP는 미 국방부(DoD)의 지원 아래 연구자·정부 기관·대학이라는 폐쇄적이고 상호 신뢰하는 집단을 위해 설계됐다. 프로토콜 명세는 기능(연결·전달·라우팅)에 집중했고, 악의적 참여자에 대한 가정은 사실상 빠져 있었다.

Bellovin은 그 전제 자체를 문제 삼았다. 이 논문의 서두는 오늘날까지 회자되는 관점을 제시한다 — 문제는 특정 구현의 버그가 아니라, 구현이 아무리 완벽해도 남는 프로토콜 설계 수준의 결함이라는 것이다.

프로토콜 자체에 내재한 심각한 보안 결함이 있으며, 이는 "어떤 구현의 정확성과 무관하게" 존재한다. — 논문 초록

핵심 아이디어 — 신뢰는 '주소'로부터 오지 않는다

당시 TCP/IP의 인증 모델은 극도로 얇았다. "패킷의 출발지 IP 주소가 곧 그 호스트의 신원"이라는 전제 위에 세워져 있었다. rlogin·rsh 같은 원격 접속 도구는 .rhosts 파일과 출발지 주소만으로 사용자를 믿었고, "1024 미만 포트는 root만 열 수 있다"는 관례를 신뢰의 근거로 삼았다. 즉 네트워크 경로를 통제하는 공격자가 곧 인증을 위조할 수 있는 구조였다.

논문은 이 얇은 신뢰 모델이 실전에서 어떻게 무너지는지를 계열별로 체계화했다. 이 분류는 이후 30여 년간 네트워크 공격 분류의 원형이 됐다.

논문이 문서화한 4대 공격 계열

• ① TCP 시퀀스 번호 스푸핑 (sequence number spoofing): TCP의 신뢰성은 시퀀스 번호 위에 세워져 있다. 문제는 연결을 시작할 때 쓰는 초기 시퀀스 번호(ISN)가 예측 가능했다는 점 — BSD 구현은 연결마다 일정 규칙으로 값을 올렸고, RFC 793의 명세조차 시계 기반의 예측 가능한 증가를 허용했다. 공격자가 상대의 다음 ISN을 맞힐 수 있으면, 응답을 받지 않고도(blind) 정당한 출발지로 위장한 TCP 세그먼트를 주입해 기존 연결을 가로채거나 신뢰 기반 접속을 뚫을 수 있다. 이 취약점의 원형은 R. T. Morris의 1985년 4.2BSD 분석에서 먼저 지적됐고, Bellovin이 이를 일반화·확장했다.
• ② 라우팅 공격 (routing attacks): 라우팅 정보가 인증 없이 교환되는 점을 악용한다. 위조된 ICMP Redirect로 트래픽 경로를 공격자 쪽으로 돌리거나, RIP 업데이트를 위조해 라우팅 테이블을 조작할 수 있었다. 한 번 경로가 오염되면 이후 모든 통신이 조용히 도청·변조 대상이 된다.
• ③ 출발지 주소 스푸핑 (source address spoofing): UDP나 ICMP처럼 핸드셰이크가 없는 프로토콜에서는 출발지 주소를 위조한 패킷을 그대로 주입할 수 있다. 주소 기반 인증을 우회하는 통로가 되고, 응답이 제3자에게 쏟아지는 반사(reflection)·증폭 공격의 씨앗이 된다.
• ④ 인증 공격 (authentication attacks): .rhosts/호스트 신뢰 모델, DNS에 의존한 인증, 평문으로 흐르는 패스워드(스니핑) 등 "네트워크가 안전하다"는 가정에 기대는 모든 인증 방식을 문제 삼았다. 주소·호스트명·권한 포트 관례는 모두 위조 가능하다는 것이 논문의 결론이다.

1994년 크리스마스 데이 — 예측은 5년 만에 현실이 되다

이 논문의 위상은 이론에 그치지 않았다. 1994년 12월 25일, 케빈 미트닉(Kevin Mitnick)은 보안 연구자 츠토무 시모무라(Tsutomu Shimomura)의 샌디에이고 슈퍼컴퓨터센터(SDSC) 시스템을 공격했다. 사용된 기법이 바로 TCP 시퀀스 번호 예측을 통한 신뢰 호스트 사칭이었다 — 신뢰받는 X 터미널의 주소를 위조하고 시퀀스 번호를 맞혀 연결을 탈취하는, Bellovin이 1989년에 문서화한 바로 그 경로다. 이 사건은 Takedown으로 책과 영화가 되며 대중에 알려졌고, "네트워크를 신뢰하지 말라"는 이 논문의 경고가 실증된 첫 대형 사례가 됐다.

흥미로운 대조도 있다. 논문이 나온 직후인 1989년 CCR 19(3)에 실린 S. Kent의 반박은, Bellovin이 제시한 광역 방어(특히 종단간 암호화)의 현실성을 문제 삼았다. 보안 설계의 '공격자 관점 분석 vs. 실용적 방어'라는 긴장이 1989년부터 학술지 지면에서 벌어진 셈이다.

방어와 30년의 계보 — 이 논문이 낳은 것들

• 예측 불가능한 ISN (RFC 1948): 논문의 대표적 처방이 실표준이 됐다. Bellovin이 직접 저술한 RFC 1948 "Defending Against Sequence Number Attacks"(1996)은 초기 시퀀스 번호를 암호학적으로 예측 불가능하게 만들도록 규정했고, 이는 오늘날 모든 TCP 스택의 기본값이다.
• 방화벽과 신뢰 경계(boundary): "외부는 신뢰할 수 없다"는 인식이 자리잡으면서 네트워크 경계에서 트래픽을 통제하는 방화벽 개념이 정착했다.
• IPSec과 종단간 암호화: 논문의 결론부는 근본 방어로 암호화를 지목했다. 주소·경로·전송 계층 전체가 위조 가능한 환경에서는 종단간(端間) 암호화로 기밀성과 무결성·인증을 확보해야 한다는 이 통찰은 훗날 IPSec·TLS로 이어지는 계보다.
• 분류 체계로서의 유산: 시퀀스 스푸핑·라우팅 조작·주소 위조·인증 우회라는 네 갈래는 오늘날의 네트워크 공격 분류와 위협 모델링의 뼈대가 됐다.

25년 후의 회고 — 무엇이 고쳐졌고, 무엇이 남았나

Bellovin은 2005년 회고 논문("A Look Back at 'Security Problems in the TCP/IP Protocol Suite'")에서 16년의 변화를 스스로 점검했다. 시퀀스 번호 예측은 ISN 무작위화로 사실상 봉쇄됐지만, 출발지 주소 위조·경로 신뢰·인증의 문제는 완전히 사라지지 않았다는 것이 그의 진단이었다. 오늘날의 BGP 하이재킹, DDoS 반사·증폭, DNS 스푸핑은 모두 이 논문이 지목한 "라우팅·주소의 신뢰 불가" 문제의 후손이다.

결국 이 한 편의 논문이 남긴 가장 큰 유산은 기술이 아니라 사고방식이다. "네트워크는 적대적일 수 있다"는 전제를 프로토콜과 시스템 설계에 심어 넣었고, 이는 1975년 Saltzer & Schroeder의 보안 설계 원칙, 그리고 훗날 제로 트러스트(zero trust)로 이어지는 하나의 축을 열었다.

오늘날의 의미

• 설계 계층의 결함은 구현으로 못 덮는다: "구현이 올바른가"가 아니라 "프로토콜이 적대적 환경을 가정하는가"가 먼저다. 오늘날 펌웨어·클라우드·AI 에이전트 아키텍처에도 그대로 적용되는 원칙이다.
• 신뢰의 근거로 '식별자'를 쓰지 말 것: IP 주소, 호스트명, 권한 포트 — 논문이 지적한 "식별자≠신원" 문제는 지금도 인증 설계의 핵심 교훈이다.
• 공격 예측은 실현된다: 1989년의 이론적 분석이 1994년 실제 침해로, 1996년 표준(RFC 1948)으로 이어졌다. 위협 모델링이 표준화로 이어지는 전형적 선례다.

출처

• 원문 (ACM SIGCOMM CCR 19(2), 1989 · DOI): doi.org/10.1145/378444.378449
• 저자 제공 PDF 전문 (Columbia Univ. Bellovin 페이지): cs.columbia.edu/~smb/papers/ipext.pdf
• RFC 1948 — Defending Against Sequence Number Attacks (Bellovin, 1996): rfc-editor.org/rfc/rfc1948.txt
• 반박 코멘트 — S. Kent, "Comments on 'Security Problems in the TCP/IP Protocol Suite'" (CCR 19(3), 1989): doi.org/10.1145/74674.74675
• 회고 논문 — Bellovin, "A Look Back at 'Security Problems in the TCP/IP Protocol Suite'" (2005): doi.org/10.1109/csac.2004.3