무슨 일이 있었나요
오픈 웹을 주제로 글을 써온 한 블로거가 ‘검열된 인터넷을 받아들일 수 없다’는 글을 올렸어요. 그러면서 내년 초 벨기에 브뤼셀에서 열리는 FOSDEM 2027에서 직접 만나 이야기하자고 제안했고요. FOSDEM이 뭐냐면, 매년 2월 초에 열리는 유럽 최대 규모의 오픈소스 개발자 행사예요. 입장료도 사전 등록도 없이 누구나 갈 수 있어서 말 그대로 개발자들의 축제 같은 곳이거든요.
이 글이 나온 배경을 이해하려면 요즘 인터넷 규제 흐름을 좀 봐야 해요. 최근 몇 년 사이 세계 곳곳에서 ‘아이들을 보호한다’, ‘불법 콘텐츠를 막는다’는 명분으로 인터넷을 통제하는 법이 빠르게 늘고 있어요. 영국은 2025년 7월부터 온라인 안전법(Online Safety Act)에 따라 성인 콘텐츠가 있는 사이트에 연령 인증을 의무화했어요. 호주는 16세 미만이 소셜미디어 계정을 갖지 못하게 하는 법을 시행했고요. EU에서는 메신저 메시지까지 스캔하자는 이른바 챗 컨트롤(Chat Control) 법안을 두고 몇 년째 논쟁이 이어지고 있어요.
하나씩 떼어 보면 취지는 이해가 가요. 그런데 이런 규제가 쌓이면 ‘누구나 자유롭게 연결하고 말할 수 있다’는 인터넷의 기본 전제가 흔들린다는 게 오픈 웹 진영의 걱정이에요.
검열은 기술적으로 어떻게 이뤄질까요
개발자 입장에서 흥미로운 건 검열도 결국 네트워크 기술 위에서 돌아간다는 점이에요. 대표적인 방법을 쉽게 풀어볼게요.
DNS 차단은 가장 기본적인 방식이에요. DNS가 뭐냐면, 우리가 example.com 같은 주소를 입력하면 실제 서버의 IP 주소로 바꿔주는 ‘인터넷 전화번호부’예요. 통신사 DNS 서버가 특정 도메인에 거짓 답을 주거나 아예 답을 안 주면 사이트에 못 들어가게 되죠. 다만 DNS 서버만 바꿔도 쉽게 우회돼요.
IP 차단은 서버 주소 자체를 막는 방식이에요. 그런데 요즘은 수많은 사이트가 CDN의 같은 IP를 공유하거든요. 그래서 사이트 하나를 막으려다 엉뚱한 사이트까지 줄줄이 막히는 부작용이 커요.
SNI 필터링은 좀 더 교묘해요. HTTPS로 접속하면 내용은 암호화되지만, 처음 연결을 맺는 TLS 핸드셰이크 단계에서는 ‘나 이 도메인에 접속할 거야’라는 정보(SNI, Server Name Indication)가 평문으로 나가거든요. 비유하자면 편지 내용은 봉투 안에 숨겼는데 봉투 겉면에 받는 사람 이름이 그대로 적혀 있는 셈이에요. 검열 장비는 이 겉봉만 보고 연결을 끊어버리는 거죠.
우회 기술은 어디까지 왔나
그래서 기술 커뮤니티는 이 ‘겉봉’까지 감추는 방향으로 발전해 왔어요. DNS 질의를 HTTPS 안에 숨기는 DoH(DNS over HTTPS), 그리고 SNI까지 암호화하는 ECH(Encrypted Client Hello)가 대표적이에요. ECH는 Chrome과 Firefox가 지원하기 시작했고 CDN 쪽 적용도 늘고 있어요. 하지만 일부 국가는 ECH를 쓰는 연결을 통째로 막는 식으로 대응하고 있어서, 쫓고 쫓기는 싸움이 계속되는 중이에요.
또 하나의 흐름은 탈중앙화예요. 특정 회사나 서버 하나에 의존하지 않는 구조라면 한 곳을 막아도 전체가 멈추지 않거든요. Mastodon이 쓰는 ActivityPub, 분산 메신저 프로토콜 Matrix, 익명 네트워크 Tor가 모두 이런 철학 위에 있어요. FOSDEM에서 이런 프로젝트들이 매년 큰 비중을 차지하는 것도 우연이 아니에요.
한국 개발자에게는 남의 얘기가 아니에요
사실 한국은 이 주제에서 꽤 유명한 사례를 갖고 있어요. 2019년에 정부가 해외 불법 사이트를 막겠다며 SNI 필터링을 도입했거든요. 그전엔 warning.or.kr 페이지로 넘기는 DNS·HTTP 기반 차단을 썼는데, HTTPS가 보편화되면서 잘 안 통하자 SNI를 들여다보기 시작한 거예요. 당시 반대 국민청원에 20만 명 넘게 동의할 만큼 논란이 컸어요. 해외에서도 민주국가가 SNI 필터링을 대규모로 도입한 사례로 꽤 알려졌고요.
실무적으로도 생각해볼 거리가 많아요. 서비스에 연령 인증이나 콘텐츠 규제 요구가 들어오면, 그걸 어떻게 구현하느냐에 따라 사용자 프라이버시가 크게 달라지거든요. 예를 들어 연령 확인을 위해 신분증 사진을 서버에 쌓아두면 그 자체가 유출 사고의 시한폭탄이 돼요. 반대로 꼭 필요한 사실(성인인지 아닌지)만 확인하고 원본은 저장하지 않도록 설계하면, 규제를 지키면서도 피해를 줄일 수 있어요. 이런 판단은 결국 코드를 짜는 개발자 손에서 많이 결정돼요.
그리고 DoH, ECH, TLS 핸드셰이크 구조는 검열 이슈와 상관없이 네트워크를 다루는 개발자라면 알아둘 가치가 충분한 기본기예요. Wireshark로 HTTPS 접속을 캡처해서 Client Hello 안의 SNI 필드를 직접 확인해 보세요. 이 논쟁이 훨씬 구체적으로 와닿을 거예요.
마무리
정리하면, 인터넷의 자유는 법과 정책만큼이나 프로토콜과 코드로 지켜지는 것이에요. 오픈소스 커뮤니티가 FOSDEM 같은 자리에 모이는 이유도 여기에 있고요.
여러분은 어떻게 생각하세요? 아동 보호나 불법 콘텐츠 차단처럼 명분이 분명한 규제라면, 개발자로서 어디까지 협조하고 어디서부터 선을 그어야 할까요? FOSDEM에 다녀오신 분이 있다면 후기도 궁금해요!
🔗 출처: Hacker News