정부, 도메인 기반 이메일 인증기술 '디마크' 도입 추진

[아이뉴스24 최은정 기자] 정부가 공공기관을 위협하는 악성메일을 차단하기 위해 메일 보안인증기술 '디마크' 도입을 추진한다.

공공기관을 대상으로 우선 도입, 확대하고 민간기업까지 적용범위를 넓혀 나갈 방침이다.

디마크(DMARC, Domain-based Message Authentication, Reporting & Conformance)는 '도메인 기반 이메일 인증' 체계다. 기존 메일서버등록제(SPF)와 도메인 키인증 메일(DKIM) 기술을 융합해 메일을 인증한다. 서버에 탑재돼 ▲봉투(envelope, 계정정보)·메일내용(message) 내 발신자 사칭 검증 ▲발송 메일에 대한 평판 관리를 수행한다.

기존 SPF는 메일을 받는사람 측에서 확인할 수 있는 기술로 스팸메일 차단을 위해 2006년 개발됐다. 받는 메일 서버가 보낸사람이 지정한 발신서버로부터 온 메일이 맞는지 검증한다. 만약 송신 IP가 다르다고 판단되면 해당 메일은 스팸편지함에 버려진다.

정부는 여기에 DKIM을 함께 적용한 디마크를 도입하겠다는 것. DKIM은 발신자 정보, 메일내용을 확인해 메일 위변조 여부를 판별하는 기술이다.

지난 26일 박진완 한국인터넷진흥원(KISA) 사이버침해대응단 종합대응팀장은 "정부가 공공기관부터 선제적으로 디마크를 추진한다는 방침"이라며 "산하 공공기관도 권고사항이며 추후 모든 기관에 적용될 것"이라고 말했다.

다만 각 부처나 공공기관 디마크 도입 시기는 강제된 사안은 아니다. 부처 예산 상황에 따라 시기가 조정될 수 있고, 보안 솔루션 업체가 기능을 개발·탑재하는 데에도 시간이 걸릴 수 있기 때문.

이에 대해 박진완 팀장은 "디마크를 가능한 빨리 도입해 모든 부처·기관에 적용을 마치는 걸로 논의했다"며 "정확한 일시는 정해진 건 없지만 연내까지는 가능하도록 하는게 목표"라고 덧붙였다.

디마크는 미국 연방정부 기관의 약 81.6%에서 이용중이다(2018년 조사결과). 2017년 10월, 미국표준기술연구소(NIST)에서 연방기관을 대상으로 적용을 의무화했기 때문이다. 구글 지메일도 디마크를 도입했지만 우리나라는 현재 포털사이트 네이버, 다음이 이용중이다. 국내 도입률은 0.1%에 불과하다.

박진완 팀장은 "디마크 기술은 2015년에 개발된 비교적 최신기술"이라며 "네이버,다음 뿐 아니라 국내 다른 포털 사이트에도 확대 적용될 필요가 있다"고 덧붙였다.

다만 민간기업의 경우, 디마크를 어떤 방식으로 도입할 것인지에 대해 추가적인 고민이 필요해 보인다. 메일 수신·발신자 모두 디마크가 적용돼 있어야 시행될 수 있기 때문이다.

박진완 팀장은 "민간기업의 경우, (자사와 메일을 주고받는 고객사·파트너사 등) 수신자도 디마크 기술이 적용돼야 보안이 이뤄진다"며 "한 쪽만 도입했을 경우 메일 수·발신이 불가할 수 있고, 비용이 수반될 수 있기 때문에 도입을 꺼리기도 한다"고 말했다.

이에 대한 해결 방법으로는 메일 서버에 디마크를 탑재하거나 각 사 보안 솔루션을 강화하는 방식이 권고된다는 설명이다.