요약
Quad9이 프랑스 법원의 도메인 차단 명령을 따르지 않고 11월 24일부터 프랑스 서비스를 끊습니다.
Quad9은 무료 공개 DNS 리졸버(도메인 이름을 IP 주소로 바꿔 주는 서버)를 운영하는 스위스 비영리 공익재단입니다. 카타르 방송사 비인(beIN)이 스포츠 중계 불법 스트리밍 도메인을 막으라며 낸 소송에서 10월 21일 불리한 판결을 받자, 원칙을 지키겠다며 철수를 발표했습니다.
왜 중요한가
- 리졸버에 저작권 차단을 맡기는 판결 때문에 중립을 지키려는 공개 DNS가 한 나라에서 아예 빠지게 됐습니다.
- 프랑스 정부 기관, 대학 연구망 RENATER, EDF·SNCF 같은 기업, 병원 등이 한 달 안에 리졸버를 바꿔야 합니다.
핵심 내용
- Quad9은 문제의 도메인을 막지 않겠다고 했고, 판결을 따르는 대신 프랑스 이용자에게 서비스를 중단합니다.
- 법원은 이행강제금을 58만 유로에서 하루 1,000유로로 크게 낮췄고, Quad9은 항소해 계속 다툴 계획입니다.
- 가입도 신원 확인도 없는 서비스라서 이용자가 어느 나라에 있는지 알 수 없다고 했습니다.
- 독일 소니 뮤직 소송에서는 지역별 IP 차단을 했지만 원고가 VPN으로 우회해 법정 모독 벌금을 물었습니다.
- 프랑스에 비슷한 소송이 20건가량 더 걸려 있어 벌금이 쌓이면 재단이 버틸 수 없다고 밝혔습니다.
HN 반응
- Quad9 CTO는 특정 도메인만 막으면 DNS 검열을 인정하는 셈이라 차라리 서비스를 끊는다고 설명했고, 지지하는 댓글이 이어졌습니다.
- DNS 캐시 유지 시간이 경기보다 길어 차단이 소용없다는 지적과, 스페인은 축구 중계 때 클라우드플레어 대역까지 막는다는 경험담이 나왔습니다.
(참고로 저는 Quad9의 CTO이고, 변호사들을 상대하는 사람 중 하나입니다.)
"프랑스 이용자를 어떻게 차단할 것이냐"에 관심이 쏠리는 건 이해합니다. 저희가 geoIP 차단만으로는 특정 이름의 확인(resolution)을 선별적으로 막기에 부족하다고 말해 왔는데도 말이죠. 이 모순을 저희도 알고 있지만, 그런 데 힘을 쓰는 건 엉뚱한 곳에 에너지를 쓰는 일이라고 봅니다.
11월 24일 이후에는 geoIP 필터로 프랑스 이용자를 저희 서비스에서 차단하게 될 가능성이 큽니다. 지금 당장 같은 geoIP 필터 목록을 적용해, 저희에게 접근 불가로 만들라고 요구된 사이트만 프랑스 이용자가 못 보게 할 수도 있습니다. 하지만 그렇게 하면 저희의 핵심 전제가 무너집니다. 그 전제란 DNS는 이런 일이 벌어질 곳이 아니라는 것이고, 프랑스 안에서만 요구에 맞춰 준다면 이용자에게 돌아갈 최악의 결과를 저희가 받아들이는 셈이면서도 법적으로 완벽히 충족하는 것도 아닙니다. 저희는 먼저 핵심 사명에 일관되게 남고, 그다음으로 저희에게 지워진 법적 제약을 최대한 지키려 합니다. 차단 요구를 받아들이면 그런 요구가 저희 사명 안에서 허용된다고 인정하는 셈이 됩니다. 곧 기업(또는 다른 누군가)을 대신해 실효성 없고 엉뚱한 곳을 겨냥한 콘텐츠 통제 체제를 만드는 일에 저희가 나서겠다고 인정하는 겁니다.
그것이 문제를 해결한다고 저희가 생각한다고 인정하는 셈이기도 합니다. 해결되지 않습니다. 차단할 이름의 수가 계속 늘어나도 저희가 그렇게 하겠다고 인정하는 셈이기도 한데, 저희는 그렇게 하지 않을 겁니다. 도덕적, 종교적, 사회적, 정치적 이유로 하는 필터링에까지 이런 방식을 적용하도록 허용하는 셈이기도 합니다. 그래서는 안 됩니다.
그래서 저희는 차단에 오류가 생길 가능성을 받아들입니다. 다만 이번 경우(프랑스 이용자 차단)에는 DNS의 무결성이라는 저희가 내세운 사명과의 일관성을 지킵니다. 저희 서비스 이용자에게는 분명한 구분이 있기를 바랍니다. 이용자가 기대하는 그대로의 DNS를 쓰시거나, Quad9이 예상치 못한 임의의 파편화 요구를 수없이 받아 서비스를 오염시키도록 강제된다면 서비스를 아예 제공하지 않거나, 둘 중 하나입니다.
근본적인 문제는 geoIP 차단이 효과가 없다는 점만이 아닙니다. 이런 요구의 전제 자체가 재귀 DNS 확인 제공자에게 적용되는 것이 부당하다는 점입니다. 이번 소송 결과에 대해 저희가 갖는 가장 근본적인 이견을 놓고 논의가 이어지기를 바랍니다. 아직 완전히 정해지지 않았고 앞으로 계속 조정될 수 있는 기술적 구현 세부 사항을 두고 논쟁하는 것은 바라지 않습니다.
계속 힘내세요! 신념을 지키며 우리 모두를 위해 최선을 다하려는 모습이 정말 좋습니다.
싸워 주셔서 감사합니다.
인터넷이 앞으로 얼마나 더 버틸 수 있을지 모르겠습니다. 정부들은 계속 자국 법을 인터넷에 강요하려 들 테고, 그러면 국제 네트워크는 국경마다 강력한 필터링이 걸린 수많은 국가별 네트워크로 쪼개져 갈 겁니다. 지켜보기 참 안타깝습니다...
필요는 발명의 어머니라고 하죠. 다행히 필요한 건 이미 발명돼 있는데, '평범한' 사람들을 그쪽으로 밀어 넣을 동기가 아직 없을 뿐입니다. 특히 탈중앙화 기술이나 TOR 같은 기술은 이런 조치에 완전히 끄떡없습니다.
'평범한' 사람들을 이런 기술로 끌어오지 못하는 바로 그 점이 우리를 죽일 겁니다. Tor가 제대로 작동하려면 익명 집합(anonymity set)이 아주 커야 합니다. 사람들이 쓰지 않으면 우리 모두가 약해집니다. 기업에 경제적 협상력까지 쥐여 주고요. Tor 출구 노드를 그냥 차단해 버리고 작은 손실만 감수하면 되지, 억지로 연결해 줄 필요가 없으니까요.
정부만 그러는 게 아니에요. 이런 사건은 기업이 시작하거든요.
프랑스에 아무 거점이 없다면 판결이나 벌금을 신경 쓸 필요가 있나요?
EU 차원에서 그런 현지 판결에 실효성을 부여하는 규정이 아마 있겠죠, 안 그래요?
그렇긴 한데, 스위스는 EU 회원국이 아닙니다. 조약을 통해서만 참여하죠. 그러니 (법적으로 보면) 이 이야기에는 뭔가 더 있을 수밖에 없습니다.
이 글의 다른 댓글들에서도 언급됐듯이 "루가노 협약(Lugano Convention)"이라는 조약이 있습니다. 당사자는 EU(전체), 덴마크 [0], 아이슬란드, 노르웨이, 스위스입니다. 브렉시트 이후 영국이 독자적으로 가입하려 했지만 EU가 거부했습니다. 루가노 협약에 따르면 프랑스 법원에서 판결을 받으면 협약에 따라 스위스 법원에 그 판결의 집행을 신청할 수 있습니다. 다만 스위스 법원이 집행을 거부할 때 근거로 삼을 수 있는 예외 사유가 있는데, 스위스 법원이 그중 어느 하나라도 해당한다고 판단할 가능성이 얼마나 되는지는 저도 전혀 모르겠습니다.
[0] 덴마크는 EU 법의 이 분야에서 옵트아웃(적용 제외)을 인정받았기 때문에 EU 회원국 중 유일하게 조약의 당사자로 직접 참여해야 합니다. 다른 회원국에는 EU 전체가 당사자라는 점을 통해 간접적으로 적용됩니다.
EU 자체가 조약이잖아요. 아니, 조약 여러 개죠.
"원고(Sony Music Entertainment GmbH)는 이후 VPN을 사용해 독일에서 차단된 콘텐츠에 접속함으로써 geoIP 차단을 우회했습니다. 법원은 이 비준수 주장에서 소니의 손을 들어 주었고, 저희는 법정 모독으로 벌금을 부과받았습니다."
막으려고 할 수 있는 건 다 했는데, 상대가 또 다른 서비스로 보호 조치를 우회하고, 그래서 벌금을 맞는다고 상상해 보세요.
이런 트롤들을 상대로 뭘 할 수 있는지, 제안조차 못 하겠네요.
마치 "법원이 요구한 대로 자물쇠를 달았는데, 원고가 나중에 우리를 해킹해서 유죄가 됐다"는 소리나 마찬가지입니다.
기사에서 소니 사건을 언급한 건 맞지만, 기사는 실제로는 주로 다른 회사 이야기입니다.
관련 위키백과 문서는 이것인 듯합니다: https://en.wikipedia.org/wiki/BeIN_Channels_Network
...실제 스포츠 경기의 스트리밍 권리를 지키겠다고 현실의 법원을 동원해 DNS 제공자에게 신속 가처분을 받아 낸다니, 어이가 없네요. 중복으로 여러 겹 깔려 있는 해적판 히드라의 머리 하나를 치겠다는 건데, DNS TTL은 침해당하는 실제 경기보다 더 긴 경우가 흔하거든요.
...비유하자면 이런 겁니다. 5분 전에 동네에서 마약 거래가 있었다고, 다음 전화번호부 인쇄는 6개월 뒤인데도, 전화번호부를 찍어 준 독립 인쇄소를 찾아가 악질 인물들을 번호부에서 지우라고 하는 격이죠.
그리고 애초에 DNSSEC이 이걸 막아 주지 않나요?
더 심한 경우도 있어요. 여기 스페인에서는 몇 년 전에 법원 명령을 하나 받아 내더니, 축구 경기가 있을 때마다 인터넷의 절반(즉 Cloudflare 전체)을 제멋대로 차단하거든요...
아, 그게 그 이유였어요? Cloudflare가 저를 싫어하는 줄 알았어요. 알려 줘서 고마워요, 다음에 또 그러면 확인해 볼게요.
저는 스포츠를 싫어해서 축구 경기가 언제 하는지 전혀 몰라요. 그래서 연관 지어 생각 못 했네요.
정부에 반대하는 큰 시위가 있을 때 인터넷을 끄는 나라도 있고, 텔레비전에서 축구를 할 때 인터넷을 끄는 나라도 있죠.
공평하게 말하면, 축구 훌리건은 폭력 시위대처럼 보이긴 해요. 다만 그 사람들이 항의하는 대상은 자기 두뇌뿐인 것 같지만요.
https://hayahora.futbol/ 을 즐겨찾기 해 두면 좋을 거예요.
진짜 웃기네요, 공유해 줘서 고마워요. 전혀 몰랐어요.
힙합 아티스트 노래의 샘플을 해설하는 유튜버가 있는데, 그의 영상을 따라다니며 노리는 누군가 때문에 저작권 경고를 받거나 수익을 전부 빼앗기곤 합니다. 샘플을 15초 미만으로 잘라 쓰는데도 경고를 받아요. 항변조차 못 하는데, 그 사람은 아마 공정 이용(FAIR USE) 범위 안일 겁니다.
어딘가의 누군가가 일부러 그 사람 영상에 경고를 먹이고 있어요. 말도 안 됩니다. 뉴스 채널에서 통제할 수 없이 배경에 저작권 있는 음악이 나올 때도 경고를 날리기는 하나요?
네, 날려요. 브라질에서는 밀수품을 파는 가게를 다룬 뉴스 보도를 막으려고, 가게 주인들이 배경에 디즈니 노래를 틀기 시작했어요. 그러면 그 영상을 올리거나 방송할 수 없게 되거든요.
제가 충분히 생각해 보지 않은 걸 수도 있지만, 오디오를 지우고 한 말을 자막으로 넣으면 되지 않나요? 그 부분 앞에 가게 주인들이 촬영을 막으려고 저작권 있는 디즈니 음악을 틀고 있다는 설명을 붙이고요. 무음이 어떤 이유로든 곤란하다면 상황을 설명하는 내레이션을 넣어도 되고요.
안타깝지만 일반 대중은 이 댓글조차 끝까지 읽지 못했을 겁니다.
집중력 면에서 상황이 꽤 심각해요.
누군가 그 유튜버에게 이 방향으로 나선 릭 비토(Rick Beato)와 Legal Eagle의 움직임을 알려 줬길 바랍니다.
https://www.youtube.com/watch?v=M8HxQkk0PSY
그쪽이 지금 논의되는 사안보다 훨씬 합리적으로 보입니다. 공정 이용이 어느 정도 보호해 주는 건 맞지만, 유튜브라는 플랫폼에 공정 이용에 해당하는 개별 유튜버의 수익까지 지켜 줄 의무는 없어요. 공정 이용은 사실상 일반 규칙의 예외라서, content id처럼 대규모로 처리할 수 있는 게 아니라 사안마다 실제 판단을 거쳐야 하거든요. 실제로 소송을 당했다면 법정에서 공정 이용을 항변으로 쓸 수 있고, 판사가 맞는지 아닌지 결정하겠죠. 말씀하신 경우에는 유튜브가 법원 없이 처리했기 때문에 소송을 당한 사람이 없어서, 공정 이용이 실제로 끼어들 여지가 없는 겁니다.
지금 논의되는 사안은 오히려 법원이 구글에게 그날 아침에 막 생긴 스팸 봇 유튜브 계정들을 개별적으로 내리라고 하는 것과 비슷해요. 법 체계는 그렇게 빨리 움직이지 않고(DNS도 마찬가지고), 그 정도의 강경한 조치가 필요한 일은 보통 몇 달, 몇 년 걸리는 훨씬 더딘 절차로 처리하니까 터무니없는 일이죠.
늘 그렇듯 아니요. DNSSEC은 DNSSEC을 검증하는 신뢰할 수 있는 리졸버에서 리졸버 캐시 오염을 막아 줄 뿐입니다. 정말 그게 전부예요. DNS를 겨냥한 공격 대부분에는 아무 보안도 제공하지 못합니다.
리졸버 상류의 중간자 공격(MitM)에 대한 보호도 제한적이에요. 스푸핑은 막지만 서비스 거부는 여전히 가능합니다.
모든 테크 기업이 늘 곤경에 빠지는 게 바로 이런 경우 아닌가요? 문제가 될 만한 일이 터지면(예컨대 ChatGPT가 누군가의 폭탄 제조를 도왔다거나) "더 잘해라" 하고 나오잖아요.
그런 경우에는 보통 회사가 할 수 있는 걸 한참 못 다 했다고 사람들이 생각하는 거라고 봅니다. 빠져나갈 수 있겠다 싶은 최소한만 해 놓고는, 그걸로 부족했다는 데 놀란 척한다는 거죠.
여기서는 어느 두 나라든 규칙이 충돌하면 그 둘 모두에 서비스를 노출할 수 없습니다. 서비스가 아무리 완벽하게 탐지하려 해도 VPN/프록시 경로를 전부 막는 건 불가능하니까요. 결제도 없고, 계정도 없고, 아무것도 없습니다. 독일 법에 따르면 독일에서 온 게 아니라고 보고되는 IP에 그냥 DNS를 제공할 뿐이에요. 어느 시점부터는 회사의 실수나 악의가 아니라 이용자의 문제가 됩니다. 그 경계가 어디인지는 아마 사람마다 다르겠지만요.
맞아요. 실물 제품도 마찬가지로 돌아갑니다. 인터넷은 서비스를 전 세계에 제공하기 쉽고 그게 기본값이라서, 전 세계 어디서든 법과 충돌하기도 쉬울 뿐이에요. 어떤 법은 어기기로 고르고, 어떤 법은 노출을 최소화해서 따르고, 어떤 법은 특정 시장에 맞춘 버전을 따로 만들어서 따라야 합니다.