약 20년 동안, 도메인을 등록한다는 건 인터넷 전체에 자기 집 주소를 공개한다는 뜻이었다. 이름, 거리, 이메일, 전화번호 — 43번 포트로 인증 없이 TCP 연결만 열면 누구나 조회할 수 있는 WHOIS 레코드에 적혀 있었다. 계정도, 로그도, 의미 있는 레이트 리밋도 없이. 스패머는 하루 만에 스크레이퍼를 짰다. 이 위에서 자란 “프라이버시” 산업 — 연회비를 받고 당신 주소 대신 자기네 주소를 레코드에 넣어주는 프록시 서비스 — 은 오로지 기본값이 기술 대상자에게 그토록 적대적이었기 때문에 존재했다. 당신은 1982년의 설계 결정을 되돌리려고 중간상에게 돈을 냈다.
그러다 2018년 5월 25일, 기본값이 단 하루 만에 전 세계에서 뒤집혔다. 그것도 관할권의 우연으로.
GDPR이 일주일 만에 해낸 것을 ICANN은 10년 동안 못 했다
일반개인정보보호법(GDPR)이 발효되면서, EU 거주자의 개인정보를 공개 디렉터리에 게시하는 일이 법적으로 방사능급이 됐다. 그런데 ICANN의 계약은 등록대행자에게 바로 그 데이터를 게시하도록 요구하고 있었다. ICANN은 수천 개 회사에게 유럽 법을 어기라고 명령하는 사태를 피할 시간이 며칠밖에 없었다. 그래서 2018년 5월 17일 gTLD 등록 데이터 임시 규격(Temporary Specification)을 채택했다 — 모든 등록대행자에게 공개 WHOIS에서 개인정보 필드를 가리고 뼈대만 노출하라는 규칙의 긴급 재작성이었다: 후원 등록대행자, 도메인 상태, 생성일과 만료일.
곱씹어볼 대목은 여기다. GDPR은 EU 안의 사람만 보호한다. 하지만 유럽인용 리댁션 출력 하나와 나머지 전원용 노출 출력 하나를 따로 유지하는 건, 그럴 가치보다 더 많은 엔지니어링과 더 큰 법적 리스크였다. 그래서 대다수 등록대행자는 그냥 모두를, 어디서나 가렸다. 독일 시민을 위해 쓰인 독일 규제가, 미국 회사가 오하이오에서 등록한 도메인의 프라이버시 정책이 됐다. 유료 프라이버시 프록시 사업은 핵심 상품을 하룻밤 사이 전 지구에 공짜로 넘겨줬다 — 지구의 사기꾼들까지 포함해서.
그게 검의 첫 번째 날이고, 진짜로 좋은 일이다. 개인이 블로그 하나 등록하려고 집 주소를 방송하는 일이 멈췄다. 스토커는 공짜 조회를 잃었다. 도메인을 소유하려면 스스로를 도싱해야 한다는 40년짜리 부조리한 기본값이 마침내 죽었다. 나는 그걸 되돌리고 싶지 않고, 당신도 그럴 것이다.
다른 날도 모두에게 똑같이 넘어갔다
WHOIS는 프라이버시 재앙이기만 했던 게 아니다. 그건 인터넷이 가진 가장 빠르고 싼 책임추적 계층이기도 했다. 위조 상점을 쫓는 브랜드 보호 변호사, 피싱 캠페인의 인프라를 가로질러 피벗하는 보안팀, 도메인의 실제 소유자에게 닿으려는 어뷰즈 데스크 — 모두가 한 줄짜리 WHOIS 조회로, 대규모로, 공짜로 해냈다. 리댁션은 이들을 위한 예외를 파주지 않았다. 유사 도메인 40개를 등록하는 피싱 운영자가, 같은 날 같은 정책으로부터, 개인 블로거와 정확히 똑같은 전면 익명성을 얻었다. 프로토콜에는 “정당한 조사자” 비트 같은 건 없다.
재설계는 바로 이걸 고치기로 되어 있었다. 그 계획 — 표준화된 접근/공개 시스템(System for Standardized Access/Disclosure), SSAD — 은 정당한 목적을 가진 인증된 요청자가 리댁션된 데이터를 표준화되고 책임추적 가능한 절차로 요청해 받을 수 있는 중앙 게이트웨이였다. 기본은 프라이버시, 접근은 자격증명으로. 그건 일관된 거래이고, 만약 그게 존재했다면 이 글은 없었을 것이다.
그건 존재하지 않는다. 2022년 1월, ICANN 자체의 운영 평가는 SSAD 구축에 대략 2,000만2,700만 달러, 34년이 든다고 값을 매겼다. 그걸 유지할 쿼리당 요금과, 단 한 건의 요청에 답하기까지의 수년과 함께. 2023년 초 커뮤니티는 조용히 그것을 흰 코끼리로 폐기하고 등록 데이터 요청 시스템(RDRS)으로 물러섰다 — 약속된 표준 접근 기계가 아니라, 공개 요청을 등록대행자에게 넘기면 그가 손으로 답할지 말지 정하는 티켓팅 파일럿이었다. 보장도, SLA도, 규모도 없이.
검의 한쪽 날만 출하됐다
비대칭을 곱씹어보라. 그게 논증 전부다. 이 거래의 프라이버시 쪽은 실제 벌금이라는 강력한 강제 함수에 떠밀려, 전 세계에, 공짜로, 약 일주일 만에 배포됐다. 접근 쪽 — 리댁션이 어뷰즈의 전면 은폐막이 되지 않도록 막을 그 부분 — 은 수천만 달러로 추산되고, 수년간 위원회에 끌려다니다, 수동 폴백으로 버려졌다. 검의 한쪽 날은 첫날에 벼려져 휘둘러졌다. 다른 날은 7년이 지나도록 여전히 차용증이다.
2025년 1월 28일 gTLD에서 WHOIS를 공식 대체한 구조화 JSON 프로토콜 RDAP은 계층형 접근을 제대로 하도록 설계됐다 — 요청자를 인증하고, 자격 있는 이에게 더 많은 필드를 반환한다. 배관은 이것의 좋은 버전을 지원한다. 하지만 접근을 차별화할 수 있는 프로토콜도, 누가 무엇을 받을지 정하는 권위 기관을 누군가 짓고 자금을 대기 전까지는 아무것도 차별화하지 않는다 — 그리고 그 권위 기관이 바로 폐기된 그 조각이다. 그래서 RDAP은 대부분 43번 포트 대신 HTTPS로, 같은 리댁션된 뼈대를 모두에게 반환한다. 전송은 나아졌고, 정책 공백은 그대로다. 2025년 8월 21일 구속력을 갖게 된 등록 데이터 정책은 그 리댁션을 영구 합의 정책으로 못 박았다 — 출하된 날은 잠그고, 빠진 날은 빠진 채로.
그러니 누군가 WHOIS 프라이버시가 무조건적 승리라고 말하면, 그는 두 날을 갖도록 설계된 검의 한쪽 날만 묘사하는 것이다. 프라이버시는 진짜고 나는 그걸 옹호하겠다. 하지만 “양날”은 프라이버시가 나쁘다는 경고였던 적이 없다 — 그건 자르는 날과 가드를 갖도록 만들어진 도구에서, 자르는 날만 끝내 붙은 상태에 대한 묘사다. 우리는 법이 시켜서 일주일 만에 세계의 등록 데이터를 가렸다. 책임 있는 되돌아오는 길을 짓기로 되어 있었다. 우리는 비용을 추산했고, 움찔했고, 짓지 않았다. 검은 멀쩡히 작동한다. 없는 건 손잡이다.