2023년 3월 변재일 의원 대표발의 정보통신망법 개정안

누누티비 방지법, CDN 검열법 등으로 통칭되는 2023년 3월 변재일 의원 대표발의 정보통신망법 개정안은 친이재명으로 분류되는 변재일 의원이 2023년 3월 21일 대표발의한 정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안을 말한다. 해당 법안은 2023년 9월 21일 대안반영폐기되었고, 이 발의안이 반영된 대안이 2023년 12월에 본회의에 통과되었으며, 2024년 1월 16일에 국무회의에서 의결되었다.

발의자

발의자는 다음과 같으며, 적지 않은 수가 친명 내지 범친명에 속한다. 전술했듯 대표발의자 변재일은 논란의 여지가 없이 친명으로 분류된다. 참고로 발의자는 당적은 발의 당시 기준이며, 아래의 발의자 중에서 2024년 1월 18일 기준 새로운미래, 미래대연합, 개혁신당 등에 합류한 사람은 한명도 없다.

• 변재일(더불어민주당/卞在一)
• 고민정(더불어민주당/高旼廷)
• 민병덕(더불어민주당/閔炳德)
• 용혜인(기본소득당/龍慧仁)
• 윤미향(무소속/尹美香)
• 윤영찬(더불어민주당/尹永燦)
• 이인영(더불어민주당/李仁榮)
• 임호선(더불어민주당/林昊宣)
• 정필모(더불어민주당/鄭必模)
• 최강욱(더불어민주당/崔康旭)^친명

비판

문제가 많은 법안으로 검토보고서에서 조차 문제점이 지적되었다. 이해를 못하는 사람을 위해 요약하자면 누누티비를 막자고 만든 법이 누누티비는 막지 못하고 합법적인 서비스(특히 외국 서비스)의 속도를 느리게 할 수 있고 정상적인 사이트의 CDN 요금 부담을 올릴 수 있다는 이야기이다.

엉터리 발의 취지(해당 법안으로 우회 접속을 막을 수 없음)

현행법은 누구든지 정보통신망을 통하여 불법정보를 유통하는 것을 금지하고 불법정보가 유통된 경우 방송통신심의위원회가 정보통신서비스 제공자에게 접속차단 조치 등을 요구할 수 있도록 규정하고 있음.

그러나 불법정보가 유통되는 인터넷사이트 등에 대한 접속차단 조치가 이루어지더라도 사용자가 국내 정보통신서비스 제공자가 설치·운영하는 데이터 임시저장 서버를 활용하는 경우 해당 불법정보에 우회하여 접근할 수 있다는 제도적 맹점이 지적되고 있음.

이에 국내에 데이터를 임시저장하는 서버를 설치·운영하는 일정 규모 이상의 정보통신서비스 제공자로 하여금 불법정보의 유통을 효과적으로 차단할 수 있도록 대통령령으로 정하는 바에 따른 기술적 조치를 하도록 하려는 것임(안 제44조의7제5항 및 제76조제3항4호의2 신설 등).

— 제안이유 및 주요내용,

이 법안의 발의 취지는 주로 리버스 프록시로 분류되는 CDN을 겨냥한다. 그러나 CDN은 포워드 프록시가 아닌 리버스 프록시로 후술한 ECH를 적용하지 않는 이상 접속차단 우회에 전혀 활용이 불가능하며, 당연히 ECH 지원 CDN을 사용한다고 해서 접속차단 우회가 전혀 불가능하다. 게다가 포워드 프록시에 대한 규제는 해당 법이 발의되지 않았는데도 한국 IP에서 구글 웹 번역이 막히는 등 관련 규제가 충분히 이루어 지고 있었다.

변재일 의원 등이 CDN을 겨냥한건 아마 클라우드플레어의 ESNI/ECH 기술로 추정이 되는데 ECH 기술은 CDN에서만 쓸 수 있는 기술이 아닌 본 서버에서도 충분히 쓸 수 있는 기술이다. 이미 ECH 기능을 추가한 변종 Nginx와 변종 OpenSSL가 나온 상태이고, 이를 이용해서 ECH를 적용하는 방법이 적힌 문서도 나왔다. 아예 CDN을 쓰지 않도 ECH를 구현한 사이트도 나온 상태이다.

참고로 클라우드플레어는 누누티비 폐쇄 직후에 사용자가 ECH를 사용할 수 있는 옵션을 추가했고 그 이전 시점에는 사용자가 원한다고 ECH 적용이 불가능했었다. ECH는 현재 비표준이기 때문에 클라우드플레어 이외의 CDN은 ECH를 전혀 지원하지 않으며, 아카마이, 에지오(구. 라임리아트) 등 또한 ECH 등을 지원하지 않는다.

누누티비를 방지 하지 못하는 법

정작 이 법은 누누티비와 동일한 수법을 사용하는 사이트를 제재하지 못한다. 누누티비가 썼던 차단 회피 기법은 도메인이 차단되기 전에 선제적으로 도메인을 변경한 다음 예전 도메인은 301 리다이렉트를 거는 고전적인 방법이다. 301 리다이렉트는 영구 리다이렉트인 만큼 사용자가 브라우저 캐시를 삭제하지 않는 이상 영구적으로 저장하며, 당연히 브라우저 캐시를 제거하지 않는 이상 해당 도메인이 차단이 되어도 브라우저는 캐시에 기반하여 새로운 도메인으로 리다이렉트 시킨다. 차단되기 이전에 선제적으로 도메인을 바꾼 다음 예전 도메인에 301 리다이렉트 거는 것을 반복하면 브라우저는 301 리다렉션을 자꾸 영구적으로 캐시하여 유저가 캐시를 삭제하지 않는 이상 차단은 무력화가 되어버린다.

불법 사이트는 해외 CDN을 이용하면 됨

특히 CDN의 경우 특정 국가 이용자에 데이터를 전송하기 위해 반드시 해당 국가에 서버를 두어야 하는 것이 아니라 인근 국가에 서버를 두어 데이터를 전송하는 것도 가능하므로 불법정보를 유통하려는 자는 국외 CDN 서버를 이용함으로써 개정안의 규제를 회피할 수 있을 것으로 생각되며,(후략)

— 해당 법률안에 대한 검토보고서 발췌,

인터넷 사이트는 특정 국가 이용자에 데이터를 전송하기 위해 반드시 해당 국가에 서버를 두어야 하는 것이 아니며, 이는 CDN도 마찬가지이다. 또한, 불법 사이트 입장에서는 국내에 캐시 서버를 두는 것이 불리한데, 국내 서버는 국내의 경찰력이 미치기 때문에 해당 서버의 로그를 들춰서 오리진이 어디인지 알 수 있기 때문이다.

해외 CDN 국내 철수 우려로 인한 피해 우려

특히 CDN의 경우 특정 국가 이용자에 데이터를 전송하기 위해 반드시 해당 국가에 서버를 두어야 하는 것이 아니라 인근 국가에 서버를 두어 데이터를 전송하는 것도 가능하므로 불법정보를 유통하려는 자는 국외 CDN 서버를 이용함으로써 개정안의 규제를 회피할 수 있을 것으로 생각되며, 국내에 서버를 설치한 국외 사업자의 경우 개정안에 따른 수범자에 해당됨에도 불구하고 실질적인 규제가 어려움을 고려할 때, 국내 사업자와 국외 사업자의 형평성 문제 및 국외 사업자의 국내 서버 철수에 따른 이용자 불편 문제와 같은 부담에 비해 규제의 실익이 적을 수 있다는 점을 감안할 필요가 있어 보임.

— 해당 법률안에 대한 검토보고서 발췌,

해외 특히 미국의 CDN 업체는 이러한 규제를 검열로 읽힐 가능성이 크며 이에 반발하여 국내 PoP를 철수할 수 있으며, 이로 인해 해외 상용 CDN을 사용하는 뉴욕타임즈 등의 접속속도가 느려져서 해외 사이트의 이용하는 이용자의 불편 문제가 예상이 되며, 뉴욕타임즈가 쓰고 있는 패스틀리는 일본 PoP가 존재하기 때문에 이 법으로 인해 한국에서의 뉴욕타임즈 접속 속도가 일본보다도 느려질 수 있다. 또한 국내 PoP를 철수하지 않아도 후술하다시피 해당 부담을 CP한테 전가하여 해당 CDN의 고객인 CP는 한국 PoP를 비활성화 할 수 있다.

이중규제 및 국내 CP 부담 우려

해당 법안은 정보통신서비스 제공자를 규제 대상으로 적용하고 있으며, 12월에 통과된 대안 또한 시행령으로 모든 정보통신서비스 제공자를 규정에 두고 있다. 국내 CP는 상용 CDN을 쓰는 경우도 있지만 자체적으로 캐시 프록시 서버를 쓰는 경우가 많고 캐싱 프록시를 전혀 쓰지 않다라도 캐싱 기술을 쓰고 있는 경우가 꽤 있는데 CDN과 거리가 뭔 기술인 memcached 등이 임시저장 서버로 해석될 여지가 있다. 이 때문에 모든 CP가 규제의 대상이 될 여지가 있으며, 당연히 저작권법 기술적 조치 등의 규제를 받고 있는 CP 입장에서는 이중규제가 되어버릴 가능성이 높다.

또한 CDN 업체는 이 규제에 대한 부담을 CP한테 전가해 국내 CP에 대한 부담을 높일 수도 있다. 실제로 많은 CDN 업체들은(특히 외국계 기업)은 한국의 비싼 망사용료를 고객 즉 CP한테 전가하고 있다.

연대책임

현재 국내 접속차단을 우회할 수 있는 기술을 제공하는 CDN 업체는 클라우드플레어로 ECH는 표준 기술이 아니기 때문에 아카마이, 에지오(구. 라임라이트, 에지캐스트), 아마존 클라우드프론트 등 어떠한 CDN 업체도 접속차단을 우회할 수 있는 ECH를 제공하지 않는다. 그럼에도 불구하고 ECH 기술을 제공하지 않는 CDN 업체 더 나아가 국내 IT 업계한테 연대책임을 씌워버렸다.

친명계 대표발의자와 범친명계 발의자는 이재명한테는 대선 패배에 대한 책임을 묻지 않음

대표발의자 변재일은 이러한 연대책임을 씌우는 법안을 발의했음에도 불구하고 20대 대선에서 패배 책임이 가장 크다고 여겨지는 사람인 이재명한테는 대선 패배에 대한 어떠한 책임도 묻고 있지 않고 있다. 이는 이 법안을 발의한 친명계 의원과 범친명계 의원 또한 마찬가지이며, 이러한 태도는 비판 받아야 마땅하다.

VPN 금지법 가짜뉴스

해당 개정안의 대안이 본회의에 통과되고 정부에 이송되어 2024년 1월에 본회의에 의결되었는데, 이것을 연합뉴스는 엉터리 발의 취지를 취재 없이 그대로 받아적어 "불법 사이트 접속차단 후 우회 접근까지 감시 의무화"로 뽑았다. 이러한 뉴스 헤드라인은 VPN을 금지한다고 해석되었으며, VPN 금지법 가짜뉴스가 디시인사이드 등 인터넷에 유포되었다. 디시인사이드는 이러한 가짜뉴스를 조회수가 많이 나올법 하다는 이유로 실시간 베스트에 올리면서 이러한 가짜뉴스 유포에 일조하고 있다. 그러나 해당 법안은 임시저장 서버를 규정하고 있고 그것도 한국 소재의 서버로 한정이 되기 때문에 임시저장 서버 기능조차 없는 VPN은 규제 대상이 아니다.

물론 이 개정안 또한 전술했듯 문제가 많은 개정안이지만, VPN 금지법 가짜뉴스를 유포하는 것은 이 법의 문제점에 대한 건전한 논의를 방해하기 때문에 자제해야 할 것이다.