[논문 리뷰] Dead Letters to Alice - Reachability of E-Mail Addresses in the PGP Web of Trust

Benjamin Leiding, Andreas Dähn|arXiv (Cornell University)|2016. 05. 10.

Service-Oriented Architecture and Web Services인용 수 4

한 줄 요약

이 연구는 PGP 웹 오브 트러스트에 연결된 400만 개의 이메일 주소의 기술적 도달 가능성에 대해 평가하며, 그 중 40%가 도달 불가능한 것으로 밝혀졌다. DNS MX 레코드 분석과 SMTP 검증을 통해, 도달 가능한 주소의 46.77%가 구글, 유니티드 인터넷, 마이크로소프트의 세 기업에 소속되어 있음을 확인했으며, 이는 PGP 신뢰 인프라의 체계적 취약성과 중심화를 드러낸다.

ABSTRACT

Over the last 25 years four million e-mail addresses have accumulated in the PGP web of trust. In a study each of them was tested for vitality with the result of 40% being unreachable. Of the mailboxes proven to be reachable, 46.77% turn out to be operated by one of three organizations. In this article, the authors share their results and challenges during the study.

연구 동기 및 목표

• PGP 웹 오브 트러스트에 연결된 공개 키와 관련된 이메일 주소의 기술적 도달 가능성 평가
• PGP 웹 오브 트러스트 내 이메일 주소가 얼마나 기능하고 접근 가능한지 조사
• 도달 불가능한 이메일 주소가 기존 PGP 신뢰 지표와 전체 신뢰 모델에 미치는 영향 평가
• 활성 PGP 관련 계정을 다수 보유한 주요 이메일 서비스 제공업체 규명

제안 방법

• 공개 키 데이터와 관련된 이메일 주소를 추출하기 위해 PGP 키링 서버를 복제
• 구문적 정확성 검사를 통과하고 중복 및 明백히 잘못된 주소 제거
• 각 이메일 도메인의 DNS MX 레코드를 확인하여 메일 교환 서버 식별
• MX 서버와의 SMTP 연결 尝시 및 검증을 통해 도달 가능성 테스트
• MX 서버가 주소 검증을 지원하는지 확인하기 위한 검증 절차 적용
• 제공업체별로 결과를 분류하고 주요 이메일 서비스 간 분포 분석

실험 결과

연구 질문

• RQ1 PGP 웹 오브 트러스트 내 이메일 주소 중 기술적으로 도달 불가능한 비율은 얼마인가?
• RQ2 도달 가능한 이메일 주소 중 얼마나 많은 비율이 소수의 주요 이메일 제공업체에 의해 호스팅되는가?
• RQ3 이메일 주소의 도달 가능성은 기존 PGP 신뢰 지표의 타당성에 얼마나 큰 영향을 미치는가?
• RQ4 중심화된 이메일 호스팅은 PGP 웹 오브 트러스트의 프라이버시와 신뢰성에 어떤 영향을 미치는가?

주요 결과

• PGP 웹 오브 트러스트 내 400만 개 이메일 주소 중 40%가 기술적으로 도달 불가능한 것으로 확인됨.
• 도달 가능한 주소의 60% 중 46.77%가 구글, 유니티드 인터넷, 마이크로소프트의 세 기업에 의해 호스팅됨.
• 구글은 단독으로 PGP 웹 오브 트러스트 내 전체 이메일 주소의 19.31%를 차지하며, 확인된 도달 가능한 주소가 343,415개임.
• 유니티드 인터넷과 마이크로소프트는 각각 전체 주소의 6.82%와 5.75%를 차지하며, 도달 가능한 주소는 각각 115,479개와 57,360개임.
• 상위 100개 메일 교환 도메인이 도달 가능한 주소의 다수를 차지했으며, 특히 구글, Gmail, 핫메일이 두각을 나타냄.
• 연구는 글로벌 관찰자가 주요 이메일 플랫폼에서 암호화되지 않은 이메일 저장 방식을 통해 PGP 키 사용 패턴을 유추할 수 있는 심각한 메타데이터 泄露 위험을 지적함.