제재 준수 조치가 인터넷 접속을 막을 수 있다

제재가 인터넷을 망가뜨리기 시작할 때

2026년 10월 22일

임아드 파얀데(Imad Payande)는 Governance Lab의 인터넷 거버넌스 연구자이자 Data for Governance Lab의 디지털 거버넌스 연구자다.

이란에서 LinkedIn 링크를 열려다 이상한 일을 겪었다. LinkedIn 자체에는 접속할 수 있었지만, 단축된 LinkedIn URL은 열리지 않았다. 이란 IP 주소에서 lnkd.in은 TLS 1.3 핸드셰이크를 완료하고 유효한 인증서를 제시해 LinkedIn 인프라에 도달했지만, 이후 HTTP/2 403 Forbidden 응답을 반환했다.

같은 URL을 이란 밖의 IP 주소에서 열면 HTTP/2 301 리디렉션이 반환돼 의도한 LinkedIn 페이지로 연결됐고, 페이지는 HTTP/2 200 응답으로 로드됐다(응답 화면).

차이는 DNS 조회나 TCP 연결, TLS 협상에 있지 않았다. 요청은 LinkedIn 인프라에 정상적으로 도달했다. 달라진 것은 도착한 뒤 요청이 처리되는 방식이었다. 응답은 접속한 IP 주소, 그리고 그 주소의 지리적 분류에 따라 달라진 것으로 보인다. 이 관찰만으로 제재가 LinkedIn의 결정을 초래했다고 단정할 수는 없다. 하지만 이 기술적 이상 현상은 더 넓은 질문을 던진다. 제재 준수가 사람들이 인터넷에 접속하는 인프라에 반영되면 어떤 일이 벌어지는가?

웹사이트는 존재하지만 사용자에게는 사라진다

제재는 보통 은행, 석유 수출, 무역, 금융 거래의 문제로 다뤄진다. 그러나 제재의 영향은 디지털 기반 시설 깊숙이 미칠 수 있다. 클라우드 인프라, 콘텐츠 전송 네트워크, 인증 시스템, 소프트웨어 배포, IP 기반 접근 제어뿐 아니라 브라우저가 웹사이트를 신뢰하도록 하는 공개키 기반 구조도 영향을 받을 수 있다.

인증서 폐기를 생각해보자. 서버는 계속 작동하고 도메인은 DNS를 통해 계속 조회될 수 있으며 네트워크 경로도 열려 있을 수 있다. 하지만 신뢰할 수 있는 인증서가 폐기되면 암호화된 신뢰 체인을 만들 수 없어 브라우저가 연결을 거부할 수 있다. 웹사이트는 존재하지만 사용자에게는 사실상 사라진 셈이다.

다만 모든 인증서 오류가 제재와 관련된 것은 아니다. 인증 기관은 기술적·보안상·규정 준수상의 여러 이유로 인증서를 폐기한다. 예를 들어 최근 업계 전반의 인증서 폐기 사례는 지정학적 제한이 아니라 CA/Browser Forum의 검증 요건을 충족하지 못한 데서 비롯됐다.

법적 위험을 피하려는 과잉 준수

제재 환경에서는 민간 인프라 제공업체가 금지된 사항뿐 아니라 법적·상업적 위험을 초래할 수 있는 사항도 따져야 한다. 이란의 경우 미국 제재 규정은 특정 클라우드 서비스와 통신 지원 소프트웨어를 포함해 다양한 인터넷 통신 서비스를 명시적으로 허용한다. 정해진 조건 아래 SSL 인증서 발급과 검증에 관한 소프트웨어도 그 범위에 포함된다.

그런 허가가 있다고 해서 모든 업체가 모든 이란 사용자, 기관, 네트워크에 서비스를 제공하는 것을 편하게 여긴다는 뜻은 아니다. 업체는 자체적인 위험 관리 체계에 따라 규정 준수 결정을 내리며, 그 결과 법이 요구하는 최소한의 제한보다 더 넓은 제약이 생길 수 있다.

이런 ‘과잉 준수’는 기술적으로 중요한 결과를 낳는다. 업체는 국가 전체를 차단하지 않고도 특정 IP 주소를 분류하거나, 특정 자율 시스템(AS)을 제한하거나, 계정을 거부하거나, 인증서 요청을 거절하거나, 라우팅을 바꾸거나, 다른 HTTP 응답을 반환할 수 있다. 각각의 결정은 제한적이고 기술적으로 타당해 보일 수 있다. 하지만 이런 결정이 모이면 한 사회 전체가 세계 인터넷을 경험하는 방식이 달라질 수 있다.

사용자는 결정 뒤에 있는 제재 검토 과정을 보지 못한다. 눈에 들어오는 것은 403 응답뿐이다. 인증서 발급 거부에 앞선 규정 준수 검토도 보이지 않는다. 대신 브라우저 경고를 마주한다. 이 지점에서 제재 정책은 인터넷 구조와 맞닿는다.

이란은 국내 필터링과 네트워크 통제를 통해 이미 다른 형태의 인터넷 제한을 겪고 있다. Internet Society의 연구는 국내 제한과 국제 제재가 함께 이란의 연결 품질 저하, 비용 증가, 인터넷 서비스와 기술에 대한 접근 감소에 영향을 미쳤다고 기록했다. 이 연구는 국내 검열, 국제 제재, 지역 차단, 일반적인 기술 장애를 구분하기 어렵다는 점도 짚었다.

이런 조치는 정치적·법적으로 서로 다르다. 그러나 사용자에게 가장 중요한 지점, 즉 서비스가 작동하는지 여부에서는 기술적 결과가 같아질 수 있다.

인터넷 분절화 위험

Internet Society는 제재가 일반인의 인터넷 서비스 접근을 의도치 않게 차단할 수 있으며, 핵심 인터넷 인프라에 영향을 미치는 조치가 세계 네트워크의 지정학적 분절을 부추길 수 있다고 경고해왔다.

이란에서는 기술 주권을 강화해야 한다는 주장이 점점 더 힘을 얻고 있다. 외국 업체가 인증서나 클라우드 서비스, 다른 인프라 제공을 중단할 수 있다면 국내 시스템이나 비서구권 대체 공급자를 개발해야 한다는 것이다. 하지만 주권 강화에는 역설도 있다. 국내 인증 기관이나 비서구권 인증 기관은 이란 내부 인프라에 대한 통제력을 높일 수 있다. 그러나 주요 브라우저와 운영체제가 그 기관의 루트 인증서를 전 세계적으로 신뢰하지 않는다면 공개 인터넷의 신뢰 체계를 그대로 재현할 수는 없다. 인프라 자율성이 커져도 기술적 분리가 심해질 수 있다.

따라서 정책 논의는 제재가 효과적이거나 정당한지를 따지는 데서 더 나아가야 한다. 제재와 규정 준수 결정이 인터넷의 기술적 계층에 들어갈 때 어떻게 작동하는지도 물어야 한다. 제재 대상 기관에 대한 법적 제한은 어느 시점부터 전체 인구에 영향을 미치는 기술적 제한으로 바뀌는가? 그 경계를 넘었을 때 발생하는 연결성 상실에 누가 책임을 져야 하는가?

임아드 파얀데는 Data for Governance Lab의 디지털 거버넌스 연구자다. 이 블로그 글에 담긴 견해는 글쓴이의 것이며 Internet Society의 견해와 반드시 일치하지는 않는다.