서버 부터 사이트 내부까지 완전히 익명으로 운영할 생각입니다.
정확히는 별명,id,pw만 저장하고 ip주소등을 암호화 시킬 생각인데.
경찰이나 사법기관에서 개인정보 요구를 하였을때 제공할게 별명,id,pw밖에 없다면 문제가 될까요?
-
Lv30 없는 정보를 달라고 하지도 않고 상관 없습니다.
압수수색이던 협조요청이던 있는 정보에서 확인이 가능 것을 확인하려는 것이지 없거나 부정확한 정보가 저장된 것을 뭐라고 할 수 없죠.
서버에 억세스 로그에 아이피 기록이 남을 겁니다. 그런데 경찰님들을 위해 로그를 무한정 저장해서 보관하다가 여기 있습니다. 라고 줘야 할까요?
저장기간이 지나서 없어진건 경찰이 아쉬울 뿐인거죠.
블랙박스,CCTV 데이터도 사양에 따라서 오래된 데이터는 없어지고 새로운 데이터가 기록되잖아요.
리버스 프록시를 사용하는 경우 아예 ip 자체가 수집이 안되는 경우도 흔합니다. 클라우드 플레어 서비스를 이용하면서 클라이언트 아이피 확인하는 것을 제대로 구현하지 못했다면 클라우드플레어 아이피가 기록되어 버리죠.
여기서 경찰님들이 왜 클라우드플레어 아이피를 실제 방문자 PC 아이피를 확인해서 서버에 기록하도록 하는 것을 개발해서 적용하지 않았습니까?? 라고 이야기 할 수 없잖아요? -
?
가능한 그냥 협조하는게 좋아요. 수사를 위한거니까.
-
Lv24 영장 발부되었을때 보통 협조해드리면 되고, 그 외 서버 개인정보를 지키는 것이 좋을 수 있습니다.
운영하시는데 마다 다 다른데.. 보통 유저간의 신뢰를 바탕으로 이용자들을 모집하시는 경우라면 특별한 경우 제외하고 보통은 개인정보를 넘겨주는 일이 없도록 관리하는편이 낫지요. -
Lv37 있는데 없다고 하거나, 있는 것을 일부러 삭제하면 큰일납니다. 그러나 원래부터 없는데 왜 없냐고 책임을 묻지는 않습니다.
단, DB에 기록하지 않더라도 서버상의 어딘가에 흔적이 남아 있을 수도 있는데, 몰라서 없다고 했다가 나중에 있다는 게 들통난다면 난감할 수도 있겠네요. TV에 나오는 경찰이 괜히 서버를 통째로 뽑아서 가져가는 게 아닙니다. 운영자도 모르는 각종 로그기록이 많습니다. -
Lv4
Lv37 logrotate를 사용해서 로그가 자동으로 정리되도록 하는 것은 일반적인 서버에서도 꼭 필요한 일이고, 리눅스에 기본으로 설치되어 있으니 보존 주기만 적당히 바꿔주시면 됩니다. (예: daily rotate 7 = 매일 로그파일 교체, 하루 이상 지난 로그는 압축하여 디스크 공간 절약, 7일 이상 지나면 자동 삭제)
그 밖의 스크립트나 크론탭 등을 사용하여 정기적 또는 수동으로 삭제하는 것은 비추입니다. 잊어버릴 수도 있고, 공교롭게 타이밍이 어긋나서 오해를 받을 수도 있으니까요. 무엇이든 오랜 기간 검증된 시스템 유틸리티에 의해 자동으로 처리되도록 하는 것이 좋습니다. -
Lv9 IP 암호화는 의미 없습니다. 단방향 암호화 하면 서버측에서도 알아내기 귀찮아지고, 복호화 가능하게 하면, 서버 압수수색할때 복호화 알고리즘도 공개되는 것이니까요. 설사 단방향 암호화하고 잊어버린다 쳐도, 숫자로 된 것 brute force로 푸는데는 몇분이면 충분할테구요. 그냥 저장 안하는 방법밖에는 없습니다.
그리고, "난 가진게 이것 뿐이다"하고 나몰라라 하면 그만이겠지만, 만약 불법적인 자료가 올라와서 피해자가 생길 경우, 그럴줄 알면서도(익명을 악용한 불법자료 유통) 그런 장소를 제공한 것으로 걸고 넘어질수도 있습니다. 또한, 삭제 요구가 오면 지체없이 원칙에 따라 처리하는지도 중요합니다. 관리자가 바쁘다는 이유로 늦장 대체하는 것도 문제가 되죠.
익명을 이용해서 불법자료 올리는 사람들이 넘쳐나면, 관리자가 관리할수 없는 한계까지 갈테고, 그러면 또한 문제가 되겠죠. 만약 그런 사람들 숫자가 없다면, 그 사이트가 인기가 없다는 뜻도 되니까, 이 또한 문제가 되겠죠(인기없는 사이트 운영하는 것도 재미는 없을테니). 인기 있어도 문제, 없어도 문제...
가진게 그것뿐인데 뭐 어떻게 하겠습니까...
참고로
https://blog.naver.com/PostView.naver?blogId=n_privacy&logNo=80169452416&redirect=Dlog&widgetTypeCall=true&directAccess=false
이걸 참고하세요. 저도 몰랐는데 어느정도 규모있는 (하루 10만명 이상 방문자) 커뮤니티에서 실명확인을 무조건 하도록 강제하던 법률도 위헌으로 2019년에 사라졌다고 하네요. 아마 지금 법으로는 구지 실명확인을 강제하는건 게임쪽뿐인 것 같습니다. 아마 게임쪽도 셧다운제가 사라지면 더이상 실명확인을 법으로 강제하는건 없어지겠죠.