OSINT 도구 모음

여기서 직접 실행되는 도구는 없습니다. 모두 외부 서비스이며, 각 카드를 누르면 해당 서비스 사이트가 열립니다. 저는 먼저 제 도메인에 이 도구들을 사용합니다. 그렇게 해서 제 서브도메인 두 개가 어떤 공개 등록부에도 나오지 않는데, 제가 직접 올린 페이지 하나가 그것들을 드러내고 있었다는 사실을 발견했습니다.

• crt.sh (새 탭에서 외부 사이트가 열림)

  인증서 투명성 로그입니다. 인증 기관이 서명한 서브도메인을 보여 줍니다. 숨겨져 있다고 생각한 것까지도요.

  crt.sh ↗

• Shodan (새 탭에서 외부 사이트가 열림)

  인터넷에 노출된 기기를 찾는 검색 엔진입니다. 여기서 찾을 수 있는 정보는 이미 공개된 것이니, 먼저 알아 두는 편이 낫습니다.

  shodan.io ↗

• Have I Been Pwned (새 탭에서 외부 사이트가 열림)

  이메일 주소나 도메인별로 알려진 데이터 유출을 확인합니다. 비밀번호를 바꾸기 전에 가장 먼저 볼 곳입니다.

  haveibeenpwned.com ↗

• Wayback Machine (새 탭에서 외부 사이트가 열림)

  웹 아카이브입니다. 수정하기 전에 페이지에 무엇이 쓰여 있었는지 여전히 볼 수 있습니다. 정보를 지운다고 사라지는 것은 아닙니다.

  web.archive.org ↗

• Hardenize (새 탭에서 외부 사이트가 열림)

  도메인의 TLS, DNS, 보안 헤더 설정을 항목별로 점수화합니다. 보안 강화를 짐작하지 않고 확인할 때 유용합니다.

  hardenize.com ↗

• Mozilla Observatory (새 탭에서 외부 사이트가 열림)

  HTTP 보안 헤더를 감사하고, 감점된 항목마다 이유를 알려 줍니다. 자체 점검을 보완하기에 좋습니다.

  developer.mozilla.org ↗

• OsirisAI Live (새 탭에서 외부 사이트가 열림)

  항공·해상 교통, 위성, 해저 케이블, 공개 CCTV, 전 세계 사건을 한 지도에 실시간으로 모아 보여 줍니다. 사건을 보도하는 출처를 찾기 전에 위치부터 파악할 때 유용합니다.

  osirisai.live ↗

직접 만든 도구가 여기에 없는 이유

만들 계획은 있었습니다. 이 서비스들이 수작업으로 하는 일, 즉 공개된 출처에서 한 사람에 대해 찾을 수 있는 정보를 모으는 일을 자동화하려는 생각이었습니다. 기술적으로는 넘지 못할 벽이 없었습니다. 그런데 이 계획을 접게 만든 건 위험 분석이었고, 예상하지 못한 지점에서였습니다.

가장 큰 위험은 기술이 아니라 법이었습니다. 정보 주체가 아닌 다른 곳에서 개인정보를 수집하면 GDPR 제14조가 적용됩니다. 어떤 데이터를, 왜, 어떤 법적 근거로, 얼마 동안 보관하는지 당사자에게 알려야 합니다. 공개 출처에서 찾은 모르는 사람들에게 이 의무는 지키기 어려운 정도가 아니라 불가능합니다. 그리고 과도한 노력이 필요한 경우의 예외 조항도, 바로 그 일이 존재 이유인 도구에는 적용되지 않습니다.

그래서 그 형태의 프로젝트는 접었고, 제3자의 개인정보 없이 다시 시작했습니다. 같은 기법을 제 자신의 노출 범위에 적용한 것입니다. 정보 주체가 바로 저이므로 제14조는 적용되지 않고, 도구는 실제로 쓸모가 있습니다. 그렇게 해서 옵저버토리와 이 페이지가 생겼습니다.

실현 가능성이 아니라 컴플라이언스 때문에 멈춘 유일한 프로젝트이고, 제가 가장 즐겨 이야기하는 프로젝트이기도 합니다. 무언가를 만들 줄 알면서도 만들지 않기로 결정하는 것 역시 하나의 역량이기 때문입니다.

이 결정에 이른 분석은 공개되어 있습니다. 위험 분석과 GDPR 처리 기록부를 참고하세요(프랑스어). EBIOS RM · GDPR

중요한 것은 이 도구들을 아는 것이 아니라, 먼저 자신에게 써 보는 것입니다. 제가 모르는 사이에 노출한 서비스는 이미 이 중 어딘가에 올라 있습니다.