일렉트로닉 프론티어 재단(Electronic Frontier Foundation, EFF)은 '디지털 세계에서 시민의 자유를 지킨다'는 사명을 내걸고 활동하는 비영리 단체입니다. MakeUseOf 역시 이들의 활동을 높이 평가해 왔으며, 영장 카나리아(warrant canary)에 대한 설명을 비롯한 여러 기사에서 EFF의 자료를 인용했습니다.
EFF는 네트워크 중립성이나 온라인 불법 복제 방지 법안(SOPA) 같은 이슈에 대해 적극적으로 캠페인을 벌이는 동시에, 어떤 기업들이 온라인상의 시민 자유를 지원하는지에 대한 정보도 꾸준히 공개합니다.
EFF가 관리하는 프로젝트 중 하나가 바로 '보안 메시징 스코어카드(Secure Messaging Scorecard)'입니다. EFF의 설명에 따르면:
"보안 메시징 스코어카드는 수십 가지 메시징 기술을 검토해 각각을 보안 모범 사례 기준으로 평가합니다. 저희 캠페인은 채팅 클라이언트, 문자 메시지 앱, 이메일 애플리케이션, 화상 통화 기술 등 커뮤니케이션 기술에 초점을 맞추고 있습니다. 이러한 도구들은 일상 사용자가 친구, 가족, 동료와 소통할 때 반드시 필요한 것이며, 그만큼 안전한 솔루션이 절실합니다."
보안 메신저 앱의 조건이란?
보안 메시징 스코어카드는 다양한 통신 앱을 일곱 가지 기준으로 평가합니다.
- 메시지가 통신의 모든 단계에서 암호화되는가?
- 암호화가 종단간(end-to-end) 방식으로 이루어져 메신저 회사조차 사용자의 대화에 접근할 수 없는가?
- 메시지를 주고받는 상대방의 신원을 확인할 수 있는가?
- 암호화 키가 도난당했을 경우에도 과거 대화 내용은 안전하게 보호되는가?
- 앱의 코드를 독립적으로 검토할 수 있도록 공개하고 있는가?
- 암호학적 설계와 구현 방식이 문서화되어 있고 검토 가능한가?
- 최근 1년 이내에 코드와 구현이 독립적인 감사를 받았는가?
이 기준들만으로 앱의 보안성이 100% 보장되는 것은 아니지만, 상대적으로 더 안전한 앱을 가려내는 데 큰 도움이 됩니다. 특히 앞의 네 가지 기준 중 하나라도 충족하지 못한다면, 그 앱은 어느 정도 불안전하다고 판단해야 합니다.
인기 있는 앱일수록 불안전할 수 있다
스코어카드의 결과는 다소 충격적입니다. 블랙베리 메신저(BBM), 페이스북 채팅, iMessage, 스카이프, 스냅챗, 바이버, WhatsApp 등 가장 인기 있는 통신 앱 가운데 두 개 이상의 항목을 통과한 앱은 iMessage뿐이었습니다.
더욱 우려스러운 점은, 애플을 제외한 나머지 모든 운영사가 사용자의 메시지를 복호화해 읽을 수 있다는 사실입니다. PRISM과 같은 정부 감시 프로그램을 통해 정부 기관이 사용자가 주고받은 모든 메시지에 접근할 가능성도 배제할 수 없습니다.
아마 들어본 적 없을 보안 통신 앱들
다행히도 진정으로 안전한 앱들도 존재합니다. ChatSecure, Silent Circle의 Silent Phone과 Silent Text, WhisperSystems의 Signal, RedPhone, TextSecure가 EFF 스코어카드에서 만점을 받았습니다.
ChatSecure
ChatSecure는 iOS와 Android에서 무료로 사용할 수 있는 앱으로, XMPP, OTR, Tor처럼 검증된 오픈소스 암호화 라이브러리를 활용해 메시지의 프라이버시를 지켜줍니다. ChatSecure 사용자끼리뿐 아니라 동일한 프로토콜을 지원하는 다른 앱 사용자와도 소통할 수 있습니다.
앱은 iTunes 또는 Google Play 스토어에서 내려받을 수 있습니다.
Silent Circle
Silent Circle은 EFF 스코어카드에서 만점을 받은 두 앱, 즉 Silent Phone과 Silent Text를 묶은 구독 서비스를 제공합니다. 두 앱 모두 iOS와 Android에서 이용할 수 있습니다. Silent Phone은 암호화된 음성, 화상, 화상회의 통화를 지원하는데, 쉽게 말해 '보안 강화판 스카이프'라고 생각하면 됩니다.
심지어 Silent Phone을 사용하지 않는 상대에게도 전화를 걸 수 있으며, 이 경우에도 통화가 암호화됩니다. Silent Text는 대부분의 메신저 앱을 대체할 수 있는 보안 메시징 앱으로, 기능 면에서 WhatsApp이나 페이스북 채팅과 상당히 유사합니다.
Silent Circle은 출장 중에도 보안이 필요한 비즈니스맨을 주요 고객층으로 삼습니다. 요금제는 월 12.99달러부터 시작하며, Silent Circle 회원 간에는 Silent Phone과 Silent Text를 통해 무제한으로 소통할 수 있습니다. 요금제 간 차이는 Silent Phone으로 비회원에게 보안 통화를 걸 때 사용할 수 있는 월별 통화 시간입니다.
요금제 가입은 Silent Circle 공식 웹사이트에서 할 수 있습니다.
WhisperSystems
Silent Circle처럼 WhisperSystems 역시 여러 보안 앱을 선보이고 있습니다. Android용으로는 RedPhone과 TextSecure가, iOS용으로는 Signal이 있습니다.
RedPhone은 휴대폰의 기본 전화 앱과 연동됩니다. RedPhone을 설치한 친구에게 전화를 걸면 일반 통화 대신 암호화 통화를 선택할 수 있습니다. TextSecure 역시 Android 폰과 완전히 통합되어 기본 문자 메시지 앱을 대체합니다. 다른 TextSecure 사용자에게 메시지를 보내면 데이터가 자동으로 암호화됩니다.
iOS용 앱인 Signal은 운영체제와의 통합 수준은 조금 낮지만, RedPhone과 같은 방식으로 작동하는 독립형 앱입니다. Signal에서 RedPhone 사용자에게 전화를 거는 것도 가능하며, TextSecure 방식의 메시징 지원도 개발 중입니다.
RedPhone과 TextSecure는 Google Play 스토어에서, Signal은 iOS App Store에서 내려받을 수 있습니다.
개인 정보 보호는 나의 책임
온라인상의 프라이버시 위협은 헤아릴 수 없이 많습니다. 해커부터 정부 기관까지, 심지어 온라인 프라이버시 관련 키워드를 검색하는 것만으로도 NSA 감시 목록에 오를 수 있다는 이야기도 있습니다.
이 글에서 소개한 모든 앱은 제3자가 사용자의 통신을 가로채기 최대한 어렵게 만듭니다. 메시지를 함부로 엿보거나 읽히고 싶지 않은 마음은 특정 직업군만이 아닌 모두의 당연한 바람입니다.
혹시 이 외에 더 알려진 보안 앱이 있거나, 보안 메시징 스코어카드의 결과에 놀랐다면 댓글로 의견을 나눠주세요.