데비안(Debian)은 가장 인기 있는 리눅스 배포판 중 하나입니다. 견고하고 안정적이며, Arch나 Gentoo에 비해 초보자도 비교적 쉽게 접근할 수 있습니다. 우분투(Ubuntu)는 데비안을 기반으로 만들어졌고, 라즈베리 파이(Raspberry Pi)를 구동하는 데에도 널리 사용됩니다.
그런데 위키리크스(WikiLeaks) 창시자 줄리안 어산지(Julian Assange)에 따르면, 데비안은 미국 정보기관의 손아귀에 넘어간 것으로도 알려져 있습니다.
정말 그럴까요?
어산지는 2014년 월드 호스팅 데이즈(World Hosting Days) 컨퍼런스에서 특정 국가(굳이 이름을 대자면, 콜록, 미국입니다)가 감시망 아래 두기 위해 의도적으로 일부 리눅스 배포판에 취약점을 만들었다고 주장했습니다. 해당 발언 전문은 영상의 20분 지점 이후에서 확인할 수 있습니다.
하지만 어산지의 말이 사실일까요?
데비안과 보안 문제 살펴보기
어산지는 강연에서 수많은 배포판이 의도적으로 파괴되었다고 언급했습니다. 다만 그가 데비안을 구체적으로 지명했으니, 우리도 데비안에 초점을 맞춰볼 만합니다.
지난 10년간 데비안에서는 수많은 취약점이 발견되었습니다. 일부는 시스템 전반에 영향을 미치는 심각한 제로데이(zero-day)급 취약점이었고, 다른 일부는 원격 시스템과의 안전한 통신 능력을 훼손하는 것이었습니다.
어산지가 명시적으로 언급한 유일한 취약점은 2008년에 발견된 데비안의 OpenSSL 난수 생성기 버그입니다.
난수(정확히는 유사난수입니다. 컴퓨터에서 진정한 무작위성을 얻는 것은 극도로 어렵습니다)는 RSA 암호화의 핵심 요소입니다. 난수 생성기가 예측 가능해지면 암호화의 효과는 급격히 떨어지고, 통신 내용 해독이 가능해집니다.
물론 과거 NSA가 상용 등급 암호화를 의도적으로 약화시킨 적이 있습니다. 생성되는 난수의 엔트로피를 줄이는 방식이었죠. 하지만 그건 아주 먼 옛날 일입니다. 당시 미국 정부는 강력한 암호화를 의심스럽게 바라보았고, 심지어 무기 수출 규제법까지 적용했습니다. 사이먼 싱(Simon Singh)의 『코드북(The Code Book)』은 필립 짐머만(Philip Zimmermann)의 PGP 초기 역사와 미국 정부와의 치열한 법적 공방을 중심으로 이 시대를 생생하게 묘사하고 있습니다.
그러나 그것은 오래전 일이며, 2008년의 버그는 악의의 산물이라기보다는 놀라운 기술적 무능함의 결과로 보입니다.
당시 두 줄의 코드가 Valgrind와 Purify 빌드 도구에서 경고 메시지를 발생시킨다는 이유로 데비안의 OpenSSL 패키지에서 삭제되었습니다. 코드를 지우자 경고는 사라졌지만, 데비안의 OpenSSL 구현 무결성은 근본적으로 훼손되고 말았습니다.
핸런의 면도날 원칙(Hanlon's Razor)이 말하듯, 무능함으로 충분히 설명되는 일을 악의로 돌리지 말아야 합니다. 참고로 이 버그는 웹코믹 XKCD에서 풍자되기도 했습니다.
한편 IgnorantGuru 블로그는 하트블리드(Heartbleed) 버그 역시 정보기관이 리눅스 암호화를 의도적으로 약화시키려 한 결과일 수 있다고 추측하기도 했습니다.
하트블리드는 OpenSSL 라이브러리의 보안 취약점으로, 공격자가 취약한 서버의 메모리를 읽어 통신 암호화에 쓰이는 비밀 키를 탈취함으로써 SSL/TLS로 보호되는 정보를 훔칠 수 있었습니다. 당시 온라인 뱅킹과 전자상거래 시스템의 무결성을 위협했으며, 수십만 개의 시스템이 노출되어 거의 모든 리눅스 및 BSD 배포판에 영향을 미쳤습니다.
하지만 정보기관이 그 배후였을 가능성이 얼마나 될지는 확신하기 어렵습니다.
견고한 암호화 알고리즘을 설계하는 것은 극도로 어려운 일이며, 이를 구현하는 것 역시 마찬가지로 어렵습니다. 결국 언젠가는 새로운 알고리즘을 만들거나 구현을 다시 작성해야 할 정도로 심각한 취약점이 발견되는 것은 불가피합니다(OpenSSL에서 흔히 그렇듯이).
바로 그렇기 때문에 암호화 알고리즘은 진화의 길을 걸어왔고, 기존 알고리즘의 결함이 발견되면 새로운 알고리즘이 탄생하는 것입니다.
오픈소스에 대한 정부 개입 의혹의 선례들
물론 정부가 오픈소스 프로젝트에 관심을 갖는 일은 드문 일이 아닙니다. 협박, 침투, 혹은 재정 지원 등을 통해 소프트웨어 프로젝트의 방향이나 기능에 실질적인 영향을 미쳤다는 비난도 종종 제기되어 왔습니다.
야샤 레빈(Yasha Levine)은 가장 존경받는 탐사 저널리스트 중 한 명입니다. 현재 Pando.com에서 활동하고 있으며, 그 이전에는 2008년 푸틴 정부에 의해 폐간된 전설적인 모스크바 격주간지 『디 엑자일(The Exile)』에서 이름을 알렸습니다. 11년의 역사 동안 이 매체는 거칠고 파격적인 콘텐츠만큼이나 레빈과 공동창업자 마크 에임스(Mark Ames, 역시 Pando.com에 집필)의 강렬한 탐사 보도로 유명했습니다.
이러한 탐사 저널리즘 기질은 Pando.com에서도 이어졌습니다. 지난 1년여 동안 레빈은 Tor 프로젝트와 그가 '미군-감시 복합체'라 부르는 세력, 즉 실제로는 미 해군 연구소(ONR)와 국방고등연구계획국(DARPA) 사이의 관계를 조명하는 일련의 기사를 발표했습니다.
Tor(더 어니언 라우터, The Onion Router)는 트래픽을 여러 개의 암호화된 엔드포인트를 거치게 하여 익명화하는 소프트웨어입니다. 덕분에 신원을 노출하거나 현지 검열을 받지 않고 인터넷을 사용할 수 있어, 중국·쿠바·에리트레아 같은 억압적 체제에 사는 사람들에게 특히 유용합니다. 가장 손쉬운 이용 방법 중 하나는 파이어폭스 기반의 Tor 브라우저입니다.
덧붙이자면, 지금 이 글을 읽고 계신 인터넷이라는 매체 자체도 DARPA 투자의 산물입니다. ARPANET이 없었다면 인터넷도 존재하지 않았을 테니까요.
레빈의 요점을 정리하면 이렇습니다. Tor는 운영 자금의 대부분을 미국 정부로부터 받기 때문에 미국 정부와 불가분의 관계이며, 더 이상 독립적으로 운영될 수 없다는 것입니다. 또한 Tor 기여자 중 상당수가 과거 어떤 형태로든 미국 정부와 협력한 이력이 있습니다.
레빈의 주장 전문은 2014년 7월 16일 발표된 "Tor 개발에 참여한 거의 모든 이들이 (혹은 지금도) 미국 정부의 자금 지원을 받았다"에서 확인할 수 있습니다.
그다음으로 The Intercept에서 집필하는 미카 리(Micah Lee)의 반론 글도 읽어볼 필요가 있습니다. 반론의 핵심은 이렇습니다. 국방부(DOD) 역시 자국 요원들을 보호하기 위해 Tor에 의존하고 있으며, Tor 프로젝트는 항상 자금 출처를 투명하게 공개해 왔다는 것입니다.
레빈은 훌륭한 저널리스트이고, 필자 역시 그에게 깊은 존경을 보내는 사람입니다. 하지만 그가 정부—어떤 정부든—를 하나의 거대한 단일체로 보는 함정에 빠지는 때가 있다는 점이 아쉽습니다. 실제로 정부란 그렇지 않습니다. 오히려 서로 다른 독립적인 부품들이 각자의 이해관계와 동기를 가지고 자율적으로 움직이는 복잡한 기계에 가깝습니다.
따라서 한 부처는 해방을 위한 도구에 투자하는 동시에, 다른 부처는 반자유적·반프라이버시적인 행동에 가담하는 일은 충분히 가능한 시나리오입니다.
그리고 줄리안 어산지가 보여주었듯이, 논리적인 설명이 훨씬 순탄한 경우에도 음모론을 가정하는 것은 놀랍도록 쉬운 일입니다.
위키리크스의 전성기는 끝났는가?
나만 그렇게 느끼는 걸까요? 아니면 위키리크스의 전성기는 이미 지나갔을까요?
그리 오래되지 않아 어산지는 옥스퍼드의 TED 행사와 뉴욕의 해커 컨퍼런스에서 강연하곤 했습니다. 위키리크스라는 브랜드는 강력했고, 스위스 은행권의 자금 세탁이나 케냐의 만연한 부패처럼 정말 중요한 이슈들을 폭로해 냈습니다.
그러나 이제 위키리크스는 어산지라는 인물에 가려져 있습니다. 그는 스웨덴에서 제기된 상당히 심각한 형사 고발을 피해 런던의 에콰도르 대사관에 자발적으로 몸을 숨긴 상태입니다.
어산지 본인도 과거의 악명을 넘어서지 못한 듯하며, 이제는 들어줄 사람이라면 누구에게나 기이한 주장을 늘어놓곤 합니다. 다소 안타까운 일입니다. 위키리크스가 해낸 중요한 성과들을 생각하면 더욱 그렇습니다. 하지만 그 유산은 '줄리안 어산지 쇼'라는 곁무리에 가로막혀 좌초되었습니다.
어산지에 대해 어떻게 생각하든, 한 가지는 거의 확실합니다. 미국이 데비안에 침투했다는 증거는 전혀 없습니다. 다른 어떤 리눅스 배포판에 대해서도 마찬가지입니다.
사진 출처: 424 (XKCD), Code (Michael Himbeault)