최근 FBI는 기술 기업들에게 암호화 방식을 수정해 사용자 메시지를 쉽게 엿볼 수 있도록 강제하려는 캠페인을 벌이며 언론의 주목을 받고 있습니다. FBI의 논리는 '상식적인 변화'라는 것입니다. 범죄자들이 암호화 서비스를 이용해 은밀히 소통하고 있고, 헌법은 합법적인 영장이 제시되면 정보(편지나 문서 등)를 압수할 권리를 정부에 부여하기 때문이라는 주장입니다.
그렇다면 왜 FBI에게 암호화된 문서를 읽을 수 있는 능력을 주어서는 안 된다는 걸까요?
FBI의 경고에 따르면, 이러한 조치를 취하지 않으면 범죄자와 테러리스트들은 계속해서 '어둠 속으로(go dark)' 사라질 것입니다. 즉, 정확한 감시가 불가능한 익명 메시징 플랫폼으로 활동 무대를 옮기게 되고, 결국 권력의 균형이 악인들의 손에 넘어간다는 것입니다. 영국 정부 역시 비슷하게 심각한 경고를 내놓은 바 있습니다.
FBI 국장 제임스 코미(James Comey)의 말입니다:
"ISIL의 수법은 트위터에서 선전하고 사람들을 팔로워로 끌어들인 뒤, 진짜 모집 대상인지 평가하기 위해 트위터 다이렉트 메시지로 이동시키는 것"이라며, "그 후에는 암호화 모바일 메신저 앱으로 옮겨서 우리의 감시망에서 사라지게 만든다"고 밝혔습니다.
FBI가 공언만 하고 있는 것은 아닙니다. 프라이버시 전쟁의 다음 격전지는 지금도 상당 부분 비밀리에 애플(Apple)에서 진행 중입니다. 팀 쿡(Tim Cook) CEO는 사용자 프라이버시에 대해 점점 더 분노에 가까운 입장을 표명해 왔습니다.
"우리 서버에 백도어가 있다는 소문과 언론 보도가 있었지만, 그건 전부 거짓입니다. 하나도 사실이 아니죠. 우리는 그런 일을 절대 용납하지 않을 겁니다. 우리를 상자에 실어 끌고 가기 전까지는 절대로요."
FBI가 아이폰이나 iMessage 같은 제품과 서비스의 암호화에 '백도어'를 심도록 애플에 압박을 가하고 있다는 소문은 오래전부터 돌아왔습니다. 그리고 이제 이것이 실제로 일어나고 있다는 공개적인 증거가 나타났습니다. 미국 법무부는 총기 및 마약 관련 사건에서 피의자 두 명 간의 실시간 메시지 기록을 넘기라고 애플에 법원 명령을 내렸습니다. 하지만 애플은 사용자 암호화를 자사조차 해독할 수 없다며 거부했습니다. 어차피 그것이 암호화의 목적이니까요.
이에 FBI와 법무부는 애플을 법정에 세우는 방안을 검토 중이라고 밝혔습니다. 아마도 회사가 암호화에 백도어를 설치하도록 강제하는 법원 명령을 확보하려는 의도로 보입니다. ZDNet은 이런 일이 실제로 벌어지면 애플이 굴복할 수밖에 없다고 경고합니다. 이런 사례는 처음이 아닙니다. 2014년, 야후(Yahoo)는 에드워드 스노든이 폭로한 정부 감시 프로그램 PRISM과 관련해 2000년대 초반 FISA 비밀 법원과의 거래를 마침내 공개적으로 이야기할 수 있게 되었습니다. 당시 야후가 사용자 정보 제공을 거부하자 막대한 비밀 벌금이 부과됐는데, 하루 25만 달러에 매달 두 배씩 늘어나는 조건이었습니다. 참고로 이 벌금은 2년 남짓이면 세계 GDP인 74조 달러를 초과하는 수준이 됩니다.
기술적 문제점
이런 종류의 시도가 갖는 윤리적·헌법적 우려를 잠시 접어두더라도, 이 제안에는 기술적으로도 수많은 문제가 있습니다. FBI가 암호화 백도어를 추진하기 시작한 이후, 여러 보안 연구자들이 나서서 이 개념 자체의 근본적 결함을 지적해 왔습니다.
무엇보다, 주류 보안 전문가라면 누구나 코미가 원하는 '안전한 백도어'는 실제로 존재하지 않는다고 말할 것입니다. 연방거래위원회(FTC) 위원조차 이 제안이 나쁜 생각이라고 공공연히 밝힌 바 있습니다. 강력한 암호화 체계에 전체 보안을 크게 훼손하지 않고 백도어를 남길 방법은 없습니다. 그런 성질을 가진 암호 시스템은 단순히 존재하지 않습니다. 암호학은 의지만으로 존재하게 만들 수 있는 것이 아닙니다.
TechDirt는 이 아이디어를 낱낱이 해부하는 훌륭한 글을 실었습니다. 인상 깊은 구절을 소개합니다:
"코미는 실리콘밸리의 똑똑한 두뇌들이 마법 요정 가루를 뿌려주면 원하는 것을 얻을 수 있다고 계속 주장하면서, 정작 자체 수사에 암호화가 얼마나 큰 문제인지 수치화하는 것은 FBI에게 너무 어렵다고 주장한다는 점이 놀랍습니다. 게다가 그는 암호화가 실제 문제가 된 실제 사례 단 하나조차 제시하지 못하고 있습니다."
설령 그런 시스템이 만들어진다 해도 또 다른 치명적 결함이 있습니다. 바로 열쇠를 정부에 쥐여주게 된다는 점입니다. 자기 직원 인사기록조차 안전하게 보관하지 못해 해킹당한 지 몇 달 혹은 몇 년이 지나서야 알아차린 바로 그 정부입니다. 계약직 직원이던 스노든은 NSA의 가장 민감한 업무 내역을 들고 나갔습니다. 중국 정부가 그 열쇠의 복사본을 손에 넣는 데 몇 시간이 걸릴까요? 다크웹에 올라와 조금만 실력 있는 해커라면 누구의 은행 계좌든 열람할 수 있게 되기까지 며칠이나 걸릴까요? 미국 정부 내부의 컴퓨터 보안 수준은 전체 인터넷의 안전을 맡길 만큼 성숙하지 않았습니다.
잘못된 목적
그러나 더 큰 문제는 논쟁의 핵심을 정면으로 찌르는 것입니다. 즉, 이런 백도어는 FBI가 걱정한다고 하는 문제 자체를 해결하지 못한다는 사실입니다. FBI의 정당성 논리는 마약 거래나 소매치기 같은 경미한 범죄가 아니라 테러리스트와 인신매매범 같은 심각한 위협에 기반하고 있습니다. 그런데 아이러니하게도, 이들이야말로 백도어의 영향을 가장 덜 받을 집단입니다.
테러리스트와 범죄자들은 암호화에 대해 무지하지 않습니다. 암호화를 사용하는 사람들은 감시를 피하기 위해 의도적으로 그렇게 하는 것입니다. FBI가 어떤 형태의 백도어를 확보하더라도 그들이 눈치채지 못할 거라 믿는 것은 순진한 생각입니다. 테러리스트와 무기상들은 백도어가 설치된 iMessage를 계속 사용하지 않을 것입니다. 그들은 타국에서 개발된 암호화 채팅 프로그램이나, 보안성을 직접 검증할 수 있는 오픈소스 소프트웨어로 갈아탈 것입니다. 백도어의 희생양이 되는 이들은 더 나은 컴퓨터 보안을 쓸 줄 모르는 사람들, 다시 말해 경미한 범죄자와 대다수의 법을 잘 지키는 시민들입니다.
암호학적 백도어는 ISIL을 감시하는 것보다 할머니를 훔쳐보는 데 훨씬 유용하며, FBI는 아마도 이 사실을 잘 알고 있을 것입니다. 따라서 그들의 테러에 대한 심각한 경고는 유타주만 한 소금알로 받아들여야 합니다.
물론 FBI는 법을 준수하는 시민에게는 프라이버시 문제가 생기지 않는다고 반박할 것입니다. 영장이 있어야만 정보에 접근할 수 있으며, 이는 집이나 서랍장을 수색할 때와 마찬가지라는 논리입니다. 하지만 우리는 이미 스노든 폭로 이전의 무지했던 순진한 시대에 살고 있지 않습니다.
우리는 비밀 증거를 바탕으로 비밀 영장을 발부하는 비밀 법원의 존재를 알고 있습니다. 그 법원은 영장 발부를 거절하지 않습니다. 거절하는 것이 그들의 목적이 아니기 때문입니다. 이름만 빼면 고무도장 기관인 셈입니다. 이런 시스템에 프라이버시를 맡기라고 요구하는 것은 명백한 모욕입니다.
보안 전문가 브루스 슈나이어(Bruce Schneier)가 자신의 블로그 'Schneier on Security'에서 비슷한 견해를 밝힌 바 있습니다.
"코미가 원하는 것을 얻었다고 상상해 보십시오. iMessage, 페이스북, 스카이프 등 미국산 모든 서비스에 그의 백도어가 설치됐다고 상상해 보세요. ISIL 요원은 잠재적 모집 대상에게 다른 것을 쓰라고 말할 겁니다. 안전하고 미국산이 아닌 것을요. 핀란드, 스위스, 브라질의 암호화 프로그램일 수도 있습니다. Mujahedeen Secrets일 수도 있습니다. 뭐든 됩니다."
감시의 역사
여러 정부 기관이 이런 시도를 한 것은 이번이 처음이 아닙니다. 1990년대 클린턴 행정부는 기술 업계에 장치에 감시 하드웨어를 설치하도록 강제하려 했습니다. 정부 기관이 강력한 암호화를 우회할 수 있게 해주는 이른바 '클리퍼 칩(Clipper chip)'입니다.
그 경우에도 시스템의 취약점이 발견되어 기기의 보안성이 떨어졌고, 어차피 범죄자들은 이를 우회할 수 있었습니다. 결국 그 제안은 좌절됐습니다. 'Keys Under Doormats: Mandating insecurity by requiring government access to all data and communications(매트 밑의 열쇠: 모든 데이터와 통신에 대한 정부 접근 요구로 불안전성 강제하기)'라는 분석문에서 열두 명이 넘는 보안 연구자들은 새로운 제안이 더욱 악화될 것이라는 입장을 밝혔습니다. 요지는 다음과 같습니다.
"20년 전, 법집행 기관들은 데이터·통신 서비스 업체들이 제품을 설계할 때 법집행 기관이 모든 데이터에 접근할 수 있음을 보장하도록 로비를 벌였다. 긴 논쟁과 '수사 채널이 어둠에 잠길 것'이라는 격렬한 예측 끝에, 새로 등장한 인터넷을 규제하려는 시도는 포기되었다. 그 후 몇 년간 인터넷 혁신은 크게 번성했고, 법집행 기관들은 훨씬 방대한 데이터에 접근할 수 있는 새롭고 효과적인 수단들을 찾아냈다. 오늘날 우리는 특별 접근 메커니즘을 의무화하는 규제에 대한 요청을 다시 듣고 있다. 이 보고서에서 컴퓨터 과학자와 보안 전문가 그룹, 그중 상당수가 1997년 동일 주제 연구에 참여했던 사람들이 모여 특별 접근 의무화가 가져올 영향을 살펴보았다. 우리는 법집행 특별 접근 요구가 초래할 피해가 20년 전보다 오늘날 훨씬 클 것이라는 결론에 도달했다."
너무 큰 대가, 너무 작은 보상
요약하자면, 암호화 백도어는 기술적으로도 실용적으로도 나쁜 생각입니다. 법집행 기관의 큰 문제를 해결해 주지 못하면서도 소비자와 보안에 의존하는 모든 사람에게 새로운 문제를 만들어냅니다. 이를 업계에 강제하는 데 드는 비용은 상상을 초월할 것이며, 우리가 얻는 대가는 거의 없습니다. 나쁜 의도로 제안된 나쁜 생각인 셈입니다. 그리고 운이 좋다면, 이 아이디어에 반대하는 목소리가 커져 다시금 저지될 것입니다.
여러분은 어떻게 생각하시나요? 정부가 암호화를 약화시킬 권한을 가져야 할까요? 여러분의 생각을 댓글로 알려주세요!