오픈소스 개발자들이 구글 크롬의 오픈소스 버전인 크로미움(Chromium)의 데비안 버전이 구글로부터 '블랙박스' 코드를 다운로드한다는 사실을 발견하면서 구글은 큰 논란에 휩싸였습니다. 이 코드는 연결된 마이크를 통해 사용자의 음성을 청취하고, 그 오디오를 분석을 위해 다시 전송하도록 설계된 것입니다.
물론 상당히 심각하게 들리지만, 실제 상황은 이보다 조금 더 복잡합니다. 한 걸음 물러나서 무슨 일이 실제로 벌어지고 있는지 자세히 살펴보겠습니다.
오픈소스란 무엇일까?
잘 모르는 분들을 위해 간단히 설명하자면, 오픈소스 소프트웨어 개발은 개발자들이 함께 협업하여 소스 코드를 누구나 자유롭게 검토하고 수정할 수 있도록 공개하는 방식으로 소프트웨어를 만드는 것입니다. 이는 소프트웨어를 비밀리에 개발하고, 컴파일된 파일만(소스 코드는 제외) 고객에게 '블랙박스' 형태로 판매하는 상용 소프트웨어 개발과 대조되는 방식입니다.
오픈소스 개발은 제품을 판매하지 않기 때문에 개발자와 기업들의 시간과 자금 기부에 의존합니다. 그 결과 개발 속도가 느려지는 경향이 있으며, 소프트웨어 개발 과정의 지루한 작업들을 완성하기가 쉽지 않습니다.
그럼에도 불구하고 보안 측면에서 오픈소스는 결정적인 강점을 지니고 있습니다. 코드가 공개되어 있으면 해당 소프트웨어가 의도한 대로 작동하는지, 백도어나 치명적인 버그가 없는지 손쉽게 검증할 수 있기 때문입니다. 오픈소스 코드는 상용 소프트웨어와 달리 검증 가능한 방식으로 신뢰를 얻습니다.
하지만 현실 세계에서 오픈소스 소프트웨어만으로 생활하기는 거의 불가능합니다. 그래서 많은 오픈소스 프로그램은 다양한 목적으로 클로즈드소스(비공개) 컴포넌트를 함께 사용합니다. 예를 들어 브라우저에서 사용하는 표준 플래시 플레이어는 비공개 소스이므로, 리눅스의 대부분의 브라우저는 해당 콘텐츠를 재생하기 위해 이 비공개 모듈을 로드합니다.
디지털 도청 장치?
이번에 크롬이 설치한 모듈은 어떤 화면에서든 "OK 구글"로 시작하는 음성 검색에 브라우저가 반응할 수 있도록 하는 모듈로, 구글 나우(Google Now) 플랫폼의 편리한 기능 중 하나입니다.
이 모듈은 플래시 플레이어 같은 다른 비공개 컴포넌트와 성격이 비슷하지만, 두 가지 핵심적인 이유로 오픈소스 커뮤니티의 분노를 샀습니다.
- 침해적일 수 있는 기능 — 이 모듈은 브라우저가 "OK 구글"로 시작하는 문장을 인식해 자동으로 검색을 실행하도록 설계되었습니다. 기술적인 이유로 이 음성 인식은 클라이언트 측에서 처리될 수 없으므로, 모듈이 활성화되면 마이크가 포착하는 모든 오디오가 분석을 위해 구글 서버로 스트리밍됩니다.
- 사용자에게 알리지 않은 자동 설치 — 관례상 대부분의 오픈소스 소프트웨어는 비공개 컴포넌트를 설치하기 전에 사용자에게 확인을 받습니다. 이 모듈은 기본적으로 비활성화 상태였지만, 사용자의 직접적인 허가 없이 설치되었다는 점이 문제가 되었습니다.
스웨덴 해적당의 창당자 릭 팔빙에(Rick Falvinge)는 이렇게 지적했습니다.
"구글 크롬의 오픈소스 버전인 크로미움은 신뢰받는 상위 프로젝트로서의 지위를 남용해 블랙박스를 다운로드하고 설치하는 소스 코드를 몰래 삽입했습니다 […] 우리는 이 블랙박스가 무슨 일을 하는지 알 수 없고, 알 방법도 없습니다. 하지만 마이크가 활성화되었고, 크로미움이 오디오 캡처를 허용된 것으로 간주한다는 보고가 이어지고 있습니다. 명분은 'OK 구글' 기능, 즉 특정 단어를 말하면 검색이 실행되도록 하는 것이었다고 합니다. 분명히 유용한 기능이죠. 하지만 동시에 방 안의 모든 대화를 엿들을 수 있게 만드는 장치이기도 합니다."
반론
기술적인 측면에서 팔빙에의 주장은 완전히 맞습니다. 다만 이 문제에 대한 반응이 다소 과열된 감이 없지 않습니다.
언젠가 구글이 사용자의 대화를 끊임없이 듣고 데이터마이닝하는 기능을 선보일 날이 올 것이라고 확신합니다. 그리고 그날이 오면 구글은 아마 파스텔톤의 산뜻한 그래픽과 함께 대대적으로 홍보할 것입니다. 굳이 비밀리에 할 필요가 없기 때문입니다. 정작 아무도 진지하게 문제 삼지 않을 테니까요.
중요한 사실은, 구글이 설치한 이 모듈이 이미 지구상의 모든 크롬 브라우저에 존재한다는 점입니다. 즉, 크로미움 사용자가 특별히 더 위험한 처지에 놓인 것은 아닙니다. 구글의 잘못은 세계를 몰래 감시한 것이 아니라, 오픈소스 커뮤니티의 암묵적인 금기를 위반한 데 있습니다. 이번 소동의 본질은 보안과 프라이버시에 극도로 높은 기준을 요구하는 오픈소스 진영과, 아직까지 사용자들이 프라이버시를 최우선 가치로 여기지 않는 상용 소프트웨어를 개발하는 구글 사이의 문화 충돌이라고 할 수 있습니다.
구글의 공식 입장도 비슷한 맥락입니다.
"크로미움은 완전한 오픈소스이면서 동시에 독점(proprietary) 모듈을 다운로드합니다. 핵심은 크로미움이 구글 제품이 아니라는 점입니다. 저희는 이를 직접 배포하지 않으며, 각종 오픈소스 정책의 준수에 대해 어떠한 보증도 하지 않습니다. 저희의 우선 과제는 구글 크롬용 코드를 준비하는 것입니다. 제3자(예: 데비안)가 이를 배포한다면, 자체 정책을 집행할 책임은 그들에게 있습니다."
요약하자면 이렇습니다. 크로미움은 구글 제품이 아니며, 오픈소스의 순수성을 지키는 것은 구글의 책무가 아니라는 것입니다.
앞으로 다가올 미래의 징조
이 모든 말이 구글이 당신을 감시하지 않는다는 뜻은 아닙니다. 모듈 사용에 동의(opt-in)했다면 실제로 감시하고 있습니다. 다만 그것은 우리 모두가 이미 어느 정도 받아들여온 방식, 즉 동의를 바탕으로 하고 인간의 개입 없이 이루어지는 감시입니다. 구글 검색 기록이 공개된다면 누구에게나 굴욕적인 일이겠지만, 우리는 이런 기록이 어딘가 서버 팜 깊숙한 곳의 추상적인 머신러닝 인프라만이 본다는 믿음을 갖고 살아갑니다. "OK 구글"이 활성화된 컴퓨터 주변의 대화 내용도 아마 같은 방식으로 처리될 것입니다.
이것이 마음에 들지 않는다면 비공개 소스 컴포넌트를 사용하지 않는 다른 오픈소스 브라우저로 갈아타면 됩니다. 아니면 로키산맥의 전자파 차단 벙커로 이사하는 것도 좋겠습니다. 앞으로의 미래는 마음에 들지 않을 테니까요. 기술의 흐름은 지금껏 편의를 위해 프라이버시를 내주어 왔고, 이 과정이 늦춰질 조짐은 보이지 않습니다.
이 생각을 논리적 극한까지 밀어붙여 봅시다. 10년에서 20년 후에는 대부분의 사람들이 어떤 형태의 헤드마운트형 스마트 기기를 착용하고 있을 것입니다. 선글라스 크기로 소형화된 휴대용 증강현실(AR) 하드웨어 말입니다. 당연히 구글, 애플, 마이크로소프트에게 당신이 보고 듣는 모든 것을 상시 스트리밍해 분석하도록 허용할수록 이런 기기는 훨씬 더 유용해집니다. 사람들이 이를 받아들일까요? 최근의 역사를 되돌아보면, 그럴 가능성이 상당히 높다고 생각합니다.
그러니 본론으로 돌아가 말하자면, 진정하세요 크로미움 사용자 여러분. 구글은 지금 당신을 감시하고 있지 않습니다. 하지만 곧 감시하게 될 것이고, 당신은 그것을 사랑하게 될 겁니다.
정말 그럴까요? 이 문제에 대한 생각을 댓글로 알려주세요.
이미지 출처: Google Glass, Open Source Keyhole, by Wikimedia