WhatsApp는 스마트폰과 태블릿에서 가장 널리 사용되는 인스턴트 메신저입니다. 2009년에 출시된 이 서비스는 현재 7억 명이 넘는 활성 사용자를 보유하고 있으며, 이는 2위인 중국의 위챗(WeChat)보다 약 2억 5천만 명이나 많은 수치입니다. 1년 전 페이스북에 무려 190억 달러라는 천문학적인 금액으로 인수된 후, WhatsApp는 보안과 프라이버시 정책을 전면적으로 개선해야 하는 압박을 받았고, 그 결과 지난해 새로운 암호화 체계를 도입했다는 소식이 발표되었습니다.
어떤 문제가 있었나?
WhatsApp는 열악한 보안으로 인해 수많은 보안 사고와 정보 유출에 시달려왔습니다. 문제는 이미 2011년 5월로 거슬러 올라갑니다. 당시 보안 취약점이 발견되어 사용자 계정의 세션이 탈취당하고(유효한 사용 세션을 악용해 무단으로 정보에 접근하는 행위), 패킷 스니퍼를 통해 트래픽을 가로채 기록할 수 있었습니다. 새 버전의 앱이 출시되었지만, 데이터는 여전히 평문(plaintext)으로 송수신되고 있었습니다.
2012년에도 어려움은 계속되었습니다. 연초에 해커가 WhatsAppStatus.net을 공개하면서 누구나 WhatsApp 사용자의 상태 메시지를 변경할 수 있게 되었는데, 개발진의 대응은 더디었습니다. 처음에는 취약점이 수정되었다고 주장했지만, 실제로는 해당 웹사이트의 IP 주소를 차단했을 뿐이었습니다. 예상대로 유사한 도구들이 곧이곧대로 등장했고, 회사는 더 근본적인 대응에 나설 수밖에 없었습니다. 늦봄에야 WhatsApp는 평문 전송을 중단했지만, 그 대체재로 도입한 암호화 방식 역시 출시 당시부터 결함이 있다고 널리 비판받았습니다.
2013년 말에는 네덜란드의 보안 연구원이 충분한 기술 지식만 있다면 누구나 앱 내 통신을 복호화할 수 있다고 주장했습니다. 여러 '오래전부터 문서화된 취약점'이 원인이었는데, 핵심은 WhatsApp가 대화 양측에서 동일한 암호화 키를 사용한다는 점이었습니다. 이 취약점을 발견한 위트레흐트 대학생 티스 알케메데(Thijs Alkemade)는 "충분한 노력만 기울이면 WhatsApp 연결을 도청할 수 있는 사람이라면 누구든 메시지를 복호화할 수 있다고 가정해야 한다"며, "WhatsApp 사용자가 할 수 있는 일은 아무것도 없다... 개발자가 업데이트할 때까지 사용을 중단하는 것 외에는"이라고 지적했습니다.
2014년 11월까지도 WhatsApp는 전자프론티어재단(EFF)의 보안 메시징 평가에서 7점 만점에 겨우 2점을 받는 처지였습니다. 서비스 제공자가 키를 보유한 암호화 방식을 사용했고, 사용자 신원을 검증할 방법이 없으며, 보안 설계가 제대로 문서화되지 않았기 때문입니다.
어떻게 대응했나?
2014년 11월 18일, WhatsApp의 새 소유주인 페이스북은 더 이상 방치할 수 없다고 판단했습니다. 페이스북 자체도 프라이버시와 보안 투명성 면에서 좋은 평가를 받지 못하지만, 값비싼 대금을 치르고 인수한 기업의 평판이 무너져 Viber나 Tango 같은 경쟁 서비스로 사용자가 이탈하는 위험은 감수하고 싶지 않았던 것입니다.
그 결과 Open Whisper Systems와의 새로운 파트너십을 발표하며, 마침내 종단간 암호화(end-to-end encryption)를 서비스에 도입하게 되었습니다. 지난 3년간의 보안 문제를 근본적으로 해결하겠다는 의지였습니다. Open Whisper는 이번 암호화 체계가 세계 최대 규모가 될 것이며, 기기별로 고유한 암호화 키를 사용하는 TextSecure를 통해 방대한 사용자 기반을 보호할 것이라고 밝혔습니다. 전문가들의 반응도 뜨거웠습니다. Wired는 이 솔루션이 "사실상 해독 불가능하다"고 평했고, 월스트리트 저널은 "암호화가 너무 강력해서 법 집행 기관조차 WhatsApp 메시지를 복호화할 수 없을 것"이라고 보도했습니다.
작동 원리는?
종단간 암호화의 핵심은 암호 해독 키를 WhatsApp 개발사가 운영하는 중앙 서버에 두지 않고, 오직 사용자의 기기에만 저장한다는 점입니다. 여기에 매 메시지마다 새로운 키를 발급하는 '순방향 비밀성(forward secrecy)' 프로토콜을 사용하는 TextSecure가 결합되면, WhatsApp CEO 얀 쿰(Jan Koum)이 "이제 우리는 당신에 대해 가능한 한 적게 알려는 목표로 WhatsApp를 구축했습니다... 프라이버시에 대한 존중은 우리 DNA에 새겨져 있습니다"라고 자신감 있게 말한 이유를 충분히 이해할 수 있습니다.
이제 WhatsApp가 사용하는 암호화 방식은 유사한 메신저 앱이나 소셜 네트워크와 크게 다릅니다. 대부분의 경쟁 서비스는 여전히 키를 자체 서버와 사용자 기기 양쪽에 함께 보관합니다. 이 경우 기업이나 정부가 요청만 하면 메시지 내용에 접근할 수 있을 뿐만 아니라, 해커 입장에서도 개인 정보에 손대기가 한결 수월해집니다.
실제로 WhatsApp의 이번 조치는 주요 기술 기업들 사이에서 프라이버시를 강화하려는 더 큰 흐름의 일부입니다. 다만 모두가 반기는 것은 아닙니다. Apple과 Google이 WhatsApp 발표에 앞서 자사 암호화 서비스를 확장했을 때, FBI 국장 제임스 코미(James Comey)는 "포스트-스노든 시대의 진자가 이제 너무 멀리 기울었다"며 이를 비판하기도 했습니다.
모든 문제가 해결되었나?
효과적인 보안을 구현하는 일은 결코 쉽지 않습니다. WhatsApp가 2010년대 초반에 확실히 뒤처져 있었다는 것은 부인할 수 없지만, 2014년 말의 업데이트는 완벽하게 해커를 막아낼 수 있을 것처럼 들립니다. 안타깝게도 현실은 그렇지 않은 경우가 많고, 최근에는 이 캘리포니아 소재 기업에 대한 부정적인 보도가 다시 이어지고 있습니다.
메시지 내용 자체는 안전해 보이지만, 해커가 각종 프라이버시 설정을 우회할 수 있는 간단한 소프트웨어가 공개되었습니다. 이 도구를 이용하면 특정 사용자가 온라인 상태인지 확인하고, 프로필 사진 변화를 모니터링하고, 상태 메시지를 열람하며, 심지어 개인화된 프라이버시 설정까지 들여다볼 수 있습니다.
WhatsSpy Public이라 불리는 이 소프트웨어는 네덜란드 개발자가 만든 것으로, 사용자가 가장 엄격한 프라이버시 설정을 켜두었더라도 추적 대상의 온라인 상태 타임라인을 그대로 드러냅니다. 개발자 마이클 즈베린크(Maikel Zweerink)는 "모든 옵션을 '아무도 없음'으로 설정하면 프라이버시 면에서 안전하다고 생각할 수 있지만, 그럼에도 나는 여전히 당신의 WhatsApp 활동을 추적할 수 있습니다"라고 경고했습니다. 사용자에게 다행인 점은 이 소프트웨어가 설정 난이도가 높고, 루팅된 안드로이드 또는 탈옥된 아이폰에서만 작동한다는 것입니다. 순정 OS를 사용하는 일반 사용자라면 크게 걱정할 필요는 없습니다.
WhatsApp는 아직 이 문제에 대해 공식 입장을 밝히지 않았지만, 내부 관계자는 영국 언론에 "이것은 해킹이 아니다... 본질적으로 그는 자신이 원래 접근 가능한 정보를 기록하고 모니터링하는 프로그램을 만든 것에 불과하다"라고 말하며 사건을 축소하려는 모습을 보였습니다.
그럼에도 불구하고 WhatsApp의 좋지 않은 보안 이력을 고려하면, 사용자들이 이런 해명에서 큰 위안을 느끼기는 어려워 보입니다. 진위 여부와 관계없이, 이 사건은 디지털 시대의 보안은 결코 당연하게 여겨서는 안 된다는 사실을 다시 한번 일깨워 줍니다. 자신이 보호받고 있다고 믿는 순간에도, 어딘가에서 해커나 범죄자가 다음 취약점을 노리고 있다는 사실을 잊지 말아야 합니다.
어떻게 생각하시나요?
WhatsApp를 사용하고 계신가요? 열악했던 보안 이력이 서비스 사용을 망설이게 만든 적이 있으신가요? 다른 메신저를 시도해봐도 결국 다시 WhatsApp로 돌아오게 되나요? 프라이버시가 항상 걱정되시나요, 아니면 '숨길 것이 없으면 두려울 것도 없다'는 마인드에 동의하시나요?
여러분의 의견을 듣고 싶습니다. 아래 댓글로 생각을 나눠주세요.