"누구도 믿지 마라." 한때는 편집증 환자들만 하는 말로 여겨졌지만, 시간이 지나면서 상황은 완전히 달라졌습니다. 우리는 하나둘 사실을 알게 되었죠. 같은 회선을 쓰는 사람이 대화를 엿들을 수 있다는 걸 알고는 추가 요금을 내고 개인 전용 회선을 신청했고, 벽에 걸린 전화기 옆에서 가족이 대화를 들을 수 있다는 걸 알고는 집에 여러 개의 회선을 설치했습니다. 그러다 휴대전화가 등장하면서 어디서든 자신만의 프라이빗 폰을 갖게 되었고, 드디어 완벽한 프라이버시를 누린다고 믿었습니다.
하지만 정말 그랬을까요? 우리의 말과 정보는 그동안 공중으로 날아가고 있었습니다. 영장 없는 도청 소식이 들려오더니, 이번에는 언론사, 변호사, 보험사들이 통신을 해킹한다는 이야기까지 나옵니다. 다음 차례는 누구일까요? 어떻게 막을 수 있을까요? 안타깝게도 법은 대부분 사후 대응에 그치기 때문에, 지금 당장 스스로 조치를 취해야 합니다. 이 글에서는 스마트폰 통신을 보호해 내 정보를 골라내기 어렵게 만드는 3가지 방법을 살펴봅니다.
1. 통신 수단 자체를 바꿔라
매체 이론가 마셜 매클루언의 명언을 빌리자면, '매체'가 곧 필요한 영장의 종류를 결정합니다. 일반적으로 통신 형태가 오래될수록 법적 보호도 더 강력합니다. 미국 전자프런티어재단(EFF)에 따르면, 2007년 도청 보고서에서 구음 감청을 승인한 법원 명령은 단 20건에 불과했지만, 유선 음성 통신 감청을 승인한 명령은 무려 1,998건에 달했습니다.
편지 우편물의 내용 역시 높은 법적 보호를 받습니다. 하지만 봉투에 적힌 정보는 누구나 볼 수 있고, 미국 우정청 역시 그 정보를 추적합니다. 유선 전화 통화도 편지만큼 법적으로 보호받지만, 통화 기록은 정부가 열람할 수 있습니다. 휴대전화 음성 통화로 넘어가면 정부의 도청을 막는 법률은 훨씬 느슨해지고, 문자 메시지는 더욱 그렇습니다. 셀룰러와 Wi-Fi 통신은 공개된 공간을 통해 전송되기 때문에, 법원은 유선 전화에 부여되는 '합리적인 프라이버시 기대'가 없다고 판단할 수 있습니다.
문자 메시지 보안의 가장 큰 문제는 대화 전체가 휴대폰에 저장되고, 적어도 잠시 동안은 통신사 서버에도 저장된다는 점입니다. 반면 일반 전화 통화에는 누구에게, 언제, 얼마나, 어디서 걸었는지 같은 메타데이터만 남습니다. 핵심은 이것입니다. 유출되길 원하지 않는 내용은 문자로 보내지 마세요. 특히 국회의원이라면 더욱 그렇습니다.
휴대전화와 Wi-Fi 통신은 무선 신호로 공중에 흩어지므로, 이를 가로채는 데 필요한 기술은 상업 라디오 신호를 포착하는 것과 크게 다르지 않습니다. 휴대폰이 도청당했을 가능성이 의심된다면 통화 중 잡음, 배터리 급속 소모, 갑작스러운 재부팅 같은 의심 증상들을 확인해 보세요. 통신 분야에서 다소 오래된 자료이지만, 대량의 셀룰러 트래픽을 가로채는 데 필요한 기본 장비는 컴퓨터를 제외하면 약 1,500달러어치면 충분합니다. 결코 큰 투자가 아닙니다.
2. 앱 권한을 철저히 점검하라
스마트폰 통신을 위협하는 가장 쉬운 방법은 아마도 휴대폰의 모든 데이터에 접근할 수 있는 앱을 만들어 사람들이 다운로드하게 하는 것입니다. 아이폰은 애플이 앱스토어 등재 여부를 최종 심사하기 때문에 상대적으로 안전합니다. 하지만 안드로이드는 구글의 심사가 그만큼 엄격하지 않고, 기기를 루팅한 뒤 검증되지 않은 경로에서 앱을 설치하는 사용자도 많습니다.
앱을 설치할 때 "연락처, 휴대폰 상태 및 신원에 접근하고 SMS/MMS를 전송할 수 있습니다"라는 경고가 뜨면 잠시 멈춰 생각해 보세요. 과연 이 앱이 그런 권한이 정말 필요할까요? 필요 없다면 설치하지 마세요. 앱 권한 경고는 이용약관(EULA)만큼이나 거의 모두가 무시하지만, 이것이 바로 해커들이 노리는 통로입니다. 이미 설치된 앱들을 주기적으로 검토해 불필요하게 많은 권한을 요구하는 앱은 삭제하고, 잠복한 스파이웨어를 확실히 제거하기 위해 공장 초기화를 고려해볼 수도 있습니다.
3. 통신을 암호화하라
솔직히 말해, 누군가 당신의 통신을 엿들을 가능성은 극히 낮습니다. 저녁으로 뭘 먹었는지, 운동을 몇 킬로미터 했는지 따위는 지루한 정보이고 이미 SNS에 널려 있으니까요. 하지만 대화가 스파이나 탐정에게 정말 값진 정보라고 가정해 봅시다. 도청자가 통신을 가로채더라도 쓸모없게 만드는 방법이 바로 암호화입니다.
암호화란 평범한 사람에게 의미 있는 정보를, 복잡한 수학적 과정을 거쳐야만 다시 의미를 찾을 수 있는 알아볼 수 없는 문자열로 바꾸는 기술입니다. 대부분의 암호화 시스템에 동일한 원리가 적용됩니다. 대표적인 암호화 통화 서비스 두 가지를 비교해 보겠습니다.
Kryptos — iOS, Android, BlackBerry (월 10달러)
Kryptos는 암호화된 VoIP(인터넷 전화) 서비스로, 셀룰러와 Wi-Fi 연결 모두에서 작동합니다. 단, Wi-Fi가 아닌 VoIP 통화는 데이터 요금제를 사용한다는 점에 유의하세요. 이 앱은 256비트 AES 표준과 2048비트 RSA 키 교환을 사용해 음성 통화를 암호화합니다. 256비트 AES는 Windows BitLocker가 사용하는 것과 같은 표준으로, 미국 정부가 기밀(Top Secret)급 문서 통신에도 합리적이라고 간주하는 수준입니다.
2048비트 RSA 키는 통화 양 끝에서 암호화를 잠그고 해제하는 디지털 열쇠로, 대화마다 무작위 617자리 숫자에 해당합니다. 참고로 대부분의 로또 번호는 최대 12자리입니다. 전자상거래 인증서 업체 DigiCert는 이 키를 해독하는 데 6.4천조 년이 걸린다고 계산했지만, RSA 연구소는 무어의 법칙에 근거해 2030년경에는 현실적으로 해독 가능해질 수 있다고 추산합니다. 다만 키 교환 과정에서 인증 기관을 거치기 때문에 이론상 중간자(Man-in-the-Middle) 공격이 가능하다는 점은 알아두어야 합니다. 또한 미국 법집행 지원법(CALEA)에 따라 통신 사업자는 법집행 기관의 실시간 감시에 협조해야 할 수 있습니다. 그럼에도 월 10달러의 가격을 고려하면 상당히 안전한 편입니다.
Silent Phone — iOS, Android (월 10달러)
PGP 암호화의 창시자 필 짐머먼(Phil Zimmermann)이 세운 Silent Circle이 선보이는 Silent Phone 역시 Wi-Fi 또는 셀룰러 데이터를 통해 VoIP 연결로 작동하며, 종단 간 암호화를 위해 통화 양쪽 모두 앱과 서비스를 필요로 합니다.
Kryptos와의 가장 큰 차이는 ZRTP(Zimmermann Real-time Transport Protocol)라는 독자적인 암호화 방식입니다. 인증 기관에 확인받지 않고 키를 생성하며, 통화마다 생성된 비밀번호를 양쪽이 직접 확인해야 통화가 진행됩니다. 덕분에 키가 해독될 시간조차 없고, 음성 전송 중간에 끼어드는 중간자 공격의 여지 자체가 없습니다.
Silent Circle은 정부의 압력에 굴복하지 않겠다고 공언합니다. 창업자의 진정성을 고려하면 신뢰할 만하지만, 미래가 어떻게 될지는 아무도 장담할 수 없습니다. 결론적으로 같은 월 10달러 서비스라면 Silent Phone이 Kryptos보다 한층 더 안전하다고 평가할 수 있습니다. 더 큰 장점은 이메일, 문자, 화상 통신을 암호화하는 앱들까지 함께 제공된다는 점입니다. 전체 패키지를 갖춘 이 서비스가 더 나은 선택입니다.
마무리
스마트폰에 저장된 데이터를 암호화하고, 위에서 소개한 방법들을 함께 활용하면 일반 시민이 가질 수 있는 것 중 스파이 폰에 가장 가까운 환경을 갖추게 됩니다. 과할까요? 그것은 각자의 상황과 필요에 따라 스스로 판단할 몫입니다.
스마트폰 통신 보안이 필요하다고 느끼시나요? 누군가 엿듣는 것이 걱정되시나요? 지금 어떤 조치를 취하고 계신가요? 다른 팁이 있다면 공유해 주세요. 아는 것이 반이니까요.