미국 국가안보국(NSA)은 구글, 마이크로소프트, 야후, 페이스북 같은 미국 서비스 업체에 저장된 데이터에 접근할 수 있는 것으로 알려졌습니다. 나아가 인터넷을 통해 흐르는 대부분의 트래픽도 감시하고 있을 가능성이 높습니다. 이 글에서는 최근 유출된 자료와 논의를 바탕으로 PRISM에 관한 핵심 내용을 정리해 보겠습니다.
먼저 중요한 전제를 하나 짚고 넘어갑니다. 이 요약이 완벽하거나 완전하지는 않다는 점입니다. 미국 정부는 PRISM 논의가 불완전한 정보에 기반해 전체 그림을 제대로 보여주지 못한다고 불만을 제기해 왔지만, 우리가 확보할 수 있는 정보는 이것뿐입니다. 게다가 정부는 제대로 된 공론화에 필요한 정보를 스스로 공개하지 않고 있습니다. 서비스 업체에 데이터 제출을 강제하는 법률은 동시에 침묵도 강제하기 때문입니다. 업체들은 데이터 요구를 받았다는 사실조차 인정할 수 없습니다.
PRISM과 업스트림(Upstream) 감시의 차이
에드워드 스노든이 유출한 NSA 내부 슬라이드에 따르면, PRISM만이 NSA가 사용하는 인터넷 감시 도구는 아닙니다.
유출된 슬라이드 하나가 이를 명확히 해줍니다. PRISM은 "특정 미국 서비스 업체의 서버에서 직접 수집"하는 방식이라고 명시되어 있습니다.
반면 FAIRVIEW, STORMBREW, BLARNEY, OAKSTAR 등 코드명을 가진 다른 프로그램들은 작동 방식이 다릅니다. 이들 프로그램은 해저 광케이블에 탭을 설치하거나, 미국 내 인터넷 라우터와 게이트웨이를 통과하는 트래픽을 가로채는 방식으로 모든 트래픽을 수집합니다. NSA가 인터넷 서비스 업체와 라우팅 회사에 비밀 방을 두고 지나가는 데이터를 가로채고 감시해 왔다는 사실은 오랫동안 알려져 있었습니다. 2006년 샌프란시스코 AT&T 사무실의 '641A호 실'이 처음 알려진 사례였습니다.
이러한 업스트림 프로그램 하에서 NSA는 인터넷으로 전송되는 대부분의 데이터를 수집할 수 있을 것으로 추정됩니다. 유타주에 거대한 데이터 센터를 건설 중인 것도 이 방대한 데이터를 저장하고 분석하기 위한 것으로 보입니다. 사실 업스트림 프로그램들이 PRISM보다 훨씬 많은 데이터를 수집하고 더 많은 사람들을 감시하고 있습니다.
그렇다면 PRISM은 정확히 무엇인가?
업스트림 감시는 인터넷을 흐르는 데이터를 포착하지만, 암호화가 적용된 경우 데이터가 불완전할 수밖에 없습니다. 예를 들어 NSA는 스카이프(Skype) 트래픽을 가로채도 해독할 수 없습니다. 스카이프 통신은 암호화되어 있어 전송 중에 누구도 엿볼 수 없기 때문입니다. 로그인 상태에서 구글 검색을 하는 경우에도 HTTPS 암호화 연결을 통해 전송되므로 NSA가 열람할 수 없습니다.
그러나 NSA는 이런 데이터를 원했고, FISA(외국정보감청법)에 근거해 비밀 법원의 명령으로 어떤 회사든 데이터 제출을 강제할 수 있습니다. 이 비밀 법원은 지난 3년간 미국 정부의 감시 요청을 단 한 번도 기각한 적이 없어 '고무도장 법원(rubber stamp court)'이라 불립니다. 이미 이런 일이 현실에서 일어나고 있으며, NSA는 미국 내 어떤 서비스 업체에도 찾아가 데이터 제출을 요구할 수 있습니다. 이러한 요청이 위헌적이라며 맞서온 업체들—야후가 대표적입니다—마저 비밀 법원에서 패소했습니다. PRISM 목록에 없는 업체들조차 요구를 받으면 데이터를 넘겨주고 있습니다.
PRISM은 NSA 요원이 마이크로소프트, 야후, 구글, 페이스북, 팔토크(PalTalk), AOL, 스카이프, 유튜브, 애플 등 특정 미국 서비스 업체의 서버에서 데이터를 '직접' 수집할 수 있게 해주는 일종의 시스템입니다. 드롭박스(Dropbox)는 '곧 추가 예정'으로 표시되어 있었습니다.
슬라이드가 공개된 후 많은 기업들은 PRISM이라는 이름을 들어본 적이 없으며 NSA가 자사 서버에 '직접 접근'한 적은 없다고 반박했습니다. 이는 사실일 가능성이 높습니다. 지금까지 밝혀진 바에 따르면, PRISM은 NSA가 해당 기업들에 대한 데이터 요청을 간소화하는 NSA 내부 시스템으로 보입니다. NSA 요원이 PRISM 시스템을 통해 사용자의 Gmail, 스카이프 통화, 구글이나 빙(Bing) 검색 기록, 메신저 대화 등에 대한 접근을 요구하면 기업이 이 요청을 받아 처리하는 구조입니다. 기업은 요구된 데이터를 편리한 형태로, 아마도 일종의 포털을 통해서나 FTP 같은 표준 프로토콜로 NSA 시스템에 업로드하는 방식으로 제공합니다.
이런 데이터 제공은 PRISM 이전부터 이루어져 왔으며, PRISM에 참여하지 않는 업체들도 기존의 덜 간소화된 방식으로 데이터를 넘기고 있을 것으로 추정됩니다. 새 시스템의 장점은 NSA 요원이 서류 작업 없이도 데이터를 요구할 수 있다는 점입니다. 미국 FISA법에 따르면 NSA는 비밀 법원의 허가 없이도 최대 일주일까지 개인의 전화, 이메일 등 통신을 감시할 수 있으며, PRISM을 통해 이를 실행합니다.
PRISM으로 몇 명이나 감시당하고 있나?
그렇다면 PRISM으로 얼마나 많은 사람이 감시당하고 있을까요? 정확히는 알 수 없습니다. 그러나 의심할 만한 충분한 이유가 있습니다. 미국 정부는 미국 통신사들에게 모든 통화 '메타데이터'를 요구해 왔습니다. 어떤 번호가 언제 어떤 번호에 전화했는지 담긴 거대한 데이터베이스를 구축한 것입니다. 또한 휴대폰 통화 발신 위치까지 보관할 법적 권리가 있다고 주장했으나, 기술적 제약 때문에 아직 실행하지는 않았습니다. 미국 정부는 사실상 모든 사람의 전화를 감시하고 있는 셈입니다. 모든 통화 내용을 도청한다는 의미는 아니지만, 누구에게 전화하는지는 확실히 추적하고 있습니다.
미국 정부가 업스트림 프로그램을 통해 사실상 모든 사람의 인터넷 사용을 감시하는 반면, PRISM은 좀 더 표적화된 것으로 보입니다. NSA는 업스트림 데이터를 살펴본 뒤 PRISM을 통해 더 면밀히 조사할 대상을 선정하는 것으로 추정됩니다. 물론 확실하지 않습니다. 미국 정부는 기업들이 국가안보서한(national security letter)을 받았다는 사실조차 공개하지 못하게 금지하고 있으며, 몇 건을 받았는지, 몇 개의 계정이 감시당하는지 공개하는 것은 말할 것도 없습니다.
일부 기업들은 정부 요청의 총 건수만큼은 보고할 수 있도록 허가를 받았습니다. 여기에는 PRISM 관련 NSA 요청부터 정식 영장에 근거한 일반 경찰 요청까지 모두 포함됩니다. 예를 들어 야후는 2012년 12월 1일부터 2013년 5월 31일 사이에 12,000~13,000건의 사용자 데이터 요청을 받았다고 밝혔습니다. 그러나 이 요청들이 몇 개의 계정을 포괄하는지, 일반 형사수사가 아닌 감시 목적으로 이루어진 것이 몇 건인지는 알 수 없습니다.
외국인과 미국 국내 대상자의 차이
FISA는 원칙적으로 미국인 또는 미국 내에 있는 사람의 통신을 정부가 감시하는 것을 제한합니다. 그러나 여기에는 우려되는 지점들이 있습니다.
- NSA는 대상이 '외국인'일 확률이 51%만 넘으면 됩니다. 이는 법이 허용하는 최저 수준의 기준이며, 이 기준을 통과하면 그 이후로는 사실상 아무 제약이 없습니다.
- NSA는 이 기준으로 인해 미국 국내 시민들도 결국 감시당하게 된다는 사실을 알면서도, 유출된 슬라이드에서 요원들에게 '걱정할 필요 없다'고 지시했습니다.
- 데이터를 수집한 후 대상이 외국인이 아니라고 확신하게 되더라도, 수집된 데이터는 영구 보관됩니다. 다른 데이터베이스에 옮겨 저장될 뿐입니다.
- NSA는 '연락망 추적(contact chaining)' 기법을 사용해 용의자로부터 세 단계('홉') 이내의 모든 사람을 표적으로 삼습니다. 예를 들어 동료의 친구의 오랫동안 연락이 끊긴 형제가 용의 테러리스트라면, 당신도 NSA 감시의 정당한 대상이 되어 디지털 삶 전체가 뒤질 수 있습니다. 무혐의로 판명되더라도 데이터는 정부 데이터베이스에 저장됩니다. 연구에 따르면 인터넷상의 임의의 두 사람은 평균 4.74단계로 연결됩니다. 세 단계 안에 수많은 무고한 사람들이 포함되는 것은 당연한 결과입니다.
미국 밖에 있다면 상황은 더욱 명확합니다. 미국 밖의 사람들은 침입적 감시로부터 훨씬 적은 보호만 받으며, 무혐의로 판명되더라도 더 쉽게 접근 가능한 데이터베이스에 데이터가 저장됩니다.
다른 나라의 유사 감시 프로그램
PRISM이 공개되자 다른 나라 시민들은 분노를 표출했습니다. 독일 정부는 특히 강하게 반대 입장을 밝혔습니다.
그러나 여러 차례의 유출 사례는 영국, 프랑스, 심지어 독일 자체도 유사한 비밀 인터넷 감시 프로그램을 운영하고 있음을 보여주었습니다. 선진국 대부분이 미국과 비슷한 짓을 하고 있을 가능성이 높지만, 아직까지는 현장에서 들키지 않았을 뿐이라는 것이 명확해졌습니다.
앞으로 어디로 가야 하는가?
언론은 PRISM에 집중해 왔지만, 사실 PRISM은 최근 NSA 유출 폭로 중 가장 덜 무서운 것 중 하나일 수 있습니다. 물론 미국 정부는 고무도장 법원의 비밀 법원 명령만으로 미국 서비스 업체에 고객 데이터 제출을 강제하고 있으며, 이런 요청을 간소화하는 시스템을 구축해 더 많은 사람을 감시하기 쉽게 만들었습니다. 그러나 PRISM은 적어도 특정 계정을 표적으로 삼는 것으로 보입니다. 반면 다른 감시 프로그램들은 인터넷 백본에 직접 탭을 설치해 지나가는 데이터를 감시합니다. 통신이 암호화되어 있더라도 최소한 어떤 웹사이트와 통신하는지는 파악할 수 있습니다.
저장 비용이 저렴해지고 새로운 초대형 데이터 센터가 건설되며, FISA와 애국자법(Patriot Act) 같은 법률이 더 느슨해져 더 광범위한 정부 감시를 승인하게 된다면, 향후 PRISM의 확장은 심각한 우려 사항입니다. PRISM이 미국 서비스 업체에 모든 고객 데이터를 정부에 넘기도록 요구해 거대한 데이터베이스에 저장하는 프로그램으로 성장할까요? 이미 통신사에 모든 통화 기록을 넘기도록 요구하고, 인터넷 통신 업체에 지나가는 모든 데이터를 감시하도록 허용받는 것처럼요?
이제 유출을 통해 미국과 전 세계 시민들이 비밀리에 진행되어 온 일들을 알게 되었으니, 민주 사회에서 어떤 종류의 감시가 용납될 수 있는지 본격적인 논의를 시작할 수 있을 것입니다. 사람들이 그런 감시가 필요하다고 합의하는 것이라면 그건 하나의 문제입니다. 하지만 정부가 이런 감시 프로그램을 비밀리에 구축하고, 논의도 존재 자체의 인정도 없이 국민에게 강요하는 것은 전혀 다른 문제입니다. 미국 정부는 감시 프로그램을 정당화하는 법원 의견서마저 비밀로 유지하려 하고 있습니다. 감시 프로그램은 평범한 시민이 알 권리가 없는 법률의 비밀 해석 아래에서 운영되고 있는 것입니다. 그것은 민주주의를 운영하는 방식이 아닙니다.
게다가 감시는 누구에게나 역으로 사용될 수 있습니다. 법이 너무 복잡해져서 평균적인 미국인이 하루에 세 건의 중범죄(felony)를 저지른다는 말이 나올 정도입니다. 휴대폰 잠금 해제부터 iPad 탈옥, 웹사이트 이용약관 위반까지, 기술적으로는 모두 미국에서 유죄 판결을 받고 감옥에 갈 수 있는 중범죄입니다.
PRISM에 대해 어떻게 생각하시나요? 별개로 여기시는 편인가요? 아니면 놓친 중요한 부분이 있나요? 아래 댓글로 의견을 남겨주세요!