VPN을 관심 있게 찾아본 분이라면 '파이브 아이즈(Five Eyes)', '나인 아이즈(Nine Eyes)', '포틴 아이즈(Fourteen Eyes)'라는 용어를 한 번쯤은 접했을 겁니다. 그 외에는 제임스 본드 영화 <스펙터(SPECTRE)>에서 잠깐 언급된 정도로 대중에게 잘 알려지지 않았죠. 흥미롭게도 이 영화의 묘사는 꽤 사실적입니다. 이 용어들은 각국 정부 간 데이터 수집(첩보 활동)과 공유를 규정하는 협약으로 구성된 국제 정보 동맹을 가리킵니다.
처음 들어보셨더라도 놀랍지 않습니다. 찰리 채플린, 존 레논, 넬슨 만델라 같은 인물들조차 자신들의 정보가 '아이즈' 동맹 국가들 사이에서 공유되고 있다는 사실을 몰랐을 가능성이 높으니까요.
파이브 아이즈(Five Eyes): 가장 강력한 핵심 동맹
파이브 아이즈는 호주, 캐나다, 뉴질랜드, 영국, 미국 다섯 개국으로 구성됩니다. 1946년 영국과 미국이 체결한 UKUSA 협정으로 공식 출범했으며, 1948년 다른 세 국가로 확대되었습니다. 이후 동맹의 범위와 규모는 계속 커져 왔고, 현재 회원국들은 통화 기록부터 정찰 위성 데이터에 이르기까지 방대한 양의 정보를 서로 자동으로 공유하고 있습니다.
역사적으로 이 동맹은 극비로 유지되어 왔지만, 주기적인 정보 유출 덕분에 그 존재에 대한 의심은 오랫동안 이어졌습니다. 협정 최초 서명국 중 하나인 호주의 경우, 총리실조차 1973년이 되어서야 이 협정의 존재를 알았다고 전해집니다. 결국 2005년 협정의 존재가 공식 확인되었고, 2010년 원문 UKUSA 협정의 전문이 공개되었으며, 그 전체 범위는 2013년 스노든 폭로 사건이 일어나면서 비로소 드러났습니다.
그렇다면 이들은 실제로 무엇을 할까요? 모든 것을 알 수는 없지만, 표적 감시와 그물망(dragnet) 감시 모두에 매우 정교한 기술을 보유하고 있는 것으로 알려져 있습니다. 여기서 '그물망 감시'란 특정 대상을 가리지 않고 데이터를 일괄 수집해 나중에 분석하는 방식을 의미합니다.
파이브 아이즈는 주로 SIGINT(Signals Intelligence, 신호 정보), 즉 전자 통신 정보에 집중해 왔습니다. 즉, 누군가와 전자적으로 소통할 수 있는 방법이 있다면 어느 정보기관이든 그 대화를 엿들을 가능성이 있다는 뜻입니다. 파이브 아이즈 협정 덕분에 각 회원국은 '스톤 고스트(Stone Ghost)'라고 불리는 중앙집중식 자동 업데이트 데이터베이스 시스템을 통해 나머지 네 개국의 정보와 기술에 접근할 수 있습니다.
흥미로운 부분은 여기서 드러납니다. 대부분의 회원국은 법적 절차를 거치지 않고는 자국민을 감시하는 것이 금지되어 있지만, 파이브 아이즈 협정은 눈길을 끄는 허점을 만듭니다. 바로 '다른 동맹국이 대신 자국민을 감시하고 그 정보를 공유한다'는 것이죠. 실제 빈도가 얼마나 되는지에 대한 데이터는 많지 않지만, 확인된 사례가 존재합니다. 2015년 뉴질랜드 존 키(John Key) 총리 관련 사건과 1990년대 다이애나 왕세자비 관련 도청 의혹이 대표적입니다.
나인 아이즈(Nine Eyes)와 포틴 아이즈(Fourteen Eyes)
파이브 아이즈가 자동 데이터 공유 협정을 맺은 가장 긴밀한 그룹이라면, 나인 아이즈와 포틴 아이즈가 그 뒤를 따릅니다. 실무적으로 어떤 차이가 있는지에 대한 구체적인 정보는 많지 않지만, 아마도 정보 공유 채널이 더 좁을 것으로 추측됩니다. 예컨대 스톤 고스트에 직접 접근할 수 없다든가 하는 식이죠.
나인 아이즈는 파이브 아이즈에 덴마크, 프랑스, 네덜란드, 노르웨이가 추가된 구성입니다. 공식 문서가 거의 없어 이 이상의 정보는 알려져 있지 않습니다. 더 확실한 증거가 나오기 전까지는, 제임스 본드 영화 <스펙터>에 등장한 나인 아이즈가 실제 나인 아이즈를 충실히 반영했다고 받아들이는 편이 현실적일지도 모릅니다.
포틴 아이즈(Fourteen Eyes): 유럽 확장판
포틴 아이즈는 나인 아이즈에 독일, 벨기에, 이탈리아, 스페인, 스웨덴을 더한 열네 개국입니다. 이 국가들은 주로 유럽에서 활동하는 정보 동맹인 SSEUR(SIGINT Seniors Europe)의 회원국이라는 점에서 별도의 그룹으로 분류됩니다. 나인 아이즈와 마찬가지로 정확히 어떤 수준의 접근권을 갖는지는 밝혀지지 않았지만, 에드워드 스노든에 따르면 독일, 스웨덴, 일본은 NSA 정보에 대한 '원스톱 접근 창구'인 XKeyScore 사용이 허용되었다고 합니다. 포틴 아이즈 국가가 이 시스템에 접근할 수 있다면, 상당히 많은 정보를 접할 수 있다는 뜻입니다.
'아이즈' 외의 정보 공유 협정들
'아이즈'라는 명칭은 공유하지 않더라도 국가 간 정보를 공유하는 카테고리는 무궁무진합니다. SSPAC(SIGINT Seniors Pacific, 태평양 신호 정보 선임그룹)에는 인도, 싱가포르, 한국, 태국이 포함됩니다. 이들은 SIGINT Seniors의 또 다른 지점이라는 점에서 포틴 아이즈의 추가 회원국과 대체로 비슷한 위치로 볼 수 있습니다.
미국은 또한 티어(Tier) 시스템을 통해 협력 국가들을 분류합니다. 티어 1은 종합 협력국(파이브 아이즈), 티어 2는 집중 협력국(주로 유럽의 16개국), 티어 3는 제한적 협력국(프랑스, 인도, 파키스탄 등), 티어 4는 예외적 협력국, 즉 미국의 이해관계에 적대적인 국가들입니다.
대규모 정보 동맹 세계의 마지막 퍼즐은 미국의 제3자 SIGINT 파트너 목록입니다. 아프리카, 아시아, 유럽에 흩어진 33개국이 여기에 속합니다. 이 국가들을 상세히 적어둔 기밀 해제 문서가 공개되기 전까지는, 해당 국가의 고위 정부 관료들, 어쩌면 지도자조차 자신이 이 협정의 당사자라는 사실을 몰랐을 수 있습니다. 이런 협정은 대개 정보기관과 직접 체결되며, "외국의 [정치적] 변동에 거의 영향받지 않기 때문"입니다.
이들은 무엇을 하며, 우리에게 어떤 영향을 줄까?
아이즈 동맹과 기타 정보 협력국들이 운영하는 감시 작전만으로도 두툼한 책 여러 권을 채울 수 있습니다. 일반적으로 이들의 기술은 '회선이나 신호를 통해 전송되는 정보, 인터넷에 연결된 기기에 저장된 정보의 압도적 대부분을 수집할 수 있는 침입형 모니터링 도구'로 요약할 수 있습니다. 여기에 더해 공유 협정에는 통신 정보 외에도 방위 정보(HUMINT), 인적 정보, 지리공간 정보 등도 포함됩니다.
아이즈 및 기타 협력 관계는 참여국들이 단독으로 수집할 수 있는 것보다 훨씬 상세한 정보에 접근할 수 있게 해줍니다. 이런 도구와 공유 프로그램은 테러 대응에서 여러 차례 성공을 거두었기에 지금도 일정한 지지를 받고 있습니다. 하지만 일반 시민의 데이터도 일상적으로 수집·저장·분석·공유되고 있으며, 많은 이들이 이를 심각한 사생활 침해라고 비판합니다.
다만 이제 이들의 존재가 공개된 만큼, 음지에서 활동하던 시절보다 오히려 더 많은 일을 해낼 수 있게 되었을지도 모릅니다. 2018년 9월, 파이브 아이즈 국가들은 공동 각서를 발표해 화제가 되었습니다. 내용은 자체 공동 연구를 통해서든, 아니면 기업들에게 암호화 제품 접근 권한을 제공하거나 백도어를 심도록 강제하는 입법 조치를 통해서든 '암호화 해독 사업'에 뛰어들 계획이라는 것이었습니다. 이는 분명히 프라이버시에 좋지 않을 뿐 아니라, 사이버 보안에도 큰 위협이 될 수 있습니다.
일반적으로 범죄자, 정치 운동가, 프라이버시 옹호자, 음모론자가 아니라면 이것이 삶에 직접적인 영향을 주는 경우는 많지 않습니다. 하지만 앞으로 이런 동맹들은 중요한 공공 정책과 기술 이슈에 큰 영향을 끼칠 수 있습니다.
그래서, VPN이 필요할까?
VPN을 고른다면 '아이즈' 국가 외부에 위치한 업체를 선택하는 것이 일반적으로 권장됩니다. 더 안전하게 하려면 제3자 협력국과 SSPAC 국가까지 피하는 것이 좋습니다. VPN 서버가 이들 국가 밖에 있다면 평균 이상으로 프라이버시가 보장될 가능성이 높지만, 아직 유출되지 않은 정보 공유 협정의 거미줄을 생각하면 절대적인 보장은 없습니다.
신호를 여러 국가를 거쳐 우회시키는 멀티홉(multi-hop) VPN은 역추적을 어렵게 만드는 좋은 방법이지만, 속도가 느리고 비용이 더 듭니다. Tor 역시 언제나 좋은 선택입니다. 다만 진지하게 프라이버시를 생각한다면 Tor를 VPN과 함께 사용해야 합니다. Tor 출구 노드와 목적지 서버 사이의 트래픽은 암호화되지 않으며, 일부 노드는 실제로 정보기관이 운영하고 감시하고 있기 때문입니다.
알려지지 않은 미지의 영역
전 세계적인 감시 네트워크가 존재한다고 주장하던 음모론자들은, 실제로 하나가 아니라 여러 개의 감시망이 존재한다는 사실이 밝혀지며 한바탕 성가를 올렸을 것입니다. 하지만 우리가 아는 동맹 하나당, 아직 안전하게 비밀로 지켜지고 있는 동맹이 더 많이 존재할 가능성이 높습니다. 정보 유출 이후 새로운 기관과 협정이 만들어졌을 것이고, 최근 몇 년간 눈부신 발전을 이룬 인공지능과 블록체인 기술을 활용한 새로운 감시 도구도 개발되었을 겁니다. 당장은 우리가 아는 것에 대해 계속 관심을 갖는 것이 좋은 습관입니다. 일부 정책은 실제 세계에 실질적인 영향을 미칠 수 있으니까요.