미국 정부, 경찰이 영장 없이 미국인 전화 기록 검색하도록 AT&T에 비용 지급

• Ron Wyden 상원의원은 Hemisphere Project가 수조 건의 미국 내 전화 기록을 법집행기관에 검색하게 하는 장기 감시 프로그램이며, 검색이 “보통” 영장 없이 이뤄진다고 문제 삼음
• ONDCP가 AT&T에 비용을 지급하는 구조를 통해 연방·주·지방·부족 법집행기관은 1987년까지 거슬러 올라가는 기록과 매일 추가되는 40억 건의 통화 기록을 검색할 수 있음
• AT&T는 관련 정보 제공이 소환장·영장·법원 명령에 따른 것이라고 했지만, Wyden은 많은 기관이 소환장을 자체 발부할 수 있고 검색도 마약 수사로 제한되지 않는다고 지적함
• Hemisphere 문서는 기밀이 아니지만 Justice Department가 Law Enforcement Sensitive로 지정해 공개를 막고 있으며, 자금 구조 때문에 연방 Privacy Impact Assessment 대상에서도 벗어난다는 주장이 있음
• Wyden과 양당 의원들이 발의한 Government Surveillance Reform Act는 미국인의 전화 기록 감시에 앞서 독립적인 법원 명령을 요구하는 내용을 포함함

---

Hemisphere Project의 범위와 Wyden의 문제 제기

• Ron Wyden 상원의원은 Merrick Garland 미국 법무장관에게 보낸 서한에서 Hemisphere Project를 장기 드래그넷 감시 프로그램으로 규정함
• 법집행기관이 미국 시민과 거주자의 전화 기록을 검색하면서 수정헌법 제4조의 프라이버시 보호를 충분히 고려하지 않는다는 것이 Wyden의 우려임
• Wyden에 따르면 이런 검색은 “보통” 영장 없이 이뤄짐
• Justice Department가 Hemisphere 관련 정보를 공개해야 한다고 요구함

AT&T 지급 구조와 검색 대상

• Hemisphere에서는 White House Office of National Drug Control Policy가 AT&T에 비용을 지급해 법집행기관의 전화 기록 검색을 가능하게 함
• 접근 가능한 기관은 연방, 주, 지방, 부족 법집행기관으로 제시됨
• 검색 가능한 데이터는 수조 건의 미국 내 전화 기록이며, 기록은 최소 1987년까지 거슬러 올라감
• 매일 40억 건의 통화 기록이 추가됨
• Wyden에 따르면 연방·주 법집행기관은 소환장으로 Hemisphere 검색을 요청할 수 있음
  • 많은 법집행기관은 이런 소환장을 자체 발부할 수 있음
  • 전국의 어떤 법집행기관도 검색 접근을 요청할 수 있음
  • 검색은 마약 관련 수사로만 제한되지 않음

AT&T의 입장

• AT&T는 Hemisphere에 관한 구체적 질문에는 답하지 않음
• 대변인은 Wyden 서한에서 언급된 정보가 소환장, 영장, 법원 명령에 의해 강제되는 것이라고 설명함
• 모든 기업과 마찬가지로 정부와 법집행기관의 소환장, 영장, 법원 명령을 법에 따라 준수해야 한다는 입장임
• Wyden 서한의 수신자인 Justice Department로 논평을 넘김

비공개 유지와 공개 기록 소송

• Hemisphere는 2013년 New York Times 보도를 통해 처음 알려짐
• 당시 기사에서는 데이터 저장의 규모와 기간이 Patriot Act에 따른 NSA의 전화 통화 로그 수집을 포함한 다른 정부 프로그램과 비교해도 유례가 없어 보인다고 평가함
• Electronic Frontier Foundation 등 프라이버시 단체들은 Hemisphere를 더 파악하기 위해 Freedom of Information Act와 주 차원의 공공기록 소송을 제기함
• 프로그램과 문서는 기밀은 아니지만 Justice Department가 Law Enforcement Sensitive로 지정함
  • 이 지정은 공개가 진행 중인 수사에 해를 줄 수 있다는 이유로 쓰임
  • 그 결과 문서의 공개 배포가 막힘
• Wyden은 이 지정을 해제하길 원함

Privacy Impact Assessment 회피 주장과 데이터 기능

• Hemisphere는 자금 구조 때문에 연방 Privacy Impact Assessment 대상이 아니라고 주장됨
• White House가 AT&T에 직접 지급하지 않고, ONDCP가 Houston High Intensity Drug Trafficking Area에 보조금을 제공함
  • 이 조직은 연방·주·지방 법집행기관의 파트너십임
  • 이 파트너십이 AT&T에 비용을 지급해 감시 체계를 운영함
• Wyden 서한은 한 법집행 관계자가 Hemisphere를 “AT&T의 Super Search Engine”, “Google on Steroids”라고 표현한 내용을 인용함
• Wyden은 ONDCP 슬라이드와 DEA 이메일을 근거로 AT&T가 자사 wholesale division에 보관된 기록을 검색한다고 밝힘
  • 이 부문은 다른 통신사와 그 고객의 통신을 운반함
• ONDCP 문서에 따르면 Hemisphere는 수사 대상자가 쓰는 대체 번호를 식별하고, 위치 데이터를 얻고, 한 대상 번호에 대해 “두 단계의 통화 상세 기록”을 확보하는 데 쓰일 수 있음
  • 이 조항은 수사 대상자와 통신한 모든 사람의 전화 기록까지 검색에 포함될 수 있음을 뜻함

입법 움직임

• Wyden과 미국 상·하원의 양당 의원들은 Government Surveillance Reform Act를 발의함
• 이 법안은 여러 내용 중 하나로, 미국인의 전화 기록 감시에 앞서 독립적인 법원 명령을 요구함

[GN⁺]

Hacker News 의견들

• 내가 좋아하는 글 중 하나가 떠오름: https://kieranhealy.org/blog/archives/2013/06/09/using-metad...
  이게 얼마나 위험한지 이해하지 못하는 친구들에게 공유하기 좋은 글임

  • 잘 모르겠음. 결국 이건 영국이 반란의 핵심 인물을 식별하고 막을 수 있었던 방법을 보여주는 시연 아닌가?
    사람들이 그 개념 자체에 화낼 거라고 보는 건가?
    이 예시는 좋지 않음
    현실적으로 보자면, 보통 사람은 “반란을 막을 수 있었네”라고만 볼 가능성이 큼. 부정적 결과를 잘 설명하는 예시가 아님
    사람들은 두려움 때문에 모든 걸 포기함. 심지어 Google에 구슬과 장신구를 받는 대가로 프라이버시 전체를 넘기기도 함
    이 예시는 정부가 실제 폭력적 반란을 좌절시킬 수 있음을 보여줌. 평균적인 사람들은 “좋네”라고 생각할 것임
  • https://dave.autonoma.ca/blog/2019/06/06/web-of-knowledge/
    “메타데이터는 정보에 관한 정보다. 도서관 카드 목록은 메타데이터의 예다. 책 자체가 정보의 보고라면, 카드 목록은 그 책들에 대한 세부 정보를 담는다. 전화 통화의 메타데이터에는 누가 누구에게 전화했는지, 날짜와 시간, 양쪽의 위치, 통화 시간이 포함될 수 있다…”
    “그런 메타데이터가 제3제국에 있었다면, Kelly는 천공카드의 코드 3(동성애자)로 표시되고 체포된 뒤, 연좌에 의해 유죄가 되어 코드 4(처형)로 사망이 기록됐을 것이라고 쉽게 상상할 수 있다. 대화 내용을 알았다면 Kelly의 행동에는 완전히 다른 해석으로 이어질 다른 설명도 가능하다”
  • 이걸 로마인이 메타데이터로 예수를 추적하는 이야기로 다시 쓰면 좋겠음. 복음주의자 일부를 우리 편으로 끌어올 수도 있음

• 이 시스템은 충분히 제한되어 있어서, 보안관 한 명 있는 20명짜리 마을이 1,000마일 떨어진 사람의 통화 기록에 접근하지 못하게 되어 있나?

  • 아예 존재하지도 않는 “20명짜리 마을”이 그럴듯한 경찰서 웹사이트를 만들고, 경찰서장이 AT&T에 자살 방지를 위한 긴급 접근을 요청하는 이메일을 보내면 어떻게 됨?
  • 시스템에 대해 아무 세부 정보도 공개하지 않음. 그게 이 글의 핵심 중 하나이고, Wyden이 기밀 해제를 요구하는 이유이기도 함
  • 아마 아닐 텐데, 왜 그런 작은 곳을 걱정하면서 연방정부는 걱정하지 않는지 모르겠음

• Hemisphere에 대한 추가 정보는 EFF 웹사이트에 있음: https://www.eff.org/cases/hemisphere

  • AT&T는 예전부터 단순히 기록을 모아 연방정부에 넘기는 것보다 훨씬 많은 일을 해왔음
    기록을 데이터 마이닝해서 커뮤니티 지도, 어쩌면 과거 위치까지 만들어왔음
    수십 년 동안 해왔고, 2000년대 초에는 이를 위해 자체 프로그래밍 언어까지 만들었음
    https://web.archive.org/web/20170129095532/https://www.wired...

• “큰 성과를 낸 시도는 거의 없다. 연방정부가 Hemisphere를 비밀로 유지하기 위해 가능한 모든 일을 하는 것으로 보인다.”
  나에게 가장 우려되는 부분은 이 대목임. 정부가 그 정보를 합법적으로 얻는 방법은 있는데, 시민의 권리를 위해 협조하는 데는 이렇게 적대적이라면 특히 걱정됨. 자신들이 누구를 섬기고 누구를 위해 일하는지 잊은 것 같음

  • 잊은 게 아니라, 애초에 당신이 생각한 그 사람들을 위해 일한 적이 없었을 뿐임

• 헌법상 권리를 침해한 책임으로 누가 감옥에 가게 됨?

  • 현재 헌법 판례상, 자발적으로 제3자와 교환한 정보를 그 제3자에게서 가져오는 데 영장이 필요하다고 보긴 어려울 것 같음
    가장 관련 있는 판례는 아마 Smith v. Maryland임
    https://supreme.justia.com/cases/federal/us/442/735/
  • 하, 좋은 농담임. 아무도 안 감. 예전에 다른 글에서 나온, 왜 그런 일이 안 생기는지 보여주는 예가 있음
    “NSA는 미국 인터넷 트래픽의 약 75%에 도달할 수 있는 감시망을 구축했다.”
    “2012년 5월 NSA 내부 감사는 2011년 4월부터 2012년 3월까지 미국인 및 미국 내 외국 표적에 대한 감시에서 규칙이나 법원 명령을 위반한 사건 2,776건을 확인했다. 미국 관리들은 어떤 실수도 의도적이지 않다고 강조했다.”
    “미국 정부의 방대한 감시 프로그램을 핵심적으로 감독해야 하는 FISA 법원은 그 역할을 수행할 능력이 제한적이다.”
    “2013년 8월 21일 기밀 해제된 법률 의견에 따르면, NSA는 2011년 감시를 감독하는 FISA 법원이 해당 작전을 위헌으로 판단하기 전까지 3년 동안 테러와 연계된 혐의가 없는 미국인의 전자통신을 매년 최대 56,000건씩 가로챘다.”
    https://en.m.wikipedia.org/wiki/2010s_global_surveillance_di...
    핵심은 이 부분임: “정부가 미국인을 부적절하게 감시했을 때 스스로 보고하리라고 신뢰해야 한다”
    법원은 그들에게 스스로 감시하고 범죄를 저지르면 자백하라고 한 셈임. 명예 제도였고, 당연히 그들은 자기 자신을 법원에 고발하지 않았음. 왜 그러겠음
  • 왜 항상 누군가 감옥에 가야 하나? 그냥 프로그램을 중단하면 됨. 명백히 불법이 된 뒤에야 수감자 명단에 사람을 추가하면 됨
  • 이걸 보도한 기자들이 제일 먼저 줄 서게 될 것임

• 도덕 논의를 제쳐두고, 이건 반경쟁적이지 않나? 모든 통신사에 적용되는 법을 통과시키는 대신, 정부가 승자를 골라 돈을 준 셈임

  • “정부가 승자를 골라 돈을 줬다”는 게 바로 정부 조달이 의미하는 바임. 경쟁 절차는 계약 수여 전에 이루어지고, 그 이후에는 대체로 한 고객과 한 판매자 관계로 묶임

• 이게 Project 2025의 구상을 뒷받침하는 데 쓰인다면… 더 어두운 걸 상상하기 어려움

  • 정말 마음먹고 생각해보면 더 어두운 것도 분명 상상할 수 있을 것임

• 오픈소스 휴대폰 운영체제와 종단 간 암호화 통신을 쓰기 시작해야 할 더 좋은 이유가 됨
  힌트: https://wiki.postmarketos.org/wiki/Devices

  • 맞음. 소비자는 자기 데이터가 다른 회사에 넘어가는 순간 곧바로 팔릴 것이라고 예상해야 함
    Facebook, Google 등이 사용자 데이터가 돈이 된다는 걸 증명했음. 다른 회사들이 같은 수익 흐름에 뛰어들고 싶어 하는 게 왜 놀라운가?
    사용자들은 더 이상 약관을 읽지 않음. 회사가 약관에 데이터 수집과 판매를 넣어두고 고객이 계속 동의한다면, 무엇이 문제인가?
    고객은 지갑으로 투표해서 데이터를 존중하는 제공업체로 옮기거나, 선출직 정치인에게 이런 데이터 판매를 불법으로 만들라고 압박할 수 있음
  • 진지한 질문인데, 이게 iPhone을 쓰면서 합법적인 종단 간 암호화 앱을 쓰는 것보다 어떻게 더 나음?

• AT&T 대변인은 “Wyden 상원의원의 서한 수신자인 법무부에 논평을 맡긴다. 모든 회사와 마찬가지로 우리는 정부와 법집행기관의 소환장, 영장, 법원 명령을 법에 따라 준수해야 한다”고 말했음
  좋음. 그런데 그들이 40년치 통화 기록을 보관해야 할 법적 의무가 있나? 단순히 보관하는 것뿐 아니라 쉽게 색인 가능한 방식으로 보관해야 하나?
  그렇지 않다면 분명 무언가가 진행 중임. 그런 기록을 안 보관하는 것과 비교하면 보관 비용도 싸지 않을 것임. AT&T는 주주가 있는 상장회사이니, 기록을 없애는 쪽이 더 싸다면 이미 없앴을 텐데… 대체 무슨 일이 벌어지는 건가?

  • 연방정부가 보통 기밀 예산으로 매년 돈을 내고 이런 접근권을 확보할 것임. 다른 것처럼 조달한 다음, 방대한 비공개 예산 속에 숨기는 방식임

• 최근 FCC 변경 이후에도 스팸 전화가 정상 전화만큼 많이 옴. 이런 스팸 통화 기록은 거의 무제한으로 있을 테니, 출처를 조사해서 막는 건 쉬워야 함