사용자 데이터를 보유하지 않으면 유출할 수 없습니다

• Matter는 긍정적 기억과 감정 평가를 기록해 나중에 회상하도록 돕는 iPhone 앱을 만들면서, 민감한 사진과 감정 데이터를 회사가 보지 못하게 하는 프라이버시 우선 설계를 기반으로 삼음
• 설계의 중심은 사용자 신뢰, 실수·버그로부터의 보호, 향후 회사가 압박받거나 인수되는 상황까지 고려한 위협 모델이었음
• 사적인 감정 평가, 기억 설명, 첨부 사진은 Matter 서버가 아니라 iPhone의 Core Data와 사용자의 iCloud 비공개 데이터베이스에 저장되며, 회사는 Apple 도구로도 접근할 수 없게 구성됨
• 회사가 받는 것은 Matter Score처럼 입력값을 되돌릴 수 없는 결과 일부와 비공개 사용 이벤트 지표이며, 계정도 이메일·비밀번호 없이 번호화된 계정으로 다룸
• 데이터 유출 가능성은 줄어들지만, 회사가 사용자를 식별하거나 데이터를 보유하지 않기 때문에 분실 데이터 복구는 대신해줄 수 없고 사용자가 백업/복원을 활용해야 함

---

Matter의 출발점과 프라이버시 결정

• 2024년 10월 1일부로 Sean Coates는 Matter의 VP of Technology 역할에서 물러났으며, 이후 앱의 프라이버시 측면을 더 이상 개인적으로 보증할 수 없음
• Matter는 처음 Faculty의 클라이언트로 시작했고, 이후 에이전시-클라이언트 관계에서 스타트업 관계로 전환되며 Coates가 VP of Technology를 맡음
• 제품 아이디어는 사용자가 긍정적 경험의 기억을 기록하고 나중에 회상해 행복감을 높일 수 있게 하는 방향에서 출발함
  • 사용자는 긍정적 경험의 사진을 저장하고, 당시 느낀 감정을 평가해 나중에 다시 떠올릴 수 있음
  • Coates는 처음에는 웰니스식 주장에 회의적이었지만, 긍정적 경험을 회상하면 관련 신경전달물질이 생성·방출되어 행복감을 높일 수 있다는 기술과 과학에 설득됨

“왜 그런 데이터를 회사에 보내야 하는가”라는 질문

• 결정적 질문은 사용자가 사적인 사진과 sexual desire 같은 민감한 감정 평가를 왜 Matter에 보내야 하느냐였음
• 이 질문을 계기로 Matter는 사적인 사용자 콘텐츠를 다루는 방식과 위협 모델링을 제품 초기에 정함
• 프라이버시는 나중에 덧붙일 기능이 아니라 제품 설계를 좌우하는 핵심 가치가 됨
  • 이미 사용자 데이터를 회사 내부에 노출한 뒤 프라이버시를 추가하는 방식은 오류가 나기 쉽거나 불가능할 수 있다고 판단함

세 가지 원칙과 극단적 시나리오

• Matter는 사용자 데이터 처리 원칙을 세 가지로 정리함
  • 사용자가 회사의 데이터 처리 방식을 믿을 수 있도록 신뢰를 만들어야 함
  • 직원의 약한 비밀번호나 코드 버그가 있어도 사용자 데이터가 유출되지 않아야 함
  • 현재 팀의 선의에만 기대지 않고, 미래에 회사를 통제하는 권력이 생기거나 신뢰할 수 없는 인수자가 등장하는 상황에도 견뎌야 함
• 인프라 수준에서도 극단적 질문을 검토함
  • 자체 데이터센터를 지어야 하는지 논의했지만, 물리 계층은 더 큰 호스팅 사업자가 더 잘할 수 있고 산을 파서 민병대를 고용하는 데 자금을 쓰고 싶지는 않다고 판단함
  • 악의적 국가 권력이 특정 사용자 데이터를 원하고 가족을 납치하는 상황까지 가정했으며, 그 경우에도 넘겨줄 데이터가 없도록 하는 방향을 택함
• 최종 선택은 사용자 사적 데이터를 아예 보유하지 않는 것이었음

Matter가 실제로 데이터를 다루는 방식

• 사용자가 Matter에서 pride 같은 감정을 높게 평가해도 회사는 그 사실을 알 수 없음
  • 지표 시스템은 이런 개인 데이터를 수집하지 않도록 의도적으로 구성됨
  • 해당 데이터는 사용자 기기에서 실행되는 앱만 접근함
• Matter는 iPhone 앱이며 데이터는 휴대폰의 Core Data와 사용자의 iCloud 계정 내 비공개 데이터베이스에 저장됨
  • 회사 개발자 자격 증명으로 실행되는 앱 코드는 기기 안에서 데이터를 읽고 쓸 수 있음
  • 데이터는 Matter로 전송되지 않으며, Apple 도구를 통해서도 회사가 접근할 수 없음
• 회사가 받는 데이터는 일부 입력의 결과물이지만, 원래 입력값으로 되돌릴 수 없는 형태임
  • 예를 들어 결과값 600만 알면 입력이 1 × 600, 100 × 6, 30 × 20, 12 × 50 중 무엇이었는지 알 수 없음
  • Matter Score는 알 수 있지만 어떤 입력이 점수를 만들었는지, 기억을 어떻게 설명했는지, 사진에 무엇이 있는지는 알 수 없음
  • 회사가 아는 것은 어떤 번호화된 계정에 기억이 있고 점수가 600이라는 정도임
• Matter는 현재 앱 사용자 계정에 이메일 주소를 연결하지 않으며 비밀번호도 없음
  • 메일링 리스트 외에는 이메일 주소를 보유하지 않음
  • 메일링 리스트 사용자와 앱 사용자 사이에 강제 연결도 없음
  • 앞으로 사용자가 원하면 자기 식별을 허용할 수 있지만, 그 경우에도 사적 데이터는 수집하지 않는 방향을 유지할 계획임

암호화된 이미지 저장과 복구의 대가

• 사용자가 기억에 이미지 같은 콘텐츠를 추가해도 Matter는 그것을 회사가 볼 수 있는 방식으로 보관하지 않음
  • 기본적으로 이미지는 사용자 기기에 저장됨
  • 기기 저장공간 한계 때문에, 온디바이스에서 암호화된 이미지 같은 자산을 저장하는 시스템도 있음
  • 실제 사진 내용과 복호화 키는 Matter로 전송되지 않음
  • 회사 입장에서는 저장된 데이터가 사진이 아니라 무작위 노이즈처럼 보이는 바이너리 암호문임
• 이 설계는 복구 측면에서 뚜렷한 대가를 만듦
  • 사용자가 데이터를 잃어버려도 Matter는 복구해줄 수 없음
  • 이메일로 사용자를 식별해 비밀번호를 재설정할 수 없고, 이메일 주소와 비밀번호가 있더라도 회사가 데이터를 보유하지 않기 때문에 복원할 수 없음
• 현재 앱에는 백업/복원 기능이 있으며, 데이터 손실을 막으려면 사용자가 직접 활용해야 함
• 사용자 대신 백업을 저장하면서도 사용자를 식별하고, 회사가 접근할 수 없는 방식으로 데이터를 보관하는 문제는 아직 해결 과제로 남아 있음
• Matter는 개인정보 처리방침에 묶여 있으며, Coates에게 프라이버시 구현 감독은 Matter에서 했던 여러 기술 작업 중 가장 보람 있는 일 중 하나였음

[GN⁺]

Hacker News 의견들

• 핵심 생각에 동의함. 저장하지 않으면 유출할 수도 없음이라는 접근이 맞고, 법 체계도 이런 사고방식을 더 장려하도록 결과 중심이어야 한다고 봄
  해킹당했을 때 “업계 기준대로 다 했다”는 건 별로 중요하지 않고, 내 정보가 털렸다는 사실이 중요함. 업계가 옳다고 믿던 방식을 따랐더라도 책임을 져야 함

  • “유출할 수 없게 정보를 저장하지 말라”는 좋은 생각임. 최소 권한 원칙과 비슷하게, 제공하는 서비스에 필요한 것만 보관해야 함. 제공자와 소비자 모두에게 위험이 줄어듦
    다만 미국에서는 개인정보가 돈이 된다고 판단하는 회사가 늘어나는 것 같음. 대부분의 매장이 리워드 프로그램을 운영하며 무엇을 언제 샀는지 수집하는 이유도 여기에 있음
    단순 재방문 유도라면 10년 전처럼 스탬프 카드만 써도 됐을 것임. 데이터를 어떻게 쓰는지는 모르지만, 받은 가치가 보상 비용보다 크지 않다면 왜 무료 음식이나 할인 같은 유인을 제공하겠음
  • 유출 책임 보험을 두고, 유출할 게 없으면 보험료를 낮게 하면 됨
    물론 이건 애초에 회사가 실수에 대해 실제로 비용을 치르는 다른 세상을 전제로 함
  • 취지에는 동의하지만, 실제로 어떻게 구현할 수 있을지는 잘 모르겠음
    법이 정직하게 최선을 다한 사람을 처벌해서는 안 되고, 특히 “업계 표준이었어도 상관없다”는 단서가 붙으면 더 위험함. 혼란스럽고 엉뚱한 사람을 처벌할 가능성이 크며, 경쟁사를 해킹하도록 유도한 뒤 법적 책임에 밀어 넣는 인센티브까지 생김
  • 법률가는 아니지만, 다른 범죄에는 이런 정도 차이가 이미 있음
    실수로 사람을 죽이면 과실치사가 될 수 있고, 악의와 계획을 갖고 죽이면 가중·계획 살인이 됨
    결국 생명이 사라졌다면 어느 정도의 사법적 검토는 있어야 함. 그런데 해킹 사건에는 그런 절차가 잘 보이지 않음
  • 개인정보 침해가 늘어나는 근본 원인은 감시와 해킹을 막는 법 체계에 거대한 취약점이 있기 때문임
    허락 없이 개인정보를 수집하는 스파이웨어를 개발·배포하는 건 불법이고, 수집한 데이터를 유출하지 않아도 불법임. 하지만 화려한 마케팅, 이해하기 어려운 수십 쪽짜리 약관과 “개인정보” 정책으로 감싸면 갑자기 합법이 되고, 심지어 데이터를 유출하거나 팔아도 거의 처벌받지 않음
    이는 미국뿐 아니라 유럽에서도 마찬가지임. GDPR 이전에도 대부분의 국가는 개인정보 처리·사용·저장 관련 법이 있었지만 집행되지 않았음. GDPR도 집행 측면에서는 별로 낫지 않아서, 수많은 비준수 “동의” 흐름이 보이고 동의 없는 데이터 처리에 기반한 사업들이 여전히 잘 굴러감

• 내 관점과도 꽤 잘 맞음
  다만 이 생각 때문에 동료들 사이에서 인기가 좋아지지는 않았음. 이 업계 전체가 개인식별정보 수집에 흠뻑 젖어 있고, 그 정보를 너무 가볍게 다룸. 심지어 솔리테어 앱도 순위표와 챌린지 가입을 계속 유도함
  새 앱에서 돼지도살 사기로 보이는 가입을 약 30% 비율로 거절하고 있는데 꽤 정신이 번쩍 듦. 가입은 전부 수동 검토하고, 수량 자체에는 크게 관심 없음. 미국·캐나다·인도만 대상으로 하고 홍보도 거의 안 했는데 사기꾼들이 바로 달려들었음
  지금은 조잡하지만, 우리가 특정 인구통계를 대상으로 해서 위조가 어렵기 때문일 뿐이고 곧 바뀔 거라고 봄. 결국 나쁜 사람은 들어온다고 받아들이게 됐고, 그래서 그들이 술장을 털러 와도 안에 아무것도 없게 만드는 게 중요함

• 제목의 주장에 많이 공감함. 거대한 데이터 사일로를 둘러싼 데이터 거주성, 무결성, 기밀성 대책과 이를 관리·확장하는 인프라 팀, 그리고 결국 웹에 올라오는 “복음” 같은 기술 글들을 보면 놀라운데, 회사가 그냥 그 데이터를 수집하지 않으면 되기 때문임
  “데이터는 기기에 머물고, 우리는 보지 않는다. 많아야 최소한의 위치 통계만 받는다”는 모델이 마음에 듦. 다만 그들의 지표 시스템이 악용되지 않을 거라는 주장에는 의문이 있음. 프로그래밍된 것은 재프로그래밍되거나 업데이트될 수 있고, 특히 업데이트 중심인 요즘은 더 그렇기 때문임. 사용자가 절대 감시당하지 않도록 신경 썼다는 일반적인 설명 외에는 이 부분을 충분히 다루지 않은 것 같아서, 기술 글이 있으면 보고 싶음
  덧붙여 Sentinel Devices에서도 산업용 기계에 대해 정확히 이런 “우리는 데이터를 보유하지 않는다” 접근을 취하고 있음. 에어갭된 자동화 AI 파이프라인을 떠올리면 됨. 채용 중이니 관심 있으면 [e-mail] 으로 연락하면 됨

• 그래서 B2B SaaS는 SSO에 기업용 가격을 붙이는 걸 멈추고, IdP나 OAuth/OIDC 같은 흐름을 그냥 필수로 해야 함
  https://vaultvision.com/blog/what-is-oidc
  사용자 경험은 이런 “continue with” 버튼임
  https://id.atlassian.com/login
  https://www.xsplit.com/user/auth
  그러면 잃어버릴 계정 자격 증명 자체를 갖고 있지 않게 됨. 개인정보, 개인식별정보 등은 위험 부채임

  • 그러면 메타데이터를 활용한 맞춤형 광고로 수십억 달러를 어떻게 벌겠음

• 관련 개념으로 Datensparsamkeit가 있음: https://martinfowler.com/bliki/Datensparsamkeit.html

  • 약간 관련 있는 글도 있음: https://www.w3.org/2001/tag/doc/leastPower.html
  • 더 나은 표현은 Datenenthaltsamkeit, 즉 데이터 금욕임. 덜 저장하는 수준이 아니라, 다른 선택지가 없을 때만 정말로 저장하는 것임

• Maciej Cegłowski의 Notes From An Emergency [1]에도 비슷한 내용이 있음
  “누구든 시간이 지나도 대규모 데이터 모음을 안전하게 지킬 수 있는지는 분명하지 않다. 공격과 방어의 비대칭이 너무 클 수 있다. 대규모 방어가 가능하다면, 유일한 방법은 최고의 방어 인력을 고용하는 데 수백만 달러를 쏟아붓는 것이다. 최고 수준의 데이터 침해는 위협이 실제이고 지속적임을 보여줬다. 그리고 우리가 아는 침해 하나마다, 몇 년 동안 알지 못할 조용한 침해가 여럿 있다
  하지만 방어에 성공할수록 위험은 커진다. 성벽 뒤에 보물을 충분히 쌓아두면 결국 그 벽을 오를 수 있는 누군가를 끌어들이게 된다. 봉건제는 인터넷을 더 취약하게 만들고, 결국 침해가 발생했을 때 재앙이 되도록 보장한다”
  [1] https://idlewords.com/talks/notes_from_an_emergency.htm

• 사용자 데이터를 보유하지 않겠다는 약속을 계약상 페널티와 함께 할 의향이 있나? 아니라면 진지한 게 아님
  “Facebook - 무료이며 앞으로도 항상 그럴 것입니다”를 기억해야 함

• 인용된 설명을 보면, 사용자가 입력한 모든 사진의 암호화된 버전을 서버에 저장하지만 키는 저장하지 않는다는 뜻인가?
  그렇다면 암호화된 사용자 데이터를 저장하는 게 반드시 세상의 끝은 아니지만, 왜 사용자 데이터를 전혀 저장하지 않는 것처럼 홍보하는지 모르겠음. 실제로는 많은 회사가 하는 것처럼 암호화된 사용자 데이터를 저장하는 것이고, Backblaze도 같은 방식을 씀. 혹시 내가 잘못 이해한 걸 수도 있음

  • 암호화된 데이터가 서버가 아니라 사용자 기기에 있다는 뜻으로 읽었음

• 개인정보 처리방침을 보면: https://matter.xyz/privacy
  “이 개인정보 처리방침을 변경하면 여기에서 업데이트하고 상단의 시행일을 갱신합니다. 모두의 이메일 주소를 수집하지 않기 때문에 변경 사항을 이메일로 보낼 수 없습니다. 이 정책의 변경 사항은 소급 적용되지 않습니다.”
  사실상 언제든 바꿀 수 있고, 사용자는 아마 모를 것임
  이를 위반하면 사용자가 집행할 힘이 있나? 변호사에게 여섯 자리 금액을 내야 하나? 어떤 법에 따른 어떤 손해를 위해서?
  또 여기서 소급 적용되지 않음이 법적으로 무슨 뜻인지도 잘 모르겠음. 회사가 내 데이터를 갖고 있고 정책을 바꾸면, 내일부터 새 정책에 따라 내 데이터를 쓸 수 있나? 어차피 변경 사실을 모를 테니 별 의미는 없지만

  • 정책 변경이 이전 버전에서는 위반이었지만 새 버전에서는 위반이 아닌 과거 행위를 정당화하는 데 쓰일 수 없다는 뜻일 수 있음
    물론 회사의 개인정보 처리방침이 법적으로 얼마나 집행 가능한지 완전히 이해하고 있지는 않음
  • 개인정보 보호를 극단적으로 중시하는 입장에서는 이게 사실상 최선에 가까움. 이메일을 갖고 있지 않으면 보낼 수 없고, 정책이 바뀌어도 그 변경은 기존 사용자에게 적용되지 않음
    “소급 적용되지 않는다”는 건 업데이트된 버전이 기존 데이터 사용에 적용되지 않는다는 뜻이므로, 새 정책에 따라 사용자의 데이터를 쓰는 가능성을 명시적으로 배제한 것임

• 맞음
  사이버 보안 일을 하는데, 가능한 모든 위협을 완화하려 하기보다 훔칠 데이터 자체를 갖고 있지 않는 것이 답이라는 확신이 날이 갈수록 커짐
  여기에 제로 트러스트와 2단계 인증/패스키를 결합하면, 업계가 좋아하는 수많은 뱀기름식 보안 솔루션보다 훨씬 더 큰 효과를 낼 수 있음