iOS 18 및 macOS 15에서 Apple Photos의 원격 데이터 전송 기능

• iOS 18과 macOS Sequoia의 Photos에 Enhanced Visual Search가 추가됐고, 글쓴이의 iPhone과 Mac에서는 기본으로 켜져 있었음
• 이 기능은 사진 속 랜드마크와 관심 지점을 Apple 서버의 글로벌 인덱스와 비공개 매칭해 검색을 돕는 방식임
• Apple은 동형암호, 차등 프라이버시, OHTTP 릴레이로 사진 정보를 알 수 없게 한다고 설명하지만, 서버 통신 자체가 사생활 보호 논쟁의 핵심이 됨
• 비판의 초점은 Apple의 악의가 아니라 소프트웨어 버그 가능성에 있으며, Apple 보안 릴리스 노트에 취약점이 계속 올라온다는 점이 근거로 제시됨
• macOS에서는 Little Snitch로 통신을 어느 정도 막을 수 있지만, iOS에는 같은 선택지가 없어 사용자가 스스로 보호하기 어려움

---

Enhanced Visual Search의 기본 활성화

• iPhone의 Photos 설정에 Enhanced Visual Search라는 새 항목이 추가됐고 기본 활성화돼 있었음
• 같은 설정은 macOS Sequoia의 Photos에도 새로 들어갔으며, Mac에서도 기본으로 켜져 있었음
• 글쓴이는 스크린샷을 찍기 전에 해당 설정을 수동으로 비활성화했음

Apple 문서에 나온 동작 방식

• Apple의 Photos & Privacy 문서는 Enhanced Visual Search가 사진을 랜드마크나 관심 지점으로 검색할 수 있게 한다고 안내함
• 기기는 사진 속 장소를 Apple 서버의 글로벌 인덱스와 비공개로 매칭함
• Apple은 개인정보 보호를 위해 다음 기술을 사용한다고 밝힘

  • 동형암호

  • 차등 프라이버시

    • IP 주소를 숨기는 OHTTP 릴레이
    • 설정은 Apple 문서상 iOS·iPadOS에서 Settings > Apps > Photos, Mac에서는 Photos > Settings > General에서 끌 수 있음
    • Apple Machine Learning Research의 Combining Machine Learning and Homomorphic Encryption in the Apple Ecosystem는 2024년 10월 24일 공개됐고, iOS 18과 macOS 15의 일반 공개일은 2024년 9월 16일이었음

사생활 보호에 대한 비판

• 비판의 출발점은 사용자가 요청하지 않았는데도 Apple이 기기 내 경험을 서버 통신으로 강화했다는 점임
• 글쓴이의 기준에서는 연산이 모두 기기 안에서 끝나야 사적이며, 제조사 서버로 데이터가 나가면 완전히 사적이라고 보기 어려움
• Apple의 구현이 기술적으로 안전한지는 글쓴이도 직접 평가할 수 없다고 밝힘
• 다만 Apple의 보안 릴리스 노트에 취약점이 계속 올라온다는 점 때문에, Apple의 프라이버시 주장을 그대로 신뢰하기 어렵다고 봄
• 악의나 음모가 없어도 소프트웨어 버그만으로 사용자가 취약해질 수 있으며, Apple이 버그 없는 소프트웨어를 보장할 수는 없다는 비판임

사용자 선택권과 차단 도구

• 글쓴이는 Enhanced Visual Search에 관심이 없어서, 기능이 완벽하게 동작하더라도 위험을 감수할 이익이 없다고 봄
• 사용자의 허락 없이 기능을 켜는 방식은 사용자와 선호를 존중하지 않는 행위로 비판됨
• “What happens on your iPhone, stays on your iPhone.”이라는 Apple 광고 문구는 이 사례와 맞지 않는다고 주장함
• macOS에서는 Little Snitch로 Apple 소프트웨어의 원격 통신을 대체로 막을 수 있음
• iOS에서는 Little Snitch 같은 도구가 허용되지 않아, Apple이 사용자가 스스로를 보호하는 일을 막고 있다고 느낌

후속 자료

• 2025년 1월 1일 부록에서 후속 글 The internet is full of experts와 Michael Tsai의 정리가 함께 제시됨

[GN⁺]

Hacker News 의견들

• 원하는 건 아주 단순함: 명시적 의도가 있기 전에는 인터넷으로 아무것도 보내지 않는 소프트웨어를 원함
  이 기능을 그럴듯하게 사적으로 만들려는 공학적 작업은 멋지고, 이런 기능을 구현하는 것 자체도 문제는 아니지만, 반드시 옵트인이어야 함
  소프트웨어가 최종 사용자와 그들의 데이터, 네트워크 연결 같은 자원을 벤더의 놀이터처럼 다루는 한 신뢰는 계속 깎일 것임. 로컬 기기 데이터가 무선 인터페이스 밖으로 예상치 못하게 새어 나가면 안 되고, 로컬 데이터가 네트워크로 나가는 기능에는 반드시 사용자 의도가 연결돼야 함
  Apple이 왜 그냥 사용자에게 이 기능을 켤지 묻지 않았는지에 대한 냉소적 답은, 물어보면 일부 사용자가 즉시 거부할 걸 Apple도 알지만 자신들이 그 사용자들보다 더 잘 안다고 느끼기 때문이라고 봄. 이런 태도가 싫고, 옵트아웃 원격 측정에 대한 불만이 커지는 이유도 같다고 봄

  • 그런 사고방식이 끔찍한 쿠키 배너를 낳았음
    대부분의 사용자가 무심코 “허용”을 누를 대화상자를 더 늘린다고 문제가 해결되진 않음
    사회는 사실상 제3자에게 데이터 접근권을 넘기는 것을 괜찮다고 받아들였고, 여기에 마찰을 추가하면 어차피 이런 서비스를 쓰지 않을 2%를 위해 98%를 벌주는 셈임
    더 교육된 대중이라면 균형이 바뀔 수도 있겠지만, 현실은 그렇지 않고 좋은 사용자 경험은 현실을 반영해야 함
  • 옵트인은 작동하지 않고, 애초에 작동한 적도 없음
    압도적 다수의 사용자, 95% 이상은 팝업이 무슨 뜻인지 이해하지 못하고, 읽을 능력 자체가 없어 보이며, 항상 수락하거나 항상 거부하거나 더 눈에 띄는 버튼을 누름
    기술 업계도 아니고 전문 관리직 계층도 아닌 가족 구성원을 관찰해보고, 방금 닫은 팝업이 무엇이었고 왜 닫았는지 물어보면 기술과 프라이버시의 상호작용에 대해 가장 좋은 교훈을 얻을 수 있음
  • iOS 사진은 오래전부터 사진이 찍힌 주소로 사진을 검색할 수 있었음
    그러려면 사진 위치의 위도/경도를 가져와 사람이 이해할 수 있는 주소로 바꾸는 역지오코딩 조회가 필요하고, 이는 거의 항상 전역 역지오코딩 서비스에 질의하는 방식임
    이 기능도 프라이버시 침해라서 옵트인이 필요하다고 보는지 궁금함. 아니라면 역지오코딩 서비스가 랜드마크 조회 서비스보다 더 사적인 이유가 무엇인지 모르겠음
  • 결과는 https://chromewebstore.google.com/detail/i-still-dont-care-a... 같은 것임
    개인적으로 이런 팝업이 어떤 목적을 달성한다고 믿지 않음. 결국 웹사이트가 선의로 행동하는지 합리적으로 증명할 수 없기 때문임. 앱이 서버에 연락해도 되는지 묻는다고 해서 “아니오”를 누르면 실제 추적이 막힌다는 보장도 없음
    규모 있는 프라이버시가 다양한 예/아니오 버튼 조합으로 작동할 것이라고 스스로 설득하는 모습이 계속 놀라움. 소프트웨어를 신뢰하는 방법은 둘뿐임: 1. 순진하게 “privacy first”가 어디 적혀 있는지 확인하기 2. 실행 중인 소프트웨어가 어떤 명령어를 실행할 수 있는지까지 이해하기
    권한 팝업은 세분성도 부족함. 연락처 목록 접근을 허용할 때 실제로 어떤 연락처를 접근하는가? 이름만 허용하고 전화번호는 막을 수 있는가? 오프라인 처리인가 온라인 처리인가? 온라인이면 인터넷 접근 팝업을 또 띄워야 하나? 그러면 어떤 종류의 인터넷 행위를 하는지도 필터링할 수 있어야 하나? 이렇게 내려가다 보면 결국 튜링 완전한 권한 시스템에 도달하고, 그렇지 않으면 “프라이버시”에는 구멍이 생김
  • 옵트인이 있어도 벤더는 사용자가 부주의한 순간 “예”를 누를 때까지 계속 괴롭힐 것임
    분명 내가 체크하지 않은 상자가 체크돼 있는 걸 본 적도 있음. 이런 것들을 꺼버리고 다시는 못 켜게 하고 싶지만 벤더가 허용할 리 없음. 그래서 Linux를 씀

• 내 무료 오픈소스 앱 사용자들은 우리가 사용 패턴에 대한 통찰을 전혀 갖고 있지 않다는 사실에 놀라는 것 같음
  소량의 익명 원격 측정이 엄청나게 도움이 되는 상황은 있지만, 손대지 않을 생각임
  옵트인은 데이터 양이 크게 줄어드는 것뿐 아니라 선택된 데이터에 큰 편향을 넣기 때문에 데이터를 쓸모없게 만듦. 옵트인할 사람들은 아마 “전형적 사용자”의 좋은 표본이 아닐 것임
  옵트아웃은 어떤 보호장치나 보장을 제공하더라도 일부 사용자에게는 받아들일 수 없고, 그들은 이를 강하게 전달할 것임
  악의적 행위자가 원격 측정을 남용하기 쉽고, “익명 데이터”가 놀랍도록 다양한 방식으로 전혀 익명이 아님이 드러날 수 있다는 점은 이해함. 그래도 “이래서 좋은 걸 가질 수 없다”는 식의 아쉬움이 듦

  • 예전에 어디서 봤는지는 기억나지 않지만, 클라이언트 쪽에서 분석 데이터를 순환 버퍼 같은 곳에 모으고, 설정 메뉴에서 한 번만 보내거나 항상 보내거나 직접 내려받을 수 있게 한 사이트가 있었음
    오류가 발생하면 문제 해결을 돕기 위해 분석 데이터를 공유해달라는 토스트가 뜨고, 물론 거절할 수 있었음. 아마 내가 본 것 중 가장 좋은 시스템이었는데 어느 사이트였는지는 기억나지 않음
  • 핵심은 모두 동의로 묶임. 옵트아웃이 없으면 동의가 완전히 없고, 기본값이 옵트아웃이면 동의의 질이 크게 떨어짐. 신뢰만이 동의로 가는 수단임
    1. 신뢰를 만들려면 옵트인, 설문식 동의, 옵트아웃의 세 갈래가 필요함. 설문은 신뢰의 능동적 검증자이며 저대역폭 커뮤니케이션을 돕는다. 사용자가 처음 쓰거나 이 기능이 추가된 뒤 다음에 앱을 시작할 때 질문해야 함
    2. 원하는 정확한 분석 정보를 최종 사용자에게 제공해서 사용자도 파싱할 수 있어야 함. 공유가 허용된 정보를 스스로 평가할 수 있도록 보고서나 보기를 제공하면 신뢰가 좋아짐
    3. 신뢰받는 권한은 더 많은 동의로 이어짐. 옵트인한 사용자에게 기능과 버그에 대한 우선 지원을 맞출 수도 있음. 분석 이력과 성능 정보는 방금 보고된 버그를 해결하는 데 도움이 될 수 있음
       Apple, Microsoft, Google 등은 분석 공유를 자세한 내용 없이 모호하게 처리하고, 어떻게 쓰고 남용할 수 있는지도 명확히 하지 않음. 대부분은 옵트아웃조차 제공하지 않음. 이런 조직들을 신뢰하지 않지만 삶 속에서 접해야 함. Facebook이나 Twitter는 쓰지 않아도 되고 실제로 안 씀. Steam 설문은 받아들임
       오픈소스 커뮤니티가 이득을 볼 분석 정보 부족을 해결하려면 합의된 분석 표준 RFC가 한 걸음이 될 수 있음. 양쪽이 합의된 커뮤니케이션에 동의하는 방식임
       내 관점에서는 메타데이터도 개인 데이터임. 사용자가 없으면 데이터도 메타데이터도 존재하지 않음. 최종 사용자가 메타데이터의 엔트로피이므로 메타데이터와 데이터의 소유자는 사용자임
  • 통계 수집을 기기에서 하고, 몇 달에 한 번 통계를 보여주는 팝업을 띄우는 방식은 가능하지 않을까 싶음
    어떤 편향이 추가되는지는 잘 모르겠음
    예를 들면 “우리는 이 앱을 만들었고 프라이버시를 중요하게 생각합니다. 지난 한 달간 사용 중 수집된 정보는 이렇습니다. 앱 개선을 위해 이 정보를 우리에게 보내도 될까요?”라고 묻고, 수집된 데이터를 사람이 읽을 수 있는 형태로 보여주는 방식임
  • 옵트인이 왜 데이터를 쓸모없게 만드는지는 자명하지 않음. 옵트인을 어떻게 제시하느냐와도 관련 있을 수 있음
    일반적으로는 실행 가능한 해법이라고 기대함. 옵트인 그룹이 “전형적 사용자”와 다르더라도, 정직하고 윤리적으로 얻을 수 있는 최선의 데이터임. 전혀 데이터가 없는 것보다는 분명 나아야 하지 않을까
    옵트인 쿠키 동의 배너를 띄우는 모든 웹사이트와 앱에서는 이미 암묵적으로 이런 상태가 적용되고 있음
  • 사람들이 대체로 웹 위에서 만드는 주된 이유 중 하나가 이것임
    데스크톱 소프트웨어를 개선하기가 매우 어렵고, 특히 Linux 사용자들은 개선을 가능하게 하는 패턴에 적대적인 편임

• 100% 완전히 동의함:
  “컴퓨팅 프라이버시를 보장하는 유일한 방법은 데이터를 기기 밖으로 보내지 않는 것이다”
  “프라이버시 침해 위험을 어느 정도 감수할지는 개별 사용자가 결정해야 한다. [...] 묻지도 않고 ‘기능’을 켬으로써 Apple은 사용자와 그 선호를 존중하지 않는다. 내 iPhone이 Apple에 서버 연락을 하길 원한 적이 없다.”
  기능이 얼마나 난독화됐든, “안전”하든, 기타 “프라이버시 보호”적이든 상관없이, 개인 콘텐츠에서 파생된 어떤 정보가 사전 동의 없이 전송된다는 사실은 변하지 않음
  정보가 보호되어도 모든 네트워크 질의는 정보임. 특정 시간에 특정 행동을 했다는 타임스탬프, 예컨대 새 사진을 추가하자마자 이 서비스로 무언가가 전송된다면 사진을 찍었다는 사실, 그 시각의 위치 정보와 상관시킨 특정 장소 등이 드러날 수 있고 이는 빙산의 일각임. 명시적 동의 없이 사용자 기기에서 정보를 전송하는 것은 프라이버시 침해임

  • 그렇다면 Signal 메시지도 전송되기 때문에 안전하지 않고, “난독화”가 데이터를 보호하기에 충분하지 않다는 뜻인가? 글쓴이가 인용하고 나중에 이해하지 못했다고 인정한, Apple이 전송 전에 데이터에 실제로 무엇을 한다고 말하는지 읽어봤는지 궁금함
    메타데이터에 대한 주장은 가능하다고 보지만, 거기에도 여러 가정이 들어감. 특히 Apple이 실제로 OHTTP를 하지 않고 사용자가 언제 사진을 찍었는지 알아내려고 공모한다는 가정이 필요함. 사실상 수학을 신뢰하지 않는다면 불확실성과 의심이 어디서 끝나는지 모르겠음
  • “사진을 찍는 것처럼, 새 사진을 추가하자마자 이 서비스로 무언가가 전송된다고 가정하면”이라는 전제가 틀렸고, 그 위에서 결론으로 뛰어간 것임
    사진을 찍은 직후 바로 일어나지 않는다는 건 쉽게 확인 가능함. 첫째, 네트워크 트래픽이 이를 보여줄 것이고 실제로는 그렇지 않음. 둘째, 동형 암호는 비용이 커서 그렇게 할 수 없음. Photos는 보통 즉시 동기화하지 않고, 대부분의 iPhone 사용자가 Photos 앱에서 동기화 시점을 알려주는 걸 봐서 알 수 있음. 비용이 큰 작업은 대개 기기가 전원에 연결되고 Wi-Fi에 있을 때까지 대기열에 쌓임
  • 전 세계의 알려진 모든 위치와 흔한 사물의 모델을 저장하려면 얼마나 많은 용량이 필요할까
    예를 들어 욕조 안 강아지 사진을 친구에게 보냈더니, 그녀의 AirPods가 iPhone을 통해 “누가 욕조 안 개 사진을 보냈습니다”라고 알려줬음. 친구도 멋지다고 했고 개인적으로도 유용한 기능이라고 봄. 다만 이게 어느 정도까지 기기 밖 처리를 필요로 하는지는 모르겠음
  • 이런 문제들은 이 기능 구현을 다룬 Apple 블로그 글에서 모두 다뤄짐. 위험을 줄이기 위해 두 단계가 적용됨
    1. iOS는 추가 가짜 질의를 만들고, 모든 질의는 조회 시각으로 실제 질의와 가짜 질의를 구분하거나 사진 촬영 시점을 식별하지 못하게 하는 스케줄러를 거침
    2. 모든 질의는 제3자 중계 서비스를 사용해 익명으로 수행됨. 그래서 Apple은 특정 질의를 특정 기기나 IP 주소에 묶을 수 없음
       이 두 완화 기능을 고려하면, 이 기능으로 개인 데이터를 얻으려면 먼저 대상의 휴대폰을 침해해 가짜 질의를 꺼야 하고, 이어 중계자를 침해해 질의를 특정 IP 주소와 상관시켜야 함
       그걸 다 할 수 있다면 솔직히 그런 노력 낭비는 어리석음. iOS 침해를 이용해 기기가 위치 데이터를 직접 보내게 하면 되기 때문임. 대상이 사진을 찍기를 기다리고, 여러 랜드마크 조회를 추적하며, 질의마다 추가 데이터를 조금씩 모아 최종적으로 대상 위치를 식별하는 번거로운 짓을 할 필요가 없음
       전체가 XKCD 538을 떠올리게 함
       https://machinelearning.apple.com/research/homomorphic-encry...

• 이건 지난번 반발 뒤 CSAM 스캔을 천천히 다시 들여오기 위한 연막 아닌가 싶음. 기본값이 켜져 있는 행동이 수상함
  [1] https://www.wired.com/story/apple-photo-scanning-csam-commun...

  • 정확히 같은 생각임. “교묘한 이미지 지문 인식 기술은 있는데 CSAM 탐지 용도는 너무 논란이 커서 출시하지 못했으니, 사용자에게 유용해 보이는 무언가에 핵심 흐름을 넣어 코드가 살아 있고 개선되며 향후 확장 준비가 되게 하자”는 식으로 보임
    그런 지문 인식이 공개 랜드마크로만 안정적으로 제한될 수 있는지는 흥미로운 질문이고, 명확하지 않은 구현 세부사항에 달려 있음
    사용자에게 보이는 검색이 ‘랜드마크’로 제한돼도, 그 과정이 기기 내에서만이라도 다른 많은 것의 지문을 미리 만들고 있는가? 그렇다면 잠깐 활성화되는 비영구 악성코드가 원래 필요했을 더 넓은 접근권과 추가 처리 없이도 관심 이미지를 즉시 찾을 수 있게 됨
  • 맞음. 무해해 보이는 “위치 매칭”이라는 이유로 서버 연락 요소를 주입하는 방식임
    전역 인덱스는 당연히 사용자에게 반환하지 않더라도 Apple이 매칭할 가치가 있다고 보는 다른 표식에도 매칭될 것임
  • Microsoft가 Recall에서 “물러선” 방식과 정확히 같음. 그러다 결국 다시 밀어 넣고 삭제 불가능하게 만들었음
  • 나도 같은 생각임. 그 기술이 너무 비싸서, 사적인지 입증하기 위해 테스트하거나 돌려볼 필요가 있었던 것 같음
    사진에서 랜드마크를 찾는 모델도 로컬에서 실행할 수 있지 않나 싶지만, 여기서는 100% 확신하진 못함
  • 아님. Apple에 다른 결함이 뭐가 있든 그렇게 생각하진 않음
    냉소적인 이유를 들자면, 이 규모의 엔지니어링 기능은 문서 없이 계획할 수 없고, 그런 문서는 법정에서 반드시 드러남
    표면적인 이유는 Apple이 서버 참여가 필요한 유용한 기능을 진심으로 제공하고 싶어 하기 때문임

• Apple 블로그 글의 기술적 세부사항 대부분을 이해하지 못한다는 부분에 대해, 인용된 부분은 이해했고 미안하지만 이 글은 낙관적인 글이 될 수도 있었음. “이 멋진 새 기술을 봐!”라는 식으로
  HN 의미의 해커에 반하는 Apple의 관행은 남들만큼 싫어하고 그런 이유 등으로 Apple 기기도 갖고 있지 않지만, “프라이버시 문제를 어떻게 해결했는지는 중요하지 않고 나는 사적이지 않다고 느낀다”는 말이 사실을 만들진 않음
  인용된 단어들을 다른 대부분의 사람들도 이해하지 못하고, 거기까지 읽었을지도 불확실하니 이는 불공정한 비판처럼 보임

  • 동형 암호는 몇 년 전 연구 논문을 통해 들었음
    당시 이해로는 SUM 같은 연산이 암호화된 숫자 목록의 합계를 계산할 수 있었음. 암호화 방식 덕분에 복호화 없이 값을 모두 더할 수 있고, 결과도 암호화된 상태라 소유자가 복호화하면 알려진 정확도의 숫자를 얻을 수 있었음
    Apple이 동형 암호를 올바르게 쓰고 있다면, 휴대폰에서 받은 데이터를 Apple이 볼 방법은 없어야 함. 글에서 언급한 다른 것들은 메타데이터나 부채널을 통한 정보 누출을 막기 위한 수단임
    이 기능이 기본으로 켜진 건 그다지 좋지 않음. 업그레이드 뒤 사용자가 켜고 싶은지 묻는 기능이어야 했음
  • 핵심 비판은 동의와 경고 없이 사적이고 민감한 데이터를 Apple에 보낸다는 것임
  • 이해하지 못하는 것을 어떻게 신뢰할 수 있나? 결국 그런 문제를 안다고 믿는 어떤 사람이나 조직, 즉 권위에서 신뢰가 와야 함
    많은 사람에게 그 권위는 Apple이 아님. Apple의 프라이버시 정책을 조심스럽게 신뢰하긴 하지만, 많은 사람은 Apple을 신뢰하지 않고 거기에는 이유가 있음
    그래서 옵트인하지 않은 Apple 기능이 개인 데이터를 공유하는데 Apple의 기술 설명도 이해하지 못하면, 프라이버시 침해를 당했다는 느낌이 커지고 이는 더 큰 불신으로 이어짐. 그러면 불공정한 비판이라고 할 수 있을까
  • Apple 기기도 없으면서 이해관계가 있는 사람을 비판하는 건가
    내 블로그 글은 신뢰를 배신당한 Apple 사용자 관점에서 쓴 것임. 안전한 거리에서 기술이 멋지다고 생각하는 건 좋고 실제로 그럴 수도 있지만, 핵심 문제인 사용자 동의 부재와는 무관함

• 내게는 대체로 사용자 프라이버시를 크게 고려해 구현된 합리적 기능처럼 보임. 다만 설명을 너무 믿는 걸 수도 있음
  이 글은 대체로 분노 유도용으로 보이고, Hacker News에 올라온 이런 글에 “낚이지” 않도록 조심해야 한다고 봄. 타블로이드나 Facebook에 분노 유도 글이 뜰 때 조심해야 하는 것과 비슷함
  글이나 이 스레드의 일부 우려는 Apple의 수익에는 별 영향을 주지 않을 가능성이 커 보임. 실제 일부 고객이 가질 수 있는 우려는 데이터 사용량일 텐데, 저데이터 모드에서는 이 기능이 꺼질 가능성이 높다고 추측함
  이런 종류의 문제는 프라이버시 기본값 같은 설정으로 해결될 수 있을지 궁금함. 기자, 활동가, 일부 기업 IT 부서, 원글 같은 글을 쓰는 사람들이 OS 업데이트 시 네트워크와 덜 통신하는 값으로 설정되도록 고를 수 있는 방식임. 이해하기 쉬운 UI를 만들기는 어려워 보임. iOS에는 이미 “잠금 모드”가 있는데 이 설정에 영향을 주는지는 모르겠음

  • Apple이 해야 했던 건 말 그대로 기본값으로 켜지 않는 것뿐이었음. 묻지 않고 네트워크로 무언가를 보내는 일이 Apple에 대한 신뢰를 점점 더 줄임
  • 합리적인 기능이지만 그래도 사용자의 옵트인이 필요함. 귀찮음을 줄이기 위해 설치나 업그레이드 시 옵트인들을 묶어서 물을 수는 있음
  • 특히 명확하지 않은 건 iOS가 휴대폰 안의 모든 데이터를 스캔하고 공개 인덱스 일부로 보내는지 여부임
    UI에서 보이는 기능 작동 방식으로는 아닌 것 같음. 사용자의 행동으로 기능이 활성화된다면 이것도 서버 연락이라고 봐야 하는지 궁금함
  • 다른 회사가 했다면 아마 합리적인 기능을 합리적으로 만든 것이라고 볼 수 있음. 문제는 Apple이 이런 일을 하지 않는다고 광고하는 데 수천만에서 수억 달러를 써왔다는 점임
    그런 것들은 광고 회사가 운영하는 그 불쾌한 다른 OS와 달리 iPhone 안에 머문다는 이야기였음. Apple은 절대 데이터를 빼내지 않고, 당신은 상품이 아니며, Apple은 당신을 신경 쓴다는 이야기임
    이런 일은 따로 보면 합리적이든 아니든 그 서사를 완전히 무너뜨림. 거대한 광고판에서 이렇게 대놓고 거짓말할 의지가 있다면, 이익이 요구할 때 또 무엇을 할지 알 수 없음

• iOS 18 전에는 없었던 것 같은 비슷한 검색 관련 설정을 방금 본 것 같음
  설정 -> 검색에 들어가면 “Help Apple Improve Search” 옵션이 있고 기본으로 켜져 있음
  “Apple이 Safari(!!), Siri, Spotlight에 입력한 검색을 당신과 연결되지 않는 방식으로 저장하도록 허용해 Search 개선을 돕습니다. 검색에는 일반 지식 조회와 음악 재생, 길 안내 같은 요청이 포함됩니다.”
  이전에도 있었다면 다시 켜진 것임

  • “Safari에 입력한 검색을 [...] 당신과 연결되지 않는 방식으로 저장”한다는 부분은, 이미 10년 전 비식별화 해제 연구만 봐도 검색 기록이 사용자를 완전히 드러낸다는 게 명확했음
    Apple의 저장 방식이 내 프라이버시를 안정적으로 보호한다고 믿으려면 많은 세부사항이 필요함. 물론 인용문은 그렇게 주장하진 않음
  • 이건 원글보다 더 심각함. Apple은 어떤 대체 우주에 살길래 동의 없이 사람들의 검색 기록 수집을 기본값으로 해도 괜찮다고 생각하는 걸까
  • 젠장, 맞음. 내 기기에서도 기본으로 켜져 있었고, 내가 여기에 동의했을 리는 없다고 봄
  • 맞음. 이것도 기본으로 켜진 또 다른 설정임

• 참고로 macOS에서는 photoanalysisd 서비스가 백그라운드에서 실행되며 Apple Photos를 한 번도 열지 않아도 사진을 훑어봄
  SIP, 즉 시스템 무결성 보호를 끄지 않으면 비활성화할 수 없고, 그러려면 여러 번 재부팅하고 경고를 통과하는 복잡한 절차가 필요함. SIP를 다시 켜면 다시 활성화됨
  Apple은 어떤 이유에서인지 사용자가 원하든 말든 사진 분석에 꽤 열정적인 것 같음

  • Spotlight도 Mac의 모든 파일을 훑어본다는 사실을 알면 놀랄 수도 있음
  • 그래도 그건 Mac에서 로컬 실행되는 것 아닌가
  • 이론적으로 CSAM은 이미 어떤 로컬 서비스의 일부일 수도 있음. 기기에 연결된 계정이 필요해진 시점에서 프라이버시는 끝났음. iCloud뿐 아니라 기기 자체에 연결된 계정 말임. Linux 컴퓨터를 쓰는 데는 계정이 필요 없음
  • 서버에 연락하나? 내 파일을 스캔하는 건 상관없음. 내 사적 데이터의 세부사항이 기기를 떠나는 게 신경 쓰임
  • “Apple은 어떤 이유에서인지 사용자가 원하든 말든 사진 분석에 꽤 열정적인 것 같음”이라는 부분은 최종 사용자가 오염시키면 취약하지 않을까
    모두가 자기 사진으로 학습한 로컬 이미지 생성기를 돌리되 살짝 망가뜨린 다음, Apple의 사진 해시 수집을 쓰레기로 가득 채우면 어떻게 될까
    그다음은?
    아주 좋은 세척 작용이 될 것임. 누가 얼마나 화내는지 보면 많은 걸 알 수 있음

• 이 일은 코로나 시절 Apple과 Google의 프라이버시 보존 노출 알림 시스템에 대한 분노를 떠올리게 함
  추적하지 않고도 노출을 알려줄 수 있다는 건 직관에 어긋나지만, 실제로 그 기술이 가능하게 해줬음
  여기서도 글쓴이는 클라이언트 측 벡터화, 차등 프라이버시, OHTTP 중계, 동형 암호 같은 기술의 효과를 제대로 평가하려 하지 않고 프라이버시 침해에 대한 즉각적 반응에 기대는 것처럼 보임
  다만 이런 기능은 Apple이 먼저 사용자 동의를 구해야 한다는 데는 100% 동의함

  • 이런 기술들의 프라이버시를 평가해보고 싶음
    누가 소스 코드 링크를 달아주면 인터넷의 아무개 말을 믿지 않고 정확히 무엇을 하는지 볼 수 있음
    더 좋게는 내가 직접 컴파일하게 해줬으면 함
  • 그 COVID 기능은 옵트인이었음. 지금 글쓴이는 옵트인이 없다는 점을 불평하는 것임

• “Apple 블로그 글의 기술적 세부사항 대부분을 이해하지 못한다”는 부분에 대해, 나는 이해함
  클라이언트 측 벡터화: 사진을 로컬에서 처리해 보내기 전에 되돌릴 수 없는 벡터 표현을 준비함. 의미 기반 해시를 떠올리면 됨
  차등 프라이버시: 보내기 전에 벡터에 꽤 많은 잡음을 더함. 벡터 역조회가 불가능할 만큼 충분한 수준임. 여기서 잡음 수준은 ε = 0.8로, 프라이버시가 꽤 좋은 편임
  OHTTP 중계: 제3자를 통해 전송되므로 Apple은 IP 주소를 알 수 없음. 내용은 암호화되어 제3자도 아무것도 배우지 못함. “IP X가 Apple Photos 사용자”라는 정도가 노출될 위험은 있지만 라이브러리 내용은 알 수 없음
  동형 암호: 조회 작업은 암호화된 데이터로 서버에서 수행됨. Apple은 벡터 내용이나 응답 내용을 복호화할 수 없고, 클라이언트만 조회 결과를 복호화할 수 있음
  이것이 좋은 프라이버시 설계의 모습임. 여러 겹의 프라이버시 보안이 있고, 뒤의 세 가지 중 하나만으로도 프라이버시 보호에 충분해야 함
  “프라이버시 침해 위험에 대한 각자의 허용 수준은 개인 사용자가 결정해야 한다”는 주장에 대해, 글쓴이는 Apple 보안 연구자처럼 보이는데도 여기서 정보에 기반한 선택을 못 하겠다고 말하는 셈임
  무엇이 맞는 판단인지는 확실하지 않음. 하지만 “따라서 컴퓨팅 프라이버시를 보장하는 유일한 방법은 데이터를 기기 밖으로 보내지 않는 것이다”라는 결론은 사실이 아님. 서비스를 쓰면서도 프라이버시를 제공하는 도구, 예컨대 차등 프라이버시와 동형 암호가 있음. 매우 복잡하고 사용자가 현실적으로 위험을 평가할 수는 없지만, 디스크보다 큰 데이터셋이나 자주 바뀌는 콘텐츠가 필요한 기능을 원한다면 이런 도구가 필요함

  • 설명은 고맙지만, 핵심 문제를 다루지 않은 것 같음. 내 데이터가 기본값으로, 합리적인 고지도 없이 기기 밖으로 보내지고 있다는 점임
    많은 사용자는 이런 기능에 동의할 수 있음. 말한 대로 매우 안전할 수도 있음. 하지만 모두가 기본적으로 동의한 것으로 간주되어야 한다는 점이 문제임
  • “좋은 프라이버시 설계의 모습”은 내 사진이 명시적 옵트인 권한 없이 어떤 형태로든 어디에도 보내지지 않는 것임
  • “완벽한 사용자 이해”와 “사용자 선택권 없음” 사이의 거짓 양자택일을 제시하고 있음. 쟁점은 사용자가 동형 암호나 차등 프라이버시를 완전히 이해할 수 있느냐가 아니라 기본적인 동의와 투명성임
    사용자는 “이 기능은 더 나은 검색을 위해 사진에 대한 데이터를 Apple 서버로 보냅니다”를 이해하는 데 박사학위가 필요하지 않음
    프라이버시 보호가 복잡하다는 이유가 사용자 선택권 제거를 정당화하지 않음. 그 논리라면 어떤 기술 기능도 사용자에게 물어보면 안 됨
    많은 프라이버시 의식이 높은 사용자는 단순한 원칙을 따름. 보호 방식과 상관없이 기기 밖으로 무엇이 나가는지 통제하고 싶다는 것임
    “설명하기 너무 복잡하다”는 주장은 어떤 프라이버시 침해 기본값도 정당화할 수 있음. GPS 기술 설명이 너무 복잡하니 위치 서비스를 기본으로 켜도 된다는 논리에도 같은 기준을 적용할 건가
    진짜 해법은 단순함. 기능을 쉬운 말로 설명하고, 이점을 강조하고, 프라이버시 보호 조치를 개괄한 뒤 사용자가 선택하게 하면 됨. Apple은 이미 다른 많은 기능에서 이렇게 함. 기본값 꺼짐과 옵트인은 밑단 보호가 얼마나 튼튼하든 프라이버시 존중 설계의 핵심 원칙임
  • 좋은 프라이버시 설계란 실제로는 어떤 정보도 누구에게도 어디에도 언제도 보내지 않는 모습임
  • 글쓴이는 Apple 보안 연구자가 아님
    Jeff Johnson은 Apple 플랫폼용 앱, 특히 Safari 확장 프로그램을 개발하고 Apple에 대한 불편함을 자주 블로그에 쓰지만, 보안 연구자는 아님