마이크 월츠, 정부가 Signal 메시지 보관에 사용하는 앱 실수로 공개

 (404media.co)
1P by GN⁺ | ★ favorite | 댓글 1개
  • 트럼프 행정부 인사 Mike Waltz의 휴대폰 사진에서 메시지 보관용 비공식 Signal로 보이는 앱 사용 장면이 드러남
  • Waltz는 목요일까지 미국 국가안보보좌관이었고, 공직자들이 Signal에서 어떤 등급의 정보를 논의하는지에 대한 의문이 커짐
  • Reuters 사진은 Donald Trump가 주재한 백악관 각료회의 중 Waltz가 휴대폰을 확인하는 장면을 담고 있음
  • 화면에는 JD Vance, Tulsi Gabbard, Marco Rubio 등 고위 정부 인사들의 메시지가 보이는 것으로 나타남
  • 화면 하단에는 일반 Signal의 PIN 확인 메시지처럼 보이는 문구가 있어, 계정 탈취 방지와 메시지 보관 방식이 함께 주목받음

사진으로 드러난 비공식 Signal 사용

  • Mike Waltz의 휴대폰 사진에서 Signal의 비공식 버전으로 보이는 앱 사용 장면이 포착됨
  • 이 버전은 메시지 보관을 목적으로 설계된 앱으로 알려짐
  • Waltz는 목요일까지 미국 National Security Advisor였음

Reuters 사진의 맥락

  • Reuters가 공개한 사진은 Donald Trump가 백악관에서 연 각료회의 중 Waltz가 휴대폰을 확인하는 장면을 담고 있음
  • 화면에는 여러 고위 정부 인사의 메시지가 보임
    • JD Vance
    • Tulsi Gabbard
    • Marco Rubio

Signal PIN 메시지와 보안 맥락

  • Waltz의 휴대폰 화면 하단에는 일반 Signal의 PIN 확인 메시지처럼 보이는 문구가 있음
  • Signal의 PIN 확인 메시지는 사용자가 PIN을 기억하도록 유도할 때 표시될 수 있음
  • PIN은 다른 사람이 계정을 탈취하는 것을 막는 데 쓰일 수 있음

남는 실무적 질문

  • 비공식 Signal 버전이 메시지 보관을 위해 쓰인다면, 공직자들이 이 앱에서 어떤 등급의 정보를 논의하는지가 핵심 쟁점이 됨
  • 보관되는 데이터가 어떻게 보안 처리되는지도 확인이 필요한 부분으로 남아 있음

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • https://archive.ph/oXYXe

  • 정부기관이 이전에도 보관 기능이 붙은 암호화 메신저 버전에 비용을 낸 적이 있음. 2021년에 CBP가 Wickr에 70만 달러를 지불했음
    이런 건 Signal을 지원하기에 딱 맞는 용도처럼 보임. 대기업이나 정부기관이 앱 개발자에게 직접 맞춤 포크 비용을 내면 되는데, 왜 TeleMessage가 돈을 받는지 모르겠음. Signal Foundation이 유료 포크 구현을 쉽게 해주지 않는 건가?

    • Signal이 정부 계약에 재정적으로 의존하게 되면 정부가 앱에 큰 영향력을 갖게 됨. 이 플랫폼이 그런 위치에 놓이는 건 별로 좋아 보이지 않음
    • Wickr는 AWS 소유이고, 이제 정부/기업용 제품만 있음. 개인용 버전은 중단됐음
    • 아마 작업의 90%는 코드가 아니라 규정 준수와 정부 계약 절차 통과일 것임
    • Signal은 본래 임무인 일반 대중을 위한 안전한 통신을 위해 메인 앱 개발에 모든 자원을 써야 할 수도 있음
    • NPR CEO인 Katherine Maher가 Signal Foundation 이사회 의장임

  • “TM SGNL”은 TeleMessage라는 회사의 소프트웨어를 가리키는 듯함. 이 회사는 인기 메신저 앱의 복제판을 만들고, 각 앱에 보관 기능을 추가함

    • 무섭다. 심지어 미국 회사도 아님

  • Signal을 쓰면서 해외 회사가 통신을 가로채게 둘 거면 무슨 의미가 있는지 모르겠음. 아마 정부 승인 앱의 투박한 사용자 경험 대신 상용 제품의 UX를 원했던 것 같은데, 대안이 뭐였는지 아는 사람이 있나?

    • 애초에 이 사람들이 지적 능력이 조금이라도 있다고 가정하지 않으면 훨씬 이해가 잘 됨
      Signal은 정부 용도로 승인되어 있지만, 비공개 국방부 정보에는 안 됨. “SCIF로 와, 거기서 세부 사항을 얘기하자” 정도에는 Signal을 쓰고, 세부 내용은 보안 환경에서 논의해야 함
    • 전통적으로는 비기밀 정보를 주고받을 때 그냥 일반 전화망을 썼음. 하지만 CISA에 따르면 주요 통신사의 음성·문자 서비스는 더 이상 안전하다고 보지 않음
      CISA는 대신 종단간 암호화 서비스를 쓰라고 권고했고, 특히 Signal을 명시했음
      https://investigations.cooley.com/2025/01/15/federal-law-enf...
    • 대안은 스파이웨어가 깔린 휴대폰에 Signal을 설치하지 않는 것임. 이건 중간자 공격식 “가로채기”가 아니라, Signal이 설치된 개인 휴대폰을 감시해서 빼내는 방식임
      Signal도 결국 휴대폰의 앱 하나일 뿐임. 비밀 통신에 쓸 거라면 그 휴대폰에는 소프트웨어를 최소한만 두거나 아예 없애고, 비밀번호와 암호화 등 가능한 모든 방식으로 보호해야 함
    • 자기들이 뭘 하는지 해외 핸들러에게 알려줘야 했던 것 아닐까. 계약 어딘가에 들어 있을지도 모름

  • 보관하려고 보안 취약점을 감수할 필요가 있나 싶음. 어차피 이스라엘과 Pegasus에 요청하면 보관본을 받을 수 있을 텐데

    • 잠깐, 이거 이스라엘 회사였네

  • 몇 가지 세부 사항을 보면, TeleMessage는 이스라엘 회사였거나 지금도 그런 회사였지만 [1], 작년에 미국 회사인 Smarsh [2]에 인수됐고 Smarsh 자체도 미국 회사 K1 Investment Management의 자회사임. 회사가 이전했는지는 모르겠음
    직접 관련이 없을 수도 있지만, 서비스 약관에는 중국 내 메시징에 관한 별도 조항도 보이고 중국 정부에 대한 공개가 포함되는 듯함. 앱이 어떻게 동작하는지는 불분명함. Signal 클라이언트의 포크처럼 광고되며 모든 내용을 원격 서버에 업로드하는 것으로 보이는데, 그러면 보관소를 하나의 수신 종단으로 보고 그 연결이 안전하다고 치지 않는 한 당연히 종단간 암호화가 깨짐. 인터페이스도 Signal과 같다고 홍보하는 듯함.
    그런데 iOS와 Android Signal 클라이언트는 모두 AGPLv3임. TeleMessage 클라이언트가 독점 소프트웨어가 아니라는 흔적은 찾지 못했음. 그렇다면 AGPLv3에 따라 유료 고객에게만 소프트웨어와 소스코드를 주고, 고객은 다시 배포할 수 있게 하는 방식인가? 클라이언트를 완전히 재구현했나? 아니면 불법 독점 포크인가? 첫 번째는 가능성이 낮아 보이고, 뒤의 둘은 앱 보안 측면에서 꽤 불길함
    [1]: https://en.wikipedia.org/wiki/TeleMessage
    [2]: https://en.wikipedia.org/wiki/Smarsh

    • Smarsh는 규정 준수 분야에서 꽤 큰 회사인 듯함. 아무 회사는 아님. 그래도 Signal의 목적 자체를 무력화하는 Signal 복제 앱을 쓴다는 우스꽝스러움은 그대로임
    • 종단간 암호화는 생각하는 의미와 다름. 구체적으로는 의도된 수신자나 그 소프트웨어가 메시지로 무엇을 하느냐와는 관련이 없음
    • 회사에서 일할 때 고용주가 수정한 GPL 소프트웨어를 제공해도, GPL이 적용되는 방식의 배포로 보지 않는다고 이해했음. 그래서 추가 배포도 자유롭지 않음
      적어도 GPLv2는 “사적” 수정은 사적으로 남고 직원은 외부 배포로 보지 않는다는 식으로 기업 친화적이라고 설명되곤 했음. AGPL은 잘 모름
    • 고객이 재배포할 수만 있다면 불법은 아님. 특히 고객들이 소스코드를 유출할 생각이 전혀 없다면 더 그렇고, 진짜 핵심은 그 클라이언트를 쓰지 않는 사람이 AGPL 릴레이 서버에 접속한 적이 있느냐임
      예전에 GPL 소프트웨어를 사용한 맞춤형 소프트웨어 솔루션을 군 관련 고객, 아마 DOD 쪽에 파는 회사에서 일했음. 10년 넘게 아무도 코드를 요구하지 않다가 몇 년 전에서야 누군가 요청했음. 아마 평가하려던 것 같은데, 여러 업무의 핵심으로 쓰이던 물건이라 포크하려면 고생 꽤 했을 것임. 움직이는 부품이 정말 많았음.
      누군가 TM SGNL 서버에 접촉한 뒤 소스를 요청했는데 거절당하지 않는 한 불법은 아님
    • “보관소를 하나의 종단으로 보고 연결이 안전하다면”이라니, 절대 아님. TeleMessage를 쓰는 고객이 꽤 있는데, 대부분 백엔드로 Global Relay를 씀
      실제로 좀 무서운 게, Global Relay는 모든 것을 SMTP로 받아먹음. DNSSEC나 MTA-STS를 설정했는지는 확인하지 않았지만, Global Relay의 운영 방식을 보면 했을 것 같지 않음. 잘 배치된 프록시나 DNS 오염만으로도 Global Relay로 보내지는 민감한 이메일 상당량을 빨아낼 수 있을 듯함

  • 앱은 이거처럼 보임
    https://www.telemessage.com/how-to-install-and-register-sign...

    • 세상에, App Center 배포로 설치하네

  • JD가 보낸 “상대방에게서 꺼졌다는 확인을 받았다”는 메시지가 무슨 뜻인지 정말 궁금함

  • 잠깐, 이들이 쓰는 게 이스라엘 정보 장교들이 운영하는 Signal 복제 앱이라는 건가?
    이 부분은 아직 제대로 알려지지 않은 것 같음. 그 회사 주소를 Google Maps에서 찾아보면 실제로는 “Cyberint”라는 회사가 나오는데, 매우 좋지 않아 보임
    https://maps.app.goo.gl/L7vVHw5x4VdgS8859?g_st=com.google.ma...
    더 나쁜 건 회사 웹사이트의 팀 소개를 보면 CEO를 포함해 “전직” 이스라엘 정보 장교로 보이는 인물이 가득하다는 점임
    https://www.telemessage.com/team/
    이건 현재 알려진 이야기보다 훨씬 더 큰 사안처럼 보임. 원래의 Signalgate보다 몇 자릿수는 더 큼. 여기서의 함의는 이스라엘 정보 장교들이 지금 세계에서 가장 좋은 접근 권한, 즉 미국 국가안보보좌관이 참여하는 모든 대화의 실시간 피드를 가졌을 수도 있다는 것임

답변달기