메신저 앱 Signal 대표, 영국 ‘대규모 감시’ 법에 따르지 않겠다고 발언

• 영국 Online Safety Bill이 암호화 전 메시지 스캔이나 백도어를 요구하면 Signal은 구현을 거부하고 영국 시장 철수까지 감수하겠다는 입장임
• Meredith Whittaker는 “좋은 사람만 통과하는 백도어”는 만들 수 없으며, 이런 요구가 통신과 인프라 보안을 약화한다고 봄
• 이 법안은 2021년 5월 처음 작성됐고, 정부가 모든 종단 간 암호화 시스템에 백도어 접근을 요구할 권한을 갖는 것을 목표로 함
• 영국 정부는 복수 포르노와 혐오 발언 같은 불법 콘텐츠 제거를 내세우지만, 기술 기업·보안 전문가·프라이버시 옹호자들은 강하게 반발하고 있음
• Signal은 다운로드 1억 2,500만 건 규모로 WhatsApp의 20억 사용자보다 작지만, 두 회사 모두 법안 시행 시 영국 철수를 예고함

---

Signal의 거부 입장과 철수 가능성

• Signal 대표 Meredith Whittaker는 Fortune Brainstorm Tech에서 영국의 제안된 Online Safety Bill을 다시 비판함
• 법안이 암호화된 메시지 접근을 위한 특수 백도어를 요구하면 Signal은 따르지 않겠다는 입장임
  • “그들이 우리에게 구현하라고 명령할 것”이지만 “우리는 하지 않을 것”이라고 말함
  • 법안이 시행되면 영국 시장을 떠나겠다는 입장도 유지함
• Whittaker는 정부가 요구하는 방식이 “수학적으로 불가능”하며, 백도어가 통신과 인프라 보안을 약화한다고 봄

종단 간 암호화와 감시 비판

• Signal의 핵심 임무는 사용자 프라이버시와 보안을 우선하는 것임
• Signal의 종단 간 암호화 프로토콜은 메시지가 신뢰된 수신자에게만 접근 가능하도록 함
• Whittaker는 감시 비즈니스 모델이 핵심 인프라에 들어오면서 사람들이 인지하지 못하는 수준의 감시가 확산됐다고 봄
• 사회적으로 받아들여지는 감시의 확산을 막는 일을 자신의 주요 임무 중 하나로 삼고 있음

영국 Online Safety Bill의 요구

• 영국 Online Safety Bill은 2021년 5월 처음 작성됨
• 이 법안은 정부가 모든 종단 간 암호화 시스템에 백도어 접근을 요구할 권한을 주는 것을 목표로 함
• 영국 정부는 온라인 안전 강화를 명분으로 내세움
  • 소셜 미디어 플랫폼이 복수 포르노와 혐오 발언 같은 불법 콘텐츠를 제거하도록 보장한다는 논리임
• 기술 대기업, 보안 전문가, 프라이버시 옹호자들은 이 법안에 강하게 반발하고 있음
  • TechCrunch는 영국에서 암호화 서비스 이탈이 일어날 수 있다고 봄

안전 논리와 악용 가능성의 충돌

• Signal, Telegram, WhatsApp 같은 암호화 메신저는 합법적인 보안 커뮤니케이션에 쓰이지만 악의적 행위자도 사용할 수 있음
• 마약 판매자, 무기 밀매자, 악성코드 배포 해커도 불법 활동을 위해 프라이버시를 원할 수 있음
• 영국은 이런 불법 활동을 막기 위해 백도어가 필요하다고 봄
• Whittaker는 “좋은 사람만 통과하는 백도어”는 만들 수 없다고 반박함
  • 이를 수학적으로 불가능하다고 표현함
  • 백도어는 핵심 통신과 핵심 인프라 보안을 약화한다고 봄

개인 메시지 접근 사례와 우려

• Whittaker는 정부가 사용자 개인 메시지에 접근할 때 생기는 위험 사례로 Nebraska의 한 모녀 사건을 들었음
• 해당 사건에서 한 어머니는 딸에게 낙태약을 준 혐의로 18세 딸과 함께 최대 2년형에 직면함
• 수사관들은 Facebook에 수색영장을 제시해 두 사람의 DM 접근 권한을 얻었고, 이 정보가 기소에 도움이 됐다고 Vice가 보도함
• Whittaker는 감독이 거의 없는 거대 기업 하나가 정부와 협력해 사람들이 사는 감시 사회를 결정하게 두면 안 된다고 봄

Signal과 WhatsApp의 공동 압박

• Signal은 다운로드 1억 2,500만 건 규모로, WhatsApp의 20억 사용자보다 훨씬 작음
• 그러나 두 회사 모두 Online Safety Bill이 시행되면 영국에서 철수하겠다고 예고함
• Whittaker는 2018년 무렵부터 “반암호화 규제 의제”가 들어오기 시작했고, 그때부터 경각심을 갖게 됐다고 말함
• 그녀는 2022년 Signal에 합류했으며, 과거 미국 FTC의 AI 자문을 맡았고 2018년 Google 파업 지도자 중 한 명이었음

[GN⁺]

Hacker News 의견들

• 정부는 양쪽을 다 가지려는 듯함. 새 기술이 나오면 유사한 이전 기술에서 가능했던 수사 권한과 관행은 계속 유지돼야 한다고 보지만, 대체되는 기술에 붙어 있던 공익이나 권리는 같은 방식으로 보존하려 하지 않음
  예를 들어 전화 도청은 암호화 약화로 이어지지만, 익명 현금 거래가 사라질 때 그 익명성은 무엇으로 보장되는지 불명확함. 이미 패배한 싸움도 다시 끌고 오는 경향이 있고, 영국도 미국의 90년대 암호화 전쟁처럼 법으로 암호화를 약화하거나 백도어를 넣으려다 크게 실패한 전례가 있었을 것 같음. 선례가 한쪽에만 유리하게 쌓이는 게 안타까움

  • 정부가 기록된 역사 안에서 도청법 같은 법을 만들면, 그 법의 입법 취지는 대체로 명확함. 보통 특정 상황에서 공익을 위해 정부에 어떤 권한을 명시적으로 부여하려는 것이므로, 기술이 바뀌어도 법원이 원래 범위 밖의 사건에 적용할 때 그 취지를 유지하려 한다는 뜻임
    반면 현금으로 익명 거래할 수 있었던 것 같은 관습법적 유산은 그 제도를 만든 취지에 대한 제도적 기억이 뚜렷하지 않음. 금화를 물물교환의 공통 매개로 쓰던 사람들은 익명성을 생각한 게 아니었으니, 익명성이 현금 거래의 본질로서 새 시스템에도 보존돼야 하는지, 아니면 당시 기술 때문에 생긴 구현 세부사항에 불과한지 판단하기 어렵다는 문제가 있음
  • 이런 정부들은 자신들이 국민의 허락 아래 존재한다는 사실을 잊은 것 같음. 정부는 권리를 보호하기 위해 존재하는 것이지 자기 권한을 넓히기 위해 존재하는 게 아님
    우리가 가진 권리는 인간이기 때문에 자동으로 갖는 본래적 권리이지 정부나 다른 누군가가 부여한 것이 아니며, 정부가 그 권리 보존을 돕지 못하면 더는 정당하지 않음. Jefferson은 이를 훨씬 잘 표현했음: “우리는 모든 인간이 평등하게 창조되었고, 창조주로부터 생명, 자유, 행복 추구를 포함한 양도할 수 없는 권리를 부여받았다는 진리를 자명한 것으로 여긴다…”
  • 여러 이점이 항상 한쪽에만 감. 교통 카메라, 번호판 판독기, 얼굴 인식 시스템 전체에 자동 감시를 붙여 경찰과 정치인이 법을 어기는지 잡거나, 그들이 모두를 추적하듯 그들의 이동과 관계를 추적할 수 있을까? 국가가 유죄를 주장할 때 쓰는 같은 카메라 영상을 무죄 입증에도 똑같이 접근할 수 있을까?
    가끔, 그것도 불완전하게만 가능함. 검찰이 증거로 제출한 일부 영상에는 접근할 수 있어도, 국가는 여러 출처의 전체 영상에 접근함. 같은 접근권이 있었다면 내가 그 시간에 다른 곳에 있었다는 증거, 피사체가 내 집이 아닌 다른 곳에서 왔다는 사실, 범행 직전 옷을 갈아입는 장면, 심지어 고발한 경찰 본인일 가능성, 빨간불을 지나간 이유가 10분이나 기다렸고 신호등이 고장 났기 때문이라는 맥락까지 찾을 수 있었을지도 모름
  • 지금 벌어지는 일은 첫 암호화 전쟁보다 훨씬 나쁨. 당시 정부는 보통 영장을 갖고 의심되는 범죄자의 통신에 가끔 접근하려 했고, Clipper chip 같은 시스템은 통신 접근을 제한하는 장치까지 명문화했음
    이번에는 완전히 다름. 정책 입안자들은 영장 없이 메시지를 실시간 스캔할 수 있는 능력을 요구하고 있음. 기술적으로도 전혀 다르고, 앞으로의 사생활 보호에 미칠 영향도 크게 다름
  • 물론임. 이건 계급 전쟁임. “계급 전쟁”이라는 말을 들을 때 실제 전쟁과의 동형성을 떠올리는 사람이 너무 적지만, 분명 존재함. 정부가 런던에 폭탄을 떨어뜨리지는 않지만, 목적지는 같음

• 이 끔찍한 법을 맡았던 전직 장관과의 TV 인터뷰는 긴급하고 필요했음. 입법자들은 자신들이 뭘 하는지 알고 있고, 그것이 비윤리적이라는 것도 알고 있음
  Signal은 영국 시장을 떠나도 됨. 사람들이 자유를 원한다면 스스로 가져가야 함. 정부 관료들을 갑자기 깨우쳐 시민을 완전히 원자화하려는 경로에서 벗어나게 할 새 문장은 더 이상 없을 것 같음. Signal이 영국 국민에게 할 수 있는 가장 큰 봉사는 선제적으로 영국 운영을 중단하는 것일 수 있음. 전체주의는 사람들이 자신이 안전하다고 믿는 시간이 길수록 뿌리를 더 깊게 내림

  • 영국이 전체주의 의제를 밀어붙이려고 우크라이나 전쟁 징집을 시행할 것이라는 암시는 이상하고 불필요하게 음모론적이며, 핵심 논지를 흐림. 한 가지 주장을 잘 펴는 편이 좋겠음
  • Channel 4 News 클립:
    https://www.youtube.com/watch?v=E--bVV_eQR0
    해당 의원 Damian Collins는 “Department for Digital, Culture, Media and Sport에서 기술·디지털경제 담당 하급 장관을 지낸” 인물임:
    https://en.wikipedia.org/wiki/Damian_Collins
    참고:
    https://en.wikipedia.org/wiki/Four_Horsemen_of_the_Infocalyp...
  • 러시아군이 영국에서 모집하고 있는 줄은 몰랐음
  • Signal의 최근 이사회 변화, 특히 Katherine Maher와 미국 정부와 매우 가까운 인물들을 보면 어떤 식으로든 타협됐다고 보는 것이 합리적임. 영국은 이를 알아보고 미국 외교관들이 감청을 피하기 조금 더 어렵게 만들려는 것일 수 있음. 한편 프랑스와 독일은 Element Matrix를 쓸 것 같음

• 영국이 현재의 상시적 감시로 뭘 달성하려는지 이해하기 어렵다. 런던의 범죄는 만연하고, 일부 지역에서는 절도가 거의 비범죄화된 수준인데 이제는 사람들이 인터넷에서 뭘 하는지까지 감시하려 함
  순한 납세자 말고 다른 목표가 뭐가 있을까? 공공서비스는 꾸준히 나빠지고, 생활비는 통제 불능이며, 삶의 질도 떨어지고 있음. 그저 복종과 무기력한 인구만 원하는 건가

  • 지금 보이는 결과는 고립주의임. Brexit으로 영국과 사업하기가 갑자기 훨씬 복잡하고 비싸졌고, 의무 백도어는 많은 제품과 그 제품에 의존하는 제품들을 망가뜨릴 것임
    영국 인구는 6,700만 명, 전 세계의 1% 미만임. 이런 비윤리적 법을 준수하는 것과 고객 1%를 포기하는 것 중 어느 쪽이 더 쌀까? 지사를 낸다면 여러 도구가 작동하지 않고 수많은 절차를 넘어야 하는 곳을 택할까, 아니면 해협 건너 프랑스, 태평양 건너 미국, 더 나아가 Czechia 같은 곳을 택할까? 많은 고립주의 정권처럼 England도 세계에서 가장 미움받는 나라 중 하나이고, 옛 친구들로부터 스스로 고립되는 것처럼 보임. 이 흐름이 예상대로 간다면 Scotland가 안타까움. 잘못은 0%인데 결과는 온전히 함께 떠안게 됨
  • 영국 상황을 이렇게 묘사하면 보통 취소당하고, 엄청난 비추천을 받고, 우익 극단주의자라고 불림. 비추천이나 신고를 당하지 않은 게 오히려 놀라움
    영국이 달성하려는 건 가능한 한 통제적인 국가 권력을 유지하는 것임. 표현의 자유도 없고, 의미 있는 인권도 거의 없으며, 국민은 정부의 처분에 놓여 있고, 정부는 그 상태를 유지하려 함. Signal 같은 앱은 사람들에게 약간의 표현 자유를 줌. 공개적으로 원하는 말을 할 수는 없어도, 적어도 정부가 싫어하는 의견 때문에 취소당하거나 체포되지 않고 다른 사람에게 말할 수는 있음

• 이것은 Apple의 CSAM 사진 스캔 논란이 남긴 장기적 유산임. Apple이 그 개념을 주류화했고, 디스토피아적 도구를 시연했으며, 이 디스토피아적 광기의 논의를 정당화했음
  Apple 임원들은 자신들이 직접 맡은 역할을 부끄러워해야 함

  • 아님. 이 흐름은 Snowden 폭로 이후 기술 회사들이 종단 간 암호화 메시징을 도입한 때부터 이미 오고 있었고, 사실상 피할 수 없었음
    비슷한 법들이 영국, EU, Australia, Canada에서 제안되고 있음. 뒤의 둘은 확실하지는 않음
  • 이런 법들은 Apple이 CSAM 스캔 도구를 제안하기 한참 전부터 준비되고 있었음. Apple의 시도는 선제적으로 대응해서 그런 법에 대한 압박을 약화하려던 것이었지만, 반대가 너무 커서 전략이 실패함
  • 이건 그 일과 아무 관련이 없음. Dropbox, Google, Meta, Microsoft는 클라우드에서 이미 CSAM 이미지 스캔을 하고 있음. Apple은 클라우드에서 CSAM을 스캔하지 않았고 지금도 하지 않음
    차이가 보이지 않나? 사생활 보호를 내세우는 회사가 모두가 이미 하던 일을 사생활 보호 방식으로 하려 했던 것임. 보도자료를 냈고 모두가 화를 냈음. 그런데 같은 사람들이 자기 데이터를 같은 이미지 대상으로 적극 스캔하는 Google과 Microsoft는 잘만 씀. 이 논리가 정말 이해되지 않음
  • 이런 콘텐츠를 유포하는 변태들은 해당 플랫폼이나 다른 플랫폼에서 미리 암호화해 배포할 것이고, 우리에게는 대량 감시와 국가 통제만 남을 것임. 이런 감시가 아무것도 해결하지 못하고 모두에게 순손실이라는 사실을 아직도 많은 사람이 이해하지 못하는 게 슬픔. 곧 서구도 중국 같은 전체주의 국가가 될 수 있음
  • 이 싸움은 소비자가 처음으로 강력한 암호화를 손에 넣고 미국 정부가 백도어를 넣으려 했던 90년대까지 거슬러 올라감. 그 시도는 실패했고, 정보기관들이 여기서 다시 꺼낼 때마다 계속 실패했음
    영국인들은 사생활 보호에 그만큼 신경 쓰지 않는다고 봐야 할 듯함

• 정치인들에게 보안기관이 자기 메시지를 전부 스캔할 수 있는 게 좋은 생각이라고 누가 설득하는 걸까? 정치인들은 자신들이 구현하라는 요구가 뭔지 전혀 모른다고 확신함

  • 그 법은 정치인에게 적용되지 않음. 사실 명시적으로 제외돼 있음
  • 정치인들의 메시지는 스캔되지 않을 것임. 그 점은 확실히 챙길 테고, 하층민의 메시지만 스캔될 것임
    정부가 휴대전화를 해킹할 수 있게 하는 프랑스 법에는 예외가 잔뜩 있어서, 중요한 사람들의 휴대전화를 정부가 해킹하는 것은 합법이 아니게 되어 있음
  • 대부분은 비정치인 다수가 보기엔 “악”에 가까운 사람들임. 그 직업으로 들어가는 사람들은 정부가 가진 폭력 독점을 통해 다른 사람을 통제하고 싶어 함
    인터뷰의 그 의원은 뉴스 사이트 댓글란에서 윤리를 두고 논쟁하기 좋아하는 사람에게 문을 부수고 사람을 체포할 권한을 줬을 때 생기는 모습임
  • 돈이나 정치적 자본이 있고, 암호화를 약화하고 싶은 누군가겠지
  • 휴대전화 PIN을 잊어버렸을 때 모든 메시지 접근권을 잃지 않게 해주긴 하겠네

• 영국 시민을 위한 청원: https://petition.parliament.uk/petitions/634725

  • 이런 사람이 되긴 싫지만, 이런 청원이 실제로 도움이 된 적이 있나? 토론까지 따라가 본 것 중에서 현 정부로부터 단호한 “아니오”를 받아낸 것 말고 성공한 경우가 떠오르지 않음
    언론에 악당 취급을 받을 만큼의 직접 행동만이 정치인들이 실제로 듣게 만드는 길처럼 보임. 물론 그마저도 엄청난 오르막길임. 정말 대표받지 못한다는 느낌이 듦
  • 시민과 거주자

• Whittaker가 맞서고 있는 건 좋지만, 그녀의 말만 믿지 않아도 되면 더 좋겠음. 재현 가능한 빌드가 도움이 되겠지만, iOS에는 아직 없는 것 같음:
  https://community.signalusers.org/t/add-reproducible-builds-...

  • Apple이 모두가 접근하고 검증할 수 있도록 패키지를 암호화되지 않은 형태로 제공할지 결정해야 함. 그렇게 되면 가능함

• “감시 비즈니스 모델이 수십 년에 걸쳐 핵심 인프라에 interpolated되어, 우리가 어느 정도 감시당하는지 감각도 없는 수준까지 왔다…”라는 문장에서, 정말 infiltrated라고 말하려던 건가? 아니면 interpolated에 내가 모르는 유효한 용법이 있는 건가? 기사에 [sic]이나 수정이 있을 줄 알았음

  • Interpolate에는 외부 물질을 삽입해 바꾸거나 훼손한다는 뜻이 있음. 다만 그 용법은 텍스트에서만 봤음
  • interpolated의 덜 흔한 의미로, 보통 훼손의 뉘앙스를 담아 바꾼다는 뜻이 있음. 보통 텍스트를 설명할 때 보지만 여기서도 말은 됨
  • 확실히 infiltrated임

• 이 다리 밑으로 물이 흐른 지는 20년이 지났음. 이 논의 전체가 잘못된 10년대에 벌어지는 것 같음
  지금 문제는 GPS 앱, 검색, 카드 결제, 클릭, 휴대전화 기지국 데이터 등에서 계속 새는 정황 정보를 너무 쉽게 수집할 수 있어서, 정부가 더는 메시지의 실제 내용이 필요하지 않다는 점임. 그래도 Signal이 존재해서 좋지만, 복잡한 사생활 보호 세계의 일부일 뿐 마법 갑옷은 아님

  • 예전에 “이 티셔츠는 군수품이다” 티셔츠를 입었음. 25년 뒤 돌아보면, 사생활 보호 도구로서의 암호화는 해결책이 아니라 진정제였을지도 모름. 가장 똑똑한 사람들이 상황이 얼마나 나쁜지 보지 못하게 하고, 그 문제들에 용기를 쓰지 못하게 막았다는 생각이 듦

• 다른 문제를 다루는 정부의 무능함이 이 문제에도 옮겨가서, 어느 정도 상식 있는 사람이 집권해 이걸 폐기할 때까지 충분히 지연되길 아직 기대하고 있음. 적어도 생활비 위기와 우크라이나 전쟁부터 처리하길 바랄 수는 있겠지
  하지만 Labour와 거의 모든 주요 야당이 이 문제에 조용해서 제대로 된 야당 역할을 하지 않고 있음. 그래서 지연되더라도 얼마나 바뀔지는 잘 모르겠음