이하 첨부하는 글은 오픈소스 소프트웨어 디벨로퍼 강성훈 씨의 글임을 밝히는 바입니다. 

현재 유행하고 있는 텔레그램의 한계를 인식하는 것에 도움이 되리라 생각해 일독을 권합니다.

──────────────────────────────────────────────────────

텔레그램이라는 것이 유행하고 있다고 한다. 이게 왜 유행하는지에 대해서 내가 구구절절이 쓸 필요는 없을 것 같으니 전자신문 기사를 참고하시고… 며칠 전에 올린 트윗의 연장선상에서 조금 더 글을 써 보려 한다.

이런 종류의 “디지털 엑소더스”를 볼 때마다 불편한 심경을 감출 수 없는 것이, 보안이라는 것은 서비스를 갈아 타는 것 정도로 쉽게 끝나는 것이 아니기 때문이다. 보안(security)이라는 말은 참 오해받기 쉬운 것인데, 보안이라는 건 내가 원치 않는 일이 일어날 가능성을 최대한 차단하기 위해 미리 해 두는 온갖 종류의 일들을 통틀어 가리키는 말이다. 이 말인즉슨, 보안이라는 건 서비스도 중요한 역할을 하지만 많은 부분에서 당신의 행동이 중요한 역할을 한다는 얘기다. 아무리 안전한 메일 서비스를 써 봐야 남들이 다 볼 수 있는 모니터에다가 암호를 붙여 놓으면 메일이 안전할까? 하지만 똑같이 암호를 종이에 적어 놓았다고 하더라도 그 종이를 모니터가 아니라 지갑에 넣고 다닌다면 큰 문제가 없을 수도 있다. 아마도 대부분의 경우 지갑을 도둑맞으면 종이 쪼가리보다는 신용카드와 신분증이 더 문제가 될 것이다.

텔레그램 관련해서 반응들을 보면 보안과 정부 검열을 피하는 건 상관이 없다고 여기는 사람들도 제법 있는 것 같다. 하지만 정부나 크래커나 당신의 개인정보를 털 수 있는 건 똑같다. 단지 그 목적이 다를 뿐이다. 보안은 정부 검열을 포함해서 내가 원치 않는 일들을 막는 것이다. 검열은 가능한데 보안은 뛰어나거나, 보안은 별로지만 검열이 불가능한 종류의 서비스 같은 건 없으며, 다른 모든 부분에서 보안이 아무리 뛰어나도 검열이 가능하다면 그건 보안이 꽝인 것이다. 왜냐하면 그 검열 기능을 정부가 아닌 다른 사람이 쓰지 못 한다는 보장이 없기 때문이다. 당신이 정부를 철썩같이 믿는다고 해도 이 사실이 변하지는 않는다!

물론, 보안이 그렇게 중요한 것이라는 사실을 인식해도 보안이 쉬운 문제가 되진 않는다. 예를 들어서, 텔레그램 사이트엘 가 보면 "우리는 암호화에 256비트 대칭 AES 암호화와, RSA 2048 암호화와 디피-헬만 키 교환을 사용합니다"라는 내용이 쓰여 있다. 이게 사실 아무 쓸모짝에도 없는 문장이라는 걸 얼마나 많은 사람들이 알 수 있을까?¹ 이 문장의 어느 부분도 실제 보안에는 아주 큰 영향을 주지 않는다. 하지만 일반 사용자는 시스템을 통째로 가져다 보여 줘도 이게 무슨 문제가 있는지 알 방법이 없으니 겉보기에 쓰여 있는 숫자나 용어들만 보고 “2048비트 RSA? 그거 짱 좋은 거 아니야?” 하고 넘어가는 것이다.

다행히도 보안 서비스/제품이 수상쩍다는 걸 파악하는데 보안에 대해서 모든 것을 알아야 할 필요는 없다. (음, 사실 많이 알면 주화입마에 걸린다.) 브루스 슈나이어는 아예 대놓고 이런 짜가들에 흔히 보이는 표현들과 특징들을 묶어서 글로 정리해 올렸을 정도이다. 여기에 다 옮기기는 어렵지만 슈나이어가 지적하는 것들을 요약하면 대강 다음 중 하나에 속하면 문제가 있다고 보면 된다.

1. 아무도 모르는 용어를 쓰거나 숫자를 강조 (슈나이어 글에서 #1, #5, #6)
2. 공개되지 않았거나 너무 새로운 기술 (#2, #3)
3. 보안이랑 별 상관 없는 걸 들고 보안이 높다고 주장 (#7, #8, #9)
4. 그냥 멍청함 (#4)

왜 용어나 숫자가 상관이 없는지는 앞에서 설명했으니 생략하자. 너무 새로운 기술이나 공개되지 않은 기술은 검증이 안 되었기 때문에 문제가 있다. 모든 기술이 그러는 건 아니지만, 특히 보안 관련된 기술을 “어떻게” 써야 안전한지, 어떤 예측 못 한 문제가 있는지 윤곽이 드러날 때까지는 수 년이 넘는 시간이 소요된다. 하물며 공개되지 않은 독점 기술이면 어떻겠는가. 내부 구조를 모두 다 까발려 보여 주고도 제대로 사용하면 바깥에서 공격할 여지가 없어야만 높은 보안이라고 할 수 있다. 물론 사용자 또한 제대로 사용해야만 하겠지만.

보안이랑 별 상관 없는 것들의 대표적인 예로는 텔레그램이 했던 크래킹 대회가 있다. 상식적으로 생각해 봐도, 크래킹 대회에서 안 뚫렸다고 앞으로도 안 뚫린다는 보장이 있는가? 운전 30년 하면서 안전벨트 한 번도 안 맸지만 문제가 없었다고 앞으로도 안전벨트를 맬 필요가 없겠는가? 이 대회에는 미래에 일어날 수 있지만 당장 공략할 수 없는 보안 문제에는 상금을 주지 않는다는 취지의 황당한 조건도 붙어 있었다. 한 술 더 떠서, 이런 조건을 다 걸었음에도 불구하고 이미 한 번 뚫렸다! 링크한 글의 저자는 이걸 두고 “그 잘난 전문가들은 도대체 뭘 하셨습니까”라는 취지로 반대파를 비판하고 있지만, 사실은 정 반대로 텔레그램이 주장하던 보안은 애초에 보안 전문가까지 갈 것도 없이 (상금을 받은 사람이 스스로를 이르기를) “암호학 초보자”조차 뚫을 수 있을 정도였던 것이다.

"하지만 텔레그램은 적어도 보안 문제를 고치긴 했잖아요!" 음, 사실 이조차도 안/못 하는 업체들이 차고 넘친게 현실이긴 하다. 하지만 다른 것도 아니고 보안을 기능으로 삼는 서비스가 할 소리는 절대 아니다. 만약 미래에 일어날 수 있었던 보안 문제가 실제로 일어나서 당신의 개인정보가 털리면 어쩔 건가? 개인정보를 회수하기라도 하나? 미래에 개인정보가 털려도 상관 없다면 당신은 보안이 강한 메신저가 필요한 게 아니라 편리한 메신저가 필요한 것이고, 그러면 애당초 텔레그램을 쓸 필요도 없었을 것이다.

이 글 하나로 텔레그램을 쓰는 사람이 줄어들 거라는 기대를 하지는 않는다. 당장 카톡을 물리치고 앱스토어 다운로드 1위까지 올라온 마당에 뭘 할 수 있겠는가. 하지만 텔레그램을 그렇게 쓰고 싶다면 최소한 텔레그램이 무슨 문제를 가지고 있고 어떤 위협이 남아 있는지는 알고 썼으면 한다.

---

만약 텔레그램을 믿을 수 없어서 다른 앱을 찾아 본다면, 내가 할 수 있는 최선의 조언은 다음 세 가지이다.

보통 메신저처럼 쓰면서도 한국 정부의 마수를 피해갈 수 있는 메신저를 쓰고 싶다면… 애플 제품만 쓴다면 iMessage를 추천한다. iMessage는 적어도 “알려진” 기술을 써서 텔레그램이 주장하는 만큼의 보안을 제공한다. 안드로이드나 PC에서도 써야 한다면 완벽한 대안은 없다. 구글 행아웃이나 최근에 페이스북에 인수된 와츠앱이 그나마 나은 편이긴 한데 얘네도 영장 받으면 약간 더 튕길 가능성이 있지만 어쨌든 정보를 공개할 것이다. 참 안타까운 일이다.

약간의 불편함을 감수하고라도 보안이 더 나은 메신저를 쓰고 싶다면… 사실 의외로 제법 있다. 이를테면 텔레그램을 까는 사람들이 흔히 제시했던 대안은 TextSecure인데, 비영리라고 주장하긴 하지만 여튼간에 기업이 뒤에 있는 텔레그램과는 달리 확실하게 오픈소스이고 실제 보안 전문가들²이 참여하고 있다. 이것 말고도, 텔레그램은 이른바 end-to-end라고 불리는 종류의 보안을 제공하는데 이 용어로 검색하면 이런 저런 다른 대안들이 나온다. 물론 나는 하나도 써 본 적이 없으므로 잘 살펴 보셔야 하고, 어쨌거나 품을 좀 팔아야 한다는 건 감수하자.

완벽한 보안이 필요하다면… 아니 왜 메신저를 쓰세요? 이 글의 맨 첫머리에서 언급했듯 보안에서 서비스나 제품은 일부분에 불과하다. 오히려 보안에서 보통 큰 문제가 되는 것은 사람, 바로 당신이다. 당신이 모르는 사이 당신의 행적은 웹사이트에, 블랙박스에, 통신사에, 무심코 지나가는 길거리와 버스와 지하철에, 그 밖의 온갖 곳에 모두 남아 있다. 당연히 노력이 필요하고 습관을 바꿔야 하는 문제이다. 굳이 편집증적으로 행동하지 않아도 몇 가지 습관을 들이면 보안을 훨씬 개선할 수 있다. (대표적인 걸로다인자 인증이 있다.) 메신저 얘기로 돌아오면, 메신저처럼 실시간성이 필요한 것일수록 보안이 떨어질 수 밖에 없다. 메신저를 쓸 필요가 크게 없다면 암호화된 이메일이 더 나을 것이다. 이를테면 Enigmail같은 걸 써라.