메신저가 털리면 무엇까지 새어 나갈까

메신저가 뚫렸다는 소식은 주기적으로 온다. 잘 막는 일은 터지느냐를 가른다. 터진 뒤에 어디까지 새느냐를 가르는 것은 따로 있다. 그 시점에 회사가 무엇을 들고 있었느냐다. 내놓으라는 요청을 받는 경우도 같은 자로 잰다.

약속은 개정되고 보유량은 그렇지 않다

개인정보처리방침은 고칠 수 있는 문서다. 회사는 팔리고 경영진은 바뀌고 방침에는 개정일이 붙는다. 지금 적혀 있는 문장이 삼 년 뒤에도 그대로일 이유는 없다.

바뀌지 않는 쪽은 하나다. 방침을 고쳐도 받은 적 없는 정보가 생기지는 않는다. 수집하지 않은 전화번호는 개정 뒤에도 서버에 없고 복호화 열쇠가 없는 암호문은 회사가 마음을 바꿔도 열리지 않는다.

그래서 물어볼 것이 달라진다. “이 회사를 믿을 수 있나”는 확인할 방법이 없는 질문이고 “이 회사가 무엇을 가지고 있나”는 확인할 수 있는 질문이다. 어디를 봐야 하는지는 보안 메신저를 고르는 기준에서 따로 정리했다.

보유량은 피해의 상한이다

밖으로 새는 길은 하나가 아니다. 서버가 뚫리거나 직원이 들여다보거나 내 계정이 탈취되거나 누군가 내놓으라고 요구한다.

네 경우 모두 새어 나갈 수 있는 것의 최대치가 같다. 회사가 그 시점에 들고 있던 것이다. 아무리 잘 만든 약속도 상한을 정하지 못하고 보유량은 정한다. 그래서 적게 모으는 설계는 사고가 났을 때 피해를 줄이는 쪽으로 먼저 작동한다.

상한이 밖에서 시험되는 자리

적게 가지고 있다는 말은 대개 회사가 스스로 하는 말이다. 확인할 길이 없으면 광고 문구와 다를 것이 없다.

드물게 확인되는 자리가 있다. 바깥에서 누군가 내놓으라고 요구했을 때다. Signal은 그 기록을 십 년째 공개하는데 2016년 문서에서 주소록도 그 해시도 그룹도 누구와 주고받았는지도 저장하지 않는다고 적었다. 전화번호와 인증 토큰과 키와 푸시 토큰은 저장한다고 같은 회사의 처리방침이 밝힌다. 가진 것과 가지지 않은 것이 둘 다 공개되어 있다.

여기서 볼 것은 그 목록이 아니라 목록을 어디에 적었느냐다. 광고에 적은 문장과 법적 절차에 낸 문장은 무게가 다르고 뒤의 것은 기록으로 남는다.

협조와 보유는 다른 축이다

흔히 뒤섞이는 것을 떼어 놓아야 한다. 적법한 요청에 협조하는 것과 넘길 것을 가지고 있는 것은 별개의 문제다.

시그니토(Signito)의 처리방침도 관할 당국과 법 집행기관의 적법한 요청에 협조한다고 적어 둔다. 같은 방침이 이어서 적는 것은 메시지 내용을 회사가 읽을 수 없다는 사실이다. 서버에 놓이는 것은 보내는 기기에서 잠근 암호문이고 복호화 열쇠는 서버에 없다. 두 문장은 부딪히지 않는다. 협조하겠다는 쪽은 태도이고 읽지 못한다는 쪽은 구조다.

같은 자를 우리에게도 대야 한다. 그 방침이 적어 둔 보유 항목을 줄이지 않고 옮기되 무엇에 쓰는지를 같이 적는다.

계정을 세우는 데 로그인 아이디와 닉네임이 든다. 비밀번호와 복구코드는 되돌릴 수 없는 해시로만 둔다. 프로필 이미지와 상태메시지는 고르는 사람에게만 더해진다.

쓰는 동안 자동으로 기기 종류와 푸시 토큰이 생긴다. 알림을 보내려면 어느 기기로 보낼지 알아야 하기 때문이다. 로그인을 유지하는 토큰도 있다. 비정상적인 요청을 막으려면 IP 주소가 필요한데 계정과 엮지 않고 처리하며 길어야 7일 안에 지운다.

결제를 확인하는 데 거래 식별자와 상품 식별자와 이용권 상태가 든다. 같은 영수증으로 두 번 받는 것을 막는 수단이 그 식별자다. 카드 번호와 이름과 주소는 스토어가 처리하고 회사로 오지 않는다.

전달하는 데 암호화 공개키와 최소한의 메타데이터 그러니까 방 식별자와 전송 시각이 든다.

최소로 줄였다는 말이 아무것도 없다는 말은 아니다. 그 방침이 적은 것은 위가 전부이고 생년월일과 실명과 이메일과 전화번호는 아예 받지 않는다.

협조해도 내줄 것이 적은 이유가 태도가 아니라 여기에 있다.

자주 묻는 질문

회사가 나중에 마음을 바꾸면 어떻게 되나요

마음을 바꿔도 지난 대화는 돌아오지 않는다. 방침을 고치면 그 뒤로 모으는 것이 늘어날 수는 있지만 이미 받지 않은 값과 이미 지운 기록은 되살아나지 않는다. 그래서 방침 개정은 과거가 아니라 앞으로의 문제다.

그럼 아무 기록도 없다는 뜻인가요

아니다. 계정이 있으려면 아이디가 있어야 하고 알림을 보내려면 기기 토큰이 있어야 하고 전달하려면 어느 방으로 보낼지는 알아야 한다. 읽히지 않는 것이 내용이고 남는 것은 전달에 필요한 값이다. 그 값들을 메타데이터라고 부른다.

처리방침에서 무엇을 보면 되나요

수집 항목 목록과 보관 기간을 본다. 항목마다 무엇에 쓰는지가 적혀 있고 기간에 구체적인 숫자가 있으면 확인할 수 있는 약속이고 “관련 법령에 따라”로만 끝나면 확인할 수 없는 약속이다.

암호화만 하면 되는 것 아닌가요

내용은 암호화가 막는다. 가입할 때 받아 둔 값은 암호화와 무관하게 남는다. 그래서 암호화 여부와 수집 항목은 따로 봐야 한다.

참고한 자료

• Government Requests (Signal · 2016~2026)
• Grand jury subpoena for Signal user data, Eastern District of Virginia (Signal · 2016)
• Terms & Privacy Policy (Signal · 2018)