PrivacyNotes는 메모와 할 일, 일기 등을 종단간 암호화해 관리하는 앱이다. 12단어 문구로 가입하면 이메일이나 비밀번호 없이 사용할 수 있으며, 웹 브라우저와 macOS, Windows, Linux, Android, iOS에서 이용할 수 있다. 브라우저 데모는 계정 없이 체험할 수 있고, 입력한 내용은 저장되지 않는다고 제작자는 설명한다.
제작자에 따르면 문구는 기기에서 키를 만드는 데 쓰이며 서버로 전송되지 않는다. 메모와 첨부 파일은 기기에서 암호화되고 서버에는 암호문이 저장된다. 저장소에는 암호화 방식과 위협 모델이 공개돼 있으며, 이용자는 검증 안내에 따라 브라우저 네트워크 탭에서 전송되는 데이터를 확인할 수 있다. 저장소에는 사용자용 보안 안내와 감사 검토용 위협 모델도 있다.
다만 Google, Apple 또는 GitHub 계정으로 가입하면 기본 설정은 서비스 측 보관 방식이다. 이 경우 문구는 제작자가 보유한 키로 암호화돼 서버에 저장되며, 제작자는 법적 명령이나 심각한 침해, 향후 부정직한 운영으로 평문에 접근할 수 있다고 밝힌다. 설정에서 키 보관 방식을 바꿀 수 있으며, 문구 가입은 사용자가 키를 직접 보관하는 방식이다. OAuth 가입자는 제공업체가 공유한 이메일 주소가 공개 키와 연결된다.
암호화해도 서버에는 공개 키, 암호문 길이, 타임스탬프, 메모 수, 요청 IP, 동기화 패턴이 보인다. 문구를 잃어버리면 직접 보관 방식에서는 메모를 복구할 수 없고, 기기의 악성코드나 잠금 해제된 브라우저 세션에 접근한 공격자도 위협이 될 수 있다. 웹 앱은 공개된 소스 코드와 실제 브라우저에 전달된 코드가 다를 가능성이 있으며, 하위 리소스 무결성 검사와 재현 가능한 웹 빌드는 아직 제공되지 않는다. 제작자는 제3자 보안 감사를 아직 받지 않았다고 밝혔다. 프로젝트는 AGPL-3.0 라이선스로 공개됐지만 PrivacyNotes 이름과 로고는 라이선스에 포함되지 않는다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요