사진 크게 보기

공공안전부 장관 Gary Anandasangaree는 기술 기업과 변호사, 시민 자유 옹호자들의 비판에 대응해 C-22 법안 수정안을 내놓았다. 사진: Justin Tang/The Canadian Press

로그인 또는 계정 만들기

종단간 암호화로 전 세계 수백만 명의 통신을 보호하는 보안 메신저 Signal은 정부가 합법적 정보 접근 법안을 수정했지만, 캐나다에서 철수하지 않도록 설득하기에는 부족하다고 밝혔다. Signal 전략·글로벌 업무 담당 부사장 Udbhav Tiwari는 수정안이 암호화와 이용자 사생활을 충분히 보호하지 못한다고 말했다.

Signal은 지난 5월 법안에 새로 부여된 권한에 따라 이용자 사생활을 훼손하라는 요구를 받으면 캐나다에서 철수하겠다고 밝혔다. 6월 Anandasangaree 장관은 기술 기업과 변호사, 시민 자유 옹호자들의 비판에 대응해 법안 수정안을 내놓았다. 그중 하나는 암호화 키를 보유하지 않은 기업에 해당 정보를 복호화하도록 요구할 수 없다는 점을 명확히 했다.

Tiwari는 월요일 캐나다 인터넷 협회가 오타와에서 개최한 행사에서 수정안이 Signal의 우려를 해소하지 못했다고 말했다. 그는 법안의 암호화 관련 보호 범위가 키를 이용한 복호화에만 한정돼서는 안 된다고 주장했다.

Signal 임원, 오타와의 합법적 정보 접근 법안에 ‘위축 효과’ 우려를 제기

현재 법안은 인터넷 기업과 기타 전자 서비스 제공업체에 시스템 변경을 요구해 경찰과 캐나다 보안정보국(CSIS)이 감시할 수 있도록 한다. 범죄와 위협에 대응한다는 취지다. 정부가 기업에 이용자 메타데이터를 보관하도록 강제할 권한도 부여한다. 메타데이터에는 이메일, 웹 검색 기록, 소셜미디어 활동, 문자 메시지는 포함되지 않지만, 서로 연락한 전화번호나 이용자의 위치를 파악할 수 있는 정보는 포함될 수 있다.

Tiwari는 Signal이 메시지 암호화 키를 캐나다 정부에 제공하도록 강제되지는 않더라도, 암호화의 목적 자체를 무너뜨리는 중대한 소프트웨어 변경을 요구받을 수 있다고 경고했다. 그는 현재 문구대로라면 장관이 암호화와 모든 캐나다인의 사생활을 심각하게 훼손할 수 있는 명령을 내릴 수 있다고 말했다.

Anandasangaree 장관이 6월 도입한 수정안은 메타데이터 보관 기간을 최대 1년에서 6개월로 줄였다. 하지만 Tiwari는 이용자의 메타데이터를 조금이라도 저장해야 한다면 Signal에 심각한 문제가 된다고 밝혔다.

비영리 단체인 Signal은 자체 중앙 서버를 운영한다. 보관하는 이용자 데이터는 전화번호, 마지막 로그인 정보, 서비스 가입 날짜뿐이다. 연락처와 대화 등은 이용자의 휴대전화에 저장된다. 법에 따라 더 많은 메타데이터를 수집해 최대 6개월 보관하고 정부와 수사기관의 요청에 제공하라는 명령을 받으면, 이용자의 사생활을 보호하기 위해 캐나다에서 철수할 수밖에 없다는 것이 Tiwari의 설명이다.

그는 종단간 암호화를 유지하는 대신 메타데이터를 수집하는 더 취약한 제품을 만드는 선택은 할 수 없다고 말했다. Signal은 오픈소스 제품이며 누구나 검증할 수 있다며, 캐나다인뿐 아니라 전 세계 이용자의 사생활을 위험에 빠뜨리는 요구에 맞춰 제품을 바꾸지 않겠다고 밝혔다.

캐나다의 합법적 정보 접근 법안 C-22에 대해 알아야 할 내용

Anandasangaree 장관 대변인 Simon Lafortune은 법안이 종단간 암호화된 정보의 복호화를 요구하지 않으며, 기업에 시스템 전반의 취약점이나 이른바 ‘백도어’를 도입하도록 허용하거나 강제하지 않는다고 밝혔다. 그는 이해관계자들의 우려를 진지하게 받아들이고 있으며, 법안의 목적을 유지하면서 보호 조항을 강화할 추가 수정안에 상원에서 열려 있다고 덧붙였다.

오픈소스 웹 브라우저 Firefox를 운영하는 비영리 단체 Mozilla도 장관의 수정안에도 불구하고 법안에 심각한 우려가 있다고 밝혔다. Mozilla의 수석 소프트웨어 엔지니어 Christian Sadilek은 수정 법안이 기업에 시스템 취약점을 도입하도록 강제할 수 있다고 말했다. 그는 AI가 취약점을 자율적으로 검색하고 탐지해 침입 방법을 찾는 데 이를 빠르게 악용할 수 있다고 경고했다.

Sadilek은 오픈소스 제품인 Mozilla가 비밀 기능을 도입하라는 명령을 따를 경우 커뮤니티와 이용자의 신뢰를 잃게 될 것이라고 말했다. 그는 메타데이터 수집 의무가 이용자의 위치와 취미, 종교, 앓고 있는 질병 등 거의 모든 세부 정보를 드러낼 수 있다고 우려했다.