(45) 프로푸모와 쿠팡

1963년 영국을 뜨겁게 달군 사건이 있었다. 이름하여 ‘프로푸모 스캔들’. 그 대강은 다음과 같다. 영국의 잘나가는 보수당 정치인이자 전쟁부 장관이던 존 프로푸모가 1961년부터 당시 19세 모델(또는 쇼걸)이었던 크리스틴 킬러와 부적절한 만남을 가졌다는 것이다.

이 스캔들이 폭발력을 가진 이유는 크리스틴 킬러가 같은 시기에 영국 주재 러시아대사관의 무관인 예브게니 이바노프와도 관계를 맺고 있었다는 점 때문이다. 그 결과 국가기밀 유출 가능성이 문제가 됐고, 영국과 미국 정보부가 막후에서 개입했다. 존 프로푸모는 처음에는 부적절한 관계를 부인하다가 진실이 드러나자 거짓말쟁이로 몰려 모든 공직을 사퇴했고, 보수당은 이듬해 치러진 총선에서 노동당에 패했다.

보안에서 가장 취약한 부분은 ‘인간’

프로푸모 스캔들은 여러 면에서 타블로이드 언론이 눈독을 들일 만한 자극적 요소를 겸비했다. 그러나 선정적이고 자극적인 요소를 모두 걷어내면 프로푸모 스캔들이 우리에게 주는 교훈은 간단하다. ‘보안의 영역에서 가장 취약한 부분은 인간’이라는 점. 인간의 본성(그것이 사랑이건, 탐욕이건 아니면 귀찮음을 질색하는 것이건)이 보안 실패의 가장 중요하고 또 교정하기 어려운 요인이라는 것이다.

이 교훈은 각종 스파이가 난무하던 냉전 시대에만 유효한 것이 아니라 오늘날에도 변함없이 유효하다. 이를 보여주는 사건이 지난 11월 이후 온 국민의 분노 게이지를 자극하고 있는 쿠팡의 개인정보 유출 사태다.

쿠팡 사태는 3370만개 고객 계정의 개인정보가 암호화도 되지 않은 평문으로 유출됐다는 점에서 우리나라 보안 현실의 민낯을 여실히 보여주고 있다. 그런데 많은 언론은 피해자 숫자가 역대급이고 유출된 개인정보가 민감 정보라는 점을 강조하거나 과징금 액수에만 관심을 가질 뿐, 왜 이런 문제가 구조적으로 발생할 수밖에 없었는지에 대한 심층 분석은 소홀히 하고 있다. 그래서 이 글에서는 구조적 분석의 첫 단추를 모색해보기로 한다.

가장 먼저 구분해야 할 두 가지 개념은 ‘보안(security)’과 ‘암호화(encryption)’다. 두 가지 다 무엇인가 소중한 것을 보호하기 위한 장치다. 그런데 강조점이 약간 다르다. 간단한 비유를 들어보자.

여기 역사적으로 큰 의미가 있는 왕관을 소장하고 있는 박물관이 있다고 하자. 이 왕관을 대중에게 전시해야 하는데 훼손이나 도난을 방지해야 한다. 그럼 어떤 보호 조치를 취할 것인가?

한 가지 방법은 관람객을 통제하는 것이다. 입장권을 보유한 사람만 들여보내고, 입장에 앞서 백팩 등 소지품을 검사하고, 접근 가능 구역과 접근 통제구역을 구분해 관리하는 것이다. 도둑들이 담을 넘지 못하게 울타리도 치고 보안 카메라도 달고 경비원도 둘 수 있다. 이게 ‘보안’이다.

그럼 ‘암호화’란 무엇일까? 왕관을 두꺼운 금고 속에 넣고 잠그는 것이다. 그럼 (금고가 뚫리지 않는 한) 왕관은 안전하다. 문제는 왕관을 금고 속에 넣어두면 관람객이 이를 구경할 수 없다는 점이다. 그래서 박물관 개장 시간이 되면 금고문을 열고 왕관을 관람객에게 전시하다가 폐장 시간이 되면 다시 왕관을 금고 속에 넣어야 한다. 다음 날이 되면 이를 또 반복하고.

이 두 방법은 모두 약점이 있다. 인간의 본성이라는 약점. 보안의 경우 검색을 지나치게 강화하면 관람객이 불편함을 느끼고 급기야 박물관 자체를 멀리할 수 있다. 불편한 것은 딱 질색 아니던가. 또한 경비원이 근무를 태만히 하거나, 심지어 자신이 도둑이 될 수도 있다. 탐욕. 결국 ‘인간의 본성’이 말썽이다.

동형 암호란 연성 암호 들여다볼 필요성

암호화도 문제가 많다. 안전성을 강조해서 두꺼운 금고를 사용할수록 비용이 발생한다. 무엇보다 왕관을 금고에 넣었다 뺐다를 반복하는 것이 너무도 번거롭다. 그래서 자칫하면 금고는 ‘폼으로만 존재’하고 실제로는 왕관을 금고에 넣지 않거나 누구나 쉽게 꺼낼 수 있도록 금고문을 열어놓을 수도 있다. 귀찮음을 싫어하는 것. 또다시 ‘인간의 본성’이 문제다.

쿠팡은 어땠을까? 보안과 암호화 두 장치가 모두 실패했다. 보안과 관련해서는 사람 단속이 소홀했다. 마치 탐욕에 눈먼 경비원이 박물관 대문 열쇠를 복제해서 버젓이 박물관에 들어가는 것처럼, 퇴사하는 직원이 인증키를 복제해서 가지고 나간 것이다. 그래서 퇴사 후 마음대로 쿠팡 보안장벽을 열고 입장할 수 있었다.

그렇다면 금고라도 제대로 작동해야 하는데, 금고는 일단 보안 장벽을 뚫은 사람에게는 언제나 열려 있었던 것처럼 보인다. 고객정보는 암호화되지 않은 채 연결된 자연수 값으로 식별되게 돼 있었다. 마치 각종 보물을 1번 사물함, 2번 사물함 등에 차곡차곡 넣어두고 사물함 문은 잠그지 않은 것과 같다. 그러니 도둑은 사물함 문을 순차적으로 열어 보기만 하면 되는 것이었다. 이렇게 해서 사물함 속에 들어 있던 우리 국민 개인정보가 싹 털린 것이다.

이게 우리나라 정보보호의 민낯이다. 쿠팡이 유독 엉망인 것이 아니라 아마도 많은 기업이 엉망일 것이다. 터질 것이 터진 것뿐이다.

그럼 어찌해야 하나? 당연히 보안도 암호화도 강화해야 한다. 그런데 둘 중 더 걱정되는 부분은 암호화다. 인증키 관리, 특히 퇴사자에 대한 인증키 관리는 앞으로 상당히 엄격해질 것 같다. 그러나 암호화 강화, 즉 사물함에 자물쇠를 채우는 것은 별로 개선되지 않을 수 있다. 왜? 인간의 본성 때문이다.

퇴사자에 대한 인증키 관리를 강화하는 것은 기업 내부자에게 별로 불편함을 끼치지 않는다. 그래서 처벌을 강화한다면 아마도 관리를 강화할 것이다. 그러나 암호화는 다르다. 그걸 강화하면 내부자들이 너무도 불편하기 때문이다. 고객정보가 필요할 때마다 암호를 풀어 사용한 후 다시 암호화하는 과정은 번거롭기 짝이 없다. 아마 어떻게든 회피하려고 할 것이다. 번듯한 사물함이 있지만 늘 열어놓고 업무를 진행할 가능성이 크다.

이런 점을 고려하면 정책당국자가 진정 고민해야 할 부분은 ‘귀찮음을 싫어하는 인간의 본성이 암호화를 사실상 무력화하는 현실’을 어떻게 바꿀 것인가 하는 점이다. 가장 근본적인 해결은 암호를 풀지 않은 상태에서도 상당한 정도의 업무처리를 할 수 있도록 하거나, 적어도 암호를 풀어야 할 대상을 최소한으로 줄이는 방법을 모색하는 것이다.

그런 암호체계가 있을까? 동형 암호라는 연성 암호가 그런 특성이 있다는 주장이 있다. 한번 찬찬히 들여다볼 필요가 있지 않을까? 청문회에 쿠팡 대표가 참석하느니 마느니 하는 데 신경 쓰기보다는.