Apple says researchers can vet its child safety features. But it’s suing a startup that does just that.

반발 커지는 애플의 이중성

아이폰의 ‘아동 성학대’ 사진 모니터링 기술을 내놓은 애플이 정부의 콘텐츠 감시와 프라이버시 침해 가능성 논란에 휘말리자 누구나 자사의 기술을 조사해 보안상태를 확인할 수 있게 하겠다며 진화에 나섰다. 하지만 동시에 그런 조사에 나선 사람들과 싸우는 이중적인 모습을 보여주고 있다.

애플이 미국 아이폰의 아이클라우드(iCloud) 서비스에 저장된 ‘아동 성학대 관련 자료(CSAM)’를 감시하는 신기술을 발표하자 이 기술이 정부의 감시 활동에 광범위하게 악용될 수 있다는 우려와 프라이버시 침해 논란이 커지면서 이에 대한 거센 비난이 쏟아졌다.

여론의 저항에 직면하자 애플은 “개인 프라이버시는 철저히 보장될 것이고, 아이폰에 저장된 데이터 역시 철저히 보안에 부쳐질 것”이라고 강조하며 독립적인 보안연구 커뮤니티가 보안 주장을 검증하고 확인하도록 독려했다.

크레이그 페더리기 애플 부사장은 <월스트리트저널>과 가진 인터뷰에서 “보안 연구원들은 애플의 (아이폰) 소프트웨어에서 일어나고 있는 일을 끊임없이 조사할 수 있다”면서 “따라서 만약 우리가 하지 않기로 약속했던 방식으로 이 기술의 활용 범위를 확장하기 위한 어떤 변화가 생긴다면, 검증이 가능해 연구원들이 그런 일을 즉시 감지할 수 있을 것”이라고 말했다.

그런데 애플은 보안 연구원들이 바로 그런 조사를 할 수 있게 해주는 소프트웨어를 만드는 회사인 코렐리움(Corellium)을 상대로 법정 다툼을 벌였다.

애플은 2019년 코렐리움이 자사 iOS를 불법 복제했다고 주장하며 소송을 제기했다. 코렐리움은 모바일 OS를 가상화해 웹 기반으로 제공하는 기업으로, 보안 연구원 등 다양한 고객이 가상화된 모바일 iOS로 특정 기기를 테스트하도록 지원해준다. 가상화한 모바일 OS는 iOS뿐만 아니라 안드로이드로 포함됐다.

애플은 소송에서 코렐리움이 자사 승인 없이 iOS 사본을 판매함으로써 저작권을 침해했고, 해커가 코렐리움의 플랫폼을 사용하여 아이폰과 아이패드를 해킹하는 방법을 찾을 수 있다고 주장했다. 코렐리움은 애플 코드를 사용한 행위는 법적으로 보호되는 ‘공정이용’의 전형적인 사례라고 반박했다. 판사는 지금까지 코렐리움 편을 들어줬고, 지난주 2년 동안 이어온 소송은 마침내 두 회사의 합의로 일단락되었다. 애플의 CSAM 기술 소식이 발표되고 며칠 뒤였다.

맷 테이트 코렐리움의 최고운영책임자(COO)는 MIT 테크놀로지 리뷰와의 인터뷰에서 페더리기 부사장의 발언은 현실과 맞지 않는다고 비판했다. 그는 “애플 측이 그런 식으로 말하다니 매우 치사하다”면서 “iOS는 실제로 사람들이 시스템 서비스를 들여다보기 매우 힘들게 설계되어 있다”라고 주장했다.

맷 혼자만 애플의 입장을 비난하는 건 아니다.

스탠퍼드인터넷관측소(Stanford’s Internet Observatory)의 최고기술책임자(CTO)인 데이비드 티엘은 “애플은 시스템 전체를 조사할 수 있는 연구원들의 능력을 과장하고 있다”고 주장했다. <iOS 애플리케이션 보안(iOS Application Security)>이라는 책의 저자이기도 한 그는 트위터를 통해 애플은 자신이 가능하다고 주장하는 것과 유사한 일이 일어나지 않게 막기 위해 많은 돈을 지출하고 있다고 꼬집었다.

감시의 책임

애플의 복잡한 신기술이 어떻게 작동하는지 정확히 확인해보고 싶어도 방금 매장에서 구매한 아이폰의 운영체제 내부만 들여다 봐서는 확인이 불가능하다. ‘담장에 둘러싸인 정원(walled garden)’이라는 비판을 받을 정도로 애플 앱스토어는 폐쇄적인 것으로 유명하다. 다만 이런 폐쇄성이 애플이 보안과 관련된 몇 가지 근본적인 문제를 해결하는 데 도움을 준 것도 사실이다. 그러나 이는 또한 아이폰이 방문객의 접근을 막게 설계되었다는 의미도 된다.

안드로이드폰은 근본적으로 다르다. 아이폰과 달리 USB를 꽂고, 개발자 도구를 설치하고, 최상위 수준의 루트 액세스를 하면 안드로이드의 해제가 가능하다.

애플의 전략 때문에 보안 연구원들은 원하는 수준의 정보를 얻기 위해 애플과 끊임없는 싸움을 벌여야 한다.

그러나 애플과 보안 연구원들이 어떤 정부도 애플의 새로운 어린이 안전 기능을 무기화하지 않고 있다는 것을 입증할 수 있는 몇 가지 방법이 있다.

애플이 연구원들에게 검토할 코드를 넘겨주면 된다. 다만 애플은 그렇게 하겠다고 밝힌 적이 없다. 보안 연구원들은 또 실제 프로그램들을 라이브 환경에서 구동해보지 않고도 ‘정적인’ 방식으로 코드를 리버스 엔지니어링(reverse engineering), 즉 역설계해볼 수 있다.

그러나 현실적으로 두 방법 모두 최신 아이폰에서 실행 중인 코드를 실시간으로 보고 실제 작동 방식을 확인하는 데 도움이 못 된다. 그래도 연구원들은 여전히 애플이 개방적이고 정직할 뿐만 아니라 이렇다 할 오류나 실수 없이 코드를 설계했다는 믿음을 갖고 있다.

또 다른 방법은 애플 측이 말한 대로 제3자인 애플의 ‘보안 연구 기기 프로그램(Security Research Device Program)’ 회원들에게 시스템 접근 권한을 주는 것이다. 그러나 티엘은 이 그룹이 애플 외부 연구진들로 구성되어 있어 할 수 있는 말과 행동에 대한 많은 제약이 따르다 보니 신뢰성 문제를 해결할 수 없을 것이라고 주장했다.

그렇다면 이제 현실적으로 두 가지 방법만 남게 된다. 첫째는 해커들이 보안 담당자가 알기 전에 보안의 취약한 부분을 이용하는 일명 ‘제로 데이(zero day)’ 약점을 이용하여 구형 아이폰을 탈옥시키는 것이다. 다만 이렇게 하기 어렵고 비용이 많이 들며, 보안 패치로 탈옥이 실패할 수 있다.

티엘은 ”애플은 아이폰 탈옥을 막기 위해 많은 돈을 썼다“면서 “탈옥을 더욱 어렵게 만들기 위해 탈옥 커뮤니티 출신 사람들까지 특별 고용했다”라고 주장했다.

그게 아니라면 연구원들이 애플의 보안 기능을 끌 수 있는 가상 아이폰을 사용할 수도 있다. 코렐리움이 했던 방식처럼 말이다. 그럴 경우 어떤 보안 연구원이라도 조사할 수 있는 내용에는 한계가 있더라도, 애플이 아이클라우드에 공유되는 사진 이외의 것들까지 스캔한다면 연구원들이 그런 사실을 감지할 수는 있을 것이다.

그러나 아동학대 자료 외에 다른 것이 데이터베이스에 들어가 있다면 연구원들은 그것을 보지 못할 것이다. 애플은 이 문제를 해결하기 위해 별개의 관할구역에 있는 별도 아동보호단체 두 곳이 자체 데이터베이스에 동일한 학대 이미지를 갖고 있게 만들겠다고 밝혔다. 그러나 애플은 이 데이터베이스의 작동 방식, 데이터베이스 실행 주체, 관련 관할권, 데이터베이스의 궁극적인 출처 등에 대한 세부 사항을 거의 밝히지 않았다.

진정한 어려움

티엘은 애플이 해결하려는 문제가 ’현실적 문제‘임을 인정한다. 그는 아동 성학대 자료에 대해 “그것이 사람들이 오로지 다른 사람들을 감시하기 위한 핑곗거리로 이용되는 수단이 돼서는 안 된다”면서 “그것은 널리 퍼져있는, 해결해야 할 현실적인 문제”라고 밝혔다.

그러나 코렐리움의 테이트는 애플이 폐쇄성과 투명성을 동시에 지향하려고 하는 게 문제라고 지적한다. 영국 정보기관에서 정보보안 전문가로 일한 적이 있는 그는 “애플은 두 마리 토끼를 다 쫓으려고 한다”라고 주장했다.

그는 “애플이 한편으로는 탈옥을 어렵게 만들고 코렐리움 같은 회사를 상대로 소송을 제기해 생존을 어렵게 만들면서 다른 한편으로는 이렇게 복잡한 시스템을 구축했다”면서 “‘우리가 정직하게 이 일을 해냈다고 믿지 않는 사람들이 있으나 보안 연구원이라면 누구라도 우리 말이 맞다는 걸 직접 입증할 수 있으니 괜찮다’는 식으로 말한다”고 주장했다.

애플은 취재 요청에 응하지 않았다.

미리보기 3회1회

MIT Technology Review 구독을 시작하시면 모든 기사를 제한 없이 이용할 수 있습니다.