프라이버시 관련하여 흔히 잘못 알려진 사실들

"오픈 소스 소프트웨어는 항상 안전하다" 또는 "사유 소프트웨어가 더 안전하다"

이러한 미신은 여러 편견에서 비롯되지만, 소스 코드의 공개 여부나 소프트웨어 라이선스 방식이 보안에 본질적인 영향을 미치는 것은 아닙니다. 오픈 소스 소프트웨어는 사유 소프트웨어보다 더 안전해질 잠재력을 가지고 있지만, 실제로 그렇다는 보장은 전혀 없습니다. 소프트웨어를 평가할 때는 각 도구의 평판과 보안을 개별적으로 검토해야 합니다.

오픈 소스 소프트웨어는 제3자에 의해 감사를 받을 수 있으며, 독점 소프트웨어에 비해 잠재적인 취약점에 대해 더 투명한 경우가 많습니다. 또한 사용자가 직접 코드를 검토하고 의심스러운 기능을 비활성화할 수도 있습니다. 하지만 직접 그렇게 하지 않는 한, 특히 규모가 작은 소프트웨어 프로젝트의 경우 코드가 제대로 검토되었다는 보장이 없습니다. 또한 개방형 개발 프로세스는 때때로 공급망 공격이라 불리는 새로운 취약점을 유입시키는 데 악용되기도 하며, 이에 대한 자세한 내용은 일반적인 위협 게시글에서 확인할 수 있습니다.

반대로 사유 소프트웨어는 투명성이 떨어지지만, 그렇다고 해서 보안이 취약하다는 의미는 아닙니다. 주요 독점 소프트웨어 프로젝트는 내부 및 제3자 기관을 통해 감사를 받을 수 있으며, 독립적인 보안 연구원들도 리버스 엔지니어링과 같은 기술을 통해 취약점을 찾아낼 수 있습니다.

편향된 결정을 내리지 않으려면 사용하는 소프트웨어의 개인정보 보호 및 보안 표준을 평가하는 것이 매우 중요합니다.

"신뢰의 전환으로 프라이버시를 강화할 수 있다"

VPN과 같은 제공자를 논할 때 "신뢰의 전이"(사용자가 ISP(kt등)에 두는 신뢰를 VPN 제공업체로 옮기는 것)에 대해 자주 이야기합니다. 이는 ISP로부터 브라우징 데이터를 보호해주지만, 선택한 VPN 제공업체는 여전히 사용자의 브라우징 데이터에 접근할 수 있습니다. 즉, 데이터가 모든 당사자로부터 완전히 보호되는 것은 아닙니다. 이는 다음을 의미합니다.

• 신뢰의 대상을 옮길 제공업체를 선택할 때는 신중한 조사와 주의를 기울여야 합니다.

• 데이터를 완벽하게 보호하려면 여전히 E2EE와 같은 다른 기술을 사용해야 합니다. 단순히 한 제공업체를 불신하고 다른 업체를 신뢰하는 것만으로는 데이터를 안전하게 보호할 수 없습니다.

“프라이버시 중심 솔루션은 신뢰할 수 있다"

도구나 서비스 제공업체의 개인정보 보호정책과 마케팅에만 집중하면 그 이면의 취약점을 간과할 수 있습니다. 더 프라이빗한 솔루션을 찾을 때는 근본적인 문제가 무엇인지 파악하고 그에 대한 기술적인 해결책을 찾아야 합니다. 예를 들어, 구글이 모든 데이터에 접근할 수 있는 구글 드라이브를 피하고 싶을 수 있습니다. 이 경우 근본적인 문제는 종단간 암호화(E2EE)의 부재이므로, 새로 선택하는 업체가 실제로 E2EE를 구현하는지 확인하거나, 어떤 클라우드 서비스에서도 E2EE를 제공하는 도구(Cryptomator 등)를 사용해야 합니다. E2EE를 구현하지 않는 "프라이버시" 업체로 옮기는 것은 문제를 해결하는 것이 아니라, 단지 신뢰의 대상을 구글에서 해당 업체로 옮기는 것에 불과합니다.

선택한 업체의 개인정보 보호정책과 비즈니스 관행도 매우 중요하지만, 이러한 손가락 건 약속은 기술적 보다는 부차적인 요소로 고려되어야 합니다. 특정 업체를 신뢰할 필요가 전혀 없는 상황이라면, 굳이 신뢰의 대상을 다른 업체로 옮겨야할 이유가 없습니다.

"복잡할수록 안전하다"

우리는 종종 지나치게 복잡한 프라이버시 위협 모델을 설명하는 사람들을 봅니다. 이러한 솔루션에는 여러 개의 이메일 계정이나 수많은 가변 요소 및 조건이 얽힌 복잡한 설정 등의 문제가 포함되곤 합니다. 이에 대한 답변은 대개 "X를 수행하는 가장 좋은 방법은 무엇인가요?"라는 질문에 대한 해결책입니다.

자신에게 "최선"인 솔루션을 찾는다는 것이 반드시 수십 가지 조건이 붙은 완벽한 솔루션을 쫓는 것을 의미하지는 않습니다. 이러한 방식은 현실적으로 다루기 어려운 경우가 많습니다. 앞서 논의했듯이 보안은 종종 편리함을 희생하면서 얻어집니다. 아래에 몇 가지 팁을 제공합니다.

• 모든 작업은 목적에 부합해야 합니다. 최소한의 작업으로 원하는 바를 달성할 수 있는 방법을 고민해 보세요.

• 인적 오류가 발생할 가능성을 제거하세요. 사람은 실수하고, 지치며, 무언가를 까먹기 마련입니다. 보안을 유지하려면 수동으로 기억해야 하는 조건이나 프로세스에 의존하지 마세요.

• 의도한 목적에 맞는 적절한 수준의 보호 조치를 사용하세요. 소위 법 집행 기관의 추적이나 영장 발부를 피할 수 있다는 솔루션들이 권장되는 것을 자주 봅니다. 하지만 이러한 솔루션은 전문 지식을 요구하는 경우가 많으며, 일반적으로 사람들이 원하는 방식이 아닙니다. 사소한 실수 하나로 쉽게 신원이 노출될 수 있다면, 익명성을 위해 복잡한 위협 모델을 구축하는 것은 의미가 없습니다.

그렇다면 이것이 어떤 모습일까요?

가장 명확한 위협 모델 중 하나는 사람들이 당신이 누구인지 아는 경우와 그렇지 않은 경우입니다. 실명을 밝혀야만 하는 상황은 언제나 존재하며, 그렇지 않아도 되는 상황도 있습니다.

실명 신원 - 실명 신원은 본인의 이름을 반드시 밝혀야 하는 상황에서 사용됩니다. 주민 등록이 요구되는 수많은 법적 문서와 계약이 존재합니다. 이는 은행 계좌 개설, 부동산 임대 계약, 여권 발급, 물품 수입 시의 세관 신고 또는 정부 기관을 상대하는 일 등을 포함합니다. 이러한 활동은 대개 신용카드, 신용 등급 조회, 계좌 번호, 그리고 실제 주소와 같은 자격 증명으로 이어집니다.

이러한 경우에는 이미 다른 수단을 통해 신원이 노출되어 있으므로 VPN이나 Tor를 사용하는 것을 권장하지 않습니다.

가명 신원 - 가명 신원은 정기적으로 사용하는 고정된 필명을 의미할 수 있습니다. 이는 바뀌지 않기 때문에 익명과는 다릅니다. 온라인 커뮤니티의 일원이라면 타인이 알아볼 수 있는 페르소나를 유지하고 싶을 수 있습니다. 이러한 가명은 익명이 아닙니다. 장기간 모니터링될 경우 문체나 특정 주제에 대한 지식 수준 등 신원에 대한 세부 정보가 드러날 수 있기 때문입니다.

이 경우 IP 주소를 숨기기 위해 VPN 사용을 고려할 수 있습니다. 금융 거래는 숨기기가 더욱 어렵습니다. 모네로와 같은 암호화폐 사용을고려해 볼 수 있습니다. 일반적으로 거래소에서는 법정 화폐를 암호화폐로 교환하기 전에 KYC(본인 인증) 절차를 요구합니다. 오프라인 직거래가 대안이 될 수도 있지만, 비용이 더 많이 들고 때로는 이 역시 KYC를 요구하기도 합니다.

익명 신원 - 숙련된 사용자라도 익명 신원을 장기간 유지하는 것은 어렵습니다. 익명 신원은 단기적으로 사용하고 정기적으로 교체하는 일회성 신원이어야 합니다.

Tor를 사용하는 것이 도움이 될 수 있습니다. 또한 비동기식 통신을 통해 더 높은 수준의 익명성을 확보할 수 있다는 점에 유의하십시오. 실시간 통신은 타이핑 패턴 분석에 취약합니다. (예: 이메일이나 포럼 등을 통해 전달되는 한 단락 이상의 텍스트 등)

이 글은 privacyguides.org에서 CC-BY-SA-4.0 로 배포한 콘텐츠를 번역및 일부 재구성 하였으며 번역된 내용은 게시자의 의견이 아닙니다 이 게시글의 문자는 CC-BY-SA-4.0로 배포됩니다.
출처