사진 금고 앱은 안전한가요?

1. 안전하다는 말이 뜻해야 하는 것

무엇으로부터, 누구로부터 안전하다는 걸까요? 금고 앱에는 서로 다른 두 가지 일이 요구됩니다. ‘안전한가’에 대한 솔직한 답은 그중 어느 쪽을 말하는지에 달려 있습니다.

• 사진을 눈에 띄지 않게 두는 일. 누군가 휴대폰을 들고 있을 때나, 위젯이나 추억에 사진이 떠오를 때입니다. 이런 앱은 거의 모두 이 일을 합니다. 기본 기능인 가려진 항목 앨범도 마찬가지입니다.
• 파일을 읽을 수 없게 하는 일. 휴대폰과 기기 암호를 가진 사람이나 저장 공간의 사본을 가진 사람으로부터입니다. 기기 암호와 별개인 비밀번호로 파일을 암호화하는 앱만 이 일을 합니다. 바로 이런 앱이 이 말이 암시하는 의미의 사진 금고 앱입니다.

이런 앱은 두 번째 일을 내세워 팔리지만, 첫 번째 일만 해내는 경우가 많습니다. 많은 사람에게는 첫 번째 일이 문제의 전부이므로, 이것이 늘 부정직한 것은 아닙니다. 문제가 되는 것은 누군가 두 번째 일을 위해 앱을 골랐는데 첫 번째 일만 얻을 때입니다. 이 페이지의 나머지는 이를 구별하는 방법과, 두 번째 종류도 여전히 할 수 없는 것을 설명합니다.

2. 확인할 수 있는 다섯 가지 신호

모두 앱을 설치하기 전에 App Store 설명과 개발사 웹사이트에서 확인할 수 있습니다. 저희의 순위 비교는 이를 이름을 밝힌 앱 여섯 개에 출처와 함께 적용했습니다. 여기서는 일반적인 내용을 다룹니다.

무엇을, 어떻게 암호화하는지 밝힙니다

암호화 방식, 반복 횟수가 포함된 비밀번호를 키로 바꾸는 방법, 그리고 무엇이 암호화되는지입니다. 사진, 동영상, 미리보기 이미지, 이름과 앨범이 담긴 데이터베이스는 서로 다른 네 가지입니다. ‘AES-256-GCM, PBKDF2 600,000회 반복’은 확인할 수 있고 개발사에 책임을 물을 수 있는 주장입니다. ‘은행 수준’이나 ‘군사급’은 아무것도 약속하지 않습니다. 설정 파일만 암호화하는 앱도 거짓 없이 그렇게 말할 수 있습니다. 용어의 의미는 별도의 가이드에서 다룹니다.

개발사가 사진을 되찾아 줄 수 있는지 밝힙니다

가장 많은 것을 알려 주는 단 하나의 질문입니다. 답이 ‘예’라면, 개발사는 내 비밀번호 없이도 파일을 열 수 있는 무언가를 가지고 있습니다. 보호 대상은 외부인이지 개발사가 아닙니다. 답이 ‘아니요’라면, 잊어버린 비밀번호는 되찾을 수 없습니다. 둘 다 정당한 설계입니다. 문제는 분명히 답하지 않는 개발사입니다.

개인정보 보호 라벨이 홍보 내용과 맞습니다

앱 개인정보 보호 섹션은 개발사가 앱이 수집하는 것을 밝히는 곳입니다. 앱과 맞는지 읽어 보세요. 클라우드 백업을 제공하는 앱이 사용자 콘텐츠를 표시한다면 이치에 맞습니다. ‘아무것도 휴대폰을 떠나지 않는다’를 내세우면서 많은 추적 항목을 표시하는 앱이라면 개인정보 처리방침을 더 자세히 읽어 볼 필요가 있습니다. 라벨은 개발사 자신의 답이며, 아무도 검증하지 않습니다. 저희 라벨도 마찬가지입니다.

에어플레인 모드에서 작동합니다

읽는 것이 아니라 직접 시험해 볼 수 있는 유일한 신호입니다. 앱을 설치하고 에어플레인 모드를 켠 다음 평소처럼 써 보세요. 완전히 오프라인으로 작동하는 앱은 오프라인 상태에서 아무것도 업로드하지 않습니다. 온라인일 때 무엇을 하는지는 증명하지 못합니다. 하지만 들은 것이 아니라 직접 본 것이며, 이 분야에서는 그런 것이 드뭅니다.

한계를 문서로 밝힙니다

가장 강력한 신호입니다. 실제 설계에는 모두 한계가 있습니다. 충분히 고민한 개발사라면 앱을 만들면서 한계를 따져 봐야 했으므로 이를 밝힐 수 있습니다. ‘막지 못하는 것’이라는 표현을 쓰는 보안 페이지를 찾아보세요. 장점만 나열하는 페이지는 아무도 살펴보지 않았거나, 누군가 살펴보고도 말하지 않기로 한 것입니다.

3. 저희 앱을 포함한 모든 금고 앱에 해당하는 위험

이 위험들은 더 나은 암호화로 사라지지 않습니다. Obscura Photo Vault도 네 가지 모두에 해당하며, 보안 문서에도 그렇게 적혀 있습니다.

잊어버린 비밀번호

재설정 기능이 없는 암호화 금고에서는 이것이 사진을 잃는 가장 흔한 경로입니다. 어떤 공격보다 훨씬 일어나기 쉽습니다. ‘다른 누구도 열 수 없다’는 것과 같은 사실을 반대쪽에서 본 것입니다. 이를 막아 주는 두 가지 습관, 비밀번호 관리자와 확인을 마친 내보내기 파일은 금고 비밀번호를 잊으면 어떻게 되는지에 있습니다.

원본

금고가 열려 있는 동안 해킹된 휴대폰

사진을 보여 주려면 앱이 사진을 복호화해야 합니다. 그래서 키와 읽을 수 있는 사진이 메모리에 있습니다. 그 순간 앱 안에서 실행되는 것은 무엇이든 둘 다에 접근할 수 있습니다. 앱 수준의 암호화로는 해킹된 휴대폰까지 막아 줄 수 없으며, 어떤 개발사도 그렇지 않다고 주장해서는 안 됩니다.

앱이 보이고, 휴대폰도 보입니다

금고 아이콘은 그 안에 무언가가 있다고 말해 줍니다. 위장은 아이콘을 바꿀 뿐, App Store 구입 내역이나 설정의 목록은 바꾸지 않습니다. 스크린샷, 화면 기록, 어깨 너머로 보는 사람은 모두 사진이 복호화된 뒤의 일입니다. 암호화는 내용을 숨깁니다. 숨길 것이 있다는 사실은 숨기지 않습니다.

4. 서버가 있는 금고에만 해당하는 위험

계정과 동기화하는 금고는 실제로 얻는 것이 있습니다. 여러 기기에서의 접근, 휴대폰을 잃어도 남는 사본, 그리고 보통은 비밀번호 재설정입니다. 동시에 데이터가 저장되는 두 번째 장소가 생기며, 휴대폰 전용 금고에는 없는 위험이 따릅니다.

• 사본을 보관하는 서버. 그 서버에는 유출될 위험, 직원, 법적 노출이 따릅니다.
• 공격받을 수 있는 계정. 금고 비밀번호와는 별개로 피싱, SIM 스와핑, 유출된 비밀번호 재사용으로 공격받을 수 있습니다.
• 복구 절차. 잘못될 수도, 속을 수도, 강요당할 수도 있는 경로입니다. 내게 사진을 돌려줄 수 있다면, 원리상 충분히 그럴듯한 다른 사람에게도 돌려줄 수 있습니다.
• 개발사가 계속 운영된다는 전제. 내보내 둔 휴대폰 전용 금고는 개발사보다 오래 남습니다. 클라우드 금고는 그렇지 않을 수 있습니다.

그렇다고 클라우드 금고가 하나같이 안전하지 않다는 뜻은 아닙니다. 다른 종류의 맞바꿈이라는 뜻입니다. 그 맞바꿈의 결과를 정하는 것은 암호화 키가 어디에 있는지입니다. 네 가지 종류의 앱에 대한 가이드에서 설계를 나란히 비교했습니다.

5. 밖에서는 확인할 수 없는 것

두 가지입니다. 이런 페이지가 그렇지 않다고 암시한다면 무언가를 팔려는 것입니다.

앱이 설명대로 작동하는지. 소스 코드나 독립적인 감사 없이는 ‘AES-256-GCM’도 주장일 뿐입니다. 위의 모든 것은 개발사가 구체적이고 솔직한지를 시험합니다. 그런 태도는 대개 신중함과 함께 가지만, 앱이 올바르다는 증명은 아닙니다. 저희 앱도 아무도 감사하지 않았습니다. 저희는 파일을 암호화하는 코드를 공개했으며, 그것이 증명하는 것과 증명하지 못하는 것은 별도의 가이드에서 다룹니다.

미묘한 실수가 있는지. 실제 암호화 실패의 대부분은 좋은 방식을 조금 잘못 쓴 경우입니다. 절대 재사용하면 안 되는 숫자를 재사용하거나, 키를 너무 쉽게 만들거나, 미리보기 이미지를 캐시에 읽을 수 있는 상태로 남겨 두는 것입니다. 이 중 어느 것도 제품 페이지에서는 보이지 않으며, 회사 밖에서는 아예 볼 수 없는 경우가 많습니다.

그래서 현실적인 목표는 확실성이 아닙니다. 확인할 수 있는 주장을 하고 스스로 한계를 설명하는 개발사로 범위를 좁히는 것입니다. 그리고 확인을 마친 내보내기 파일을 안전한 곳에 보관하세요. 이는 휴대폰뿐 아니라 개발사에 대해서도 나를 지켜 줍니다. 그 방법과, 앱을 삭제하면 실제로 무엇이 지워지는지는 금고 앱 삭제 또는 옮기기에 있습니다.

6. 자주 묻는 질문

사진 금고 앱은 안전한가요?

일부는 특정한 의미에서 안전합니다. 나만 아는 비밀번호로 만든 키로 휴대폰 안의 파일을 암호화하고, 그것이 막지 못하는 것을 문서로 밝히는 앱입니다. 다른 앱들은 일반 파일 앞에 PIN 화면을 두는데, 이는 잠깐 보는 것 말고는 거의 막아 주지 못합니다. 금고라는 말만으로는 어느 쪽인지 알 수 없습니다. 알려 주는 것은 앱 설명의 암호화 주장, 개인정보 보호 라벨, 그리고 개발사가 한계를 문서로 밝히는지 여부입니다.

사진 금고 앱은 내 사진을 볼 수 있나요?

종류에 따라 다릅니다. 서버도 계정도 없는 앱은 사진을 보낼 곳이 없으며, 에어플레인 모드에서 직접 시험해 볼 수 있습니다. 클라우드 계정과 동기화하는 앱은 서버에 사본을 보관합니다. 개발사가 그 사본을 읽을 수 있는지는 누가 암호화 키를 가지고 있는지에 달려 있습니다. 개발사가 비밀번호를 재설정하고 사진을 돌려줄 수 있다면, 개발사가 키를 가지고 있는 것입니다. 개인정보 보호 라벨은 저희 것을 포함해 개발사 자신의 답이므로 주장으로 받아들이세요.

사진 금고 앱을 쓸 때 가장 큰 위험은 무엇인가요?

재설정 기능이 없는 암호화 금고라면, 비밀번호를 잊는 것입니다. 되돌릴 수 없습니다. 모든 종류의 금고에 해당하는 위험은 원본입니다. 옮긴 사진은 삭제할 때까지 보관함에 남고, 삭제한 뒤에는 30일 동안 최근 삭제된 항목에, 그리고 삭제가 반영될 때까지 iCloud에 남습니다. 금고가 지켜 주는 프라이버시도 그 뒤의 정리에 달려 있습니다.

사진 금고도 해킹될 수 있나요?

어떤 소프트웨어든 결함이 있을 수 있으며, 이 사이트에서는 어떤 앱도 공격받을 수 없다고 설명하지 않습니다. 암호화로 달라지는 것은 공격자에게 필요한 조건입니다. 내 비밀번호, 또는 금고가 잠금 해제되어 있는 동안 휴대폰에 접근하는 것입니다. 암호화하고 한계를 밝히는 금고는 침입 경로를 좁혀 줍니다. 경로를 없애 주지는 않습니다.

금고 앱이 iPhone 가려진 항목 앨범보다 안전한가요?

막아 주는 대상이 다릅니다. 가려진 항목 앨범은 기기 암호로 열리고 iCloud와 동기화됩니다. 암호화 금고는 자체 비밀번호로만 열리며 모든 것을 휴대폰 안에만 둘 수 있습니다. 위험이 잠깐 보는 정도라면 둘은 같습니다. 내 기기 암호나 Apple 계정을 가진 사람이 위험이라면, 암호화 금고만이 이에 대응합니다.