같은 아이폰, 다른 암호화 — 영국의 「2계층 암호화」가 보여 주는 것
같은 아이폰, 다른 암호화 — 영국의 「2계층 암호화」가 보여 주는 것
합법적 접근을 요구하는 법은 모두를 똑같이 덜 안전하게 만드는가, 아니면 시민들을 서로 다른 보안 등급으로 갈라놓는가?
도입
2026년 9월 24일 해커뉴스 1면에 「Two-tier encryption in the UK」라는 글이 올라와 512점을 받았다. 원문은 Apple 관련 블로그 MacAnorak에 9월 21일 게시된 에세이로, 첫 문단이 상황을 압축한다. 앨리스와 빌은 둘 다 영국에 산다. 둘 다 같은 아이폰을 쓰고, 둘 다 iCloud를 쓰며, Apple에 같은 서비스 요금을 낸다. 그런데 앨리스는 Advanced Data Protection(ADP)을 켜 두어 iCloud 데이터 대부분이 종단 간 암호화로 보호되고, 빌은 그 기능을 켜지 않았고 이제는 켤 수도 없다. 앨리스는 Apple이 2025년 2월 영국 신규 사용자에게 이 기능을 철회하기 전에 켰고, 빌은 그 창을 놓쳤다.
필자는 이것을 「2계층(two-tier) 암호화」라고 부른다. 같은 법 체계 아래, 같은 하드웨어를 쓰는 시민 사이에, 오직 「언제 설정 스위치를 눌렀는가」라는 우연한 시점 차이로 보안 등급이 갈렸다는 뜻이다. 이 글은 원문과 Apple 공식 지원 문서, 해커뉴스 토론을 바탕으로 이 구조가 어떻게 생겼는지, 그리고 그것이 합법적 접근(lawful access) 요구 일반에 대해 무엇을 말해 주는지를 정리한다. 원문은 필자 본인의 해석을 강하게 담은 에세이이므로, 아래에서는 원문이 제시한 사실 관계와 필자의 주장, 그리고 이 글의 분석을 구분해서 적는다.
현상 분석 — 기술역량통지에서 「두 개의 계층」까지
원문이 재구성한 경위는 다음과 같다. 2025년 2월 7일 워싱턴포스트는 영국 정부가 Apple에 가장 강력한 등급의 iCloud 암호화로 보호되는 데이터에 접근할 수 있도록 하라고 명령했다고 단독 보도했다. 근거 법률은 영국 현대 감시법의 중심인 수사권한법(Investigatory Powers Act 2016)이고, 사용된 수단은 기술역량통지(Technical Capability Notice, TCN)다.
원문의 설명에 따르면 TCN은 통신·기술 사업자에게 특정 요구에 응할 수 있는 「역량」을 유지하거나 개발하도록 요구하는 법적 지시다. 통지 자체가 누군가의 데이터 접근을 허가하지는 않는다. 개별 영장이나 승인이 나왔을 때 응할 수 있는 능력이 존재하도록 보장할 뿐이다. 발령 전에 정부는 기술적 실현 가능성, 비용, 예상 편익, 영향받는 사용자 수 등을 고려해야 하고, 사법위원(Judicial Commissioner)의 승인이 필요하다. 그리고 수신자는 일반적으로 내무장관의 허락 없이 통지의 존재나 내용을 밝힐 수 없다. 영국 내무부는 특정 TCN의 존재를 확인도 부인도 하지 않는다는 입장이다.
워싱턴포스트 보도에 따르면 이 TCN은 2025년 1월 비밀리에 발령되었고, 영국 사용자만이 아니라 전 세계 Apple 사용자의 암호화된 iCloud 데이터에 접근할 방법을 만들라는 내용이었다. Apple은 공개적으로 언급할 수 없는 처지였고, 원문은 Apple의 입장을 「목적이 무엇이든 종단 간 암호화를 의도적으로 약화시키면 모든 사용자가 덜 안전해진다」는 기존 원칙의 연장으로 정리한다.
여기서 기술적 구분이 중요하다. iCloud 데이터는 모두 암호화되어 있지만, 「암호화됨」과 「종단 간 암호화됨」은 다르다. 표준 데이터 보호(Standard Data Protection)에서는 비밀번호, 건강 데이터 같은 일부 민감 범주만 기본적으로 종단 간 암호화되고, 나머지는 Apple이 키를 보유해 필요 시 복호화할 수 있으며 수사기관의 명령에 따라 제출할 수 있다. ADP를 켜면 iCloud 백업, 사진, 메모 등 추가 범주가 종단 간 암호화로 바뀌고, Apple 자신도 복호화 키를 갖지 않는다.
2025년 2월 21일 Apple은 ADP를 영국 신규 사용자에게 더 이상 제공하지 않는다고 발표했다. Apple 영국 지원 문서(이 글을 쓰며 직접 확인한 판본의 게시일 표기는 2025년 9월 23일)는 이렇게 적는다. 「우리는 우리 제품이나 서비스에 백도어나 마스터 키를 만든 적이 없고 앞으로도 만들지 않을 것이다.」 같은 문서는 기본으로 종단 간 암호화되는 15개 iCloud 범주(iCloud 키체인, 건강 등)는 영향을 받지 않으며, iMessage와 FaceTime도 영국을 포함해 전 세계에서 종단 간 암호화가 유지된다고 밝힌다. 반면 ADP가 덮던 10개 범주, 즉 iCloud 백업, iCloud Drive, 사진, 메모, 미리 알림, Safari 책갈피, Siri 단축어, 음성 메모, 지갑 패스, Freeform은 영국 신규 사용자에게 표준 데이터 보호로만 제공된다.
참고로 숫자에는 출처 간 차이가 있다. 원문 각주는 「기본 14개 범주, ADP로 23개까지」라고 적지만, 이 글을 쓰며 확인한 Apple 지원 문서는 「기본 15개, ADP 대상 10개」라고 적는다. 이 차이가 시점에 따른 문서 개정인지 단순 오기인지는 확인하지 못했다. 어느 쪽이든 「ADP를 켜면 열 개 안팎의 범주가 추가로 종단 간 암호화된다」는 골자는 같다.
그렇다면 왜 「두 계층」이 생겼는가. 핵심은 Apple 지원 문서의 다음 문장이다. 「Apple은 이 사용자들의 ADP를 자동으로 비활성화할 수 없다. 대신 영국 사용자들에게는 iCloud 계정을 계속 사용하기 위해 스스로 이 기능을 끌 기간이 주어질 것이다.」 원문은 Apple 보안 문서를 인용해, ADP 설정은 사용자의 신뢰하는 기기에서만 바뀔 수 있고 Apple 서버는 이를 수정하거나 사용자를 대신해 되돌릴 수 없도록 설계되어 있다고 설명한다. 원문 필자는 자신이 바로 그 「앞선 계층」에 속하며, 지금도 아이폰에서 ADP가 켜진 상태라고 적는다. Apple은 기존 사용자가 언제까지 끄라는 기한을 공표하지 않았다.
결과적으로 영국에는 세 부류가 공존한다. 2025년 2월 이전에 ADP를 켠 사람, 그 이전에 기기가 있었지만 ADP가 옵트인이라는 사실을 몰라 켜지 않은 사람, 그리고 철회 이후 Apple 사용자가 된 사람이다. 원문은 뒤의 두 부류를 「빌」로 묶고 「운이 나빴네, 빌(Tough luck, Bill)」이라고 쓴다.
심층 분석 — 「백도어 없이 요구를 만족시킨다」는 해법의 대가
이 사안에서 가장 흥미로운 지점은 Apple이 택한 출구의 구조다. 원문 필자의 정리를 따르면, TCN은 Apple에게 ADP를 철회하라고 명령한 것이 아니다. ADP로 보호된 데이터를 영장이 요구할 때 접근 가능하게 만드는 기술적 역량을 유지하라고 명령했다. Apple이 그대로 따랐다면, 해커와 적대적 정부 등도 악용할 수 있는 해제 메커니즘을 만들어야 했을 것이다. 그래서 Apple은 제3의 선택지를 찾았다. 애초에 이 딜레마를 만든 기능 자체를 제공하지 않는 것이다. 영향받는 데이터를 Apple이 키를 쥔 표준 데이터 보호로 되돌리면, 합법적 절차에는 응할 수 있고 「백도어」는 만들지 않은 것이 된다.
이 해법은 논리적으로 깔끔하지만, 그 깔끔함의 비용을 누가 지불하는지 보면 이야기가 달라진다. 첫째, 비용은 사용자 중 일부에게만 떨어진다. ADP를 이미 켠 사용자는 Apple의 설계 원칙(서버가 설정을 되돌릴 수 없다) 덕분에 보호를 유지했다. 이 원칙은 ADP가 진짜 종단 간 암호화라는 것을 보증하는 장치이기도 한데, 바로 그 장치가 「기존 사용자는 남고 신규 사용자는 막히는」 비대칭을 만들었다. 보안 설계의 일관성이 정책 변경과 만나 사용자 간 불평등으로 번역된 셈이다.
둘째, 계층을 가르는 기준이 사용자의 선택이나 위험도가 아니라 시점이다. 고위험 직업을 가진 언론인이든 일반 사용자든, 2025년 2월 이후에 아이폰을 처음 산 사람은 같은 하위 계층에 놓인다. 원문은 이 점을 「어느 버전의 빌을 상상하든 같은 사실이 적용된다. 이제 그가 할 수 있는 일은 없다」고 표현한다. 보안을 원하는 사람이 보안을 얻지 못하고, 우연히 일찍 스위치를 누른 사람이 보안을 유지하는 구조는 정책적으로 정당화하기 어렵다.
셋째, 이 계층은 국경에서도 생긴다. 원문에 따르면 원래의 요구는 전 세계 사용자를 대상으로 했으나, 2025년 말 미국 트럼프 행정부가 미국 사용자에 대한 함의를 우려해 압력을 가한 뒤 영국 시민만을 대상으로 하는 더 좁은 통지로 대체되었다. 즉 같은 Apple 계정 체계 안에서 「영국 계정이냐 아니냐」가 보안 등급을 가르는 또 하나의 축이 되었다. Apple 지원 문서도 「ADP는 다른 모든 지역에서 계속 제공된다」고 명시한다.
해커뉴스 토론은 이 국경 축이 실제로 얼마나 단단한지를 곧바로 시험했다. 한 사용자는 빌이 영국을 잠시 떠나면 ADP를 켤 수 있게 되는지 물었다(@pirates). 답글에서는 계정의 국가가 물리적 기기가 아니라 Apple ID에 묶여 있다는 지적(@petcat), 그리고 Apple ID의 지역을 다른 나라로 바꿔 ADP를 켠 뒤 다시 영국으로 되돌릴 수 있지만 가족 공유를 떠나고 구독을 조정해야 하는 등 간단하지 않다는 경험담(@jxckstr)이 나왔다(직접 인용은 아니고, 코멘트의 요지를 요약). 다른 사용자는 EU 사용자의 서드파티 앱스토어 자격 판정에 쓰이는 Apple의 eligibilityd가 GPS 위치, SIM의 국가 등을 조합해 판단하기 때문에 설정만 바꾼다고 되는 일은 아닐 수 있다고 추측했다(@philo23, 직접 인용은 아니고, 코멘트의 요지를 요약). 이 우회가 실제로 동작하는지는 이 글에서 검증하지 못했다. 다만 중요한 것은 이런 질문이 나왔다는 사실 자체다. 계층이 존재하는 순간, 사람들은 그 경계를 넘을 방법을 찾고, 그 방법은 기술적 지식과 수고를 감당할 수 있는 사람에게만 열린다. 계층이 한 번 더 갈라진다.
또 하나 짚을 것은 「하위 계층」의 보안이 생각보다 더 낮을 수 있다는 지적이다. DEF CON 34에서 공동 발표자와 함께 연구를 발표했다고 밝힌 한 사용자는, ADP가 꺼져 있을 때 기본 종단 간 암호화 범주의 비밀도 흔한 사용 상황에서 암호 입력 없이 노출될 수 있으며, 추출 실무를 다루지 않는 사람들이 Apple의 종단 간 암호화 강도를 과대평가하고 있다고 썼다(@spr-alex, 직접 인용은 아니고, 코멘트의 요지를 요약). 이 연구의 내용은 이 글에서 확인하지 못했으므로 주장으로만 소개한다. 그러나 만약 사실이라면, 「기본 범주는 영향받지 않는다」는 Apple과 원문의 안심 문구조차 계층 간 격차를 과소평가하고 있을 수 있다.
반대 시각도 토론에 있었다. 한 사용자는 국가가 우편 시대부터 공공 통신 인프라를 감시해 왔다는 점을 받아들인다면, 일상화된 데이터 서비스에 정부 접근을 요구하거나 접근을 막는 기능을 제한하는 것은 놀랍지 않다고 썼다. 국가 입장에서는 중대 범죄를 적발하고 기소해야 하며, 새 기술이 이를 실질적으로 방해하면 프라이버시의 선을 다시 그을 것이라는 논지다(@implements, 직접 인용은 아니고, 코멘트의 요지를 요약). 이에 대해서는 외부화되고 검색 가능해진 통신의 양과 질이 우편 시대와 비교할 수 없을 만큼 늘었으니 그 「권리」 자체를 재고해야 한다는 반론(@z0r), 그리고 전통적 수사는 사람이 한 명씩 추적해야 해서 대량 적용이 불가능했고 그 제약이 오히려 국가를 실제 용의자에게만 집중하게 했다는 반론(@someonebaggy)이 이어졌다(직접 인용은 아니고, 코멘트의 요지를 요약).
전망과 시사점 — 비밀주의가 만든 두 번째 비대칭
원문이 「이 사건 전체에서 가장 불편한 측면」으로 꼽는 것은 기술이 아니라 비밀주의다. 원문에 따르면 Apple은 2026년 7월 수사권한심판소(Investigatory Powers Tribunal, IPT)에 새 이의를 제기했고, 이 사실은 다음 달 공개되었다. 9월 11일에는 미국의 민주당 상원의원 Ron Wyden과 공화당 하원의원 Warren Davidson이 IPT에 서한을 보내 절차를 공개하라고 요구했다. 외국의 비공개 명령이 「무기화」되어 미국 기업이 선출직 의원에게 답하지 못하게 되면 의회가 감독 의무를 다할 수 없다는 취지다. 9월 17일 데일리 텔레그래프는 Apple이 IPT에 TCN의 존재를 확인하지 못하게 하는 제한을 풀어 달라고 요청했다고 보도했다. 원문이 전하는 보도 내용에 따르면 Apple 측 Daniel Beard KC는 이것이 「사실을 공개적으로 다룰 수 있게」 할 것이라고 했고, Liberty와 Privacy International 측 변호인들은 모두가 이미 아는 사실을 덮는 비공개 명령은 「우스꽝스럽다」고 했으며, Ben Jaffey KC는 이를 「벌거벗은 임금님」에 비유했다.
여기에는 사용자 간 계층과는 다른, 두 번째 비대칭이 있다. 정부는 통지를 발령하고 그 존재를 확인도 부인도 하지 않을 수 있다. 수신자는 법적으로 말할 수 없다. 그 결과 시민은 자신이 왜 하위 계층에 놓였는지에 대해 공개적으로 검증 가능한 설명을 받지 못한다. 앨리스와 빌의 차이를 만든 결정이 무엇이었는지조차 공식적으로는 「존재가 확인되지 않은 통지」로 남아 있다. 원문 필자는 게재 전 내무장관 등 관련 장관들에게 서한을 보냈지만 게재 시점까지 답을 받지 못했다고 적는다.
이 사안의 시사점을 일반화하면 이렇다. 합법적 접근 요구는 흔히 「모두에게 백도어를 만드는가, 아닌가」라는 이분법으로 논의된다. 그런데 영국 사례는 세 번째 결과를 보여 준다. 사업자가 백도어 대신 기능 철회를 택하면, 결과는 모두가 똑같이 약해지는 것이 아니라 시점과 국적과 기술적 수완에 따라 사용자가 여러 등급으로 갈리는 것이다. 이 등급은 누구의 위협 모델도 반영하지 않는다. 그리고 그 결정의 근거는 비밀이다.
원문은 이 압력이 Apple에 그치지 않을 것이라고 본다. 같은 선례가 WhatsApp, Signal, 클라우드 스토리지, 비밀번호 관리자, 은행 등 진정한 종단 간 암호화에 기대는 모든 서비스에 영향을 줄 것이라는 주장이다. 원문 각주에 인용된 2023년 TechCrunch 기사에 따르면 Signal의 Meredith Whittaker는 암호화에 백도어를 넣을지 떠날지의 선택이라면 영국이든 어떤 관할이든 떠나겠다고 말한 바 있다. 만약 메신저 사업자가 철수를 택한다면, 2계층은 「같은 앱의 강한 판과 약한 판」이 아니라 「쓸 수 있는 앱과 쓸 수 없는 앱」의 문제로 바뀐다.
한 해커뉴스 사용자는 이 사태에 일관성이 없다는 점도 짚었다. 영국의 입장이 그렇다면 메시지 같은 기본 범주의 종단 간 암호화가 왜 아직 허용되는지 이해가 안 된다는 것이다(@sjpb, 직접 인용은 아니고, 코멘트의 요지를 요약). 이 질문에 대한 공개된 답은 없다. TCN의 내용이 비공개인 이상, 외부에서는 경계선이 어디에 왜 그어졌는지 추측할 수밖에 없다. 이것 역시 비밀주의의 비용이다.
한국과 일본의 독자에게도 남의 일은 아니다. 두 나라 모두 국내법상 수사기관의 통신 데이터 접근 제도가 있고, 글로벌 플랫폼은 국가별로 기능을 켜고 끄는 데 이미 익숙하다. 영국 사례가 보여 주는 것은, 그런 국가별 차등이 쌓이면 「어느 나라 계정으로 언제 가입했는가」가 그 사람의 데이터 보안 수준을 결정하는 변수가 된다는 점이다. 기업의 보안 담당자라면 직원이 쓰는 개인 클라우드의 보호 수준이 직원의 국적과 가입 시점에 따라 다를 수 있다는 사실을 위험 평가에 넣어야 한다.
결론
앨리스와 빌의 이야기는 「백도어는 모두를 위한 것」이라는 오래된 경고의 변주다. 원문이 인용한 2016년 CBS 인터뷰에서 Tim Cook은 백도어를 넣으면 그것은 좋은 사람에게나 나쁜 사람에게나 모두의 것이 된다고 말했다. 영국 사례에서 Apple은 백도어를 만들지 않았다. 대신 기능을 거둬들였고, 그 결과 백도어가 모두를 약하게 만드는 대신, 기능 철회가 일부를 약하게 만들었다.
원문 필자는 이 결과를 Apple이 빌에게 한 일로 보는 것은 공정하지 않다고 쓴다. Apple은 극도로 어려운 선택지 앞에서 가장 덜 나쁜 것을 골랐고, 불공정의 책임은 이 불가능한 명령을 만든 정부 결정에 있다는 것이 필자의 판단이다. 이 판단에 동의하든 안 하든, 구조적 교훈은 남는다. 합법적 접근 의무는 암호화의 강도를 일률적으로 낮추는 데서 끝나지 않는다. 그것은 같은 시민 사이에 보안 등급을 만들고, 그 등급의 근거를 비밀로 만든다.
당신이 지금 쓰고 있는 클라우드의 가장 강한 보호 옵션은 켜져 있는가. 그리고 그 옵션이 내일 당신의 나라에서 사라진다면, 당신은 앨리스 쪽에 서 있을 것인가, 빌 쪽에 서 있을 것인가.
출처: