이름만 바꾼 ChatControl
2026년 8월, 유럽 집행위원회(European Commission)는 암호화 기술 로드맵을 공식 발표하며, 2030년까지 법 집행 기관이 암호화된 채팅을 해독할 수 있는 권한을 확보해야 한다고 요구했습니다. 이들이 내세운 핵심적인 근거는 놀라운 수치에 있습니다. 현재 유럽 경찰은 약 85%의 사건에서 핵심 증거를 확보하지 못하고 있다는 것입니다.
대테러와 안보를 위한 것으로 포장된 이 ProtectEU 전략은, 실질적으로 2022년에 발의되었던 ChatControl 법안의 부활이나 다름없습니다. 당시 EU는 아동 성착취물 단속을 명분으로 클라이언트 측에서 암호화된 메시지를 의무적으로 스캔하도록 강제하려 했으나, 결국 이사회에서 가중 다수결을 확보하지 못해 보류된 바 있습니다.
이제 그 핵심 조항은 ‘합법적이고 유효한 데이터 접근’으로 바뀌었으며, 사이버 공격 방지라는 명분을 덧입었습니다. 이는 끔찍한 입법 전략이 효과를 발휘하고 있음을 증명합니다. 18개월마다 이름만 바꿔 다시 제출하면, 언젠가는 통과될 것이라는 계산입니다.
수학은 ‘착한 사람만 사용하는 것’을 허용하지 않습니다
경찰의 요구에 대해 암호학계는 매우 냉혹한 답변을 내놓았습니다. 약 40개의 시민 단체와 40명이 넘는 전문가들이 공개 서한에 공동 서명하며 기술 로드맵 수립 과정에 참여할 것을 요구했지만, 지금까지 아무런 응답도 받지 못했습니다.
Tuta Mail의 CEO인 마티아스 파우(Matthias Pfau)의 발언은 핵심 모순을 정확히 짚어냈습니다. “기술적인 은탄환(Silver Bullet)은 없으며, 오직 선한 사람에게만 접근 권한을 주는 것은 불가능합니다.” 종단간 암호화(End-to-End Encryption)의 수학적 원리 하에서 서버에는 오직 암호문만 저장됩니다. 제3자가 필요에 따라 평문을 읽을 수 있도록 허용하는 어떠한 수단도 본질적으로는 백도어(Backdoor)일 수밖에 없습니다.
객관적인 세계에서 ‘이것이 법원의 승인을 받은 요청인지’, 아니면 ‘해커의 공격인지’를 자동으로 식별할 수 있는 암호학 기술은 존재하지 않습니다. 일단 마스터키가 만들어지면, 그것은 해커에게 도난당하거나 악용될 수 있으며, 심지어 타국 정부의 협박에 넘어갈 수도 있습니다.
그림: ProtectEU 암호화 로드맵 보도. 출처: OpSec Insider
물리적 격리를 통한 저항
EU의 강경한 태도에 직면하여, 프라이버시 중심의 테크 기업들은 가장 직접적인 반격을 선택했습니다. Signal, Proton, Tuta 등 주요 암호화 서비스 제공업체들은 일제히 입장을 표명했습니다. 제품에 예외적인 접근 메커니즘을 구현하느니 차라리 EU 시장에서 철수하겠다는 것입니다.
2026년, 프라이버시에 집중하는 GrapheneOS는 프랑스의 데이터 접근 요구로 인해 현지 데이터 센터를 완전히 철수시켰습니다. 이는 컴플라이언스(규제 준수) 압박 때문에 EU 국가를 자발적으로 떠난 최초의 프라이버시 프로젝트입니다. 이러한 움직임은 테크 기업과 규제 기관 간의 싸움이 단순한 구두 항의를 넘어 물리적 격리 수준으로 격화되었음을 보여줍니다.
필자가 주목한 점은 EU 전문가 그룹이 처음으로 VPN 서비스를 법 집행 기관이 직면한 ‘주요 과제’로 공식 지정했다는 것입니다. 프라이버시 보호 도구를 범죄 도구와 동일시하는 이러한 규정은 전체 오픈소스 및 프라이버시 커뮤니티에 극도의 불안감을 조성하고 있습니다.
그림: 종단간 암호화 원리 모식도. 출처: Wikimedia Commons
권력의 인내심
논쟁의 양측은 모두 각자의 현실적인 딜레마에 처해 있습니다. 85%에 달하는 데이터 사각지대에 직면한 법 집행 기관은 대테러 방지라는 막대한 압박을 감당하고 있습니다. 반면, 보안 전문가들이 수호하고자 하는 것은 현대 인터넷 통신의 신뢰에 대한 최후의 보루입니다.
암호화 방어선을 무너뜨리는 과정에서 미국은 데이터 저장과 메타데이터 해독 측면에서 이미 양보를 했으며, 영국의 IPA 법안 역시 비슷한 길을 걷고 있습니다. 유럽 집행위원회는 이 싸움에서 엄청난 인내심을 보여주고 있습니다. 의회는 주도적으로 입법할 수 없지만, 집행위원회는 단 한 번만 성공하면 되기 때문입니다.
ProtectEU는 과거 거부되었던 제안에 대테러라는 외피를 씌워 다시 추진함으로써, 규제 기관이 시간을 무기로 반대자들의 기력을 소진시킬 수 있음을 증명하고 있습니다. 암호화 백도어는 수학적으로 결코 ‘선한 사람’만을 위해 만들어질 수 없습니다. 이 마스터키가 강제로 주조되는 순간, 그 소유자는 더 이상 대테러 경찰에 국한되지 않으며, 그것을 탈취할 능력이 있는 모든 조직이 될 것입니다.
참고 링크:
- ReclaimTheNet 보도
- OpSec Insider 보도
- HN 토론 （HN）
