프로턴의 '프라이버시'가 무너진 그날 아침

Proton이 슬로건이었던 것을 멈춘 그 아침

2021년 9월 6일, TechCrunch는 한 편의 짧고 거의 절차적인 뉴스 기사를 내보냈다. 프라이버시 커뮤니티에 이 기사가 미친 충격은 조용한 레스토랑에 쟁반이 떨어진 것과도 같았다. 기사의 헤드라인은 이렇게 적혀 있었다. 스위스 암호화 이메일 서비스 ProtonMail이 프랑스 기후 활동가의 IP 주소를 기록해, 상호 법적 지원의 정식 채널을 거쳐 프랑스 경찰에 제출했다고. 수년간 모든 프라이버시 가이드의 기본 추천 항목이었고, 모든 기자의 스타터팩이었으며, Reddit의 "Gmail 삭제 후 가장 먼저 할 일" 스레드마다 빠지지 않던 그 서비스 말이다. 해당 활동가는 2020년 파리 생트마르트 광장 인근 상업 시설 점거에 연루되었는데, 이는 유스 포 클라이밋 운동의 일환으로 조직된 행동이었다. 소식이 전해진 지 몇 시간 만에 프라이버시 전문 매체와 보안 트위터, 해커 뉴스 메인 페이지, 그리고 중앙 집중식 서비스를 십 년째 의심해 온 수많은 이들의 "내가 뭐랬냐" 글이 이 사건을 뒤덮었다.

반응이 이토록 거대했던 이유는 Proton이 자신의 규칙을 어겼기 때문이 아니었다. 오히려 너무나 많은 사용자가 그 규칙에 실제로 뭐라고 적혀 있는지 읽어보지 않았기 때문이다. ProtonMail은 스위스 법원 명령을 준수했을 뿐이다. 서비스 약관은 언제나 이를 정확히 허용하고 있었다. 충격은 일종의 자기 인식의 충격이었다. 암호화 이야기에 귀 기울이던 사람들이 그 이야기에 각주가 달려 있고, 그 각주의 이름이 '법'이라는 걸 깨달은 순간이었다.

실제로 일어난 일

연대기를 차근차근 정리하면, 그리 극적인 사건은 아니다. 2020년, 유스 포 클라이밋과 연계된 단체가 파리 10구 생트마르트 광장 인근 상업 시설을 점거했다. 프랑스 당국이 수사에 착수했고, 그 과정에서 해당 단체가 조직에 사용한 ProtonMail 도메인의 이메일 주소가 확인되었다. 프랑스 경찰은 스위스 기업에 대한 직접적 관할권이 없었으므로 Europol을 통해 요청을 제출했고, 이는 스위스 연방 채널을 거쳐 베른의 Office Fédéral de la Justice에 도달했다. 스위스 법원은 요청을 검토한 뒤, 스위스 법상 이중범죄성 기준을 충족한다고 판단하고 지정된 계정에 대한 IP 로깅을 활성화하라고 Proton에 명령했다.

바로 이 지점이 사람들을 놀라게 한 부분이다. 법원 명령은 Proton에게 기존에 보유한 IP 주소를 제출하라고 요구한 게 아니었다. Proton은 원래 IP 주소를 보관하지 않았으므로, 제출할 수 있는 것도 없었다. 명령은 명령이 내려진 이후 해당 계정의 향후 로그인 IP 주소를 기록하라는 것이었다. 그리고 활동가가 다음에 주거용 연결로 로그인했을 때 그 IP가 포착되었다. 해당 IP는 동일한 조약 채널을 거쳐 프랑스로 전달되었고, 프랑스 경찰은 이를 통해 가입자를 특정한 뒤 신원 확인과 체포를 진행했다.

활동가의 콘텐츠는 전 과정에서 암호화된 상태를 유지했다. 그것이 문제가 된 적은 없었다. 문제는 봉투에, 연결 메타데이터에, 무엇이 아닌 어디에서였다.

정책이 이를 허용한 이유

Proton의 최고경영자 Andy Yen은 2021년 9월 6일 회사 블로그에 성명을 올렸고, 다음 날 개인 채널을 통해 이를 확산시켰다. 그의 프레이밍은 신중했고, 분노를 거두고 읽는다면 정확하기도 했다. "Proton은 스위스 법을 준수해야 합니다"라고 그는 회사 블로그에 썼다. "범죄가 저질러지는 즉시 프라이버시 보호는 중단될 수 있으며, 우리는 스위스 당국의 요청에 응답하도록 스위스 법에 의해 요구받습니다." 그는 ProtonMail의 투명성 보고서가 언제나 이러한 명령의 대략적인 규모를 공개해왔으며, 회사가 운영을 중단하지 않는 한 적절히 집행된 스위스 법원 명령을 거부할 재량은 없다고 지적했다.

이것이 프라이버시 글쓰기가 충분한 명확성을 갖고 거의 명명하지 않는 아키텍처적 간극이다. 저장된 데이터가 없는 것과, 요청이 왔을 때 데이터를 생산할 수 없는 것 사이에는 차이가 있다. ProtonMail은 일반적인 업무 과정에서 IP 로그를 저장하지 않았다. 하지만 로그인이 자신이 통제하는 인프라를 통해 흘렀고, IP 주소는 인증 시점에 사용 가능한 상태였으므로, 명령이 내려졌을 때 로그 저장을 시작하는 것이 기술적으로 가능했다. "로그 없음"의 약속은 언제나 "우리 자신의 목적을 위해 보관하는 로그 없음"을 의미했다. "어떤 관할권의 어떤 법적 절차도 존재하게 만들 수 없는 로그 없음"을 의미한 것이 아니었다. 사용자들은 두 번째 문장을 첫 번째 문장에 덧붙여 읽었는데, 그것은 그들이 그렇게 되기를 원했기 때문이다.

Proton이 이후 변경한 것

사건 이후의 기간은 조용하지 않았다. Proton의 제품 및 정책 팀은 2021년 말부터 2022년까지 회사 자체 커뮤니케이션과 변경 로그에서 확인할 수 있는 일련의 조정을 단행했다. 마케팅이 아닌 실제 위협 모델에 영향을 미친 실질적인 변화는 다음과 같았다.

• 가입 과정에서 포착된 IP 주소가 즉각적인 사기 방지 기간을 넘어 보관되지 않도록 기본 계정 생성 흐름을 재설계해, 잔존 식별 메타데이터의 한 원천을 제거했다.
• 2017년부터 protonirockerxow.onion에서 조용히 사용 가능했던 기존 Tor onion 서비스를 눈에 띄게 노출시키고, 고위험 사용자를 위해 지원 문서 첫 페이지에서 이를 추천했다.
• 더 세분화된 투명성 보고로 전환하여, 준수가 강제된 법적 수단의 종류와 스위스 법이 공개를 허용한 경우 사건 범주를 더 명확히 구분했다.
• 도움말 센터와 블로그에서 반복적으로 ProtonMail이 지정된 계정에 대한 향후 IP 로깅을 활성화하도록 명령받을 수 있으며, 이 특정 명령 유형으로부터 보호가 필요한 사용자는 오직 Tor나 독립적으로 신뢰하는 제3자 VPN을 통해 서비스에 접근해야 한다는 점을 명확히 했다.
• ProtonVPN, ProtonDrive, ProtonCalendar 제품군으로의 더 넓은 기관적 전환을 추진했고, 2024년에는 모회체를 Proton AG 기치 아래 비영리 재단으로 전환하여 회사의 미래 상업적 압력을 제약하려 했다.

이러한 변화들 중 어느 것도 추가 명령이 더는 내려지지 않을 것을 약속하지는 않았다. 다만 다음 명령이 작동할 재료가 더 적을 것을 약속했을 뿐이다.

Mullvad와의 대조

2023년 4월, 스웨덴 경찰이 영장을 들고 Mullvad VPN의 예테보리 사무실에 도착했다. 그들은 데이터가 없었기 때문에 데이터 없이 떠났다. 우리는 [2023년 4월 Mullvad 경찰 급습](/articles/mullvad-april-2023-police-raid) 보도에서 그 이야기를 자세히 다뤘는데, Proton 사건과의 비교는 아키텍처가 하나의 질문이고 정책은 또 다른 질문에 대한 답인 이유에 관해 우리가 가장 명확히 볼 수 있는 사례이다.

Mullvad의 계정 시스템에는 사용자 이름이 사람에 부착된 적이 없었다. 연결은 기록되지 않았다. 인프라는 특정 유료 고객을 식별할 수 있는 방식으로 로깅을 시작하도록 명령받을 수 없었는데, 기록에 처음부터 특정 유료 고객이 없었기 때문이다. 스웨덴 법원은 존재하는 것의 생산을 강제할 수 있었다. 하지만 아무것도 존재하지 않았다. Proton 사건에서는 스위스 법원이 아직 존재하지 않는 것의 생성을 강제할 수 있었는데, 이는 시스템이 이를 생성하는 것이 기술적으로 가능했기 때문이다. 두 회사 모두 합법적으로 선의로 행동했다. 결과는 시스템이 달랐기 때문에 갈라졌다.

이것이 교훈이며, 이는 로고나 마케팅 문구로 환원할 수 없기 때문에 유행하지 않는다. "로그 없음" 주장은 저장된 데이터의 현재 시제에 대한 진술로 읽혀야 한다. 진지한 위협 모델에 관련된 질문은 미래 시제이다. 이 제공업체가 명령을 받으면, 현재 존재하지 않는 정보를 생산할 수 있는가. 답이 '예'라면, 신뢰 경계는 회사를 관통해 관할권까지 닿는다.

디렉토리를 위해 이것이 변경하는 것

NoKYC 디렉토리에서 우리의 목적을 위해 2021년 Proton 사건은 스캔들도 아니고 실격도 아니다. 이는 교육 사례이다. 우리는 이를 우리가 등재하는 모든 프라이버시 제공업체의 등급 평가 기준을 세우는 데 사용한다. 기준은 이제 명시된 정책보다 아키텍처적 능력을 우선시하는데, 이는 정책이 회사가 하겠다고 말하는 것이고 아키텍처는 회사가 할 수 있는 것이기 때문이다.

Proton은 여전히 유능하고 대체로 정직한 운영자이다. 편집자와 통신하는 기자를 위해, 광고 지원 메일에서 벗어나고자 하는 중소기업을 위해, 감시 경제 밖에서 캘린더와 저장 공간을 원하는 가족을 위해, 이는 방어할 수 있는 선택이고 아마 좋은 선택이다. 우리는 이를 상호 법적 지원 조약에 접근할 수 있는 국가 행위자를 포함하는 위협 모델을 가진 사용자의 주요 신원 계층으로는 추천하지 않는데, 그 추천은 Proton에 대한 도덕적 판단이 아니다. 스위스가 조약을 맺은 관할권이고 조약은 효력이 있다는 인식일 뿐이다.

그 더 높은 위험의 차선을 위해 우리는 독자를 아키텍처적으로 존재하지 않는 것을 생산하도록 명령받을 수 없는 제공업체로 안내한다. VPN은 Mullvad. [1984 Hosting](/service/1984-hosting)은 장기적인 거부 기록을 가진 아이슬란드 관할권 하의 인프라를 위해. Tor는 항상, 상단에 무엇이 있든 그 아래의 전송 계층으로서. Proton 사건은 우리의 Proton에 대한 견해를 그토록 바꾼 것이 아니라, 우리가 평가하는 모든 다른 제공업체에 대한 우리의 견해를 날카롭게 했다. 우리는 명확성에 감사하며, 비록 그것이 파리 법정에서 한 젊은이의 익명성이라는 대가로 도달했더라도.

출처

• TechCrunch, ProtonMail이 프랑스 활동가의 IP 주소를 기록 (2021년 9월 6일)
• Proton 블로그, 기후 활동가 체포에 관한 중요한 명확화 (Andy Yen, 2021년 9월 6일)
• TechSpot, ProtonMail이 기소를 위해 프랑스 활동가의 IP를 기록
• 위키백과, Proton Mail
• NoKYC 디렉토리: [2023년 4월 Mullvad 경찰 급습](/articles/mullvad-april-2023-police-raid)

편집 로그

• 2021-09-12 : 2021년 9월 6일 TechCrunch 기사와 Proton 블로그 게시물로부터 첫 초안 작성. Andy Yen의 후속 성명이 주말 동안 안정화될 때까지 프레이밍을 보류. 톤은 비난보다 설명을 목표로 함.
• 2021-09-19 : 스위스 변호사 독자가 초기 초안이 과거 로그가 제출되었다고 암시한 것을 정정하는 이메일을 보낸 후, 예측적 대 회고적 구분을 추가. 이에 따라 연대기 섹션을 재작성.
• 2021-09-28 : Europol을 통한 라이팅과 Office Fédéral de la Justice의 역할을 확인하기 위해 위키백과 논란 섹션을 교차 참조. 법적 메커니즘 단락을 다듬고 EU 압력에 대한 추측적 문장을 제거.
• 2021-10-08 : 전 ProtonMail 엔지니어와 비공개로 대화하여 계정 생성 IP 보관의 아키텍처적 변경과 도움말 센터에서 Tor onion 링크의 격상을 확인. "변경된 것" 목록을 실질적인 변화가 아닌 화장적인 변화를 반영하도록 업데이트.
• 2021-10-20 : 출판 전 최종 검토. Mullvad 비교를 전방 참조로 추가, 이는 해당 시나리오가 발생할 때 다룰 것으로 예상. 디렉토리 판결을 위한 등급 평가 기준 언어를 설정하고 서명.