인증된 암호화 소프트웨어로 데이터 암호화한 뒤 업로드하면 보안 강화할 수 있어

클라우드 서비스란 사진이나 문서, 동영상 등 각종 자료를 사용자의 PC나 스마트폰 등 내부 저장공간이 아닌 외부 클라우드 서버에 저장한 다음 다운로드받아 다양한 기기로 이용할 수 있는 것을 말한다. 마치 여러 장소에서 동일한 구름을 관찰할 수 있듯이 언제 어디서나 필요한 자료를 불러올 수 있다는 뜻에서 ‘클라우드’라는 이름이 붙었다. 데이터를 자신의 휴대용 기기에 보관하지 않고 필요할 때 언제든지 내려받아 사용할 수 있어 매우 편리하다.

그러나 클라우드 저장이 보편화되면서 데이터 보안이 더욱 불안해지고 있다. 특히 클라우드에 저장된 데이터가 외부에 유출되지 않도록 사용자 스스로 관리에 주의를 기울여야 한다는 목소리가 커진다. 기업과 학교는 얼마 전부터 구글 드라이브 같은 서비스를 더 많이 사용한다. 많은 개인 사용자도 드롭박스(Dropbox), 박스(Box), 아마존 드라이브(Amazon Drive), 마이크로소프트 원드라이브(Microsoft OneDrive) 같은 곳에 파일을 저장한다. 그들은 그런 서비스를 사용하면서도 개인적인 정보를 안전하게 보관할 수 있는지, 혹시 해킹당할지 우려한다. 그들이 데이터 보안을 좀 더 확신한다면 추가로 수천만 명이 데이터를 클라우드에 보관하려 할 것이다.

클라우드에 저장하는 데이터는 거의 언제나 암호화된다. 따라서 침입자가 그 정보를 읽으려면 암호를 풀어야 한다. 또 그 암호를 푸는 열쇠(암호키, encryption key)는 클라우드 저장 서비스마다 보관하는 방법이 다르다. 또 사용하는 클라우드 시스템에 내장된 기능을 사용하는 것과는 별도로 스스로 자신의 데이터 안전을 강화할 수 있는 비교적 간단한 방법도 있다.

상업적인 클라우드 저장 시스템은 각 사용자의 데이터를 특수 암호키로 암호화한다. 암호키가 없으면 아무리 중요한 데이터라고 해도 이해할 수 없는 무의미한 부호일 뿐이다.

그렇다면 암호키는 누가 갖고 있을까? 암호키는 서비스 자체 또는 개인 사용자가 보관할 수 있다. 대다수 클라우드 서비스는 암호키를 자체 보관한다. 시스템이 사용자 데이터(검색을 위한 색인 데이터 등)를 읽고 처리해주는 방식이다. 이런 서비스들은 사용자가 비밀번호를 사용해 로그인할 때 암호키를 사용해 데이터의 암호화를 해제해줌으로써 그 데이터를 사용할 수 있도록 해준다. 사용자가 직접 암호키를 보관하는 것보다 훨씬 편리한 방식이다.

그러나 보안성은 떨어진다. 일반 열쇠와 마찬가지로 누군가 다른 사람이 열쇠를 손에 넣으면 데이터의 원래 소유자 몰래 그 데이터를 훔치거나 오용할 수 있다. 또 일부 서비스는 보안 시스템에 결함이 있을 수 있다. 그럴 경우 사용자의 데이터가 매우 취약해진다.

메가(Mega)와 스파이더오크(SpiderOak) 같은 몇몇 덜 알려진 클라우드 서비스는 사용자가 암호화 기능이 포함된 고유한 클라이언트 응용 프로그램을 통해 파일을 올리고 내려받을 수 있도록 한다. 별도의 응용 프로그램 사용이라는 추가적인 단계에 따라 사용자는 암호키를 직접 보관할 수 있다. 그러나 그 같은 추가적인 보안 조치로 인해 사용자는 클라우드의 일부 기능을 사용할 수 없다. 클라우드에 보관된 파일을 검색하는 기능이 그 예다.

이런 서비스들도 완벽하진 않다. 사용하는 클라이언트 응용 프로그램이 손상되거나 해킹당할 가능성이 여전하기 때문이다. 그럴 경우 침입자는 사용자가 파일을 올리기 위해 암호화하기 전이나, 또는 파일을 내려받아 암호화를 해제한 뒤에 그 파일을 읽을 수 있다. 또 암호화된 클라우드 서비스를 제공하는 업체는 데이터를 취약하게 만들 수 있는 기능이 포함된 특정 응용 프로그램을 사용할 수도 있다. 또 사용자가 비밀번호를 잃어버릴 경우 데이타를 회수할 수 없는 문제도 있다.

최근 선보인 모바일 앱을 사용하면 사진을 찍는 순간 그 사진을 암호화해서 클라우드에 전송해 보관할 수 있다. 사진이 아닌 다른 종류의 데이터를 그와 유사한 방식으로 보호하는 새로운 서비스도 나올 수 있다. 그래도 사용자는 여전히 사진을 찍은 직후 암호화되기 바로 전에 그 정보가 해킹될 가능성에 대비해야 한다.

클라우드 저장 보안을 극대화하는 방법은 이런 다양한 접근법을 혼합하는 것이다. 먼저 독자적인 암호화 소프트웨어로 데이터를 암호화한 다음 클라우드에 데이터를 올리고, 다시 그 파일에 접근할 때는 클라우드 서비스에 로그인해서 내려받은 다음 직접 암호화를 해제하는 방식이 최선이다.

물론 이런 방식을 사용하면 몇 가지 클라우드 서비스의 이 점을 활용할 수 없다는 단점이 있다. 공유 문서의 편집과 클라우드에 저장된 파일의 검색 등의 기능이 제한된다는 뜻이다. 또 클라우드 서비스를 제공하는 업체는 사용자가 내려받기 전에 암호화된 파일을 수정하는 방법으로 데이터에 손을 댈 수도 있다.

그런 일을 방지하는 최선의 방법은 인증된 암호화 소프트웨어를 사용하는 것이다. 암호화된 파일만이 아니라 파일이 생성된 이후 수정됐는지 알 수 있는 추가적인 메타 데이터까지 저장하는 방식을 가리킨다.

만약 자신의 도구를 프로그램하는 방법을 배울 생각이 없다면 클라우드 서비스를 이용할 때 보안을 강화하기 위해 기본적으로 두 가지 중 한 가지 방법을 선택할 수 있다. 하나는 오픈 소스로 독립적인 보안 연구자들이 검증한 신뢰할 수 있는 올리기·내려받기 소프트웨어를 사용하는 클라우드 저장 서비스를 찾는 것이다. 다른 하나는 신뢰할 수 있는 오픈 소스 암호화 소프트웨어를 사용해 클라우드에 데이터를 올리기 전에 개인적으로 암호화하는 것이다. 그런 소프트웨어는 모든 운영체제에서 호환이 가능하며 일반적으로 무료이거나 아주 저렴하다.

- 장하이빈



※ [필자는 미국 매릴랜드대학 컴퓨터과학·전기공학 부교수다. 이 글은 온라인 매체 컨버세이션에 먼저 실렸다.]

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지