글: Jeremy Cook
2022년 12월에 Apple은 고급 데이터 보호 프로그램을 발표하였으며, 엔드-투-엔드 암호화가 가능한 서비스 수를 14개에서 23개로 늘렸습니다. 이제 암호화된 데이터 서비스에는 iCloud Backup, Photos 및 Notes가 포함됩니다. iCloud Mail, Contacts 및 Calendar에 대한 데이터 암호화는 호환되지 않는 다른 시스템과 상호 작용할 필요성 때문에 이 출시에 포함되지 않았습니다.
2022년 이전부터 보안은 Apple 제품의 선두에 있었지만, 이 발표에서 혁신적인 점은 Apple이 더 이상 사용자의 데이터에 액세스할 수 없다는 점입니다. 이전에는 Apple이 보안 키를 저장하고 필요에 따라 데이터를 해독할 수 있었습니다. 사용자가 액세스할 수 없는 경우, Apple은 이 정책을 통해 데이터를 복구하고 법적으로 필요한 경우 데이터를 넘길 수 있었습니다. 반면에, 이론적으로는 해커 또는 악성 직원이 악의적인 목적으로 엔드-투-엔드 암호화 데이터에 액세스할 수 있습니다.
이러한 잠재적 위협에 대한 한 가지 해결책은 사용자 장치에만 암호화 키를 저장하는 것입니다. 이 데이터를 처리하는 서비스(예: Apple)도 키 없이는 볼 수 없습니다. 엔드-투-엔드 암호화는 새로운 개념이 아닙니다. 그러나 세계 최고의 가치 있는 기업(이 글을 쓰는 시점의 시가총액 기준)인 Apple이 이 기술을 실용화하면서 이제는 이 개념이 주류가 되고 있습니다.
사용자 전용인 데이터
일부 단점이 있기는 하지만, Apple이 사용자 데이터에 절대 액세스할 수 없다는 사실은 데이터가 사용자 전용임을 의미합니다. 나중에 정책이 변경되거나 Apple이 긴급 상황에서 사용자 데이터에 액세스해야 한다고 결정한 경우에도 더 이상 액세스할 수 있는 방법이 없습니다. 여기에는 상황에 따라 검색 데이터, 개인 식별 정보, 위치 데이터, 사진, 비디오 및 저장하기로 선택한 기타 모든 항목이 포함될 수 있습니다.
또 다른 중요한 점은 데이터 암호화 자체가 전송 시 데이터의 출처 또는 대상을 가리지 않는다는 것입니다. 전송은 Apple 또는 다른 이해 관계자에게 사용자의 상호 작용에 대한 정보를 제공하지만 내용 자체는 안전합니다.
일반적인 데이터 보안
이론적으로 적절하게 암호화된 데이터는 공격으로부터 안전하지만 다른 경로를 통한 위험은 여전히 위협적입니다. 2022년 8월 피싱 공격으로 인해 손상되었다고 발표했었던, 개인 정보 보호에 가장 중점을 둔 메시지 서비스인 Signal 앱의 사례를 보겠습니다. 이 위반으로 공격자는 Twilio의 보조 콘솔에 임시로 액세스할 수 있었습니다. Twilio는 Signal에 대한 전화번호 확인 서비스를 제공하며, 이 위반은 약 1,900개의 계정에 영향을 미칠 수 있었습니다. 공격자는 Signal의 강력한 암호화 설정으로 인해 메시지를 읽을 수 없었지만 계정을 다시 등록하여 공격 대상자를 가장할 수 있었습니다.
세계 최고 수준의 잠금 기능(암호화 기술)을 보유할 수 있지만, 누군가가 사용자를 속여서 키 또는 조합을 공유하게 한다면 잠금 기능은 여전히 열릴 수 있습니다. 또는 반복되거나 취약한 암호와 같이 보안 관리를 잘못하여 키를 취약한 위치에 두면 공격이 훨씬 쉬워집니다. 장치 제조업체의 관점에서 누군가 "잠금" 설계에 액세스할 수 있다면 이 시점부터 보안도 공격받을 수 있습니다.
엔드-투-엔드 암호화에 대한 실직적인 단점
누가 무엇에 대한 액세스를 필요로 하는지에 대한 도덕적 논쟁은 제외하고서라도, 관리 없는 엔드-투-엔드 암호화에 대한 하나의 중대하고 실질적인 단점이 있습니다. 바로 암호화 키를 분실하면 데이터가 영구히 사라진다는 것입니다. 이때 Apple이나 다른 사람이 아닌 궁극적으로 귀하에게 책임이 있습니다.
즉, 고급 데이터 보호를 사용하려면 장치를 분실한 경우에 대비해 데이터에 액세스할 수 있는 백업 방법(복구 연락처 및/또는 인쇄된 암호)을 준비해야 합니다. 그러나 복구 연락처를 업데이트하지 않았거나 인쇄된 암호를 분실한 경우에는 어떻게 해야 할까요? 또는 암호를 보관한 지갑을 세탁기에 넣고 돌렸다면 어떻게 해야 할까요? 두 가지 상황 모두 절대 일어나서는 안 될 일이지만 주의하지 않으면 실제로 발생할 가능성이 있습니다.
고급 데이터 보호를 통한 엔드-투-엔드 보호
Apple의 고급 데이터 보호를 통한 엔드-투-엔드 암호화는 유용한가요? 구현할 수 있는 기능은 확실히 유용합니다. 직접 구현할지 여부(및 구현 방법)에 대한 문제는 신중히 고려해야 합니다. 백업 코드를 분실하지 않도록 하고 신뢰할 수 있는 연락처와 좋은 관계를 유지하십시오.
다음 마이크로컨트롤러 프로젝트에 암호화 보안을 추가하려면 DS28E50 인증기 및 DS2477 보조 프로세서를 확인하십시오. 설정 방법에 대한 자세한 내용은 이 문서에서 확인하실 수 있습니다.
관련 상품 참조
