15년 된 강연이 다시 읽히는 이유
2011년 말, 베를린에서 열린 해커 컨퍼런스 28C3에서 작가이자 활동가인 코리 닥터로우(Cory Doctorow)가 "범용 컴퓨팅을 향한 다가오는 전쟁(The Coming War on General Computation)"이라는 강연을 했어요. 이 강연은 위키소스에 전문이 올라와 지금까지 읽히고 있는데, 요즘 다시 회자되는 이유가 있어요. 강연에서 예언한 일들이 하나둘 현실이 되고 있거든요. 스마트폰은 승인된 앱 스토어에서만 앱을 받게 됐고, 게임은 커널 레벨 안티치트를 요구하고, 은행 앱은 루팅된 폰에서 실행을 거부하고, 윈도우 11은 TPM 칩이 없으면 설치도 안 돼요.
강연의 출발점, 저작권 전쟁
닥터로우는 먼저 지난 20년의 저작권 전쟁을 돌아봐요. 음반사와 영화사는 복사를 막으려고 DRM(Digital Rights Management, 디지털 콘텐츠에 복사 방지 장치를 거는 기술)을 만들었고, 미국에서는 DMCA라는 법으로 DRM을 우회하는 것 자체를 불법으로 만들었어요. 그런데 이게 한 번도 제대로 작동한 적이 없다는 게 그의 지적이에요.
이게 왜 그러냐면, 컴퓨터가 원래 그렇게 생겨먹었기 때문이에요. 컴퓨터는 파일을 복사하는 기계예요. 영화를 재생한다는 건 데이터를 읽어서 화면에 뿌린다는 뜻이고, 읽을 수 있으면 복사할 수도 있어요. DRM은 "재생은 되지만 복사는 안 되는 컴퓨터"를 원하는 건데, 그건 "물은 흐르지만 젖지는 않는 파이프"를 원하는 것과 같아요. 그래서 DRM은 언제나 며칠 안에 깨졌고, 남은 건 정직한 사용자만 불편하게 하는 제약뿐이었죠.
진짜 문제는 "전부 다 되는 기계"
여기서 닥터로우가 꺼내는 핵심 개념이 튜링 완전성(Turing completeness)이에요. 이게 뭐냐면, 범용 컴퓨터는 이론상 어떤 프로그램이든 실행할 수 있다는 성질이에요. 앨런 튜링이 증명한 건데, 우리가 쓰는 노트북, 스마트폰, 심지어 자동차의 제어 장치까지 전부 이 성질을 가진 범용 기계예요.
그러니까 "모든 프로그램을 실행하되, 우리가 싫어하는 프로그램만 빼고 실행하는 컴퓨터"를 만들라는 요구는 애초에 불가능해요. 그런 기계는 존재하지 않아요. 할 수 있는 건 하나뿐이에요. 사용자가 원하는 프로그램을 못 돌리게 컴퓨터에 감시 장치를 심어놓고, 그 감시 장치를 사용자가 못 건드리게 숨기는 것. 닥터로우는 이걸 스파이웨어라고 불러요. 사용자가 뭘 하는지 감시하고, 사용자의 명령을 거부하는 소프트웨어니까요.
그는 저작권 전쟁이 끝이 아니라 예고편이라고 봤어요. 음반사 다음에는 누가 올까요? 3D 프린터가 대중화되면 "총 설계도는 출력 못 하는 프린터"를 요구할 거고, 자율주행차가 나오면 "특정 코드는 못 돌리는 차"를 요구할 거고, 생명공학 장비가 싸지면 "특정 DNA는 합성 못 하는 장비"를 요구할 거예요. 요구하는 쪽의 의도가 선하든 악하든, 기술적 답은 매번 똑같아요. 사용자가 통제할 수 없는 컴퓨터를 만들라는 거죠.
강연 이후 실제로 벌어진 일들
강연 이후의 상황을 보면 이 예측이 상당히 맞았어요. 시큐어 부트와 신뢰 실행 환경(TEE)은 이제 거의 모든 기기의 기본이 됐어요. 그 자체는 좋은 기술이에요. 부팅 과정에서 악성코드가 끼어드는 걸 막아주니까요. 문제는 그 신뢰의 뿌리를 누가 쥐고 있느냐예요. 내 키로 서명한 펌웨어를 내 기기에 올릴 수 있으면 보안 기능이고, 제조사 키만 허용되면 닥터로우가 말한 감시 장치가 되는 거예요.
구글이 몇 년 전 웹에 도입하려다 반발로 접은 WEI(Web Environment Integrity)라는 제안이 좋은 예예요. 브라우저가 "나는 수정되지 않은 정품 환경이다"라고 서버에 증명하는 기술인데, 광고 차단기를 쓰거나 커스텀 브라우저를 쓰면 사이트가 접속을 거부할 수 있게 되는 거죠. 안드로이드의 Play Integrity API는 이미 같은 일을 앱 세계에서 하고 있어요. 커스텀 롬을 올린 폰에서 은행 앱이 안 열리는 게 바로 그거예요.
한국 개발자에게 이 이야기가 왜 중요하냐면
한국은 이 문제와 유독 인연이 깊어요. 액티브X와 공인인증서 시절, 은행이 보안을 이유로 사용자 컴퓨터에 키보드 보안 프로그램, 방화벽, 백신을 강제로 설치하게 했잖아요. 그게 바로 사용자가 제어할 수 없는 소프트웨어를 사용자 컴퓨터에 심는 일이었어요. 지금도 금융 앱이 루팅 탐지로 실행을 막고, 공공기관 사이트가 특정 플러그인을 요구하는 문화가 남아 있죠.
개발자로서 실무적으로 생각해볼 부분은 이거예요. 우리가 만드는 서비스에 무결성 검증이나 루팅 차단을 넣을 때, 그게 진짜 보안 위협을 막는 건지, 아니면 그냥 사용자의 기기 통제권을 뺏는 건지 구분해야 해요. 서버 쪽에서 검증할 수 있는 건 서버에서 하고, 클라이언트는 원래 신뢰할 수 없는 존재라고 전제하는 설계가 보안 관점에서도 더 튼튼하거든요. 그리고 개인 개발자로서는, 내가 쓰는 도구와 기기 중 내가 진짜 통제하는 게 얼마나 되는지 한 번쯤 점검해볼 가치가 있어요.
정리하면
"모든 걸 할 수 있는 기계"를 "일부만 할 수 있는 기계"로 바꾸려는 시도는 기술적으로 불가능하고, 시도할수록 사용자를 감시하는 장치만 늘어난다는 게 이 강연의 핵심이에요. 여러분은 시큐어 부트나 앱 무결성 검증 같은 기술이 어디까지가 보안이고 어디부터가 통제라고 생각하세요?
🔗 출처: Hacker News