전자정부의 대표 사례로 꼽히는 에스토니아가 자국 온라인 투표 시스템 IVXV의 소스코드를 깃허브에 공개했다. 저장소 설명에 따르면 이 공개의 목적은 단순한 오픈소스 협업이 아니라, 실제 선거에 사용되는 코드를 누구나 들여다보고 검증할 수 있도록 하는 '공개 검토(public review)'에 있다. 즉 외부 개발자의 기여를 받아 기능을 키우려는 저장소가 아니라, 운영 중인 투표 시스템의 투명성을 담보하기 위한 창구에 가깝다.
핵심은 이 저장소에 올라온 코드가 실제 선거에서 돌아가는 바로 그 코드라는 점이다. 저장소는 활발한 개발이 이뤄지는 공간이 아니지만 최신 상태로 유지된다고 명시돼 있다. 법적 구속력을 가진 선거에 쓰이는 시스템인 만큼 관련 법령을 엄격히 따라야 하며, 실제 개발과 유지는 에스토니아 국가선거관리국(State Electoral Office)의 감독 아래 진행된다. 투표 검증 애플리케이션(I-vote verification application)의 개발 역시 같은 기관의 관할이다.
왜 '공개'가 핵심 설계인가
온라인 투표는 기술적으로 가장 까다로운 영역 중 하나다. 투표의 비밀(누가 누구를 찍었는지 알 수 없어야 함)과 무결성(집계가 조작되지 않았음을 증명할 수 있어야 함)이라는, 종종 충돌하는 두 요구를 동시에 만족시켜야 하기 때문이다. 종이 투표는 물리적 절차와 참관인으로 신뢰를 쌓지만, 전자 투표는 그 신뢰를 코드와 암호학적 증명으로 옮겨놓는다. 이 지점에서 소스코드 공개는 선택이 아니라 신뢰 구조의 일부가 된다. 검증 가능성이 없는 비공개 투표 소프트웨어는 '믿어달라'는 요청에 그치지만, 코드가 공개되면 학계·시민사회·보안 연구자가 독립적으로 설계를 뜯어볼 수 있다.
저장소 이름에 드러난 검증 애플리케이션의 존재도 눈여겨볼 대목이다. 유권자가 자신의 표가 의도대로 서버에 기록됐는지 별도 기기로 확인할 수 있게 하는 개별 검증(individual verifiability) 개념은, 투표 단말이 악성코드에 감염됐더라도 조작을 탐지할 수 있게 하는 장치다. 코드가 공개돼 있다는 것은 이런 검증 메커니즘이 실제로 주장대로 구현됐는지까지 외부에서 따져볼 수 있다는 의미다.
한국 실무자가 읽어야 할 지점
국내에서도 전자투표나 블록체인 기반 투표 논의가 주기적으로 등장하지만, 논의는 대개 '도입 여부'에 머문다. 에스토니아 사례가 보여주는 교훈은 기술 선택 자체보다 거버넌스 설계에 있다. 코드를 공개하되 개발과 운영 권한은 법적 책임을 지는 단일 기관에 집중시키고, 공개 저장소는 '구경거리'가 아니라 운영 코드와 동기화된 검증 대상으로 유지한다는 원칙이 그것이다. 외부 기여를 받지 않는다는 명시적 입장도 의미가 있다. 선거 시스템에서 코드 변경의 자유로움은 장점이 아니라 통제해야 할 위험 요인이기 때문이다.
보안·인프라 담당자 관점에서는 '공개=안전'이라는 등식을 경계할 필요도 있다. 소스코드 공개는 신뢰의 전제 조건이지 완성이 아니다. 저장소의 코드와 실제 선거일에 서버에서 구동되는 바이너리가 동일하다는 보장, 빌드 재현성(reproducible build), 키 관리와 집계 과정의 운영 보안 등은 코드 열람만으로 확인되지 않는 별도의 과제다. 공개된 저장소가 최신으로 유지된다고 해도, 특정 선거에 쓰인 정확한 버전과 배포 환경을 추적·검증하는 것은 또 다른 문제다.
결국 IVXV 공개가 전하는 메시지는 분명하다. 공공 영역의 민감한 소프트웨어일수록 투명성은 기능이 아니라 제도의 일부로 설계돼야 하며, 그 투명성이 작동하려면 공개된 코드를 읽고 문제를 제기할 수 있는 외부 전문가 생태계와, 책임 소재가 명확한 운영 주체가 함께 갖춰져야 한다. 더 자세한 선거 운영 정보는 에스토니아 선거 공식 사이트(www.valimised.ee)를 통해 확인할 수 있다.