내 생년월일 안 보여주고 '성인 인증'하기 — 구글이 푼 영지식 증명 기술

나이 인증, 꼭 신분증까지 다 보여줘야 할까요

요즘 전 세계적으로 온라인 서비스에서 나이를 확인하라는 법이 쏟아지고 있어요. 영국, 유럽, 미국의 여러 주에서 "성인 콘텐츠나 SNS는 나이 확인을 의무화"하는 법을 만들고 있거든요. 문제는 나이를 확인하려고 신분증이나 생년월일, 얼굴 사진까지 넘기다 보면 개인정보가 줄줄 새어나간다는 거예요. "18세 이상인지"만 알면 되는데, 이름·주소·주민번호까지 다 넘기는 건 좀 과하잖아요.

구글이 이 문제를 풀기 위해 영지식 증명(Zero-Knowledge Proof) 기술을 오픈소스로 공개했어요.

영지식 증명이 뭐냐면

이름이 좀 어렵죠. 영지식 증명(ZKP)은 "어떤 사실이 참이라는 걸, 그 사실 말고는 아무 정보도 안 흘리면서 증명하는" 암호학 기술이에요.

비유를 하나 들어볼게요. 색맹인 친구에게 빨간 공과 초록 공이 서로 다른 색이라는 걸 증명하고 싶어요. 친구가 두 공을 등 뒤에서 섞을지 말지 정한 다음 다시 보여주면, 나는 "섞었다/안 섞었다"를 매번 맞힐 수 있어요. 색이 다르니까요. 이걸 여러 번 반복하면 친구는 "아, 정말 두 공 색이 다르구나"를 확신하게 돼요. 그런데 그 과정에서 어떤 색인지는 전혀 안 알려줬죠. 이게 영지식 증명의 핵심이에요. "참이라는 것만 증명하고, 그 이상은 안 알려준다."

나이 인증에 적용하면 이렇게 돼요. 내 디지털 신분증에는 생년월일이 들어있는데, ZKP를 쓰면 "이 사람은 18세 이상이다"라는 것만 수학적으로 증명하고, 실제 생년월일이나 이름은 서비스에 절대 안 넘어가요.

구글이 실제로 어떻게 만들었을까

구글은 이미 구글 월렛(Google Wallet)에 있는 디지털 신분증에 이 기술을 적용하고 있어요. 미국 일부 주의 모바일 운전면허증이나 디지털 ID를 월렛에 넣어두면, 나이 확인이 필요할 때 ZKP로 "성인 맞음" 도장만 찍어서 보내는 식이에요.

여기서 중요한 기술적 포인트가 두 가지 있어요. 하나는 연결 불가능성(unlinkability)이에요. 이게 뭐냐면, 같은 사람이 A 사이트와 B 사이트에서 각각 나이 인증을 해도, 두 사이트가 나중에 "이거 같은 사람이네?" 하고 짜맞출 수 없게 만드는 거예요. 매번 다른 증명을 생성하니까 추적이 안 돼요. 또 하나는 발급 기관도 모른다는 점이에요. 신분증을 발급한 정부나 구글조차도 "이 사람이 언제, 어느 사이트에서 나이 인증을 했는지" 알 수 없게 설계했어요.

구글은 이 증명을 만드는 핵심 라이브러리를 오픈소스로 풀었어요. 즉, 구글 서비스가 아니어도 누구나 이 방식을 가져다 쓸 수 있게 한 거죠. 암호학이 워낙 실수하기 쉬운 분야라, 검증된 구현을 공개해서 업계 전체가 안전하게 쓰도록 한 의미가 커요.

업계 흐름에서 보면

사실 프라이버시 보호 나이 인증은 여러 곳이 동시에 밀고 있는 흐름이에요. 애플도 비슷하게 "나이 범위(age range)"만 앱에 알려주는 방식을 만들고 있고, 유럽연합은 EU 디지털 신분증 지갑(EUDI Wallet)을 준비하면서 ZKP 기반의 선택적 정보 공개를 논의하고 있어요. 국제 표준 쪽에서도 mDL(모바일 운전면허증) 규격에 이런 선택적 공개 기능을 넣고 있고요.

이 중에서 구글의 행보가 눈에 띄는 건, 구현을 오픈소스로 공개했다는 점이에요. 표준 논의만 무성한 상황에서, 실제로 돌아가는 코드를 던져준 거니까요. 암호학 기술은 이론이 있어도 실제 구현이 어려워서, 이런 레퍼런스 구현이 나오면 도입 속도가 확 빨라져요.

한국 개발자에게

우리나라도 청소년 보호법 때문에 성인 인증이 필요한 서비스가 많잖아요. 지금은 대부분 본인인증(휴대폰 인증, 아이핀 등)으로 실명과 생년월일을 통째로 확인하는 방식인데요. 이 과정에서 필요 이상의 개인정보가 오가는 건 늘 부담이었어요. 개인정보보호법이 점점 엄격해지는 상황에서, "필요한 사실만 증명하고 나머지는 안 받는" ZKP 방식은 앞으로 분명히 검토 대상이 될 거예요.

당장 실무에 넣기엔 이르지만, 영지식 증명이 어떻게 동작하는지 개념만이라도 잡아두면 나중에 크게 도움이 돼요. 인증·결제·신원 확인을 다루는 개발자라면 특히요. 구글이 공개한 코드를 뜯어보는 것만으로도 좋은 공부가 되고요.

한 줄로 정리하면, "나이는 증명하되 신분은 숨긴다"가 이번 기술의 핵심이에요. 여러분은 나이 인증할 때 개인정보 넘기는 게 찜찜했던 적 없으세요? ZKP가 이 문제의 해답이 될 수 있을까요?