'아이들을 위해서'라는 명분 — 인터넷 전체에 실명 인증을 강제하면 생기는 일

'아이들을 위해서'라는 말 뒤에 숨은 진짜 비용

요즘 영국, 미국 여러 주, 호주, 프랑스 같은 나라에서 '성인 콘텐츠나 SNS는 나이를 확인하고 쓰게 하자'는 법이 줄줄이 통과되고 있어요. 명분은 늘 똑같습니다. '아이들을 보호하기 위해서(Think of the children)'. 누가 봐도 대놓고 반대하기 힘든 말이죠. 그런데 이 글이 들춰보는 건, 그 명분 뒤에 깔린 기술적 현실이에요. 인터넷에서 나이를 '진짜로' 확인하려면 결국 모든 사람의 신원을 확인해야 한다는 점이거든요.

나이를 확인한다 = 사실상 전 국민 실명 인증

곰곰이 생각해보면 당연한 얘기예요. 어떤 사이트가 '당신 19세 이상 맞아요?'를 진짜로 검증하려면 방법이 몇 가지밖에 없거든요.

• 신분증을 사진 찍어서 올리게 한다
• 얼굴을 카메라로 스캔해서 AI가 나이를 추정하게 한다(age estimation, 연령 추정)
• 신용카드나 본인인증 기관에 조회한다

문제는 이 셋이 전부 '익명의 방문자'를 '신원이 확인된 개인'으로 바꿔버린다는 데 있어요. 그냥 사이트 하나 들어가보려고 운전면허증을 통째로 올리는 셈이죠. 그렇게 올린 데이터는 어딘가의 서버에 저장되고, 그 회사가 한 번 털리면(데이터 유출) '누가 어떤 사이트에 들어갔는지'가 한꺼번에 새어나가요. 익명성이라는 인터넷의 기본 전제가 통째로 무너지는 거예요.

게다가 잘 막지도 못해요

기술적으로 더 허무한 건, 효과도 별로 없다는 점이에요. VPN(가상사설망, 내 접속 위치를 다른 나라인 것처럼 바꿔주는 도구) 하나만 깔면 연령 인증이 없는 다른 나라 서버로 우회가 돼버리거든요. 실제로 연령 인증 법이 발효되면 그 나라에서 VPN 앱 다운로드가 폭증하는 현상이 반복돼요. 정작 막으려던 청소년들은 VPN으로 쏙 빠져나가고, 평범한 성인들만 꼬박꼬박 신분증을 내고 있는 구조가 되는 거죠.

보안 쪽에선 이런 걸 '위협 모델(threat model)이 안 맞는다'고 표현해요. 이게 뭐냐면, 막으려는 대상(기술에 밝은 청소년)은 안 막히고, 굳이 막을 필요 없는 사람(일반 성인)만 불편해지고 위험에 노출되는 설계라는 뜻이에요. 비용은 전 국민이 치르는데 효과는 거의 없는 거죠.

한국은 이미 한 번 걸어본 길이에요

여기서 한국 개발자라면 강한 기시감을 느낄 거예요. 우리는 2007년부터 '인터넷 실명제(제한적 본인확인제)'를 시행했었거든요. 댓글 하나 달려고 해도 주민번호로 본인확인을 하게 만들었죠. 결과가 어땠을까요. 2011년 네이트·싸이월드에서 3500만 명 규모의 개인정보가 유출됐고, 결국 2012년 헌법재판소가 '표현의 자유를 침해하고 실효성도 입증되지 않았다'며 위헌 결정을 내렸어요. 악성 댓글이 줄지도 않았다는 연구까지 나왔고요. 지금 서구권이 밟고 있는 이 길을, 우리는 10년 먼저 걸어보고 그 끝이 어땠는지 데이터로 확인한 셈이에요.

마무리

개발자로서 기억할 한 줄은 이거예요. '나이 확인'이라는 단순해 보이는 기능 요구사항은, 실무에서 거의 항상 '전 국민 신원 데이터베이스 구축'으로 번역된다는 것. 만약 여러분이 연령 인증 기능을 직접 설계하게 된다면, 신분증 원본을 통째로 저장하지 않고 '나이 조건만 통과 여부'를 검증하는 방식(예: 영지식 증명, zero-knowledge proof을 활용한 연령 증명)을 진지하게 고민해볼 가치가 있어요. '검증은 하되 신원은 모으지 않는' 설계가 핵심이거든요.

여러분은 어떻게 생각하세요? 아이 보호와 익명성·프라이버시, 이 둘을 다 지킬 수 있는 기술적 절충안이 정말 가능할까요, 아니면 둘 중 하나는 포기해야 하는 트레이드오프일까요?

---

🔗 출처: Hacker News