국정원 해킹 잡아내는 “오픈 백신”(안드로이드용) 일반 배포 시작

지역

국정원 해킹 잡아내는 “오픈 백신”(안드로이드용) 일반 배포 시작

익명 (미확인) 님 | 월, 2015/08/10- 11:10

국정원 해킹 잡아내는 “오픈 백신”(안드로이드용) 일반 배포 시작

- 국민 누구나 참여하고 후원하는 개방형 모델, 소셜펀치로 진행

- 구글 스토어에서 누구나 설치 가능

- 향후 윈도우, 맥 용 등 확대 예정

(사)오픈넷, 진보네트워크센터, P2P재단코리아준비위원회는 2015년 8월 8일, 안드로이드용 “오픈 백신”을 일반에 공개했다. 오픈 백신은 국가정보원이 이용한 해킹팀(Hacking Team)의 스파이웨어인 RCS 감염 여부를 탐지하기 위한 자유/오픈소스 백신 프로그램이다. 이미 윈도우 PC용으로는 “디텍트(Detekt)”가 개발, 공개되어 있기 때문에, RCS의 공격 대상일 가능성이 높은 안드로이드용으로 개발하였다.

오픈 백신 개발의 취지

지난 7월 5일, 정부 기관에게 해킹 프로그램인 RCS를 판매해 온 이탈리아 기업 ‘해킹팀’이 해킹 당하면서 내부자료 400GB가 유출되었다. 유출된 자료에는 ‘해킹팀’이 고객과 주고받은 이메일, 소스 코드, 계약사항 등이 포함되어 있었는데, 이를 통해 한국의 국가정보원 역시 지난 2012년부터 해킹팀의 고객이었음이 드러났다.

해킹팀의 RCS는 이용자의 PC나 스마트폰을 감염시켜 이메일, 메신저, 전화통화 등을 모니터링 할 수 있고, 심지어 기기의 카메라나 마이크도 몰래 조작할 수 있는 강력한 감시 프로그램이다. 이미 해외에서는 해킹팀이나 핀피셔와 같은 감시 프로그램이 인권 활동가, 언론인, 정치적 반대자에 대한 감시 수단으로 활용되고 있는 것에 대한 비판이 높다. 예를 들어, 2012년에는 해킹팀의 RCS가 모로코와 아랍에미레이트의 기자와 인권 활동가를 감시하는데 사용되었다는 의혹이 제기되었다. 이 때문에 해킹팀은 인권단체에 의해 ‘인터넷의 적’으로 선정되기도 했다. 캐나다의 비영리 연구기관인 시티즌랩(Citizen Lab)은 지난 2014년 2월 27일, 한국을 포함한 21개국 정부가 RCS를 사용하고 있다고 보인다는 공식 보고서를 발표했다.

국정원은 RCS 구입 사실을 인정했지만, 이를 해외 정보 수집과 연구용으로 이용했다고 변명하고 있다. 그러나 해킹팀에서 유출된 자료를 보면, 국정원이 우리 국민에 대한 감시를 위해 RCS를 이용했다는 정황이 드러나고 있다. 카카오톡 해킹이 가능하도록 요구하고, 삼성 갤럭시 신모델이 나올 때마다 이를 위한 업그레이드를 요구했다. 대표적인 백신 프로그램인 안랩의 ‘V3 모바일 2.0’과 같은 백신을 회피하기 위한 방법도 문의하였고, 서울대 공대 동창회 명부’라는 제목의 워드 파일, <미디어오늘> 기자를 사칭한 천안함 보도 관련 문의 워드 파일에 악성코드를 심어달라고 요청하였다. 또한, △네이버 맛집 소개 블로그 △벚꽃축제를 다룬 블로그 △삼성 업데이트 사이트 등 내국인들이 주로 방문할 것으로 보이는 사이트 등을 피싱 용도로 활용하고자 했다. 대선이나 지방선거 등 주요 선거를 앞두고 RCS를 사용했다는 점도 석연치 않다.

그러나, 국정원은 이러한 모든 의혹을 부정하면서도, 이를 뒷받침할 수 있는 근거 자료를 국회 정보위원회에조차 제출하지 않고 있다. RCS와 같이 감청보다 훨씬 심각한 인권 침해를 야기할 수 있는 감시 프로그램을 누구의 통제로부터 받지 않고 국정원이 사용해왔다는 것 자체가 큰 문제이며, 국정원 개혁을 통해 국정원이 국민의 감독과 통제 하에서 활동하도록 할 필요가 있다.

국회는 국가정보원의 불법적인 감시 활동 실태에 대해 철저한 진상을 조사해야 한다. 동시에 우리는 오픈 백신을 통해 국민 스스로 국정원의 RCS의 피해를 입었는지 여부에 대해 파악하고자 한다. 오픈 백신의 개발은 RCS의 감염 여부를 탐지하여 피해를 복구하기 위한 조치임과 동시에, 국정원의 불법적인 감시 활동 여부를 탐지하기 위한 것이다.

국민 백신 프로젝트

(사)오픈넷, 진보네트워크센터, P2P재단코리아준비위원회는 오픈 백신 개발을 위해 ‘국민 백신 프로젝트’를 시작하였다. 세 단체는 오픈 백신의 초기 개발을 지원하며, 프로그램의 소스 코드를 공개하여 향후에는 기술적 재능이 있는 누구나 오픈 백신 개발에 참여할 수 있도록 할 계획이다. 이를 통해 해킹팀이 개발한 RCS 뿐만 아니라, 핀피셔(FinFisher)와 같이, 정부의 시민 감시에 이용되는 다른 스파이웨어로 탐지 대상을 확대하고, 안드로이드 및 윈도우 외의 다른 운영체제도 지원할 수 있을 것이다. 오픈 백신은 한국 내에서 국가정보원의 허가를 받을 필요가 없다. 감시에 악용되는 스파이웨어에 맞서기 위해 국민 참여형 대응이 가장 훌륭한 방식임을 보여주고자 한다. 오픈 백신은 전 세계 개발자 누구나 참여할 수 있으며, 개발된 프로그램은 누가 독점하지도 않고 모두에게 개방된다.

오픈 백신은 개발에 필요한 비용을 충당하기 위하여, 현재 진보네트워크센터에서 운영하는 소셜 펀딩 플랫폼인 ‘소셜펀치’를 통해 누구나 후원할 수 있도록 하고 있다.

오픈 백신이 지원하는 운영체제

오픈 백신은 1차적으로 안드로이드용 앱으로 제작되었다. 또한, 악의적인 누군가가 오픈 백신을 스파이웨어에 감염시킬 우려가 있기에, 오픈 백신은 플레이 스토어에서만 다운로드 받을 수 있도록 했다.

윈도우 PC나 노트북에서 RCS를 탐지하기 위한 용도로는 국제앰네스티 등 국제인권단체들이 개발한 디텍트(Detekt)를 사용할 수 있다. 디텍트는 2014년 11월에 출시되었으며, 2015년 7월 30일 디텍트 2.0으로 업그레이드 되었다. 디텍트 2.0은 2015년 7월 시점까지의 모든 RCS를 탐지할 수 있다.
(디텍트에 대한 자세한 사용법: http://guide.jinbo.net/digital-security/computer-security/how-to-use-detekt/

오픈 백신은 향후 디텍트를 한글화하여 오픈 백신 윈도우PC 용으로 공개할 예정이다. 또한, 아이폰, 맥용 오픈 백신도 개발할 예정이다.

오픈 백신 사용법

1단계: 구글 플레이스토어(https://play.google.com/store/apps)에서 “오픈 백신”으로 검색한다.

2단계: 오픈 백신을 선택하여 ‘설치’한다.

3단계: 엑세스 해야 하는 대상 팝업에서 ‘동의’를 클릭한다.

4단계: 설치가 끝나면 실행한다. 아래와 같이 앱이 실행된다.

참고로, 오픈 백신은 작동 과정에서 이용자를 식별할 수 있는 개인정보를 수집하지 않는다. 그러나 오픈 백신 이용 현황에 대한 정확한 파악을 위해 이용자의 기기의 운영체제, 기종, 모델 등에 대한 정보를 수집한다.

5단계: 검사 메뉴를 실행시키면, RCS 탐지를 시작한다. 기기에 따라 수 분이 소요될 수 있다.

6단계: 검사가 완료되면, 결과에 따라 아래와 같은 메시지를 보여준다.

RCS가 검출되지 않았을 경우

당신의 안드로이드 스마트폰에서 해킹팀의 감시코드가 검출되지 않았다. 그러나, 당신의 스마트폰이 감시로부터 안전하다는 의미는 아니다. RCS가 아닌 다른 스파이웨어가 설치되어 있을 수도 있기 때문이다.

또한, 국정원에서 RCS 이용 사실이 폭로된 이후에, 스마트폰의 감시 코드를 원격으로 삭제했을 수도 있다. 이 경우, 백신 프로그램만으로 감염 여부를 알아내기는 힘들다.

해킹팀의 감시 코드가 검출되지 않았다고 해도, 향후 자신의 스마트폰 보안에 보다 신경을 쓸 필요가 있다. 디지털 보안 가이드를 통해 자신의 스마트폰 보안을 전반적으로 점검해보자.
(디지털 보안 가이드: https://guide.jinbo.net/digital-security/)

RCS가 검출되었을 경우

당신의 스마트폰이 해킹팀의 감시코드에 감염되었을 가능성이 있다. 오픈 백신은 RCS 감염 여부를 탐지할 뿐, 해당 스마트폰을 치료하는 것은 아니다. 만일 RCS가 검출되었다는 결과가 나올 경우, 스마트폰에 대한 보다 엄밀한 검사가 필요하다.

‘신고’ 버튼을 클릭하면, 검사 결과를 제작팀에 발송할 수 있다. 제작팀은 포렌식 분석을 통해 스마트폰의 감염 여부에 대해 보다 엄밀한 검사를 제공할 것이다.

오픈 백신의 용도 및 다른 백신 프로그램의 이용

오픈 백신은 모든 종류의 바이러스나 스파이웨어를 탐지하고 치료하는 일반적인 상용 백신을 목표로 하지 않는다. 1차적으로는 해킹팀의 스파이웨어인 RCS만을 목표로 하며, 앞으로도 시민 감시를 목적으로 하는 다른 스파이웨어 탐지용으로 확대할 계획이다. 즉, 국민 감시용 스파이웨어 전용 백신을 목적으로 한다.

오픈 백신의 제작 계획을 발표한 이후, 다른 상용 백신 업체들도 이미 RCS를 검출할 수 있도록 업데이트하고 있다는 보도가 있었다. 우리는 이를 환영한다. 더 많은 백신 프로그램의 성능이 업데이트된다면 좋은 일이다. 오픈 백신으로 RCS가 탐지되지 않더라도, 다른 스파이웨어나 악성 코드를 방어하기 위해 스마트폰용 백신을 정기적으로 실행할 것을 권고한다.

오픈 백신의 작동 원리

오픈 백신은 이번에 해킹팀의 해킹으로 유출된 RCS의 시그니쳐(식별코드)를 데이터베이스화하여, 이를 스마트폰의 파일과 비교하는 방식으로 탐지를 진행한다. 이러한 시그니쳐는 발견이 되면 계속 자동 업데이트될 예정이며 다른 스파이웨어의 시그니쳐도 지속적으로 업데이트될 예정이다.

시민들의 의견

댓글 달기

이름

Comment

텍스트 형식 정보

텍스트 형식

Plain text

웹 페이지 주소 및 이메일 주소는 자동으로 링크로 전환됩니다.
줄과 단락은 자동으로 분리됩니다.
사용할 수 있는 HTML 태그: <a href hreflang> <em> <strong> <cite> <blockquote cite> <code> <ul type> <ol start type> <li> <dl> <dt> <dd>

CAPTCHA

스펨 사용자 차단 질문

테러방지법 및 사이버테러방지법 문제점 진단 토론회

요약문:

테러방지법이 국회에서 통과된 지 일주일도 안 돼 박근혜 대통령과 정부·여당이 사이버테러방지법 제정을 압박하고 나섰습니다. 지난 3월 2일 본회의를 통과한 테러방지법은 민감 정보를 포함한 개인정보의 수집, 위치추적, 대테러조사 권한을 국정원에게 부여했습니다. 사이버테러방지법 또한 합리적인 이유 없이 민간 인터넷의 사이버안전 관리 권한을 국정원에게 부여합니다. 헌법이 보장한 기본권 및 개인의 프라이버시권 침해가 우려됩니다. 이에 테러방지법과 사이버테러방지법의 문제점을 진단하는 긴급토론회를 진행하려 합니다.

발표일자:

2016/03/18

나머지 보기

패킷감청, 통신비밀, 공안기구사찰, 프라이버시, 토론회 및 강좌, 테러방지법

금, 2016/03/18- 16:52

601

[논평] 9월 27일, 최초의 시민청구 공청회가 열린다: 노량진수산시장 현대화사업, 이대로 괜찮은가?

2011년 제정된 <서울시 주민참여기본조례>에 의한 최초의 시민청구 공청회가 오는 9월 27일 열린다. 현행 조례는 제9조(시정정책 토론 등의 청구)를 통해서 서울시민 5,000명의 서명으로 특정한 주제에 대해서 서울시장에게 공청회 개최를 청구할 수 있도록 했다. 이에 따라 지난 5월부터 현재의 전통시장을 지키고자 하는 노량진수산시장 상인들이 현대화사업과 관련된 서울시의 정책과 대안을 묻기 위해 서명운동을 전개했고 지난 7월 12일 1만명이 넘는 청구서명을 제출한 바 있다. 이에 따라 서울시는 9월까지 청구자의 서명 유효성 확인을 했고 최종적으로 시민공청회 청구 요건이 충족되었음을 확인하였다.

노량진수산시장 현대화사업은 2000년대 초기 정부의 공기업 민영화 과정에서 기존 노량진수산시장을 담당했던 공사인 한국냉장을 민간에 매각하는 과정에서, 노량진수산시장의 공공성을 위해 매각하지 않고 수협에 맡기면서 시작되었다. 사실상 중앙도매시장을 운영해본 경험이 없었던 수협은 자회사인 노량진수산시장 주식회사를 통해서 시장을 운영하면서 불투명한 시장 운영 등으로 상인들의 불만을 키워왔다. 그러던 중 2012년 현재와 같은 신건물 방식의 현대화사업을 본격적으로 시작하면서 상인들과 갈등이 본격화되었다. 특히 2013년 해양수산부는 노량진수산시장의 현대화사업이 '수산물 유통과정의 선진화'라는 명목으로 추진된다고 밝혔지만, 사실은 현재 노량진수산시장 부지에 대한 상업개발에 초점을 두고 진행되었다.

책임은 무시하고, 이익만 챙기려는 서울시

새롭게 지어진 건물은 기존 시장의 특징을 살리지 못할 뿐만 아니라 시장 환경에 있어서도 '새로지은 건물'이라는 장점외에 어떤 장점도 없는 건물에 불과했다. 반면, 수협중앙회는 40년 넘게 노량진 수산시장으로 운영되어온 부지에 카지노를 골자로 하는 복합리조트 계획을 추진했다. 작년 7월에는 카지노 설립허가 신청을 문화부에 제출했다가 탈락하는 일도 있었다. 이 과정에서 서울시는 2012년 현재와 같은 신건물 방식의 현대화사업에 대해 도시계획 심의를 진행하면서 승인을 해준다. 당시 장승배기~여의도 간 고가도로를 계획 중이었던 서울시 탓에 현재와 같이 협소한 건물이 만들어졌다. 하지만 해당 고가도로 계획은 2014년 진행 중이던 용역을 타설함으로서 백지화된다. 뒤이어 서울시는 2015년 수협의 카지노 개발 사업에 대해 이를 지원하는 계획을 추진한다(*첨부자료 참조). 또 2016년엔 현대화사업을 전제로 여의도와 노량진수산시장 부지의 복합리조트를 연결하는 <노량진 일대 마스터플랜>이라는 2억원짜리 연구용역을 진행하고 있다.

서울시_노량진수협복합리조트사업설명서.hwp

서울시_카지노업허가사전심사위원회구성기준.hwp

서울시_카지노지원계획.hwp

이처럼 서울시는 사실상 수협이 추진하는 현재와 같은 현대화사업을 지지했을 뿐만 아니라 사실상 다양한 행정수단으로 지원해왔음을 알 수 있다. 반면, 중앙도매시장의 기능을 규정하고 있는 <농수산물 가격 안정에 관한 법률>에 따르면 중앙도매시장의 개설자로 관할 광역지방자치단체의 장으로 규정되어 있다. 즉, 노량진수산시장의 법적 시장개설자는 서울시라는 말이 된다. 하지만 서울시는 시장개설자로서 노량진수산시장 운영에 대해 적극적인 역할을 한 적이 단 한차례도 없다. 동 법이 정한 '시장운영위원회'의 구성과 내용의 공개는 서울시의 방치 속에서 단 한차례도 진행된 바 없다.

법에서 정한 서울시의 역할을 내팽겨치고, 반면 수협중앙회가 추진하는 개발사업에는 적극적으로 협조하면서 기존 전통 노량진수산시장의 역할과 가치를 제대로 검토하지 않은 것이다. 이번 시민공청회는 이 부분에 대한 서울시의 책임과 그리고 바람직한 대안의 모색을 촉구할 예정이다.

문턱이 너무 높은 시민참여

특히 이번 시민공청회 추진과정에서 서울시의 형식적인 시민참여 제도가 민낯을 드러냈다. 1만명이 넘는 서명을 제출했는데 서울시는 추석 직전에서야 유효청구인수가 3,840명에 불과하다고 통보한 것이다. 청구자가 서명을 제출한 때가 7월 12일이니, 근 2달 동안이나 서명 확인을 한 끝에 서명이 성립하지 않는다고 선언해버린 것이다. 당연히 상호 검증절차도 없었다. 이에 노동당서울시당을 비롯한 단체들과 상인들은 9월 13일 시청 로비 농성을 통해서 공청회 무산에 대한 명확한 해명을 요구했다.

이를 통해서 추석기간인 14일 부터 17일까지 청구서명에 대한 재검증에 들어갔다. 이를 통해, 아예 정상적으로 작성되었는데도 유효하지 않다고 본 서명이 11건, 기존 서명지에서 행정망으로 옮겨넣는 과정에서의 실수로 누락된 건수가 185건이 발견되었고, 충분히 식별가능한 서명 등을 포함하면 445개의 서명이 석연찮은 이유로 배제된 것을 확인했다. 또한 시장 상인의 지인이나 식구 등 주민등록상 주소가 틀림없이 명시되어 있는데도 행정망에서 '조회않됨'이라는 이유로 배제된 서명이 2,228개나 있었다.

즉, 거리에서 시장에서 어렵게 받은 시민 개개인의 서명이 서울시의 기계적인 기준 적용과 과실로 배제된 것이다. 무엇보다 직접 상호 검증을 하지 않았다면 관련 공무원의 단순 실수나 행정망의 오류에 의해 배제된 서명들이 다시 검토되는 일이 없었을 것이라는 점에서, 이번 서울시의 행정 양태는 비판받아야 한다. 무엇보다 시민참여를 강화하기 위해 만든 조례임에도 불구하고 서명 검증에 과도한 시간을 사용하고, 쉽게 납득할 수 없는 기준으로 서명의 유효성을 판단하는 것은 사실상 서울시의 참여 조례가 '기본부터 문제가 있다'는 것을 여실히 보여준다.

4가지 주제에 대한 토론 진행, 200명의 시민패널 참여

이번 시민공청회는 9월 27일 저녁 7시부터 동작구청 대강당에서 진행되며, (1) 노량진수산시장 현대화사업에 대한 서울시의 역할 평가 (2) 노량진수산시장 현대화사업의 관광/지역경제 측면에서의 타당성 (3) <노량진일대 마스터플랜> 등 서울시 도시계획 과정의 적절성 (4) 바람직한 노량진수산시장의 미래 등 4가지 주제별로 청구인 측의 발표와 서울시 등 관계기간의 발표가 각각 있을 예정이다. 각 주제별로 15분정도의 발표시간을 지나고 나면, 1시간 30분 동안 20개의 테이블에 나눠 앉은 시민패널들이 발표자에 궁금한 사항을 질의하고 테이블별로 토론하는 숙의 과정을 거친다.

이후 시민패널로 참석한 시민들이 노량진수산시장 현대화사업에 대한 평가 및 제안, 그리고 스스로 생각하는 노량진수산시장의 바람직한 미래에 대한 의견을 제출하면 청구인 대표는 이를 취합해 서울시장에서 공청회 결과로 제출하고 별도의 요구사항을 제안한다. <서울시 주민참여기본조례>는 시민공청회 결과로 제안된 사항에 대해 서울시장이 1개월 이내에 반영여부를 통지하고 시 홈페이지에 공지하도록 되어있다.

그동안 서울시의 소통과 청책은 서울시가 듣고자 하는 것에 국한 되었지, 서울시가 의도하지 않은 것 혹은 원하지 않은 것까지 포용한 것은 아니었다. 그런 점에서 서울시가 정책적으로 할 필요성을 느끼지 못했던 노량진수산시장 현대화사업에 대한 공청회가 시민들의 청구로 추진된 부분은 서울시 행정의 실질적인 시민참여를 강화하는데 중요한 시금석이 되리라 생각한다.

노동당서울시당의 입장에서는 작년 5월 대중교통요금 인상 국면에서 요금인상의 타당성을 두고 시민청구 공청회 서명운동을 전재, 사실상 공청회 개최를 확정했으나 서울시가 일방적으로 요금인상 고지를 해서 사실상 공청회 개최를 백지화한 경험이 있다. 즉 시민청구 공청회를 하더라도 서울시 행정에 어떤 영향을 미치지 못한다면 사실상 형식화된 참여에 불과하다는 판단이 있었던 것이다. 그런 점에서 이번 노량진수산시장 현대화사업에 대한 시민공청회에 대해서만큼은 서울시가 좀 더 적극적이고 중량감 있게 받아들였으면 하는 바람이 있다.

노량진수산시장의 미래는 수협이나 서울시같은 기관이 아니라 오랫동안 함께 해왔던 서울시민들이 함께 결정해야 한다는 기본적인 사실이 이번 공청회를 통해서 드러나길 희망한다. [끝]

논평/보도자료, 노동당서울시당, 노량진수산시장, 노량진수산시장현대화, 박원순시장, 서울시, 수협중앙회나빠요, 카지노복합리조트

금, 2016/09/23- 16:20

598

국정원의 국민해킹 우려에 맞서는 “국민 백신 프로젝트” 발족

국민 누구나 참여·후원할 수 있는 오픈소스 및 소셜펀딩 방식으로 진행

베타 버전, 7월30일 목요일 오전10시 국회 토론회에서 발표 예정

(사)오픈넷, 진보네트워크센터, P2P재단코리아준비위원회는, 국정원이 이용한 해킹팀(Hacking Team)의 스파이웨어(RCS)에 불특정 다수의 우리 국민들까지 감염되었을 우려에 대응하기 위해 RCS 감염 여부를 포착하고 RCS에 의한 감염을 치유 및 예방하는 프로그램을 개발하는 “국민 백신 프로젝트”를 발족한다. 베타버전은 오는 7월 30일 10시에 공개할 예정이다(국회토론회는 별도의 보도자료 배포).

RCS를 식별할 수 있는 프로그램은 이미 배포되어 있지만, 윈도우 PC용으로 제한되어 있고, 성능 보장도 확실하지 않다. 가령 국제인권단체들이 배포한 ‘디텍터(Detekt)’[1], 외국 보안업체가 만든 레드삭스(Redsocks)의 ‘MTD’ (Malware Threat Defender)[2], 루크 시큐리티(Rook Security)의 ‘밀라노’(Milano)[3] 등은 모두 윈도우 PC용이고, 우리 국민 대다수가 사용하는 모바일에는 적용할 수 없다. “국민 백신 프로젝트”로 개발될 프로그램 “오픈백신”(가칭)은 모바일을 포함한 모든 기기에 적용되도록 할 것이다.

오픈백신 프로그램 개발 방식

해킹팀의 스파이웨어를 국정원도 사용하고 있다는 의혹이 제기된지는 무려 1년 6개월이 지났다[4]. 하지만 국내 백신업체들은 아무런 대응도 하지 않았다. 특히 지난 7월 6일에는 해킹팀의 내부 자료가 유례없이 방대한 규모로 공개되어, 국정원이 해당 스파이웨어를 구입하여 내국인을 상대로 사용했다고 믿을만한 정황들이 드러난지도 벌써 한 달이 다 되어간다. 하지만 국내 백신업체들은 여전히 아무런 백신도 내놓지 않고 있다. 해킹팀의 스파이웨어는 소스코드가 기트허브(GitHub)에 이미 공개되어 있어서 백신 프로그램을 얼마든지 만들 수 있는데 말이다(https://github.com/0xPoly/Hacking-Team-Sweeper).

오픈백신은 이처럼 공개된 소소코드드를 기초로, 우리 국민들이 가장 많이 사용하는 안드로이드 모바일, 윈도 PC용 백신 프로그램 개발을 목표로 한다. 초기 개발은 위 3개 단체가 지원하고(이미 RCS 소스 분석은 마쳤다), 이후에는 개방형 개발 방식으로 전환한다. 오픈백신 프로그램 역시 소스코드를 모두 공개하여 기술적 재능이 있는 사람이라면 누구나 익명으로 재능기부를 할 수 있고, 이를 통해 오픈백신을 모든 기기로 확대할 수 있을 것이다. 이러한 개방형 혁신이 백신업체 내부의 개발자들에 의한 폐쇄형 방식보다 성능이나 보안 면에서 더 우수하다는 점은 이미 밝혀졌다. 그리고 국민 감시에 악용되는 스파이웨어에 맞서는 데에는 국민참여형 대응이 가장 훌륭한 방식임을 보여줄 것이다. 그리고 개발된 프로그램은 누가 독점하지도 않고 모두에게 개방될 것이다(이탈리아 해킹팀은 자신의 기술을 이미 국내에 특허출원까지 해 두었다(특허출원번호 제1020137005146호 “네트워크 트래픽을 처리하는 방법 및 장치”).

오픈백신 프로그램 배포 일정 및 운영

안드로이드 모바일, 윈도우 PC용 백신 프로그램 개발 완료 후 베타버전 공개: 2015년 7월 30일 오전 10시, 국회 의원회관 제2소회의실
테스트 진행, 버그 및 수정 작업 후 정식버전 배포: 8월 6일 예정
오픈소스 방식으로 전환하여 다른 기기용 백신 프로그램 개발 및 배포
해킹팀의 스파이웨어 소스코드 분석 보고서 발표
감염된 기기에 대한 디지털 포렌식 분석
해킹팀 이외의 다른 스파이웨어에 대한 패턴 업데이트 진행

국민 누구나 참여하는 소셜펀딩

오픈백신 프로그램을 베타버전에서 완성단계로 발전시키고 다양한 기기나 국내 통신환경에 맞게 개선하고 유지보수하는 데에는 상당한 자원이 소요된다. 이에 따라 진보네트워크센터가 운영해온 소셜펀딩 플랫폼을 이용하여 국민들이 누구나 후원할 수 있도록 할 계획이다.

오픈백신 프로그램과 국정원의 합법적인 해외 정보 수집

스파이웨어를 찾아내는 백신 프로그램이 배포되면 국정원의 정상적인 해외 정보 수집이 방해받는다는 우려가 있을 수 있다. 하지만 이미 해킹팀의 스파이웨어는 소스코드가 공개되어 어떻게 작동하는지 누구나 알 수 있는 상태다. 따라서 오픈백신 프로그램 때문에 우리 정보기관의 합법적인 해외 정보 수집이 타격을 받을 가능성은 거의 없다. 가령 북한은 이미 RCS를 통한 감시를 우회하는 기술을 개발하였을지도 모른다. 국민들을 대상으로 한 스파이웨어의 감염 시도가 이루어졌을 것이라는 우려가 높은 상황에서 우리는 실제로 감염되었을지 모를 해킹팀의 악성코드뿐 아니라 누군지 모르는 제3자의 해킹위험에 처해있을 국민들의 정보인권에 우선을 둘 수밖에 없다.

————————————————-

[1] ‘디텍터’는 클라우디오 과르니에르(Claudio Guarnieri)가 시티즌랩(Citizen Lab)의 기술 지원으로 국제 정보인권 단체들, 프라이버시 인터내셔널(Privacy International), 디지탈레 게젤샤프트(Digitale Gesellschaft), 앰네스티 인터내셔널, 전자개척자재단(EFF)과 함께 해킹팀의 스파이웨어를 탐지하는 프로그램으로 2014년 11월 배포되었다. 사용법은 진보네트워크센터에서 우리말로 제공하고 있다. http://act.jinbo.net/drupal/node/8782

[2] http://redsocksmtd.blogspot.kr/2015/07/hacking-team-100-endgame.html

[3] https://www.rooksecurity.com/resources/downloads/

[4] 이탈리아 해킹팀이 RCS를 각국 정부에 팔았고, RCS가 모로코와 아랍에밀레이트 기자와 인권운동가를 감시하는 데에 사용되었다는 의혹이 제기된 것이 2012년이다. 그리고 시티즌랩(Citizen Lab)이 한국을 포함한 21개국 정부가 RCS를 사용하고 있다고 보인다는 공식 보고서를 발표한 것이 2014년 2월 17일이다. https://citizenlab.org/2014/02/mapping-hacking-teams-untraceable-spyware/ 참조

2015년 7월 27일

(사)오픈넷

진보네트워크센터

P2P재단코리아준비위원회

논평/보도자료, 프라이버시, RCS, 국민 백신 프로젝트, 국정원, 스파이웨어, 오픈백신, 해킹팀

월, 2015/07/27- 10:38

595

대포폰 사용자 처벌은 과도한 정보인권 침해! 이원욱 의원 전기통신사업법 개정안에 대한 반대의견

대포폰 사용자 처벌은 과도한 정보인권 침해!

이원욱 의원 전기통신사업법 개정안에 대한 반대의견

2016년 12월 22일 더민주당 이원욱 의원은 대포폰을 제공한 사람뿐만 아니라 제공받은 사람도 3년 이하의 징역 또는 1억 5천만원 이하의 벌금으로 처벌하게 하는 내용의 전기통신사업법 일부개정법률안을 발의했다. 사단법인 오픈넷은 대포폰 제공자뿐만 아니라 사용자를 처벌하여 휴대폰 실명제를 강화하는 것은 익명 통신의 자유, 개인정보자기결정권 등 정보인권의 침해를 야기하므로 이원욱 의원안에 반대한다.

위헌적인 휴대폰 실명제의 존재

우리나라는 전기통신사업법 제30조에서 휴대폰 타인제공을 금지하고 있고, 제32조의4에서 가입자의 본인 여부를 확인하도록 하고 있는 휴대폰 실명제 실시 국가이다. 통신수단 타인제공을 처벌하도록 한 과거 전기통신사업법 규정에 대해서는 위헌 결정이 있었으나(헌재 2002. 5. 30. 선고 2001헌바5), 이후 개정된 현행 전기통신사업법 제30조는 매우 제한적인 예외규정을 두고 있을 뿐 여전히 대부분의 대포폰(차명폰) 제공은 형사처벌의 대상이 된다.

익명 통신의 자유 침해

헌법재판소는 이미 인터넷 실명제 위헌 결정(헌재 2012. 8. 23. 선고 2010헌마47, 252(병합))에서 인터넷상에서 의사표현을 실명으로 할 의무를 부과하는 것은 익명 표현의 자유 침해로서 위헌이라고 판단한 바 있다. 이 결정의 취지에 따르면 통신은 상호 동의 하에 이루어지는 사적인 의사표현이므로 공개적인 의사표현에 비하여 더욱 두텁게 보호되어야 한다. 명예훼손적 표현의 급속한 확산과 같은 피해가 존재하지 않기 때문이다. 이러한 익명 통신의 자유는 통신의 비밀을 보호하는 헌법 제18조에 의해 보장되므로, 타인 명의로 통신을 했다고 하여 처벌하는 것은 익명 통신의 자유 침해이다.

개인정보 집적으로 유출 위험성 증대

휴대폰 타인명의 제공 및 사용을 금지하는 것은 필연적으로 휴대폰 실명제를 전제한다. 결국 이통사는 가입 단계에서부터 본인 확인을 위해 이용자의 개인정보를 수집해야 하기 때문에 이용자의 개인정보자기결정권이 침해될 뿐만 아니라, 개인정보의 과도한 집적으로 해킹 등을 통한 유출 위험성이 높아진다. 헌법재판소도 실명제 하에서 ‘개인정보의 집적 및 유출 위험성’이 점증한다고 확인한 바 있다(2010헌마47).

또한 범죄 수사에 있어 휴대폰의 명의자 보다는 실제로 통신을 한 당사자, 통신 시각 등 통화기록, 통신 내용이 중요하고 이는 모두 영장주의가 적용되어 영장을 받아야만 조회할 수 있는 정보이다. 그러면서도 막상 명의자의 개인정보는 통신자료 제공 제도를 통해 영장 없이 받아가고 있어 인권 침해가 심각한 상황이다.

범죄 예방 효과 없고 선량한 시민만 피해

물론 타인명의 휴대폰은 최순실과 장시호가 보여준 바와 같이 범죄의 수단으로 사용될 수 있다. 하지만 범죄를 저지르고자 하는 자는 어떤 수법을 동원해서라도 휴대폰을 개통해 사용할 것이고, 휴대폰 실명제가 범죄 예방에 효과가 있다는 증거도 찾기 어렵다. 이러한 이유로 멕시코에서는 SIM 카드 구매 시 의무적으로 본인정보를 등록하도록 하는 정책, 즉 SIM카드 등록제를 도입했다가 3년 만에 폐지했으며, 영국, 캐나다, 뉴질랜드, 체코공화국, 루마니아 등의 국가는 유사한 제도의 도입을 고려했다가 취소하기도 했다. 2012년 EU 집행위원회(EC)는 SIM카드 등록제가 범죄수사 등에 특별한 편익을 가져다주지 않는다는 의견을 냈다.

결국 범죄 예방 효과는 없으면서 선량한 대다수의 시민을 잠재적 범죄자로 취급하는 것이나 마찬가지이다. 헌법재판소가 인터넷 실명제를 위헌으로 판단한 이유 중 하나도 소수의 악플러를 잡기 위해 모든 국민에게 일괄적으로 실명의무를 부과하는 것은 “수사편의 등에 치우쳐 모든 국민을 잠재적 범죄자와 같이 취급”하는 것이었기 때문이다(2010헌마47). 게다가 특정 행위만을 금지하는 네거티브 규제가 아닌 원칙적으로 다 금지하되 예외를 두는 포지티브 규제여서 이용자가 예외에 해당해 결백함을 입증해야 하므로 그 피해가 더 심각하다. 이원욱 의원안은 가족 명의 휴대폰 사용을 제외하고 있지만, 범위가 너무 좁아 유명무실한 규정이 될 가능성이 높다.

결론적으로 타인명의의 휴대폰 사용을 금지하는 것은 휴대폰 실명제를 강화하여 이용자들의 정보인권을 침해한다. 이러한 법은 그로 인해 달성되는 공익이 침해되는 사익보다 훨씬 큰 것이 명백할 때만 도입되어야 할 것이다. 타인명의 휴대폰 사용 처벌법의 도입을 강력히 반대한다.

2017년 2월 3일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

논평/보도자료, 표현의 자유, 프라이버시, 개인정보, 대포폰, 인터넷실명제, 전기통신사업법, 정보인권, 차명폰, 통신비밀, 표현의자유, 휴대폰실명제

금, 2017/02/03- 12:29

595

오픈넷, 위법한 통신자료 취득에 대해 국정원 등 수사기관 상대로 국가배상 청구

오픈넷, 위법한 통신자료 취득에 대해

국정원 등 수사기관 상대로 국가배상 청구

오픈넷은 6월 1일 시민들 22명을 대리하여 SK텔레콤, KT, LG유플러스 이동통신 3사로부터 시민들의 개인정보를 영장 없이 제공받은 국정원, 서울중앙지방검찰청, 서울경찰청 등 수사기관을 상대로 국가배상 청구 소송을 제기하였다.

이는 지난 3월 대법원이 통신자료제공에 대하여 포털을 상대로 내려진 손해배상판결을 파기환송하면서 “전기통신사업자가 수사기관의 통신자료 제공 요청에 따라 통신자료를 제공함에 있어서, 수사기관이 그 제공 요청권한을 남용하는 경우에는 이용자의 인적사항에 관한 정보가 수사기관에 제공됨으로 인하여 해당 이용자의 개인정보와 관련된 기본권 등이 부당하게 침해될 가능성이 있다”고 하면서, “수사기관의 권한 남용에 의해 통신자료가 제공되어 해당 이용자의 개인정보에 관한 기본권 등이 침해”된 경우에는 그 책임을 해당 수사기관에 직접 추궁하는 것이 타당하다고 설시한 바에 따른 것이다(대법원 2016. 3. 10. 선고 2012다105482 판결).

통신자료란 이용자의 이름, 주민번호, 주소, 전화번호, 아이디, 가입일 및 해지일 등의 개인정보를 말한다. 현행 전기통신사업법 제83조 제3항은 수사기관 등이 “수사, 재판, 형의 집행 또는 국가안전보장에 대한 위해를 방지하기 위한 정보수집을 위하여” 요청할 경우 통신자료를 제공할 수 있다고 되어 있다. 이 규정에 근거해 그 동안 수사기관들은 영장 없이 국민의 개인정보를 무차별적으로 제공받아 왔으며, 제공 건수도 매년 급증해 2011년에 5,848,991건(전화번호/ID 수기준)에서 2014년 12,967,456건으로 고작 3년 사이에 두 배가 넘게 증가했다.

오픈넷은 2015년 1월부터 참여연대와 함께 이통사 통신자료제공에 대한 알권리 찾기 캠페인을 진행해왔다. 수많은 시민들이 캠페인에 참여해 관심을 보여줬으며, 오픈넷이 직영점 내방 요구 등 불편한 확인절차에 대해 방송통신위원회에 진정을 넣으며 지속적인 문제제기를 한 결과, 이통 3사는 온라인에서 통신자료 제공 확인이 가능하도록 절차를 대폭 개선하였다. 지난 3월 테러방지법 통과와 함께 국가 감시에 대한 국민의 경각심이 높아져 수많은 시민들이 통신자료 제공 확인 신청을 하고 있으며, 이 과정에서 개선된 절차가 큰 역할을 하고 있다.

하지만 이런 상황에도 불구하고 궁금증은 더 커졌다. 이용자가 자신의 통신자료가 수사기관에 제공된 것을 확인해도 왜 제공이 되었는지 알아볼 방법이 없기 때문이다. 이렇게 아무런 이유가 통지되지 않은 상태에서 국가기관이 국민의 신원정보를 취득한 것은 그 정당한 이유가 제시되기 전에는 불법적인 권한남용이라 할 것이다.

오픈넷은 대법원 판결의 취지에 따라 통신자료 제공 요청에 응한 전기통신사업자가 아닌, 요청 권한을 남용한 수사기관의 책임을 묻고자 이번 국가배상 청구 소송을 제기했다. 이번 소송을 통해 그 동안 요청 권한을 남용해 온 수사기관의 관행에 제동이 걸리길 기대한다.

2016년 6월 1일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, master@opennet.or.kr