유럽연합이 다시 한 번 ePrivacy 규칙에 대한 임시 예외 조항을 연장했습니다. 이는 메시징 플랫폼이 비밀 보호 조항을 위반하지 않고 아동 성적 학대 자료(CSAM)를 스캔할 수 있도록 하는 법적 메커니즘입니다. 겉으로 보기에는 일상적인 절차처럼 보입니다. 그러나 실제로는 클라이언트 측 스캐닝의 법적 기반을 계속 유지하는 셈이며, 이 기술은 개인정보 보호 옹호론자들이 Signal 및 WhatsApp과 같은 앱을 보호하는 종단간 암호화를 조용히 무너뜨릴 수 있다고 경고합니다. 무엇이 바뀌었고 무엇이 바뀌지 않았는지를 이해하는 것은 유럽 또는 다른 어디에서든 암호화 메시징에 의존하는 모든 사람에게 중요합니다.
ePrivacy 연장이 실제로 바꾸는 것
ePrivacy 지침은 일반적으로 통신이 기밀로 유지되어야 한다고 요구하며, 플랫폼이 특정 법적 예외 없이 개인 메시지의 내용을 검사할 수 없음을 의미합니다. 2021년 이후로 EU는 기업이 CSAM을 위해 메시지와 이미지를 자발적으로 스캔할 수 있도록 허용하는 임시 예외 조항인 파생 규정을 반복적으로 승인해 왔습니다. 이 파생 규정은 원래 영구적인 것이 아니었지만, 최종 입법 체계로 대체되지 않은 채 계속 갱신되고 있습니다.
이 패턴은 새로운 것이 아닙니다. 유럽의회는 올해 초 4월 만료 이후 Chat Control 1.0을 연장했으며, 그것이 다시 만료되었을 때 의원들은 깜짝 7월 표결로 Chat Control 1.0을 부활시키기 위해 서둘렀습니다. 7월 9일에 통과된 가장 최근의 갱신은 찬성 측의 결정적인 표결이 아니라 반대 측이 이를 막을 충분한 지지를 모으지 못했기 때문에 스캐닝 체제를 사실상 계속 유지했습니다. 이 사건은 EU 의회가 7월 9일 Chat Control 스캐닝 법을 갱신한 방법에 대한 보도에서 자세히 다루었습니다.
최근 ePrivacy 연장도 같은 시나리오를 따릅니다: 절차적 공방 속에서 통과된 임시 조치로, 영구적 결정을 피하면서 스캐닝의 문을 계속 열어두는 것입니다. 비판론자들은 이러한 접근 방식이 EU가 대량 메시지 스캐닝이 기본적인 프라이버시 권리와 양립할 수 있는지에 대한 완전한 공개 논쟁을 회피하게 한다고 주장합니다.
클라이언트 측 스캐닝이 종단간 암호화를 무너뜨리는 방법
정책 논쟁에서 종종 간과되는 기술적 세부 사항은 클라이언트 측 스캐닝이 정확히 어떻게 작동하며, 암호화 자체가 기술적으로 그대로 유지됨에도 불구하고 왜 암호화를 훼손하는지입니다.
Signal과 WhatsApp이 사용하는 종단간 암호화는 오직 발신자와 수신자만이 메시지를 읽을 수 있도록 보장합니다. 앱 제공자조차 전송 중인 콘텐츠를 볼 수 없습니다. 클라이언트 측 스캐닝은 암호화가 발생하기 전에 사용자 기기에서 직접 분석 단계를 삽입하여 이를 변경합니다. 모든 사진, 파일 또는 메시지는 암호화로 잠기고 전송되기 전에 데이터베이스 또는 알고리즘과 대조됩니다.
암호화 자체는 암호학적 의미에서 깨지지 않습니다. 그러나 그것이 제공하기로 되어 있는 프라이버시 보장, 즉 제3자가 통신을 검사할 수 없다는 보장은 무너집니다. 기기가 콘텐츠를 전송하기 전에 스캔한다면, 제3자(스캐닝 시스템, 그리고 궁극적으로 그것을 통제하는 사람)는 이후 데이터에 무슨 일이 일어나든 관계없이 사실상 개인 통신에 대한 가시성을 갖게 됩니다. 이것이 보안 연구자, 메시징 제공자, 디지털 권리 단체가 제기하는 핵심 반대 의견입니다: 클라이언트 측 스캐닝은 종단간 암호화와 평화롭게 공존하지 않으며, 내부에서 그것을 속이 비게 만듭니다.
Chat Control 2.0과 EU의 CSAM 스캐닝 계획에 대한 설명은 이 제안이 어떻게 진화했는지, 그리고 메시징 제공자들이 의무적 스캐닝 요구에 왜 그렇게 강하게 반발했는지 안내합니다.
VPN이 기기 내 스캐닝을 막을 수 없는 이유
이것은 공개 논의에서 종종 혼동되는 지점이므로 명확히 말할 가치가 있습니다: VPN은 클라이언트 측 스캐닝을 막는 데 아무것도 하지 않습니다. VPN은 기기와 원격 서버 사이의 인터넷 트래픽을 암호화하여 네트워크 수준 감시, 인터넷 제공자 또는 공공 Wi-Fi를 도청하는 사람으로부터 연결을 보호합니다. VPN은 해당 트래픽이 전송되기 전에 기기에서 일어나는 일에 대한 가시성이나 통제권이 없습니다.
클라이언트 측 스캐닝은 메시지가 암호화되어 전송되기 전에 휴대폰이나 컴퓨터 자체에서 로컬로 발생합니다. VPN은 그 과정보다 완전히 하류에서 작동합니다. 앱이 사진을 보내기 전에 스캔하도록 요구된다면, 암호화가 아무리 강력하거나 무로그 정책이 아무리 엄격한 VPN도 그 스캔에 개입할 수 없습니다. 이것은 프라이버시를 의식하는 모든 사용자가 이해해야 하는 근본적인 아키텍처 차이입니다: VPN은 전송 중인 데이터를 보호하지, 생성 시점의 데이터를 보호하지 않습니다.
Chat Control 2.0 논쟁의 다음 단계
스캐닝을 단순히 허용하는 것이 아니라 의무화하는 공식 입법 노력인 더 넓은 Chat Control 2.0 제안은 여전히 해결되지 않은 상태입니다. 각 ePrivacy 연장은 EU가 법으로 암호화된 메시지 스캔을 요구할 것인지에 대한 근본적인 질문을 해결하지 않고 시간을 벌 뿐입니다. 메시징 제공자, 보안 연구자, 시민 자유 단체는 의무적 스캐닝 요구가 유럽 국경 너머의 암호화 통신에 영향을 미치는 선례를 만들 것이라고 계속 경고합니다. 글로벌 앱이 종종 모든 곳에서 동일한 아키텍처를 적용하기 때문입니다.
입법 타임라인에 대한 더 완전한 그림을 위해, 7월 9일 Chat Control 갱신 이후 사용자가 지금 할 수 있는 것에 대한 보도는 이 상황이 어디로 향하는지 우려하는 사람들이 취할 수 있는 실질적인 조치를 제시합니다.
이것이 당신에게 의미하는 바
EU에서 Signal, WhatsApp 또는 암호화된 메시징 앱을 사용한다면 일상적인 경험에는 아직 아무것도 바뀌지 않았습니다. 클라이언트 측 스캐닝은 현재 의무가 아닙니다. 그러나 그 법적 토대는 해결되지 않은 채 계속 연장되고 있으며, 이는 가능성이 여전히 살아 있음을 의미합니다. 사용자는 암호화 강도만으로는 암호화 전에 스캐닝이 삽입되면 프라이버시를 보장할 수 없으며, 일단 그 보장이 훼손되면 VPN, 방화벽 또는 네트워크 도구가 그 보장을 대체할 수 없다는 점을 이해해야 합니다.
실행 가능한 시사점
이 문제가 해결되었다고 가정하지 말고 입법 타임라인에 대한 정보를 유지하세요. 이러한 연장은 조용히 그리고 반복적으로 발생합니다. VPN과 같은 네트워크 수준 프라이버시 도구와 종단간 암호화와 같은 기기 내 보호의 차이를 이해하세요. 그들은 서로 다른 문제를 해결합니다. 사용하는 메시징 제공자의 성명을 직접 따르세요. Signal과 같은 회사는 역사적으로 암호화 모델에 대한 위협에 대해 목소리를 높여 왔습니다. 그리고 의견을 제시하고 싶다면 EU 시민은 유럽의회에서 자신의 대표에게 연락할 수 있습니다. 공공 압력이 이전에 이러한 제안이 얼마나 빠르고 얼마나 멀리 진행되는지를 형성해 왔기 때문입니다.
