유령 참여자 공격: E2E 암호화를 구조적으로 파괴하는 방법
프랑스 의회 정보감독기구인 정보대표단(DPR)은 상원의원 4명과 하원의원 4명으로 구성된다. 최근 보도에 따르면 이 기구는 WhatsApp·Signal·Telegram 같은 암호화 메신저에 수사기관이 접근할 수 있도록 이른바 ‘유령 참여자(ghost participant)’ 방식을 검토했다. 대화 상대가 알아차리지 못하게 수사기관을 추가 수신자로 넣는 방식이다.
다만 관련 보고서 전체와 구체적인 기술 설계는 아직 공개적으로 확인하기 어렵다. 따라서 현재 알려진 내용은 관련 보도를 바탕으로 이해해야 한다.
유령 참여자는 암호를 직접 깨지 않는다. 대신 누가 대화에 참여하는지를 결정하는 과정을 조작한다. 암호화 연산은 그대로 작동하지만, 사용자가 선택하지 않은 수신자에게도 메시지가 암호화돼 전달된다. 수학을 공격하는 대신 신뢰 모델을 바꾸는 것이다.
종단간 암호화가 보장하는 것
종단간 암호화의 핵심은 메시지를 보낸 사람과 의도한 수신자만 평문을 읽을 수 있다는 데 있다. 서버는 암호문을 전달하지만 원칙적으로 내용을 복호화할 키는 갖지 않는다.
Signal 같은 현대적 메신저는 단순히 수신자의 장기 공개키 하나로 모든 메시지를 암호화하지 않는다. 초기 키 합의와 세션 키 생성, 메시지마다 바뀌는 키를 결합해 순방향 비밀성과 침해 후 복구 같은 성질을 제공한다. 구체적인 프로토콜은 복잡하지만 보안 보장은 다음과 같이 요약할 수 있다.
- 각 사용자의 기기가 암호화 키를 생성하고 보관한다.
- 서버는 공개키 정보와 암호화된 메시지를 전달한다.
- 송신자는 확인된 수신자의 기기를 대상으로 세션을 만든다.
- 수신자의 기기만 해당 메시지를 복호화한다.
- 대화 참여자나 기기가 바뀌면 사용자가 이를 확인할 수 있어야 한다.
마지막 조건이 중요하다. 종단간 암호화는 암호 알고리즘만으로 완성되지 않는다. 사용자가 누구와 통신하는지 정확히 알 수 있어야 한다. 서버가 참여자 목록이나 키 정보를 몰래 바꿀 수 있다면 암호화가 아무리 강해도 통신 상대의 진위를 보장할 수 없다.
유령 참여자가 보안을 무너뜨리는 방식
유령 참여자를 구현하려면 플랫폼이 수사기관의 기기나 키를 대화에 추가해야 한다. 동시에 기존 참여자에게 나타나는 “새 기기가 추가됐다”거나 “그룹 구성원이 바뀌었다”는 알림도 숨겨야 한다.
메시지는 여전히 정상적으로 암호화된다. 문제는 수신자 집합이 달라졌다는 사실을 사용자가 모른다는 데 있다.
정상 상태
Alice ──암호화──> Bob
유령 참여자 적용
Alice ──암호화──> Bob
└─암호화──> 수사기관이 구조에서는 플랫폼이 암호문을 직접 복호화하지 않아도 된다. 송신자의 클라이언트가 수사기관용 암호문을 추가로 만들게 하면 된다. 사용자는 Bob에게만 보냈다고 생각하지만, 실제 클라이언트는 다른 수신자에게도 메시지를 암호화해 전송한다.
따라서 유령 참여자는 암호 알고리즘의 취약점이라기보다 인증과 참여자 관리 계층에 만든 예외 접근 기능이다. 종단간 암호화의 “end”가 사용자의 의사와 관계없이 하나 더 생기는 셈이다.
키 에스크로와 같지는 않지만 위험은 비슷하다
유령 참여자, 키 에스크로, 마스터키는 기술적으로 같은 방식이 아니다.
키 에스크로는 복호화 키나 이를 복구할 수단을 제3자가 보관한다. 마스터키 방식은 하나의 특권 키로 여러 사용자의 데이터에 접근한다. 반면 유령 참여자는 수사기관을 별도 수신자로 추가해 메시지를 처음부터 그 기관에도 전달한다.
그러나 세 방식은 중요한 공통점을 갖는다. 서비스 제공자가 사용자 모르게 제3자의 접근을 허용하는 특권 경로를 운영해야 한다는 점이다. 이 경로에는 명령 승인, 대상 식별, 키 등록, 클라이언트 동작 변경, 감사 기록과 접근 통제 기능이 필요하다. 그 전체가 새로운 공격 표면이 된다.
내부자가 기능을 오용할 수도 있고, 공격자가 수사기관의 자격증명을 훔칠 수도 있다. 권위주의 국가가 같은 기능을 요구하거나 법적 적용 범위가 점차 넓어질 가능성도 있다. 합법적 접근 권한을 기술적으로 구현하는 순간, 그 권한을 누가 어떤 조건에서 사용할지를 보장해야 하는 두 번째 보안 문제가 생긴다.
오래된 논쟁이 반복되는 이유
정부가 보관하는 복구 키를 이용해 암호화 통신에 접근하려 했던 대표적인 사례가 1990년대 미국의 Clipper Chip이다. Matt Blaze는 1994년 분석에서 이 장치의 에스크로 통제 메커니즘을 우회할 수 있는 문제를 지적했다. 정부만 사용할 수 있도록 만든 접근 체계도 결국 분석과 공격의 대상이 된다는 사실을 보여준 사례다.
2015년 발표된 Keys Under Doormats 역시 현대의 통신 시스템에 예외 접근 기능을 의무화하면 시스템 복잡성과 공격 표면이 커지고, 대규모 키 관리와 인증 인프라가 새로운 고가치 표적이 된다고 경고했다.
유령 참여자는 복호화 키를 중앙에 보관하지 않는다는 점에서 전통적인 키 에스크로 문제 일부를 피할 수 있다. 그러나 사용자가 믿어야 할 대상은 오히려 늘어난다. 플랫폼이 참여자 목록을 정직하게 표시하고 있는지, 수사기관용 키가 적법하게 등록됐는지, 접근 기능이 승인된 사건에만 사용됐는지를 모두 신뢰해야 한다.
네트워크 개입으로는 같은 결과를 얻기 어렵다
플랫폼이 직접 유령 참여자를 구현하는 방식과 네트워크에서 통신을 가로채는 방식은 구분해야 한다.
종단간 암호화가 올바르게 구현되고 상대방의 키가 인증돼 있다면 심층 패킷 검사나 DNS 리다이렉션만으로 메시지 내용을 읽을 수는 없다. 네트워크 운영자는 접속 대상과 시점, 데이터 크기 같은 메타데이터를 관찰하거나 서비스를 차단할 수 있지만, 암호문을 평문으로 바꾸지는 못한다.
네트워크 수준의 공격으로 내용을 읽으려면 가짜 키를 받아들이도록 클라이언트를 속이거나, 사용자 기기 또는 인증 인프라를 침해해야 한다. 결국 문제는 다시 단말과 키 배포 체계로 돌아온다.
범죄자보다 일반 사용자가 더 많이 노출된다
예외 접근 기능에는 뚜렷한 비대칭이 있다. 일반 사용자는 플랫폼이 제공하는 앱과 키 배포 체계를 그대로 사용한다. 서버가 참여자나 기기를 몰래 추가하도록 설계돼도 이를 직접 검증하기 어렵다.
반면 조직범죄 집단은 공개된 프로토콜을 수정하거나 자체 서버를 운영하고, 별도의 키 확인 절차를 도입할 수 있다. 접근 의무가 적용되는 상용 메신저를 버리고 다른 도구로 이동할 수도 있다.
그 결과 예외 접근 기능은 규칙을 따르는 대다수 사용자의 통신을 약하게 만들면서도, 가장 중요한 수사 대상은 다른 통신 수단으로 밀어내는 결과를 낳을 수 있다. 2025년 프랑스 하원도 마약 범죄 대응 법안에 포함됐던 암호화 메신저 접근 조항을 삭제했다. 당시 반대 측은 이 기능이 전체 사용자의 보안을 낮추고 범죄자를 다른 도구로 이동시킬 수 있다고 지적했다(프랑스 하원 회의자료, EFF 분석).
Signal도 암호화 무결성을 훼손하라는 요구를 받아들이기보다 해당 시장에서 철수하겠다는 입장을 여러 차례 밝혀왔다. 이는 협상용 발언만은 아니다. 유령 참여자를 구현하려면 참여자 변경을 투명하게 보여주는 기존 보안 모델을 의도적으로 바꿔야 하기 때문이다.
EU 차원의 논의
EU 집행위원회는 2025년 내부 안보 전략인 ProtectEU를 발표했다. 여기에는 법집행기관의 합법적 데이터 접근 역량을 강화하고, 암호화가 수사에 미치는 영향을 다룰 기술 로드맵을 마련하겠다는 내용이 포함돼 있다.
이를 곧바로 “EU가 암호화 백도어를 공식 채택했다”고 표현하는 것은 정확하지 않다. 현재는 접근 방법과 기술적·법적 조건을 검토하는 정책 단계에 가깝다. 다만 암호화된 통신에 대한 예외 접근이 EU 차원의 공식 의제로 올라왔다는 점은 분명하다.
앞으로 논의할 때는 최소한 다음 질문에 답해야 한다.
- 플랫폼이 수신자를 몰래 추가할 권한을 누가 통제하는가?
- 사용자가 참여자와 기기 목록을 검증하는 기능은 어떻게 달라지는가?
- 수사기관의 키나 승인 시스템이 탈취되면 피해 범위는 어디까지인가?
- 다른 국가가 같은 기능을 요구할 때 플랫폼은 어떻게 거부할 수 있는가?
- 범죄자가 자체 암호화 도구로 이동하면 제도의 실효성이 남는가?
논쟁의 핵심
유령 참여자와 클라이언트 측 스캐닝은 같은 기술이 아니다. 전자는 수신자 집합을 바꾸고, 후자는 암호화 전이나 복호화 후에 사용자 기기에서 내용을 검사한다.
그러나 두 방식 모두 종단간 암호화가 보호하는 경계 안에 국가가 요구한 기능을 넣는다는 공통점이 있다. 하나는 “누가 받는가”를 바꾸고, 다른 하나는 “보내기 전에 무엇을 검사하는가”를 바꾼다. 어느 쪽이든 클라이언트와 배포 인프라에 새로운 특권 기능을 추가하고, 그 기능은 공격과 오용의 대상이 된다.
유령 참여자는 암호화를 해독하지 않는다. 대신 사용자가 누구와 암호화해 통신하는지를 몰래 바꾼다. 바로 그 점 때문에 종단간 암호화의 수학은 유지하면서도 보안 보장은 무너뜨릴 수 있다.
참고
[1] Reclaim The Net. France Moves to Break Encrypted Messaging.
[2] Electronic Frontier Foundation. A Win for Encryption: France Rejects Backdoor Mandate. 2025-03.
[3] 프랑스 하원. 마약 범죄 대응 법안 심사 회의자료. Assemblée nationale.
[4] European Commission. ProtectEU: European Internal Security Strategy. 2025-04-01.
[5] Abelson, H. 외. Keys Under Doormats: Mandating Insecurity by Requiring Government Access to All Data and Communications. Journal of Cybersecurity 1(1), 2015.