현대 메시징의 종단 간 암호화

시그널 프로토콜은 시그널, WhatsApp 및 기타 보안 메신저의 암호학적 기반입니다. 수신자가 오프라인일 때 초기 공유 비밀을 설정하는 X3DH와 모든 개별 메시지에 대해 새 암호화 키를 도출하는 더블 래칫이라는 두 알고리즘을 결합합니다. 그 결과 사용자에게 투명한 강력한 기밀성과 순방향 비밀성이 제공됩니다.

X3DH를 사용하면 한쪽이 오프라인인 경우에도 두 당사자가 공유 비밀을 설정할 수 있습니다. 장기 신원 키, 중기 서명 사전 키 및 일회용 사전 키를 결합하는 네 번의 DH 계산을 사용합니다. 서버는 수신자가 미리 업로드한 사전 키를 저장합니다. 발신자는 이러한 키를 사용해 X3DH를 수행하고 공유 비밀을 도출한 다음 수신자가 온라인 상태가 될 때까지 기다리지 않고 암호화된 초기 메시지를 보냅니다.

X3DH가 초기 공유 비밀을 설정한 후에는 지속적인 대화에서 더블 래칫이 이어받습니다. 새 DH 키가 교환될 때마다 진행되는 디피-헬먼 래칫과 모든 개별 메시지와 함께 진행되는 대칭 키 래칫을 결합합니다. 각 메시지는 사용 직후 삭제되는 고유 키로 암호화되므로 하나의 메시지 키가 탈취되어도 다른 메시지는 전혀 손상되지 않습니다.

순방향 비밀성이란 공격자가 오늘 암호화된 트래픽을 기록하고 나중에 장기 개인 키를 탈취하더라도 이전 메시지를 복호화할 수 없다는 뜻입니다. 더블 래칫은 메시지별 키가 일시적이며 즉시 삭제되기 때문에 이를 달성합니다. 대화 당시 참여했던 기기만 과거 메시지를 복호화할 수 있으며, 해당 기기에서 메시지가 로컬로 삭제되지 않은 경우에만 가능합니다.

더블 래칫은 침해 후 보안이라고도 하는 침해 복구도 제공합니다. 공격자가 기기를 잠시 침해하여 현재 키를 읽더라도 다음 DH 래칫 단계에서 공격자가 예측할 수 없는 새 키가 생성됩니다. 수동 개입 없이 향후 메시지는 다시 안전해집니다. 단일 키 침해로 이후 모든 메시지가 노출되는 시스템과는 다릅니다.

2016년에 WhatsApp은 모든 플랫폼에서 시그널 프로토콜의 종단 간 암호화를 전면 도입하는 작업을 완료했으며, 당시 10억 명이 넘는 사용자가 대상이었습니다. 이는 역사상 최대 규모의 종단 간 암호화 배포였습니다. 이 통합은 시그널을 만든 조직인 오픈 위스퍼 시스템즈와 협력하여 개발되었습니다. WhatsApp의 구현은 독립적으로 감사를 받았고 올바른 것으로 확인되었습니다.

콘텐츠가 암호화되어 있어도 시그널 프로토콜은 원래 누가 누구에게 메시지를 보내는지 서버에 드러냈습니다. 봉인된 발신자는 메시지 봉투 안에서 발신자 신원을 암호화하는 확장 기능입니다. 서버는 수신자만 알고 발신자는 알 수 없으므로 서버 또는 서버 기록을 소환하는 사람이 이용할 수 있는 메타데이터의 양을 줄입니다. 수신자는 바깥 봉투를 복호화하여 누가 메시지를 보냈는지 알아냅니다.

사라지는 메시지는 일정 시간이 지나면 발신자와 수신자의 기기에서 모두 삭제되도록 타이머를 설정합니다. 더블 래칫의 임시 키와 결합하면, 나중에 압수된 기기를 법의학적으로 조사하더라도 복구 가능한 평문을 찾지 못할 수 있습니다. 시그널의 나에게 보내기 기능과 사라지는 메시지 기본 설정은 개인정보 보호 실천으로서 데이터 보관을 최소화하도록 장려합니다.

애플의 iMessage는 양쪽 모두 iMessage를 활성화한 경우 종단 간 암호화를 사용하며, 한쪽이라도 활성화하지 않았다면 SMS로 대체됩니다. iMessage는 암호화된 메시지 키를 iCloud 키체인에 저장하므로 여러 기기에서 접근할 수 있지만, 법적 명령을 받고 iCloud 백업이 활성화되어 있다면 애플이 기술적으로 메시지에 접근할 수도 있습니다. 시그널과 달리 iMessage는 더블 래칫을 사용하지 않으므로 동일한 수준의 순방향 비밀성을 보장하지 않습니다.

두 사람이 대화할 때는 더블 래칫이 효율적입니다. 구성원이 N명인 그룹에서는 모든 메시지를 각 구성원에게 별도로 암호화하거나 공유 그룹 키를 관리해야 합니다. 그룹 키를 안전하게 관리하는 일은 복잡합니다. 구성원 한 명이 나가면 남은 모든 구성원이 키를 갱신해야 하며, 이를 그룹의 침해 후 보안이라고 합니다. 메시징 레이어 보안 프로토콜(MLS/RFC 9420)은 로그 복잡도의 키 갱신으로 이 문제를 해결합니다.

시그널은 완전한 오픈 소스이며 메타데이터를 최소한으로 수집하고 전체적으로 시그널 프로토콜을 사용합니다. WhatsApp은 메시지에 시그널 프로토콜을 사용하지만 메타가 소유하고 있으며 상당한 메타데이터를 수집합니다. 텔레그램은 비밀 대화에서만 자체 제작한 MTProto 프로토콜을 사용합니다. 일반 대화는 종단 간 암호화되지 않으며 텔레그램 서버에 저장됩니다. 개인정보 보호를 최대한 강화하려면 사라지는 메시지를 사용하는 시그널을 권장합니다.

한 메시지의 키가 탈취되어도 다른 메시지가 노출되지 않도록 보장하는 더블 래칫의 속성은 무엇입니까?

시그널 프로토콜은 오프라인 키 합의에 X3DH를 사용하고 메시지별 키 파생에 더블 래칫을 사용합니다. 순방향 비밀성은 과거 메시지를 보호하고, 침해 복구는 보안 침해 후 미래의 메시지를 보호합니다. WhatsApp은 2016년에 이를 대규모로 도입했습니다. 그룹 메시징에는 MLS와 같은 더 복잡한 키 관리 프로토콜이 필요합니다. 메타데이터를 보호하려면 발신자 봉인과 같은 추가 기법이 필요합니다.