대부분의 휴대폰에는 duress PIN이 없어서, Morse Messenger에 긴급 삭제를 만들었습니다

duress PIN(duress는 영어로 ‘강요’라는 뜻)은 두 번째 잠금 해제 코드입니다. 평소 쓰는 코드와 함께 따로 설정해 둡니다. 누군가 휴대폰 잠금을 풀라고 압박하면, 평소 코드 대신 duress PIN을 입력합니다. 그러면 휴대폰은 열리는 대신 스스로를 지웁니다.

원리는 간단합니다. 종단 간 암호화는 메시지가 오가는 동안 지켜 주고, 잠긴 휴대폰은 메시지가 저장되어 있는 동안 지켜 줍니다. 하지만 누군가 억지로 잠금을 풀게 하면 둘 다 소용이 없습니다. 그 순간 남은 보호 수단은 지우는 것뿐입니다.

그리고 나만의 문제가 아닙니다. 채팅에는 다른 사람들의 말도 담겨 있습니다. 비밀을 털어놓은 친구, 가족, 함께 일하는 사람들. 지우면 그들도 함께 지킬 수 있습니다.

이런 순간에 중요합니다.

• 누군가 잠금이 풀린 휴대폰을 낚아채거나, 잠금을 풀게 할 때.
• 내 휴대폰을 확인하는 파트너. 통제하는 관계에 있는 사람에게는 친구나 도와주는 사람과 나눈 채팅이 휴대폰에 있는 것만으로도 위험할 수 있습니다.
• 기자, 활동가, 그리고 다른 사람이 민감한 이야기를 믿고 털어놓는 모든 사람. 취재원과 일한다면, 나머지는 기자를 위한 메시징 가이드에서 다룹니다.

거의 확실히 없습니다. Pixel 휴대폰용 대체 Android 시스템인 GrapheneOS가 2024년에 이 기능을 추가했습니다. 휴대폰이 PIN을 묻는 곳 어디에서 입력하든, GrapheneOS의 표현을 빌리면 “기기를 되돌릴 수 없게 지웁니다”.

iPhone, Samsung 휴대폰, Google 기본 소프트웨어를 쓰는 Pixel에는 이런 기능이 없습니다. iPhone에서 가장 비슷한 것은 암호 입력에 10번 실패하면 데이터를 지우는 설정인데, 누군가 올바른 암호를 입력하게 만들면 소용이 없습니다. 게다가 휴대폰 전체를 지우면 사진도, 다른 앱도, 모든 것이 함께 사라집니다.

메신저 앱도 대부분 이 빈틈을 메워 주지 못합니다. 대부분은 앱 안에서 계정을 삭제하거나 채팅을 지우는 것만 할 수 있고, 대화한 상대방은 보통 자기 사본을 그대로 갖고 있습니다.

그래서 저희가 Morse에 직접 만들었습니다. 긴급 삭제는 기본적으로 꺼져 있습니다. 모든 것을 지우는 버튼을 실수로 누를 수 있으면 안 되기 때문입니다. 켜는 방법은 다음과 같습니다.

1. 1‘나’ 탭을 열고 ‘개인정보 & 보안’으로 들어갑니다.
2. 2‘패닉 버튼’을 탭합니다. 다음 업데이트에서 새 이름인 ‘긴급 삭제’로 바뀝니다.
3. 3‘패닉 버튼 표시’를 켭니다. 원한다면 ‘저장된 사진과 동영상도 지우기’도 켭니다.

그때부터 앱 안과 Morse 잠금 화면에 삭제 버튼이 나타납니다. 두 번 탭하면 모든 것이 지워집니다. 버튼을 누르고, 이어서 ‘모두 지우기’를 누르면 됩니다. 먼저 Morse 잠금을 풀 필요는 없습니다.

Morse는 iPhone에서 사용할 수 있습니다. 긴급 삭제는 곧 출시될 Android 앱에도 들어 있습니다.

몇 초 만에 이런 일이 일어납니다.

1. 1휴대폰이 아직 연결되어 있는 동안, Morse가 저희 서버에 계정 삭제를 요청합니다.
2. 2Morse 데이터베이스를 여는 키를 파기합니다. 그 안의 모든 메시지와 연락처를 한순간에 읽을 수 없게 됩니다.
3. 3데이터베이스 파일과 키가 보호하지 않는 모든 것을 삭제합니다. 열어 본 사진과 동영상, 음성 녹음과 카메라 녹화, 임시 파일, 화면의 알림, 앱 배지, 그리고 Morse에서 복사한 내용이 아직 남아 있다면 클립보드까지 삭제합니다.
4. 4남은 것이 없는지 확인하고, 살아남은 것이 있으면 다시 한 번 지웁니다.
5. 5상대방 휴대폰에서 나와의 일대일 채팅이 삭제되고, 연락처에서도 내가 삭제됩니다.

그러면 Morse는 방금 설치한 것처럼 시작 화면으로 돌아갑니다. 되살릴 것도 없습니다. Morse의 데이터를 여는 키는 그 휴대폰 전용으로 저장되므로, 휴대폰 백업이 있어도 다른 기기에서는 읽을 수 없습니다.

왜 파일을 삭제하지 않고 키를 파기할까요? 휴대폰의 플래시 저장 장치에서는 파일을 삭제해도 확실히 없어지지 않습니다. 칩은 고르게 닳도록 쓰기 위치를 여기저기 분산시키기 때문에, 오래된 데이터가 앱이 닿을 수 없는 곳에 남아 있을 수 있습니다. 그래서 Morse는 삭제에 의존하지 않습니다. Morse의 데이터베이스는 휴대폰의 보호된 키 저장소에 보관된 키로 휴대폰에서 암호화되어 있습니다. 그 키를 파기하면 칩에 남은 것은 의미 없는 잡음일 뿐입니다. 이것을 암호화 삭제(crypto-erase)라고 하며, 메시지가 1만 개든 10개든 걸리는 시간은 같습니다.

그런데 그 키도 결국 같은 칩에 있는 데이터일 뿐이지 않을까요? 당연히 생길 만한 질문이고, 그 답이 PIN 잠금입니다. Morse의 PIN 잠금을 켜 두면 데이터베이스 키 자체가 두 번 잠깁니다. 한 번은 내 PIN으로, 또 한 번은 iPhone에서는 Secure Enclave, Android에서는 Android Keystore가 보관하는 키로 잠기며, 이 키는 절대 휴대폰 밖으로 복사할 수 없습니다. 삭제할 때는 이 하드웨어 키도 지웁니다. 그래서 잠긴 데이터베이스 키의 사본이 칩 어딘가에 남아 있더라도, 그것을 열 수 있는 것은 더 이상 존재하지 않습니다.

왜 잠금 화면에서도 실행될까요? 키를 파기하는 데는 키가 필요 없기 때문입니다. 지울 때는 데이터베이스를 한 번도 열지 않으므로, Morse는 PIN 없이도 실행할 수 있습니다. Morse가 잠겨 있는 동안 삭제에 필요한 것은 단 하나, 저희 서버에서 계정을 삭제할 권한입니다. 이를 위해 Morse는 잠긴 상태에서도 읽을 수 있는 삭제 토큰을 보관합니다. 이 토큰으로는 계정 삭제만 할 수 있고, 무엇을 읽거나 보낼 수는 없습니다.

서버가 먼저인 이유: 상대방 휴대폰은 저희 서버를 통해서만 내가 사라졌다는 것을 알 수 있습니다. 그래서 Morse는 휴대폰이 아직 연결되어 있는 동안 서버에 먼저 요청하고, 아주 잠깐만 기다립니다. 네트워크가 느려도 휴대폰의 삭제가 늦어지는 일은 없습니다. 응답이 오지 않아도 휴대폰은 그대로 지워집니다.

이 모든 것에 앞서, Morse는 백그라운드에서 실행 중인 모든 작업을 멈춥니다. 삭제 도중에 무엇도 새 데이터를 쓰지 못하게 하기 위해서입니다. 그다음 계정, 키, 파일 순서로 지우고, 마지막으로 확인합니다.

까다로웠던 부분은 저장된 사진이었습니다. iPhone은 “이 앱이 저장한 사진” 목록을 보여 줄 수 없어서, Morse는 사진을 하나씩 저장할 때마다 자체 목록에 기록해 두고, 그 목록으로 사진을 삭제합니다. 사진을 삭제할 때 iOS가 확인을 요청하는 것은 Apple의 규칙이라서, Morse는 채팅을 먼저 지우고 그 확인 때문에 아무것도 늦어지지 않게 합니다. Android 10 이상에서는 Morse가 자체 폴더에 저장한 사진과 동영상을 삭제합니다.

Morse가 데이터를 어떻게 저장하고 보호하는지 전체 그림이 궁금하다면, 저희 보안 백서(영문)에 담겨 있습니다.

삭제는 간단하게 들립니다. 모든 것을 지우면 되니까요. 작업의 대부분은 “모든 것”이 숨어 있는 곳들과, 삭제를 방해할 수 있는 것들에 들어갔습니다.

• 삭제 도중에 메시지가 도착할 수 있습니다. iPhone에서는 알림을 별도의 작은 프로세스가 처리하는데, 이 프로세스는 언제든 깨어날 수 있습니다. 데이터베이스를 파기하는 동안 이 프로세스가 저장한 메시지는 살아남을 수도 있습니다. 그래서 무엇이든 삭제하기 전에, 삭제 과정이 먼저 이 프로세스에 쓰기를 멈추라고 알립니다.
• 정리 작업 중 일부는 휴대폰 자체의 서비스를 거칩니다. 앱 배지, 화면의 알림, 휴대폰이 내 채팅에서 학습한 제안을 지우는 일입니다. 이런 서비스는 응답이 느릴 수 있습니다. 하지만 어느 것도 삭제를 늦출 수 없습니다. 각각에 짧은 시간 제한이 있고, 시간이 지나면 삭제는 다음으로 넘어갑니다.
• 무언가가 아직 파일을 가리키고 있는 동안에는 파일이 사라지지 않습니다. 동영상을 재생하려고 앱은 복호화된 파일에 추가 링크를 만들기 때문에, 미디어 폴더만 지웠다면 그 동영상들이 휴대폰에 남았을 것입니다. 그래서 삭제 과정에서는 그 대신 임시 폴더를 통째로 비웁니다. 안에 무엇이 들어 있든 상관없습니다.
• Morse가 저장한 사진을 지우려면 iPhone에서 사진 보관함에 대한 전체 접근 권한이 필요한데, Morse는 그 밖에는 이 권한을 절대 요청하지 않습니다. 그래서 별도의 스위치로 되어 있습니다. 그 사진들도 지우고 싶을 때만 이 권한을 주면 됩니다.

삭제는 그 목록만큼만 믿을 수 있습니다. 메신저는 생각보다 많은 곳에 데이터를 둡니다. 데이터베이스, 휴대폰의 키 저장소, 설정, 캐시, 임시 파일, 그리고 앱에서 백그라운드로 실행되는 부분들까지요. 이 모든 곳이 iPhone과 Android 모두에서 하나의 목록에 올라 있고, 테스트도 함께 있습니다.

이 목록이 뒤처질 수 있는 때는 앱이 커질 때뿐이라서, 잊기 어렵게 만들었습니다. 저희 코드베이스에는 데이터를 저장하는 새로운 곳은 같은 변경 안에서 테스트와 함께 삭제 대상에 추가되지 않으면 출시되지 않는다는 규칙이 있습니다.

그리고 삭제는 잘 됐다고 가정하지 않습니다. 끝나면 목록의 모든 항목을 확인하고, 아직 남아 있는 것이 있으면 다시 한 번 지웁니다.

저희 쪽에서는 삭제가 내 계정과 그에 연결된 모든 것을 지웁니다. 키, 아직 나에게 전달되기를 기다리는 메시지, 푸시 알림 등록, 암호화된 프로필과 사진, 대기 중인 연락처 요청, 그리고 그룹 안의 내 프로필까지요. 그런 다음 서버가 상대방 휴대폰에 내가 사라졌다고 알립니다.

App Store 구독 기록은 남지만, 사용됨으로 표시되고 더 이상 내 Morse ID와 연결되지 않으므로 새 계정으로 옮길 수 없습니다. 메시지는 처음부터 저희 서버에서 읽을 수 없었습니다. 서버는 암호화된 메시지를 전달하기만 합니다.

가장 곤란한 순간에 알게 되는 것보다, 지금 한계를 알아 두는 편이 낫습니다.

되돌릴 수 없습니다. 계정이 사라지므로 새 계정을 만들어야 합니다.

긴급 삭제는 그 순간이 오기 전을 위한 것입니다. duress PIN은 그 순간 자체를 위한 것입니다. Morse 잠금 화면용 두 번째 PIN으로, 누군가 앱을 열라고 강요할 때 입력하면 앱을 여는 대신 모든 것을 지웁니다. 앞으로의 업데이트에서 제공될 예정입니다.

그때까지는 두 가지로 잃을 것을 줄일 수 있습니다. 중요한 채팅에는 사라지는 메시지를 켜서, 애초에 휴대폰에 남는 것을 줄이세요. 그리고 Morse에는 연결된 기기가 없으므로, 누군가 내 휴대폰을 쥐고 있는 동안 몰래 기기를 추가해 다른 휴대폰에서 내 메시지를 읽을 수 없습니다.