텔레그램(Telegram)의 보안 및 안전성에 대하여 (기술 내외적 요소를 고려)

안녕하세요?

특별한 팁이나 노하우는 아니지만 

제 주변에 텔레그램의 보안 내지 안전성에 대해 물어보는 사람이 많아서 글을 적습니다.

사실 저는 엄밀한 의미의 이공계 출신도 아니고, 

아시다시피 humit 님처럼 보안 전문가는 더욱 아닙니다 ^^

우리나라에서는 2014년 '카카오톡 감청' 논란 이후 

텔레그램이 카카오톡이나 라인 등을 대체하는 보안성이 높은 메신저로 주목을 받았고 

현재까지 꾸준히 이용자가 늘고 있습니다.

그런데 '프로퍼블리카'나 '전자프론티어재단' 등의 여러 보안 테스트에서는

크립토캣(CryptoCat), 사일런트텍스트(Scilent text), 

사일런트폰(Scilent Phone), 텍스트시큐어(Text secure) 등이 7점 만점을 회득하여

4~5점 정도에 그친 텔레그램보다 훨씬 높은 점수를 받았습니다.

그렇다면 텔레그램이 왜 높은 점수를 받지 못했을까요?

텔레그램의 일반대화는 일단 클라우드 서버에 보관되는 방식입니다.

많은 사람들에게 텔레그램의 운영규정상 정보 노출이 이루어지지 않을 것을 보장하며

텔레그램이 특정 국가의 정보제공에 동의한 바 없다고 알려져 있습니다.

그러나 보안뉴스 2017년 6월 29일자를 보시면

"텔레그램은 러시아 정부 서버에 자사 사용자의 정보를 저장하는 데 동의했다고 

로이터 통신이 보도했다."라는 기사 내용이 있습니다.

https://www.boannews.com/media/view.asp?idx=55527

물론 우리나라 회사가 아니기 때문에(러시아 출신이 만든 독일 책임제한조합)

어지간한 중범죄가 아닌 이상 카카오톡처럼 순순히 압수 수색 또는 감청에 응하지는 않겠죠.

그리고 일반대화는 안드로이드 폰에서 메모리에 평문으로 저장되는 위험도 있습니다.

오래 전부터 이에 대한 지적이 있었지만 

이건 안드로이드의 보안 취약점이기 때문에 텔레그램 측에서도 어떻게 할 수 없는 것 같네요.

반면 비밀대화의 경우에는 종단 간 암호화(end-to-end encryption, E2EE)를 하기 때문에

스마트폰을 압수하여 텔레그램 앱을 열어 확인하지 않는 이상 

서버를 압수하더라도 원칙적으로는 내용을 볼 수 없다고 알고 있네요.

암호화에는 MTProto라는 자체 프로토콜을 이용한다고 하여 

문자 입력 당시부터 암호화가 진행되며 서버 전송시 재암호화가 된다고 합니다.

이에 대해 공식 사이트에 보다 상세한 설명이 있습니다. 

https://core.telegram.org/mtproto

그런데 MTProto 암호화의 무결성에 대한 논란이 꾸준히 있어왔고,

여러 리뷰를 종합해보면 크래킹이 결코 불가능하지는 않다고 알고 있습니다.

비밀대화의 또 하나의 장점은 스마트폰에서 자체적인 화면캡쳐가 불가능하다는 점입니다.

그렇다면 안희정 전 지사의 텔레그램 캡쳐화면은 어떻게 공개 되었을까요?

우선 안 전 지사는 비밀대화만 사용한 것이 아니라 일반대화도 사용하였습니다.

그리고 스마트폰 화면을 PC 등 다른 기기로 불러오는 수단을 이용하면

다른 기기에서 캡쳐하는 것을 막을 수는 없습니다.

아예 아날로그 방식으로 스마트폰 화면 자체를 다른 카메라로 촬영할 수도 있겠죠 ㅠㅠ

(이렇게 한다고 형사소송의 증거능력이나 증명력 측면에서 불이익이 있을 것 같지는 않네요)

참고로 드루킹의 경우에는 텔레그램이 아닌 Signal Private Messenger를 이용했습니다.

에드워드 스노든도 이 앱을 주로 사용한다고 트위터로 밝힌 바 있죠.

약간 논의를 벗어나는 내용이긴 하지만

보안적인 측면을 조금이라도 더 확보하여 텔레그램을 사용하고 싶으시다면

다른 나라 폰번호를 생성하는 앱으로 텔레그램 계정을 개설하면 아무래도 조금 더 안전하겠죠.

극단적인 방법이지만 중고기기를 구입해서

항상 공용 와이파이에서 로그 안 남기는 유료 VPN으로 접속하여 Auto disconnect 기능을 활성화해서

텔레그램을 사용하면 더욱 추적하기 어렵겠죠.

(아마도 간첩이라면 이와 유사한 방식으로 사용하겠죠? ^^)

다만 비밀대화 기능은 윈도우에서는 지원하지 않는 것으로 알고 있는데요.

최신버전에서도 그러한지는 제가 확인을 못해뵜네요.

결론적으로 텔레그램은 서버가 외국에 있고, 공식적으로는 정보제공에 동의하지 않으며,

비밀대화에서 종단 간 이중 암호화를 사용한다는 장점이 있습니다.

다만 MTProto의 취약점이 분명히 존재하며, 유저의 메시지가 클라우드 내에 저장된다는 점 등을 보면

일반적으로 알려진 것처럼 완벽한 보안 메신저라고 보기는 어렵다고 생각됩니다.

부족한 글을 읽어주셔서 감사합니다!

그럼 좋은 저녁 되시고 감기 조심하세요~! ^^