난독화(Obfuscation)는 코드를 읽기 어렵게 만드는 작업으로, 감시나 데이터 수집을 방해하기 위해 모호하거나 헷갈리거나 호도하는 정보를 고의적으로 섞어 넣는 것을 말한다.
개념은 간단하나 그 적용과 사용은 여러 가지로 다양하고 복잡하다. 만약 소프트웨어 개발자나 디자이너로서 소셜 네트워킹이나 위치정보 서비스 등 사용자의 개인정보 수집 및 사용이 필요한 서비스를 만드는 경우, 소프트웨어에 난독화를 도입하면 사용자의 데이터를 외부로부터 뿐만 아니라 소프트웨어를 개발한 개발사, 심지어 그 스타트업이 다른 회사에 인수되는 경우에도 안전하게 지킬 수 있다. 정부 기관에서도 난독화를 이용하면 데이터 수집의 여러 목적은 달성하면서도 데이터 남용 위험을 최소화할 수 있다. 또 현대 사회에 만연한 디지털 감시, 그리고 그에 따른 분석의 대상이 되고 싶지 않은 개인이나 집단에게도 난독화는 감시를 방해하고, 시간을 벌고, 수많은 신호 속으로 숨어버릴 수 있는 여러 가지 방법을 제공한다. 이 책이 바로 그 출발점이 될 것이다.

[목 차]

I부. 난독화 용어

1장. 주요 사례
__1.1 채프: 군사용 레이다 무력화하기
__1.2 트위터 봇: 잡음으로 채널 교란하기
__1.3 캐시클록: 위치 추적을 하지 않는 위치정보 서비스
__1.4 트랙미낫: 진짜와 가짜 검색어를 뒤섞다
__1.5 유출 사이트에 업로드하기: 중요한 자료를 군중 속에 숨기다
__1.6 가짜 표현: 숙련된 감시원을 속이는 패턴 만들기
__1.7 집단 신분: 여러 명이 한 개의 이름 사용하기
__1.8 동일 외양의 공범 전략: 여러 명이 같은 옷 입기
__1.9 과잉 문서화: 분석 효율성 떨어뜨리기
__1.10 SIM 카드 뒤섞기: 모바일 타기팅 막기
__1.11 토르 릴레이: 타인의 트래픽 감추기
__1.12 배블 테이프: 말로 말 감추기
__1.13 불라 작전: 아파르트헤이트 철폐 운동에서 활용된 난독화


2장. 다른 예제들
__2.1 둥근 물체를 만드는 거미: 난독화하는 동물들
__2.2 거짓 주문: 난독화를 이용해 경쟁 업체 공격하기
__2.3 프랑스의 가짜 속도 측정기 설치: 속도 측정기 감지 장치 무력화하기
__2.4 애드너지앰: 모든 광고 클릭하기
__2.5 쿼트 스터핑: 알고리즘 매매 전략 교란하기
__2.6 쇼핑 패턴 분석을 방해하기 위해 포인트 적립카드 바꿔 쓰기
__2.7 비트토렌트 하이드라: 가짜 요청으로 주소 수집 막기
__2.8 일부러 애매모호한 언어 사용: 난독화 효과를 내는 표현
__2.9 익명 글의 난독화: 계량적 문체 분석 막기
__2.10 코드 난독화: 기계가 아닌 인간만 속이기
__2.11 개 인 허위 정보: 개인의 잠적 전략
__2.12 애플의 ‘복제 서비스’ 특허: 전자 프로파일링 오염시키기
__2.13 보텍스: 게임 및 교환 방식으로서의 쿠키 난독화
__2.14 ‘베이지안 홍수 기법’과 온라인 정체성의 가치 ‘팔지 않기’
__2.15 페이스클록: 은폐 작업 숨기기
__2.16 라이크파밍 난독화: 조작 증거 숨기기
__2.17 URME 감시: 저항을 표현하는 ‘정체성 보철술’
__2.18 상반되는 증거 제작: 수사 교란하기


II부. 난독화 이해하기

3장. 왜 난독화가 필요한가
__3.1 난독화에 대한 개괄
__3.2 정보 비대칭의 이해: 지식과 권력
__3.3 ‘떠남’에 대한 환상
__3.4 약자의 무기: 난독화가 할 수 있는 것
__3.5 난독화를 강력한 프라이버시 시스템과 구분하기
____기업들이 고객을 위해 모범 관행을 도입하도록 하는 방법은 어떨까
____정부의 힘을 빌려 더 나은 법을 제정하고 시행하는 것은 어떨까
____발전된 기술적 해법의 힘을 빌리는 것은 어떨까


4장. 난독화의 정당성
__4.1 난독화의 윤리
____부정직함
____낭비
____무임승차
____오염, 전복, 시스템 피해
__4.2 윤리에서 정치까지
____목적과 수단
____정의와 형평
____정보 정의와 권력과 지식의 비대칭
____타인의 복지를 위해
____위험과 데이터
____결론


5장. 난독화의 효과
__5.1 뚜렷한 목표 정립의 중요성
__5.2 난독화의 목적
____시간 벌기
____위장 제공
____사실 부인 가능성 제공
____개인 노출 방지
____프로파일링 방해
____저항 표출
__5.3 난독화 프로젝트를 판단하기 위한 질문
____개인 vs. 집단
____알게 vs. 모르게
____선별적 vs. 일반적
____단기 vs. 장기

난독화(Obfuscation)는 코드를 읽기 어렵게 만드는 작업으로, 감시나 데이터 수집을 방해하기 위해 모호하거나 헷갈리거나 호도하는 정보를 고의적으로 섞어 넣는 것을 말한다.
개념은 간단하나 그 적용과 사용은 여러 가지로 다양하고 복잡하다. 만약 소프트웨어 개발자나 디자이너로서 소셜 네트워킹이나 위치정보 서비스 등 사용자의 개인정보 수집 및 사용이 필요한 서비스를 만드는 경우, 소프트웨어에 난독화를 도입하면 사용자의 데이터를 외부로부터 뿐만 아니라 소프트웨어를 개발한 개발사, 심지어 그 스타트업이 다른 회사에 인수되는 경우에도 안전하게 지킬 수 있다. 정부 기관에서도 난독화를 이용하면 데이터 수집의 여러 목적은 달성하면서도 데이터 남용 위험을 최소화할 수 있다. 또 현대 사회에 만연한 디지털 감시, 그리고 그에 따른 분석의 대상이 되고 싶지 않은 개인이나 집단에게도 난독화는 감시를 방해하고, 시간을 벌고, 수많은 신호 속으로 숨어버릴 수 있는 여러 가지 방법을 제공한다. 이 책이 바로 그 출발점이 될 것이다.
이 프로젝트는 자신에 대한 정보를 감시자가 보고, 읽고, 들을 수 있는 상황을 강요받는 사람들이 가짜 신호들 사이에 진짜 중요한 신호를 감추는 방식으로 대응해온 여러 다양한 영역들을 살펴보고, 그 사이의 흥미로운 유사점을 찾아내고자 했다.


★ 이 책의 구성 ★

1장과 2장으로 구성된 1부. '난독화 용어'에서는 난독화의 다양한 형태와 형식을 안내하고, 그 적용 사례들에서 각각의 목적과 대상에 맞게 어떻게 난독화가 구현되고 실행됐는지 보여주고 있다.
1장. '주요 사례'에서 소개된 사례들은 하나의 서사를 통해 난독화에 대한 근본적인 질문들을 던지고 중요한 접근법들을 설명하는 하나의 흐름으로 구성돼 있으며, 중요한 접근법을 살펴본다.
2장. '다른 예제들'에서는 여러 짧은 사례를 통해 다양하고 폭넓은 난독화의 적용 사례들을 살펴보고 근본적인 개념들을 보완한다.
3장. '왜 난독화가 필요한가'에서는 이 질문에 답하기 위해 오늘날의 디지털 프라이버시와 관련한 문제들을 어떻게 난독화의 유용성으로 해결할 수 있는지 설명한다.
4장. '난독화의 정당성'에서는 어떤 특정 난독화 사례를 평가해 사회적으로 허용 가능한지 여부를 가릴 때 판단 기준으로 삼을 만한 도덕적, 정치적 기준을 설명한다.
5장. '난독화의 효과'에서는 난독화가 할 수 있는 것은 무엇이고 할 수 없는 것은 무엇인지를 중점적으로 다루고 있다. 난독화 프로젝트들의 여섯 가지 공통적인 목표를 밝히고 이를 프로젝트 설계 차원과 연결해 살펴볼 것이다.


★ 지은이의 말 ★

우리는 이 책을 통해 혁명을 일으키고자 한다. 하지만 적어도 처음부터 거창한 혁명을 이루고자 욕심내는 것은 아니다. 대대적인 개혁이라든가, 원년부터 다시 시작하는 수준의 전면적인 사회 재창조, 신기술을 잡음 하나 없이 매끄럽게, 완벽하게 일괄 적용하는 것 따위를 수단으로 삼을 생각도 없다. 우리가 꿈꾸는 혁명은 철학자들은 당장 사용할 수 있는(ready-to-hand) 도구라 부르고 기술 분야에서는 범용 하드웨어에 해당하는, 일상생활이나 영화, 소프트웨어, 풀기 어려운 살인 사건, 심지어는 동물 세계에서도 볼 수 있는 기존 요소들의 바탕 위에 만들어진다.
“혁명의 수단은 독재자나 폭군, 비밀경찰이 장악하기가 쉽고, 또 실제로 지금까지도 그랬다. 그러나 우리가 추구하는 혁명은 데이터 침해를 거부할 수도, 그 영향력에서 벗어날 수도, 그렇다고 자신의 데이터 침해를 통제할 수도 없는, 한마디로 꼼짝없이 당할 수밖에 없는 보잘것없는 약자들에게 특히 적합하다.” 이 같은 제한적 혁명이 중점으로 삼는 것은 현대의 디지털 감시를 물리치고 약화하는 것이다. 회피나 불복종, 노골적 거부나 계획적 방해를 목적으로 하는 기존의 저항 수단, 그리고 새로 등장하는 여러 저항 수단과 더불어, 그 밖의 다른 개념과 기술을 추가로 적용하고 이를 ‘우리 스스로가 정한’ 이용 약관에 따라 사용할 것이다.
상대가 누구인지에 따라, 또는 목표나 자원에 따라, 감시망 밖으로 사라지기, 시간 벌기, 분석 불가능하게 하기, 감시에 대한 조롱 행위로서의 불복종, 집단적 저항, 크고 작음을 막론하고 부정을 바로잡기 위한 개별적 행동 등을 실행할 수 있는 수단을 제공하고자 한다.
이미 확립된 기존 사례들과 새로 등장하고 있는 사례들을 모두 포함하는 전체적인 밑그림을 그려보고, 그 모든 경우에 공통으로 적용될 수 있는 접근법을 도출한 다음, 이를 일반화해 정책, 소프트웨어, 행동으로 구체화할 수 있는지 살펴볼 것이다. 이 밑그림은 우리의 거대한, 그러나 작은 혁명의 시도들을 뒷받침하는 기치며, 이 밑그림이 정의하는 것이 바로 ‘난독화’다.
한마디로 정리하자면, 난독화는 ‘감시나 데이터 수집을 방해하기 위해 모호하거나 헷갈리거나 호도하는 정보를 고의로 섞어 넣는 것’이다. 개념은 간단하나 그 적용과 사용은 여러 가지로 다양하고 복잡하다.
만약 소프트웨어 개발자나 디자이너로서 소셜 네트워킹이나 위치 정보 서비스 등 사용자의 개인정보 수집 및 사용이 필요한 서비스를 만드는 경우, 소프트웨어에 난독화를 도입하면 사용자의 데이터를 외부로부터 뿐만 아니라 소프트웨어를 개발한 개발사, 심지어 그 스타트업이 다른 회사에 인수되는 경우에도 안전하게 지킬 수 있다. 정부 기관에서도 난독화를 이용하면 데이터 수집의 여러 목적은 달성하면서도 데이터 남용 위험을 최소화할 수 있다.
또 현대 사회에 만연한 디지털 감시, 그리고 그에 따른 분석의 대상이 되고 싶지 않은 개인이나 집단에게도 난독화는 감시를 방해하고, 시간을 벌고, 수많은 신호들 속으로 숨어버릴 수 있는 여러 가지 방법을 제공한다. 이 책이 바로 그 출발점이 될 것이다.

★ 옮긴이의 말 ★

2013년, 이른바 ‘스노든 사건’을 계기로 유엔 총회에서는 ‘디지털 시대의 프라이버시권(The Right to Privacy in the Digital Age)’ 결의안이 통과됐다. 개인정보라고 하면 단순히 개인정보가 싼값에 팔려 나가 금융 사기에 활용될 위험을 걱정하던 수준에서, 일상에서 개인정보가 수집, 저장, 활용되는 것을 스스로 결정하고 통제할 수 있는 ‘인권’으로 보호돼야 한다는 국제 사회의 인식을 보여주는 결정이었다. 그리고 2016년 11월 21일, UN 총회에서는 다시 새로운 결의안을 채택한다. 이번에는 국가 정부의 개인정보 수집 및 활용에서 나아가, 민간 부문의 프라이버시권 침해에 대한 국가의 제재를 촉구하는 내용을 담고 있다. 갈수록 일상에서 온라인과 오프라인의 경계가 모호해지고 있는 시대를 맞이해, 디지털 환경에서 개인정보의 과도한 수집과 통제는 제한돼야 한다는 점에 대한 합의가 반영된 결과일 것이다.
여기서 보듯 개인정보를 수집하고 통제하는 주체는 잠재적 범죄자나 테러 용의자를 추적하는 국가 정부일 수도 있고, 사용자가 관심 있을 만한 맞춤 콘텐츠를 알아서 챙겨 보여주는 소셜 네트워크 서비스일 수도 있다. 정부에게는 범죄나 테러를 방지해 시민의 안전을 보호한다는 목적이 있고, 소셜 네트워크 서비스는 사용자에게 더 편리한 서비스를 제공한다는 명목으로 개인정보를 수집하고 저장하고 활용한다.
그런데 문제는, 이러한 일이 개인이 원하든 원치 않든, 어떤 방식으로 어느 정도까지 이뤄지는지 모르는 중에도 이뤄지고 있다는 것이다. 더 문제는 설령 알 수 있다 하더라도, ‘본인의 개인정보 제공에 동의합니다.’에 체크하지 않기가 현실적으로 어려워지고 있다는 점이다.
페이스북을 켜면, 보고 싶지 않은 성형외과 광고가 나와 관련 있는 광고라며 친구의 게시 글과 나란히 올라와 있는 상황에 눈살을 찌푸리곤 한다. 하지만 그렇다고 페이스북을 탈퇴하자니 사회생활에서 소외될까 두려워 차마 그럴 수도 없다. 그렇게 무관심해서, 혹은 찝찝하지만 어쩔 수 없이 무심코 동의한 수많은 개인정보 처리 방침에 따라 내 개인정보가 기업과 정부의 손에 들어가고 있다는 것을 어렴풋이 알지만, 그렇다고 개인에게 선택의 여지는 사실상 거의 없다.
이 책의 저자들은 이러한 디지털 정보 시대를 살아가는 소시민이 때로는 불합리한 프라이버시 침해에 대한 저항을 표출하는 수단으로, 때로는 최소한의 ‘디지털 생존권’을 지키기 위한 고육지책으로써 시도해볼 수 있을 법한 여러 가지 흥미로운 대안들을 보여준다. 물론 디지털 시대의 프라이버시가 과연 무엇인지, 그리고 사회의 상충하는 다양한 가치들 속에서 새삼스레 부각되고 있는 프라이버시에 대한 논의가 과연 어떤 방향으로 나아가는 것이 맞는지에 대한 고민이 먼저가 아닌가라는 의문이 생길 수도 있다.
그러나 오히려 이 책이 다양한 사례와 대안들을 통해 우리가 막연하게 생각하고 있던 디지털 프라이버시에 대해 좀 더 구체적이고 현실적인 관점에서 질문을 던져보는 계기가 될 수 있을 것이다.

핀 브런튼(Finn Brunton)
뉴욕대학교 미디어?문화?커뮤니케이션 전공 부교수로 재직 중이며 『Spam: A Shadow History of the Internet』(MIT Press, 2015)의 저자다.

헬렌 니센바움(Helen Nissenbaum)
뉴욕대학교 미디어?문화?커뮤니케이션 및 컴퓨터과학 전공 교수로 저서로는 『Privacy in Context』(Stanford Law Books, 2009)가 있다. 트랙미낫(TrackMeNot) 소프트웨어의 개발자이기도 하다.
옮긴이 배수현
고려대학교에서 영어영문학을 전공하고 미국 몬트레이 통번역 대학원에서 번역학을 공부했다. 국내외 정부 기관 및 기업에서 통번역 및 국제 교류 관련 경력을 쌓고 현재는 프리랜서 번역가로 활동하고 있다. 기술과 문화, 지식의 공유와 개방에 대한 관심을 바탕으로 2011년부터 크리에이티브 커먼즈의 아시아 태평양 지역 코디네이터를 맡고 있다. 오픈아이디어랩(OIL)이라는 이름으로 의미 있고 재미있는 시도들을 즐겁게 이어나갈 수 있는 방법을 고민하고 있다.
옮긴 책으로 『공유인으로 사고하라』(갈무리, 2015), 『오픈 디자인』(안그라픽스, 2015), 『열린 정부 만들기』(에이콘, 2012), 『참여와 소통의 정부 2.0』(아이앤유, 2011) 등이 있다.