제로널리지 제품의 마케팅에는 유혹적인 문장이 있습니다. "아무도, 우리조차 당신의 파일을 볼 수 없습니다." 이 말은 미디어 내용에 관해서는 정확합니다. 그런데 같은 문장이 계정 이메일이나 결제 기록, 접속 IP까지 서버가 전혀 다루지 않는다는 인상을 주면, 그 순간 정확한 주장이 과장으로 미끄러집니다. Ciphek을 만들며 이 경계를 어떻게 긋고 어떻게 말할지가 기술만큼 중요한 문제였습니다.
두 가지 "본다"를 구분하기
혼란의 뿌리는 "본다"는 말이 두 가지를 뭉뚱그리는 데 있습니다. 하나는 미디어 콘텐츠, 즉 영상과 사진의 실제 내용을 보는 것입니다. 다른 하나는 계정 메타데이터, 예를 들어 이메일 주소나 구독 상태, 요청이 들어온 시각 같은 것을 아는 것입니다. 제로널리지 아키텍처가 암호학적으로 보장하는 것은 앞의 것뿐입니다. 서버는 마스터키를 가진 적이 없으니 미디어 내용의 평문에 접근할 방법이 없습니다.
하지만 서비스를 운영하려면 계정을 식별하고 요금을 청구하고 남용을 막아야 합니다. 그러려면 서버는 이메일 주소, 스토리지 사용량, 구독 정보 같은 데이터를 다룹니다. 이것들은 제로널리지 암호화의 대상이 아니라 서비스 운영에 필요한 데이터입니다. "미디어는 못 본다"와 "당신에 관한 어떤 것도 모른다"는 전혀 다른 주장이고 후자는 사실이 아닙니다. 이 둘을 섞어 말하는 순간 제품은 지키지 못할 약속을 하게 됩니다.
과장이 신뢰를 무너뜨리는 방식
왜 이 구분에 이토록 신경 썼을까요. 보안 제품의 사용자는 특히 이런 주장을 곧이곧대로 믿고 중요한 결정을 내리기 때문입니다. 만약 "우리는 아무것도 모른다"고 했는데 나중에 서버가 IP를 기록하거나 이메일을 저장한다는 사실이 드러나면, 그 단 하나의 어긋남이 제품 전체의 신뢰를 무너뜨립니다. 진짜인 보장까지 함께 의심받게 됩니다. 과장은 지키는 약속마저 갉아먹습니다.
그래서 Ciphek은 반대로 접근했습니다. 진짜로 보장할 수 있는 것은 강하고 분명하게 말하고 그렇지 않은 것은 숨기지 않고 나열하는 것입니다. 미디어 내용은 서버가 결코 볼 수 없다고 단호하게 말하되, 계정 메타데이터로 무엇을 수집하는지는 목록으로 투명하게 밝힙니다. 정직한 좁은 주장이 부풀린 넓은 주장보다 강합니다. 좁은 주장은 검증을 견디지만 넓은 주장은 언젠가 반례를 만나기 때문입니다.
못 보는 것과 보는 것을 표로 정리하기
이 원칙을 문서로 옮길 때는 "무엇을 볼 수 있고 무엇을 볼 수 없는가"를 명시적인 표로 정리하는 것이 효과적입니다. 서버가 접근할 수 없는 것에는 미디어 파일의 내용과 암호화된 메타데이터가 들어가고 서버가 다루는 것에는 인증을 위한 이메일과 구독 상태, 스토리지 사용량 같은 운영 데이터가 들어갑니다. 이렇게 나눠 보여 주면 사용자는 자기가 어떤 보호를 받고 어떤 것은 받지 못하는지 스스로 판단할 수 있습니다.
위협 모델을 함께 밝히는 것도 중요합니다. 이 아키텍처는 서버 침해, 클라우드 프로바이더의 접근, 콘텐츠를 향한 법적 요청으로부터 미디어 내용을 지킵니다. 반면 사용자 기기에 심어진 악성코드나, 사용자가 강요당해 패스워드를 넘기는 상황, 사용자 개인을 향한 법적 절차까지 막아 주지는 못합니다. 무엇을 막고 무엇을 못 막는지 경계를 분명히 하는 것은 사용자를 위한 배려이자, 규제 당국과 언론의 검증을 미리 견디는 방식이기도 합니다.
정직함을 감사 결과에도 적용하기
같은 원칙을 보안 검증 결과에도 적용했습니다. Ciphek은 내부 침투 테스트에서 critical과 high 등급 0건, 내부 crypto audit에서 44개 항목 중 41개 PASS라는 결과를 얻었고 나머지 3개는 구현 결함이 아니라 문서와 위협 모델 서술에 관한 것이었습니다. 이 숫자들을 소개하되, 이것이 내부 결과이며 제3자 독립 감사는 아직 받지 않았다는 점을 함께 밝혔습니다. 좋은 결과를 과장 없이, 아직 못 한 것을 감춤 없이 적는 것입니다.
제로널리지에서 정직함은 도덕적 미덕이기 이전에 제품 전략입니다. 신뢰가 전부인 제품에서 지킬 수 있는 것만 약속하는 절제는 장기적으로 가장 강한 마케팅이 됩니다. 기술로 진짜 보장을 만들고 그 보장의 경계를 정확히 말하고 못 하는 것을 숨기지 않는 것. 이 세 가지가 함께 갈 때 제로널리지라는 단어가 마케팅 수사가 아니라 검증 가능한 약속이 됩니다.
이 정직한 주장을 떠받치는 복구 설계는 BIP39 제로널리지 복구에서, 서버가 미디어 내용에 접근하지 못하게 만드는 저장 구조는 R2 zero egress 암호문 저장에서 다룹니다. 전체 구조는 제로널리지 암호화 미디어 클라우드 사례에 있습니다.
자주 묻는 질문
제로널리지면 정말 아무 데이터도 수집하지 않나요?
아닙니다. 제로널리지가 보장하는 것은 서버가 미디어 내용의 평문에 접근할 수 없다는 것입니다. 서비스를 운영하려면 계정 이메일, 구독 상태, 스토리지 사용량 같은 메타데이터는 다뤄야 합니다. "미디어는 못 본다"와 "당신에 관한 어떤 것도 모른다"는 다른 주장이며 정직한 제품은 이 경계를 명확히 구분해 밝힙니다.
왜 굳이 못 막는 것까지 문서에 적나요?
무엇을 막고 무엇을 못 막는지 경계를 분명히 해야 사용자가 자기 상황에 맞게 판단할 수 있고 나중에 예상치 못한 지점에서 신뢰가 깨지는 일을 막을 수 있기 때문입니다. 기기 악성코드나 강요된 패스워드 공개처럼 아키텍처가 다루지 못하는 위협을 미리 밝히는 것은 사용자를 위한 배려이자 검증을 견디는 방식입니다.
감사 결과를 왜 그대로 다 공개하나요?
좋은 결과만 강조하고 한계를 감추면 언젠가 그 간극이 드러나 신뢰가 무너집니다. 내부 감사의 좋은 결과를 소개하되 그것이 내부 결과이며 제3자 독립 감사는 아직 받지 않았다는 점을 함께 밝히면, 사용자는 현재 수준을 정확히 이해할 수 있습니다. 신뢰가 전부인 제품에서는 정직한 공개가 가장 강한 신뢰 자산입니다.