숨김, 잠금, 암호화 — 하나처럼 팔리는 세 개의 단어
누구에게나 사진 한 장 보여주려고 휴대폰을 건넬 때 화면에 뜨지 않았으면 하는 파일 몇 개쯤은 있습니다. 이 문제를 해결해 준다는 앱들은 자물쇠 그림이 그려진 폴더부터 키 없이는 정말로 읽을 수 없는 것까지 다양한데, 겉모습만 보면 다 똑같아 보입니다. 그 차이는 정작 중요한 순간이 오기 전까지는 드러나지 않습니다.
- 0개 제대로 만든 금고가 내 기기 밖 어딘가에 보관해 두는 키의 개수
- 2가지 경로 기억하고 있는 비밀번호와, 다른 곳에 보관해 둔 복구 코드
- 원칙 1가지 둘 다 잃으면 파일은 나에게도, 앱을 만든 사람에게도 영원히 읽을 수 없게 됩니다
"숨김"이 실제로 뜻하는 것
사진 앱의 숨긴 앨범은 대부분의 사람이 이미 쓰고 있는 방식이니, 정확히 짚어볼 가치가 있습니다. 이 기능은 항목을 메인 그리드에서 빼내고, iOS 16부터는 그 앨범 앞에 Face ID를 세워둡니다. 하지만 파일 자체는 바뀌지 않습니다. 사진은 원래 그대로 저장되어 있고, 여전히 iCloud 사진에 동기화되며, 사진 라이브러리 접근 권한을 받은 어떤 앱에도 여전히 나타나고, 기기 비밀번호를 아는 사람이라면 누구든 열어볼 수 있습니다 — 기기 비밀번호가 Face ID의 대체 수단이기 때문입니다. 이건 보호가 아니라 정리입니다. 그리고 친구가 사진첩을 한 장 더 넘겨보는 흔한 상황에는, 정리 정도로도 충분합니다.
그다음 단계는 비밀번호 뒤에 놓인 폴더이며, 스스로를 "금고"라 부르는 앱 대부분이 실제로 이 방식입니다. PIN 입력 화면이 있고, 그 뒤에는 평범한 방식 그대로 디스크에 놓인 파일 목록이 있습니다. 이는 잠금 해제된 내 휴대폰을 손에 쥔 사람을 막아주는데, 이는 실제로 흔히 일어나는 위협입니다. 하지만 전체 백업이나 포렌식 추출, 혹은 앱이 아니라 저장소 자체를 직접 읽어내는 그 무엇에 대해서는 아무런 방어가 되지 못합니다.
가장 높은 단계는 자체 키로 암호화하는 방식입니다. 파일은 들어오는 과정에서 변환되고, 디스크에 남는 것은 키 없이는 아무 의미도 없습니다 — 미리보기도, 파일 이름도, 내용을 짐작하게 할 길이 정보도 없습니다. 저장소를 통째로 복사해 가더라도 얻는 건 그저 잡음뿐입니다. "다른 누구도 열 수 없다"는 말이 문자 그대로 참이 되는 유일한 방식이 바로 이것이며, 동시에 내 키를 잃어버리면 파일도 함께 잃게 된다는, 어디서도 광고하지 않는 대가를 치러야 하는 유일한 방식이기도 합니다.
실제 걱정거리를 기준으로 본 세 가지 방식
마케팅이 아니라 위협 대상을 기준으로 고르세요. 대부분의 사람에게는 두 번째면 충분한데 세 번째를 사고, 정말로 세 번째가 필요한 소수의 사람은 첫 번째로 만족하곤 합니다.
기능 목록에 나오는 단어들, 풀어서 설명하면
이런 걸 실제로 만드는 사람들은 이 단어들을 정확하게 쓰지만, 파는 사람들은 대체로 느슨하게 씁니다. 이 단어들을 아는 것만으로도 방어의 대부분이 됩니다.
- 저장 시 암호화 (Encryption at rest)
- 이동 중일 때뿐 아니라 디스크에 놓여 있는 동안에도 파일을 읽을 수 없다는 뜻입니다. 이것이 금고에서 정말 중요한 주장이며, 동시에 명시적으로 말하지 않은 채 은근히 암시되는 경우가 가장 많은 주장이기도 합니다.
- AEAD (인증된 암호화)
- 변조 여부까지 함께 감지하는 암호화 방식입니다 — 일반적으로 쓰이는 두 가지가 AES-GCM과 ChaCha20-Poly1305입니다. 이게 없으면 파일이 복호화될 때 눈에 띄지 않는 방식으로 변조될 수 있습니다.
- 키 파생 (KDF)
- 짧은 비밀번호를 실제 키로 바꾸되 일부러 느리게 처리해서, 수백만 개의 PIN을 무작위로 시도하는 데 실제로 시간이 걸리게 만드는 과정입니다. 이 과정을 건너뛴 금고는 결국 네 자리 숫자짜리 키를 가진 금고와 다를 바 없습니다.
- 엔벨로프 / 키 래핑
- 파일은 무작위로 생성된 마스터 키 하나로 암호화되고, 그 마스터 키는 다시 내 비밀번호와 복구 코드로 각각 별도로 암호화됩니다. 그래서 비밀번호를 바꿀 때 모든 파일을 다시 암호화하지 않고 순식간에 끝나며, 서로 다른 두 개의 비밀 정보로도 같은 금고를 열 수 있는 것입니다.
- 복구 코드
- 처음 설정할 때 딱 한 번 생성되는 긴 문자열로, 마스터 키의 두 번째 사본을 감싸고 있습니다. 이것이 유일하게 남은 또 하나의 문입니다. 재설정할 계정 자체가 없기 때문에 존재하는 것이며, 그 코드가 보호 대상인 기기 안에만 있다면 아무 쓸모가 없습니다.
- Data Protection
- 기기가 잠금 해제된 상태와 파일 접근 가능 여부를 연동시키는 iOS의 보호 계층입니다. 실제로 매우 강력하지만 앱 자체의 키를 대신할 수는 없습니다 — 이는 기기를 빼앗기는 상황을 막아줄 뿐, 기기 소유자 본인이 열어달라는 요구를 받는 상황은 막아주지 못합니다.
- 위장 금고 / 그럴듯한 부인 가능성
- 금고를 열지 말지를 내가 결정할 수 없는 상황을 위해, 다른 비밀번호로 열리는 그럴듯한 두 번째 콘텐츠 세트를 마련해 두는 기능입니다. 실제로 유용하지만 한계도 분명한 기능입니다 — 눈앞의 사람을 상대로는 도움이 되지만, 디스크의 바이트를 하나하나 분석하는 전문가에게는 통하지 않습니다.
2년 뒤에도 여전히 열리는 금고 만들기
암호화 저장소가 실패하는 가장 흔한 원인은 공격자가 아닙니다. 18개월 뒤, 한 번 설정해 놓고 그 뒤로 한 번도 다시 입력해 보지 않은 비밀번호를 가진 소유자 본인입니다.
-
정말로 계속 기억할 수 있는 비밀번호를 고르세요
다른 곳에서 쓰는 것의 변형도, 두 번 입력하고 말 무작위 숫자도 안 됩니다. 매일 쓰지는 않을 것이므로, 1년 뒤에도 기억을 더듬어 재구성할 수 있는 것이어야 합니다.
-
복구 코드는 휴대폰이 아닌 곳에 보관하세요
비밀번호 관리자, 금고 안의 메모, 서랍 속 인쇄물 등이 좋습니다. 보호 대상인 그 기기 안에 두면 그냥 장식일 뿐입니다. 내 이메일로 보내 두면 딱 그 이메일 계정만큼만 안전한데, 이를 의도적으로 선택한 것이라면 괜찮을 수도 있습니다.
-
백업이 여기서 어떻게 동작할지 정하세요
금고를 iCloud나 컴퓨터 백업에 포함시키면 휴대폰을 잃어버려도 암호화된 파일은 살아남습니다. 제외하면 백업 용량은 줄지만 기기가 사라지면 복구할 방법도 사라집니다. 둘 다 나름의 근거가 있는 선택이지만, 자각 없이 어느 한쪽으로 흘러가는 것은 곤란합니다.
-
원본을 옮긴 다음, 원래 있던 곳에서 지우세요
반드시 이 순서로, 그리고 금고가 각 항목의 도착을 확인해 준 뒤에만 지우세요. 먼저 지우고 나서 옮기는 방식이라면, 전송이 한 번만 중단돼도 파일을 통째로 잃게 됩니다 — 삭제는 조용히 넘어가지 말고 시스템 자체의 확인 절차를 거쳐야 합니다.
-
잠근 뒤, 완전히 새로 한 번 열어보세요
앱을 닫았다가 다시 열어, Face ID 대신 비밀번호를 직접 입력해 보세요. 그동안 생체 인증으로만 들어오다가 정작 설정했던 비밀번호는 제대로 기억에 새겨지지 않은 경우를 이 단계에서 잡아낼 수 있습니다.
-
어디에 흔적이 남는지 확인하세요
메인 라이브러리에서 파일 이름을 검색해 보세요. 최근 재생 목록, 위젯, 금고 안의 무언가가 재생되는 동안의 잠금 화면도 살펴보세요. "지금 재생 중" 제목으로 내용이 새어 나가는 금고라면, 그 안에 창문이 하나 뚫려 있는 것과 같습니다.
이 과정 전체는 5분 정도면 끝나며, 이게 바로 진짜 금고와 그냥 마음이 놓이는 폴더의 차이를 만듭니다.
사람들이 실제로 마주치는 상황들
이 중 두 가지는 나중에 손쓸 방법이 없으니, 설정 후가 아니라 설정 전에 읽어둘 가치가 있습니다.
| 상황 | 제대로 만든 금고라면 벌어지는 일 |
|---|---|
| 새 휴대폰으로 백업에서 복원 | 암호화된 파일과 감싸인 키는 함께 넘어오지만, 비밀번호 자체는 이동하지 않는 방식으로 저장되어 있어 넘어오지 않습니다. 예전 비밀번호나 복구 코드로 한 번 들어간 뒤, 새 비밀번호를 설정하면 됩니다. |
| 비밀번호는 잊었지만 복구 코드는 있음 | 복구 코드가 마스터 키를 풀어 금고가 열리고, 곧바로 새 비밀번호를 설정하게 됩니다. 아무것도 다시 암호화하지 않으므로 한 시간이 아니라 순식간에 끝납니다. |
| 둘 다 잃어버림 | 파일은 디스크에 암호문 상태로 남아 읽을 수 없게 됩니다. 이는 이 설계가 보장하는 결과 그 자체이며, 어떤 앱도 이 보장을 지키면서 동시에 우회로를 제공할 수는 없습니다. |
| 앱을 삭제함 | 다른 앱의 개인 저장 공간과 마찬가지로 안에 든 모든 것이 함께 사라집니다. 삭제하기 전에 내보내세요 — 쓸 만한 금고라면 모든 것을 평범한 폴더로 한 번에 되돌리는 기능 하나쯤은 있어야 합니다. |
| 누군가 내 기기 비밀번호를 알고 있음 | 그 사람은 기기에는 접근할 수 있어도 금고에는 접근하지 못합니다 — 금고의 키는 완전히 별도의 비밀번호에서 파생되니까요. 바로 이런 순간, 즉 눈앞에 사람이 서 있는 상황을 위해 위장 금고가 존재합니다. |
| 백업은 제외했는데 휴대폰을 잃어버림 | 암호화된 파일이 애초에 어디에도 복사된 적이 없으니 복구할 대상 자체가 없습니다. 어떤 사람에게는 의도한 선택이지만, 나머지에게는 달갑지 않은 놀라움입니다. |
스크린샷과 화면 녹화는 어떤 iOS 앱도 막을 수 없는 유일한 틈새입니다 — 무언가를 보고 있는 동안에는 시스템이 그것을 그대로 캡처할 수 있습니다. iPhone이나 iPad에서 이걸 막을 수 있다고 주장하는 앱이 있다면, 할 수 없는 일을 하고 있다고 설명하는 셈입니다.
되돌릴 수 없는 것을 맡기기 전에 금고 앱을 판단하는 법
- 암호화 방식을 구체적으로 밝히는가, 아니면 그냥 "군사급"이라고만 하는가?
AES-256-GCM이나 ChaCha20-Poly1305라면 제대로 된 답입니다. "은행급 보안"은 장식용 표현일 뿐이고, 대개 딱히 밝힐 게 없는 곳에서 등장합니다.
- 복구 경로를 솔직하게 설명하는가?
이메일로 재설정 링크를 보내주겠다는 앱은 그 자체로 키를 쥐고 있다는 뜻입니다. 받아들일 만한 절충안일 수도 있지만, 그 말은 곧 그 업체가 내 금고를 열 수 있다는 뜻이니 명확히 밝혀야 합니다.
- 모든 걸 한 번의 동작으로 꺼낼 수 있는가?
금고는 언제든 나갈 수 있는 방이어야 합니다. 내보내기가 파일을 하나씩 여는 방식이라면, 내 데이터는 그 앱이 계속 존재하기를 바라야만 하는 인질 신세입니다.
- 기존 콘텐츠를 구독에 볼모로 잡는가?
새로 추가하는 항목에 제한을 두는 건 합리적입니다. 구독이 끊겼을 때 이미 넣어둔 것까지 잠가버리는 건 그렇지 않으며, 나중이 아니라 미리 확인해 둘 가치가 있습니다.
- 어디로 새어 나가는 틈이 있는가?
검색 결과, Spotlight, 공유 캐시에 남는 썸네일, 최근 재생 목록, 위젯, 오디오 재생 중 잠금 화면, 앱이 띄운 파일 공유 서버. 이 각각이 실제로 최소 한 번쯤은 금고 내용을 유출시킨 전례가 있습니다.
- 썸네일은 어디에 저장되는가?
미리보기 이미지도 결국 그 파일입니다. 시스템 전역 캐시 폴더에 저장되는 썸네일이 있다면, 사람들이 실제로 보고 싶어 할 만한 모든 것에 대한 암호화는 사실상 무력화된 것입니다.
- 서버로 전송되는 것이 있는가?
금고가 어딘가로 연락할 이유는 없습니다. 만약 업로드한다면, 그 키를 누가 쥐고 있느냐가 유일하게 중요한 질문이 됩니다.
플랫폼마다 다른 지점
다른 사람 손에 넘어갈 가능성이 가장 큰 기기라서, 일상적인 위협 모델이 가장 중요하게 작용합니다. Face ID에 별도의 금고 비밀번호를 더하면 충분하며, 기기 비밀번호 자체가 금고를 여는 수단이 되어서는 안 됩니다.
가족이 함께 쓰는 기기인 경우가 더 많고, 테이블 위에 그냥 놓여 있는 경우도 더 많습니다. 두 번째 잠금이 그 어디보다 여기서 제 몫을 하며, 화면이 큰 만큼 위장 콘텐츠도 오히려 덜 어색하고 더 그럴듯하게 보입니다.
FileVault는 Mac이 꺼져 있는 동안 디스크 전체를 암호화하는, 서로 보완적인 별개의 계층입니다 — FileVault는 기기 자체를 탈취당한 상황을 막아주고, 앱 안의 금고는 이미 로그인해 있는 사람으로부터 보호해 줍니다.
자주 나오는 질문
사진 앱의 숨긴 앨범은 비공개인가요?
숨겨진 것이지 비공개인 것은 아닙니다. iOS 16부터 그 앨범 자체는 Face ID를 요구하지만, 사진 자체는 전혀 바뀌지 않습니다 — 동기화도 계속되고, 접근 권한을 받은 어떤 앱의 사진 라이브러리에도 여전히 남아 있으며, 기기 비밀번호는 Face ID의 대체 수단이라 그것만으로도 열립니다. 호기심 많은 친구 정도라면 이걸로 충분합니다. 그 외의 상황이라면 겉보기와는 다릅니다.
이 앱을 만든 사람들이 내 금고를 열어볼 수 있나요?
제대로 만들어진 금고라면 불가능합니다 — 키는 내 기기에서 내 비밀번호로부터 파생되며 다른 어디에도 존재하지 않습니다. 이걸 확인하는 방법은 복구 절차를 살펴보는 것입니다. 재설정 링크를 이메일로 보내줄 수 있는 앱이라면 필연적으로 내 금고를 열 수 있는 무언가를 쥐고 있는 것입니다. 이게 자동으로 부정직하다는 뜻은 아니지만, "오직 나만 열 수 있다"는 말과는 정반대입니다.
누군가 강제로 열어보라고 하면 어떻게 하나요?
바로 이런 상황을 위해 위장 금고가 있습니다 — 그럴듯하고 무해한 콘텐츠를 여는 두 번째 비밀번호를 두면, 요구에 응하는 것과 진짜 내용을 지키는 것이 같은 행동이 됩니다. 이는 저장소에 대한 포렌식 분석이 아니라 눈앞에 있는 사람을 상대로 설계된 기능이며, 위장 콘텐츠를 아예 비워두기보다 그럴듯한 내용으로 채워두었을 때 가장 잘 작동합니다.
잠금 해제된 채로 휴대폰을 도난당해도 금고가 지켜주나요?
네, 금고가 다시 잠긴 상태였다면요 — 그리고 이건 정확히 자동 잠금 설정이 결정하는 부분입니다. 세션 내내 열려 있도록 설정된 금고는 도난당한 잠금 해제 상태의 휴대폰에서도 그냥 열려 있습니다. 이 설정 하나가 어떤 암호화 방식을 고르느냐보다 훨씬 큰 역할을 합니다.
파일 전체를 먼저 복호화하지 않고도 암호화된 동영상을 재생할 수 있나요?
네, 파일이 하나의 통짜 블록이 아니라 청크 단위로 암호화되어 있다면 가능합니다. 플레이어가 필요한 부분만 요청하면 그 청크만 메모리에서 복호화되고, 탐색(seek) 기능도 그대로 동작합니다. 반대로 복호화한 사본을 임시 파일로 써서 재생하는 방식이라면 재생이 지속되는 동안만큼은 암호화가 무력화되는 셈이니, 이 부분은 물어볼 가치가 있습니다.
FoxDL의 금고는 이렇게 만들어졌습니다
자세히 밝힙니다. 위에서 말한 모든 내용의 핵심이 바로 모호한 주장은 주장이 아니라는 것이니까요.
- 파일은 ChaCha20-Poly1305로 청크 단위 암호화되며, 마스터 키는 내 기기에서 딱 한 번 무작위로 생성됩니다. 동영상은 금고에서 곧바로 스트리밍됩니다 — 플레이어가 도달하는 청크만 그때그때 메모리에서 복호화되고, 복호화된 사본이 디스크에 기록되는 일은 절대 없습니다.
- 엔벨로프는 두 개, 키는 하나. 마스터 키는 금고 비밀번호로 한 번, 복구 코드로 한 번 각각 감싸집니다. 비밀번호를 바꾸면 라이브러리 전체를 다시 암호화하는 대신 이 엔벨로프만 밀리초 단위로 다시 감싸며, 둘 중 어느 비밀 정보로도 새 기기에서 금고를 열 수 있습니다.
- 금고는 앱 잠금과는 별개의 자체 비밀번호를 가지며, Face ID나 Touch ID와 그 자체 자동 잠금 타이머까지 갖추고 있습니다. 키의 생체 인증 사본은 사용자 본인의 확인을 요구하는 방식으로 키체인에 저장되고 해당 기기에 묶여 있습니다.
- 읽을 수 있는 그 무엇도 디스크에 남지 않습니다. 파일은 문서 폴더 밖에, 아무 의미 없는 이름으로 저장됩니다. 실제 이름과 폴더 구조는 오직 암호화된 카탈로그 안에만 존재하고, 썸네일도 공유 캐시가 아니라 금고 내부에만 머뭅니다.
- 가장자리로 새어 나가는 것이 없습니다. 라이브러리 검색, Spotlight, Wi-Fi 전송, 기기 간 전송, 공유 받은 편지함 어디에서도 금고는 보이지 않습니다. 재생 목록과 최근 재생 목록에서는 금고 항목이 마스킹된 행으로만 표시되고, 무언가 재생 중일 때 잠금 화면에는 그저 일반적인 제목만 뜹니다.
- 위장 기능과 위장 금고. 잠금 배지 없이 내가 고른 이름과 아이콘으로 위장해서, 열면 곧장 무해한 파일들이 나오도록 만들 수 있고, 진짜 금고는 따로 정해둔 제스처 뒤에 숨어 있습니다. 두 번째 비밀번호는 위장 금고를 열고, 원한다면 Face ID나 기기 비밀번호도 위장 금고만 열도록 설정할 수 있습니다 — 그렇게 하면 진짜 금고는 절대 남에게 보여줄 필요 없는 비밀번호에만 응답하게 됩니다.
- 내 파일은 절대 볼모로 잡히지 않습니다. 구독 상태와 무관하게 안에 든 모든 것을 보고, 재생하고, 내보낼 수 있으며, 금고 설정의 버튼 하나로 전부를 평범한 폴더로 되돌릴 수 있습니다.
- 무료 버전은 15개까지 실시간으로 개수를 세어 저장하므로, 하나를 빼면 그만큼 자리가 생깁니다. 그 이상은 FoxDL Pro이며, 이 기능만큼은 보상형 광고로 우회하는 경로가 없습니다 — 개인정보 보호 기능에 광고가 끼어들 자리는 없기 때문입니다.
무언가를 옮기기 전에 복구 코드를 휴대폰이 아닌 다른 곳에 따로 보관해 두세요. 비밀번호를 잊고 그 코드마저 사라졌다면, 저희도 그 누구도 대신 금고를 열어드릴 수 없습니다 — 이는 설계대로 작동하는 것이고, 애초에 그 코드가 존재하는 이유이기도 합니다.
자주 묻는 질문
- 파일을 어떻게 숨기나요? 금고는 얼마나 안전한가요?
- 금고 비밀번호를 잊거나 복구 코드를 잃어버리면 어떻게 되나요?
- 금고의 존재 자체를 숨기거나, 누군가 강제로 열게 할 때 가짜 금고를 보여줄 수 있나요?
- 기기를 바꾸거나 백업에서 복원해도 금고 내용이 남아 있나요?
- 금고 안의 동영상과 음악을 바로 재생할 수 있나요?
- 사진을 금고로 옮기려면 어떻게 하나요? 「사진」 앱에서는 삭제되나요?
- 파일을 금고로 바로 다운로드할 수 있나요?
- Pro 없이 금고에 저장할 수 있는 파일은 몇 개인가요?
- 금고에서 파일을 다시 꺼내려면 어떻게 하나요?
- 금고 안의 항목이 앱의 다른 곳에도 나타나나요?
더 읽기
휴대폰의 미디어 앱이 볼 수 있는 것, 그리고 절대 전송해서는 안 되는 것
미디어 앱이 볼 수 있는 것, 개인정보 보호 라벨을 읽는 법, 그리고 잠금이 암호화가 아닌 이유.
iPhone에서 파일은 실제로 어디에 있고, 누가 그것을 볼 수 있는가
샌드박스란 무엇인지, 다운로드는 실제로 어디로 가는지, 그리고 파일 이름을 바꾸면 왜 그렇게 많은 앱이 고장 나는지.
큰 파일을 iPhone에 옮기는 다섯 가지 방법, 그리고 각각이 맞는 순간
Wi-Fi, 기기 간 직접 연결, 클라우드, WebDAV, 드라이브 — 어떤 작업에는 어떤 경로가 맞는지.