중요한 정보 저장도 마음 놓고! 암호화로 개인정보도 지켜주는 최고의 클라우드 파일 저장소 서비스 4곳

클라우드 파일 저장소, 저장 공간을 손쉽게 소유 할 수 있는 시대가 되었습니다. 가입하는 것만으로 예전에는 생각지도 못했던 대용량의 여유 공간이 손에 들어옵니다. 그러나 어떤 서비스가 어느 정도로 개인 정보를 지켜주고 있는지 혹시 알고 계신지요? 그 서비스가 여러분이 업로드 한 파일을 들여다 보지 않는다는 보장이 있습니까? 그리고 무엇보다 중요한 것은, 여러분의 개인 정보를 그 누구도 엿볼 수 없도록 암호화하여 지켜주는 서비스는 어떤 것입니까?

특별히 보호해야 할 파일이 없다고 해도, 높아져 가는 보안 위협 속에서 예상하지도 못했던 보안 문제가 발생하는 걸 미연에 방지해야 겠지요. 음악 파일 저장, 소득 신고 문서 보관, 파일 백업 등.. 용도가 무엇이든 간에, 클라우드 저장 공간에서도 개인 정보 보호와 보안은 중요한 문제입니다. 혹시 서비스가 해킹 되더라도 세금 및 재무 관련 서류는 안전하게 보호되어야만 합니다.

훌륭한 클라우드 파일 저장소 서비스가 많이 나왔지만, 이러한 서비스들을 어느 정도 사용하다 보면 문득 이런 질문이 머릿속에 떠오르게 됩니다. "데이터를 안전하게 보호하기 위해 암호화와 다른 보안 도구를 제공하는 서비스는 무엇일까?" 라는 생각이 말이지요.

혹시 여러분도 같은 의문을 가지고 계셨다면 다음 내용을 참고해 보세요.

잠시 쉬어가는 코너: 필자의 잡담~

이제 내일부터 본격적인 추석 명절, 연휴가 시작됩니다. 하지만 연휴 기간 하루 전날인 오늘부터 벌써 사실상 ‘연휴 시작’ 분위기인 곳이 전국적(?)으로 많은 것 같습니다. 실제로 그런 것인지를 아주 정확히 알기는 어렵겠지만, 적어도 트위터나 페이스북 같은 소셜 네트워크 서비스(SNS)에 사람들이 올린 글을 보면 그리 틀린 생각만은 아닌 것 같습니다. “점심 먹고 나니까 거래처 사람이나 클라이언트도 그렇고.. 다들 마음만큼은 벌써 콩 밭에 가있는 것 같습니다. 자리에 없는 사람들도 있고 한 것을 보니, 오늘부터 사실상 연휴가 시작된 것과 다름없네요.” 라고 어느 한 분이 적어 놓으신 글이 지금도 기억에 남습니다. 아마 읽는 것 만으로도 현장의 모습이 생생하게 머릿속에 떠올랐기 때문이겠지요.

평일이 하루도 채 남지 않은 오늘. 추석 맞이 일 마무리 잘 하시고, 모두 즐거운 추석 연휴 보내시길 바랍니다! 가족들과 함께 즐거운 시간 보내시고, 맛있는 음식 많이 드시는 풍성한 추석이 되었으면 합니다. ^^

암호화 해주는 클라우드 저장소가 왜 중요한 걸까?

계정 탈취를 방지하고 싶은 경우나, 노트북이나 스마트폰의 분실을 대비해 파일을 잠가 두고 싶은 경우, 혹은 NSA의 스파이 행위를 걱정하고 있는 경우에도 암호화 만이 안심할 수 있는 유일한 대책입니다. 또한 암호화는 어려운 일이 아닙니다.

SpiderOak

SpiderOak는 2GB까지의 용량이 무료로 제공되며, 이보다 더 많이 필요할 경우 100GB 당 월 $10 입니다. 모든 파일은 사용 중인 컴퓨터 상에서 암호화 된 후 SpiderOak 서버에 업로드 됩니다. 파일이나 폴더를 수정하면 먼저 컴퓨터 하드디스크에 저장된 비 암호화 버전과 동기화한 다음, 안전하게 암호화 하여 업로드 합니다.

SpiderOak는 "제로 지식(Zero-knowledge)" 개인 정보 보호 정책을 내걸고 있습니다. 특별한 지식 없이도 모든 보안 기능을 누릴 수 있음을 의미합니다. 파일 암호화는 모두 로컬 컴퓨터 상에서 이루어지기 때문에 SpiderOak 직원이라고 해도 사용자의 파일을 들여다 볼 수 없습니다. 암호화 되지 않은 파일은 사용 중인 컴퓨터에만 존재하고, 암호화 또는 원래 파일로의 복호화도 사용자가 선택한 암호를 사용하여 컴퓨터 상에서 수행됩니다. 반대로 말하면, 여러분이 암호를 잊어 버리면 SpiderOak 직원도 해독 할 수 없습니다.

이전의 SpiderOak는 원격 액세스 및 동기화 기능이 부족했지만, SpiderOak에 새롭게 추가된 동기화 서비스인 "SpiderOak Hive” 에서는 iOS와 Android 앱도 제공되어 외출 중에도 암호화된 파일의 저장이 가능합니다. 암호화 및 해독은 로컬 컴퓨터나 스마트폰에서 수행되지만, 로그인을 위한 본인 인증은 비밀번호가 필요하며 입력한 비밀번호는 암호화 되지 않은 디스크가 아니라 서버의 암호화된 메모리에 저장됩니다. 그리고 이 비밀번호도 SpiderOak 웹사이트 탐색이나 파일 다운로드와 같은 원격 작업 세션이 끝나면 서버에서 즉시 삭제되기 때문에 다른 사람이 여러분의 파일에 접근하게 되지 않을까 걱정할 필요가 없습니다. 암호화를 통한 보안과 함께 사용성도 중시한다면, SpiderOak를 추천합니다.

SpiderOak는 암호화에 2048 비트 RSA 및 256 비트 AES를 사용합니다. SpiderOak사는 보안에 대해 다음과 같이 설명하고 있습니다. (친숙하지 않은 용어를 사용해 쉽지 않게 설명하고 있지만, 어떤 기술을 어떻게 적용했는지, 그리고 어떤 특징이 있는지 한 번 간략하게 살펴 보세요)

가장 중요한 것은, 외부 수준 키가 SpiderOak 서버에 일반 텍스트로 저장되지 않는 점입니다. 외부 수준 키는 키 파생 / 강화 알고리즘의 PBKDF2 (SHA-256 사용)를 16384번 적용하고 32 바이트의 난수 (“salt”)에서 생성 된 키를 사용하여 256 비트 AES 암호화됩니다. 이 방법은 키에 대한 무차별 공격이나 사전 계산(Pre-computation), 데이터베이스 공격을 무효화합니다. 즉, 암호를 알고 있는 사용자는 외부 수준의 암호화 키를 PBKDF2와 salt를 사용하여 생성 할 수 있고, 외부 수준 키를 해독하고 데이터를 해독 할 수 있습니다. 하지만 암호를 모르는 사람이 데이터를 읽는 것은 거의 불가능합니다.

Wuala

Wuala도 파일을 컴퓨터나 기기에서 암호화하고 클라우드에 업로드 합니다. 5GB를 무료로 제공하며, 월 $4에 20GB, $7에 50GB, $12에 100GB를 사용할 수 있습니다. SpiderOak와 마찬가지로 사용자가 직접 선택한 암호를 사용하여 로컬 컴퓨터에서 암호화 및 해독을 하기 때문에 다른 사람이 파일을 들여다 보게 되지는 않을까 하고 걱정할 필요가 없습니다.

또한 파일을 여러 조각으로 분할하여 각각 별도의 서버에 업로드 하기 때문에, 어떤 데이터가 누구의 것인지 구분할 수 없습니다. 이 때 비밀번호는 어디에도 전송되지 않기 때문에, 비밀번호를 잊어 버리면 다시 파일을 열 수 없게 되므로 주의가 필요합니다.

Wuala는 높은 수준의 보안을 제공하면서, 기능성도 희생하지 않았습니다. 파일 버전 관리나 여러 컴퓨터간에 동기화, 그리고 모바일 앱도 제공하고 있어 이동 중일 때도 다양한 기기, 시스템에서 사용할 수 있습니다.

다만, 이동 중에도 파일에 접근 할 수 있도록 하기 위해 (파일을 다른 사람과 공유하기 위해), 보안 측면에서 어느 정도 타협을 하고 있습니다. 누군가와 파일을 공유 할 때, 비밀번호 없이 접근 할 수 있도록 한 파일은 암호화되지 않습니다. 즉, 공용 폴더에 저장한 파일은 모두 암호화 되지 않은 상태가 됩니다.

모바일 기기에서 파일에 접근 할 때, 파일의 암호화 및 해독을 위해 비밀번호가 필요합니다. Wuala는 비밀번호를 사용하여 사용자의 본인 여부를 확인합니다. 암호화는 로컬 컴퓨터, 기기에서 이루어지기 때문에 안전하지만, 비밀번호는 일시적으로 Wuala 측이 보유하게 됩니다.

Wuala는 암호화에 AES-256을, 공유 폴더에 파일을 넣을 때의 서명과 키 교환에는 RSA-2048, 무결성 검증에는 SHA-256을 사용하고 있습니다. 자세한 내용은 Wuala 페이지의 이쪽 과 이쪽 을 참조하십시오.

Tresorit

Tresorit는 시작한지 얼마 안된 암호화 저장소 서비스지만(2013년 4월 15일경에 공개), 다른 서비스가 조금 모자라게 느껴졌던 분은 한 번 시험해 보면 좋을 것입니다. 가입하면 5GB를 무료로 받을 수 있습니다. 월 $12.99에 100GB의 용량을 사용할 수 있습니다.

다른 암호화 클라우드 저장소와 마찬가지로 모든 암호화 작업은 로컬에서 이루어지기 때문에, 비밀번호를 아는 사람만이 파일을 해독하고 열어 볼 수 있습니다. 물론 Tresorit사의 직원이라 해도 암호를 해독 할 수 없습니다. Tresorit은 지금 현재까지 Windows와 안드로이드 모바일 앱만 지원하고 있는 상태인데, 맥(Mac OS X)과 iOS 버전이 아직 개발 중에 있기는 하지만, 현재 사용할 수 있는 Windows 버전 유틸리티만 해도 매우 사용자 친화적이고 사용 방법이 간단합니다.

Tresorit의 가장 큰 특징은 암호화 된 파일을 공유 할 때, 각 사용자마다 서로 다른 권한을 지정해 줄 수 있다는 점입니다. 공유된 파일은 상대가 파일을 다운로드 하여 기기, 컴퓨터와 같은 로컬에서 열어 보고 해독 될 때까지 암호화 된 상태로 유지됩니다.

Tresorit은 업로드 하기 전에 모든 파일을 AES-256으로 암호화합니다. Tresorit에 따르면,

업로드 하기 전 추가적인 보안이 적용됩니다. SHA-512 해시의 HMAC 메시지 인증 코드를 사용합니다. 암호화 된 파일은 TLS로 보호 된 채널을 통해 클라우드에 업로드 됩니다.

Mega.co.nz

Mega는 "MEGAUPLOAD"의 설립자 김 닷컴 씨가 만든 서비스입니다. 가입하면 50GB의 저장 공간을 받을 수 있습니다. 프로 계정도 있어, 월 9.99 유로로 500GB, 그리고 99.99 유로로 4TB까지 확장 가능합니다. 그런데 다른 서비스와는 달리, 컴퓨터용 프로그램이 없으며, 동기화나 모바일 앱도 없습니다. 모든 작업은 웹브라우저에서 이뤄집니다. (참고: Mega의 서비스 웹사이트가 오페라 12.0을 비롯한 이전 버전의 오페라와는 호환되지 않는 것으로 보입니다. 오페라 16.0 버전 이상의 가장 최신 버전으로 접속해야 접속이 가능합니다)

Mega에 가입하여 비밀번호를 입력하면, 암호화와 해독에 사용될 키가 생성됩니다. 파일은 업로드 하기 전에 암호화 되어, 다운로드 한 후에 해독됩니다. 암호화 된 파일은 모두 SSL(Secure Sockets Layer)로 전송됩니다.

Mega 암호화는 사용자 제어형 (UCE)입니다. 즉, 사용자가 선택한 암호가 보안을 좌우합니다. 암호를 잃어버리면 모든 파일에 접근 할 수 없게 됩니다. 하지만, 모든 것이 암호화 되는 것은 아닙니다. 파일과 폴더는 암호화되지만, 폴더 구조와 파일의 소유권 정보는 암호화되지 않습니다. 자세한 내용은 도움말의 내용을 살펴 보세요. Mega는 암호화에 대해 다음과 같이 설명하고 있습니다.

대량 전송은 AES-128 (AES-192 및 AES-256은 이론적으로 안전성이 높습니다만, 그 이상으로 CPU의 소비가 많기 때문에, 양자 컴퓨터가 나올 때까지는 실용적이지 않습니다), 그리고 다운로드 후 무결성 검사는 CCM으로 실행합니다. OCB보다는 효과가 떨어지지만, 특허에 의해 지장을 받지는 않습니다.

 

사용자 간의 파일 공유 및 수신함으로의 파일 다운로드는 RSA-2048을 사용합니다. 암호화, 복호화(독해), 암호 키의 생성은 JavaScript로 구현되어 있기 때문에, 처리량이 초당 몇 MB로 제한되며, CPU에도 부하가 걸립니다. 우리는 주요 브라우저에 HTML5의 WebCrypto API가 표준으로 탑재되기를 기대하고 있습니다. 이렇게 하면 병목 현상이 해소 될 것입니다.

 

JavaScript에 탑재된 난수 생성기는 "crypto.*"과 함께 마우스나 키보드의 타이밍으로 동작되는 RC4 엔트로피 풀을 사용하여 보강되고 있습니다.

주의해야 할 점으로, Mega는 개인 정보 보호를 약속하면서 대용량의 저장 공간을 제공하고 있기는 하지만 (모바일 앱과 데스크톱 컴퓨터용 도구도 곧 공개한다고 함) 다른 클라우드 저장소 서비스에 비해 암호화 강도가 월등히 떨어진다는 점입니다.

Ars Technica의 보고에 따르면, Mega의 암호화 방법론은 아직도 불충분 하다고합니다. Mega는 발견되는 문제점에 현상금을 내걸고 있어, 몇 가지 취약점이 발견되고 있습니다. Mega의 비밀번호를 해킹하는 전용 프로그램까지 있습니다. 하지만 Mega 서비스는 개선을 약속하고 있습니다. 비교적 빠른 속도와 유연성을 갖춘 대용량 저장소를 찾고 있는 분은 꼭 확인해 보세요. 강력한 암호화 및 보안을 원한다면, 향후 업데이트를 기다립시다. 혹은 앞서 소개했던 안정적인 서비스 중 하나를 사용하면 되겠지요.