WillSignal의 보안

모든 WillSignal 메시지는 일반 또는 잠김 모드로 작성됩니다. 두 모드는 제공하는 보호가 서로 다릅니다.

보안 문구는 쉽게 과장됩니다. 이 페이지에서는 반대로, 각 모드가 무엇을 보호하는지, 어떤 키가 그 보호를 가능하게 하는지, 그리고 어디까지 보장할 수 있는지를 구체적으로 설명합니다.

일반 메시지: 외부에서는 보호되지만 WillSignal은 읽을 수 있습니다

일반은 기본 모드입니다.

일반 메시지의 본문은 WillSignal로 이동하는 동안 암호화되며, 서버에 저장된 뒤에도 암호화된 상태로 보관됩니다. 제목은 그렇지 않습니다. 일반 메시지의 제목은 서비스가 목록에 표시할 수 있도록 암호화하지 않은 채로 저장됩니다. 어느 쪽이든 본문을 여는 키는 WillSignal의 키 관리 시스템으로 보호되기 때문에 서비스가 필요할 때 그 키를 복구할 수 있습니다.

따라서 외부 공격자로부터는 내용을 보호하지만 WillSignal 자체로부터 숨기지는 않습니다. WillSignal은 일반 메시지를 읽을 수 있습니다. 대신 사용자나 수신자가 별도의 수신함 암호를 준비하지 않아도 메시지를 전달할 수 있습니다.

일반 모드는 종단간 암호화가 아닙니다. WillSignal도 이를 종단간 암호화라고 설명하지 않습니다.

일반 모드를 선택하면 WillSignal이 내용을 읽을 수 있다는 점을 받아들이는 대신, 사용자와 수신자 모두 별도의 수신함 암호 없이 메시지를 전달하고 읽을 수 있습니다.

잠김 메시지: 종단간 암호화

잠김 메시지는 제목과 본문 모두 사용자 기기에서 암호화된 뒤 WillSignal로 전달됩니다. 제목까지 봉인된다는 점이 일반 모드와의 분명한 차이입니다. 수신자의 기기에서만 열 수 있습니다.

메시지를 잠글 때는 공개 키만 있으면 되므로, 잠김 메시지를 작성하는 동안에는 수신함 암호를 묻지 않습니다. 여는 쪽에서는 필요합니다. 수신자는 수신자의 수신함 암호가 있어야 하고, 내가 보낸 사본을 다시 열거나 수정하려면 내 수신함 암호가 있어야 합니다.

WillSignal 서버에는 서비스가 열 수 없는 봉인된 데이터만 도착합니다. 메시지가 전달되는 과정에서는 평문도, 암호화되지 않은 콘텐츠 키도, 수신함 암호도 WillSignal에 전달되지 않습니다. 다만 수신자가 메시지를 신고하면 그 이후에 잠김 메시지의 내용이 WillSignal에 전달될 수 있으며, 이 경우는 아래 보장의 한계에서 설명합니다.

암호화에는 널리 쓰이고 검증된 표준 방식을 사용하며, 전체 구현은 libsodium을 기반으로 합니다.

XChaCha20-Poly1305는 메시지 내용을 암호화합니다.
X25519 봉인 상자는 콘텐츠 키를 각 수신자에게 전달합니다.
XSalsa20-Poly1305는 개인 키를 수신함 암호로 보호합니다.
Argon2id는 수신함 암호로부터 키를 만들며, 암호를 추측하는 데 큰 비용이 들도록 설정되어 있습니다.

잠김 메시지를 읽으려면 수신자에게 WillSignal 계정과 수신함 암호가 모두 있어야 합니다.

아직 계정과 연결되지 않은 이메일 주소에는 잠김 메시지를 전달할 수 없습니다. 이런 경우 메시지 작성 화면에서 안내합니다. 메시지를 잠김 상태로 유지하면서 해당 수신자를 제외하거나, 그 수신자까지 포함할 수 있도록 일반 모드로 바꿀 수 있습니다.

메시지를 보호하는 키

계정을 만들 때 수신함 암호를 정하고 복구 코드를 받습니다.

수신함 키는 사용자 기기에서 생성됩니다. 개인 키는 같은 기기에서 두 가지 방식으로 보호됩니다. 하나는 수신함 암호로, 다른 하나는 복구 코드로 보호됩니다. WillSignal에는 이렇게 보호된 사본만 전달됩니다.

수신함 암호와 복구 코드 자체는 WillSignal에 전달되지 않습니다.

이 구조 때문에 무엇을 잃었는지에 따라 결과가 달라집니다.

수신함 암호를 잊은 경우: 복구 코드를 사용하면 기존 수신함 키에 다시 접근하고 새 수신함 암호를 설정할 수 있습니다. 이전 수신함 암호를 되찾는 것은 아닙니다. 실제 수신함 키는 그대로 유지되므로 읽을 수 없게 되는 메시지는 없습니다.
수신함 암호와 복구 코드를 모두 잃은 경우: 기존 수신함 키는 복구할 수 없습니다. 우회 방법이나 마스터 키도 없습니다. 사용자가 이용할 수 있는 우회 방법이 존재한다면 공격자도 같은 방법을 이용할 수 있기 때문입니다.

두 가지를 모두 잃으면 새 수신함 키를 만들어 다시 시작하게 됩니다.

기존 키로 봉인된 잠김 메시지는 보낸 사람이 새 키로 다시 봉인하기 전까지 읽을 수 없습니다. 다시 봉인하려면 보낸 사람이 직접 로그인해 조치해야 하므로, 이미 시그널이 꺼진 사람이 보낸 메시지는 다시 봉인되지 않을 가능성이 높고 영영 읽지 못할 수 있습니다. 이전에 내가 보낸 잠김 메시지도 내 기기에서 다시 읽을 수 없게 될 수 있습니다.

다시 봉인하는 작업은 항상 누군가가 직접 선택해야 합니다. 키가 바뀌었다는 이유만으로 기존 잠김 메시지에 자동으로 접근할 수는 없습니다. 오래된 키로 봉인된 데이터는 접근을 허용하지 않는 방향으로 처리됩니다.

보장의 한계

잠김 모드는 누가 읽을 수 있는지는 제한하지만, 누가 썼는지를 증명하지는 않습니다. 암호화는 메시지를 열 수 있는 사람을 정합니다. 보낸 사람을 암호학적으로 증명하지는 않습니다. 메시지에 표시되는 이름은 암호화가 아니라 계정 정보에서 가져옵니다.
메시지를 봉인할 공개 키는 WillSignal이 제공합니다. 사용자 기기는 WillSignal에 수신자의 공개 키를 요청하고 그 응답을 신뢰합니다. 현재는 사용자가 직접 비교할 수 있는 키 지문이 없습니다. 암호화를 수행하는 앱도 WillSignal이 제공합니다. 따라서 “WillSignal은 잠김 메시지를 읽을 수 없다”는 보장은 세 가지 조건 안에서 성립합니다. WillSignal이 제공한 공개 키가 실제 수신자의 키이고, 사용 중인 앱이 정상적인 WillSignal 앱이며, 사용자 기기가 침해되지 않아야 합니다.
메타데이터까지 봉인되는 것은 아닙니다. 메시지가 잠김 상태여도 WillSignal은 그 주변의 활동 정보는 볼 수 있습니다. 누구를 수신자로 지정했는지, 언제 지정했는지, 수신자가 몇 명인지 등이 여기에 포함됩니다. 제목과 본문은 봉인되지만, 메시지 주변 정보까지 숨겨지는 것은 아닙니다.
상대방이 이미 읽은 내용까지 되돌릴 수는 없습니다. 전달된 메시지를 회수하면 수신자의 수신함에서는 사라집니다. 하지만 상대방의 기억이나 별도로 저장한 사본까지 지울 수는 없습니다.
신고된 메시지는 암호화되지 않은 상태로 WillSignal에 전달됩니다. 내가 보낸 잠김 메시지를 받은 사람이 그 메시지를 신고하면, 수신자의 기기에서 이미 복호화된 제목과 본문이 검토를 위해 WillSignal로 전송됩니다. 신고는 수신자만 할 수 있고, 이미 전달된 메시지에 대해서만 가능합니다. 전송된 사본은 신고 처리가 끝나고 30일이 지나면 삭제되고, 증거로 보관해야 하는 경우에만 남습니다.

로그인 비밀번호와 수신함 암호를 따로 두는 이유

WillSignal은 로그인과 암호화된 메시지의 잠금 해제를 의도적으로 분리합니다.

로그인은 별도의 로그인 페이지에서 진행됩니다. 해당 페이지에서 관리하는 비밀번호를 사용하거나 Google, Kakao 또는 Apple 계정으로 로그인할 수 있습니다. WillSignal 앱 화면은 로그인 자격 증명을 직접 요청하거나 확인하지 않습니다.
수신함 암호는 메시지를 잠그거나 잠금 해제할 때만 사용자 기기에서 입력합니다. 로그인 비밀번호와는 별개의 암호이며, WillSignal에는 전달되지 않습니다.

복구 코드는 수신함 암호 쪽에만 사용됩니다. 수신함 키에 다시 접근하기 위한 수단이며 로그인과는 관계가 없습니다.

암호화 밖에서 지키는 정보

WillSignal의 모든 보안 경계가 암호화에만 의존하는 것은 아닙니다. 일부 정보는 애초에 필요한 범위 밖으로 내보내지 않는 방식으로 보호합니다.

메시지 내용은 WillSignal 안에서만 공개됩니다. 일반과 잠김 모드 모두 이메일이나 문자 메시지로 내용이 전달되지 않습니다. WillSignal이 보내는 이메일에도 작성한 내용은 포함되지 않습니다.
수신 이메일 주소는 이미 그 주소를 알고 있는 사람에게만 표시됩니다. 정확한 주소를 직접 입력한 사람이나 해당 주소의 소유자만 확인할 수 있습니다. 주소 조회에는 횟수 제한이 있으며 기록도 남습니다. 이 기능은 수신자를 정확히 지정하기 위한 것이지, 사람을 검색하는 공개 디렉터리를 만들기 위한 것이 아닙니다.
시그널이 꺼지기 전까지 수신자는 기다리는 메시지의 개수만 볼 수 있습니다. 전달 전까지 메시지가 어떻게 봉인되어 있는지는 작동 방식 페이지에서 설명합니다.

현재 검토 상태

개발 과정에서 WillSignal의 설계와 구현에 보안상 문제가 없는지 반복해서 내부 검토했습니다.

WillSignal은 아직 독립된 제3자의 보안 감사를 받지 않았습니다.