윈도우가 전통적으로 보안 측면에서 문제투성이라는 것은 누구나 아는 사실이다. 매달 정해진 날짜에 최신 보안 결함을 발표하는 운영체제가 과연 또 있을까?

이제 마이크로소프트는 윈도우 11 버전 24H2 이상을 실행하는 코파일럿+ PC에서 사용자의 모든 활동을 자동으로 캡처해 검색할 수 있는 타임라인으로 만들어주는 AI 기반 기능 ‘리콜(Recall)’을 도입했다. 이 기능은 화면을 지속적으로 캡처하는 방식으로 작동한다.

지난 1년간의 논란과 수차례의 연기 끝에, 마이크로소프트는 리콜의 아키텍처를 대폭 수정했다. 프라이버시와 보안 우려가 광범위하게 제기되자 기능 구조 전반에 변화를 준 것이다. 이제 리콜은 사용자가 직접 활성화해야 하는 옵트인(opt-in) 방식으로 바뀌었고, 윈도우 헬로(Windows Hello) 생체 인증을 필수적으로 요구한다. 모든 스냅샷은 로컬에서 암호화되며, 신용카드 번호와 같은 민감한 정보는 자동으로 필터링된다. 이와 함께 특정 앱이나 웹사이트를 캡처 대상에서 제외하는 설정도 추가됐다.

감탄은 커녕 실망스러울 뿐이다. 며칠 전 배포된 최신 패치 화요일(Patch Tuesday) 업데이트에서 마이크로소프트는 무려 5건이나 되는 윈도우 제로데이 보안 취약점을 공개했다. 이런 전력을 가진 회사의 리콜 기능을 어떻게 믿을 수 있겠는가?

설령 이 기능을 활성화하지 않는다 해도, ‘국민 보호’를 명분으로 정부가 일부 사용자의 PC에서 리콜을 강제로 활성화하라고 지시하면 어떻게 될까? 요즘은 마이크로소프트 계정 없이 윈도우를 사용하는 것이 사실상 불가능한 상황이라 누구에게 어떤 ‘업데이트’를 적용할지 선택하는 일은 식은 죽 먹기일 것이다.

이 같은 우려는 필자 한 사람만의 걱정이 아니다. 리콜은 여전히 비판의 중심에 서 있으며, 여러 프라이버시 보호 단체와 보안 전문가는 사용자의 화면에 표시되는 모든 내용을 몇 초 간격으로 캡처하고 저장하는 리콜의 작동 방식 자체가 지나치게 위험하다고 경고한다. 설령 사용자가 해당 기능을 사용하지 않더라도, 자신이 상호작용하는 모든 사람이 리콜을 활성화했을 수도 있다.

펜실베이니아대학교에 있는 한 지인은 학교 측이 마이크로소프트의 리콜 기능을 검토한 결과, “중대하고 수용할 수 없는 수준의 보안, 법적, 프라이버시 문제를 초래한다”라는 결론을 내렸다고 말했다. 필자 역시 그 평가에 전적으로 공감한다.

자체적인 보안 문제로 논란이 된 러시아의 보안 업체 카스퍼스키조차 리콜 사용을 피하라고 권고했다. 이유는 분명하다. 처음 리콜을 활성화할 때는 생체 인증이 필요하지만, 일단 설정이 완료되면 이후부터는 간단한 PIN 입력만으로 접근이 가능하다. 또한, 민감 정보 자동 필터링 기능 역시 신뢰하기 어렵다고 지적했다. 예를 들어 크롬이나 엣지의 프라이빗 모드에서는 스냅샷 캡처를 중단하지만, 비발디의 브라우저에서는 제대로 작동하지 않는다.

카스퍼스키의 지적대로 자동 전사 기능을 활성화한 상태로 화상회의를 진행할 경우 리콜은 ‘누가, 언제, 무엇을 말했다’라는 내용까지 포함된 회의 전사본 전체를 저장한다.

암호화 메시지 앱 시그널(Signal)은 윈도우용 데스크톱 앱에 ‘화면 보안(Screen Security)’ 설정을 새롭게 추가하면서 리콜 기능에 철저히 선을 그었다. 윈도우 11에서 기본적으로 활성화되는 이 기능은 디지털 권한 관리(Digital Rights Management, DRM) 플래그를 활용해 윈도우 리콜을 포함한 모든 애플리케이션이 시그널 대화창을 캡처하지 못하도록 막는다. 리콜이나 기타 스크린샷 도구가 시그널 창을 캡처하려고 시도할 경우, 결과물은 빈 화면 이미지로 처리된다.

이 기능을 추가한 이유에 대해 시그널은 다음과 같이 설명했다.

마이크로소프트가 지난 12개월간 비판적 피드백에 대응해 여러 조정을 거쳤다고는 하지만, 개편된 리콜조차도 시그널처럼 프라이버시를 중시하는 앱의 콘텐츠를 위험에 빠뜨릴 수 있다. 이에 따라 시그널은 윈도우 11에서 시그널 데스크톱 버전의 보안을 유지하기 위해 추가적인 기본 보호 계층을 적용했다. 이는 일부 사용성 저하를 동반할 수 있으나, 마이크로소프트는 다른 선택지를 주지 않았다.

사실 다른 선택지가 있긴 하다. 바로 데스크톱 리눅스다. 예전에도 말했지만, 다시 강조한다. 데스크톱 보안을 정말로 중요하게 생각한다면, 선택지는 결국 리눅스다.
dl-itworldkorea@foundryco.com