사이퍼펑크

섬네일
사이퍼펑크(cypherpunk)는 사회적, 정치적 변화의 방법으로 강력한 암호 기술과 프라이버시 강화 기술의 광범위한 사용을 옹호하는 모든 개인을 가리킨다. 원래 사이퍼펑크 메일링 리스트를 통해 교류하던 비공식 집단들은 암호 기술의 선제적 사용을 통한 개인 정보 보호와 보안 달성을 추구했다.

사이퍼펑크 운동은 1980년대 후반에 시작되어 1992년 '사이퍼펑크' 전자 메일링 리스트가 개설되면서 활력을 얻었다. 이 메일링 리스트에서 활동가, 기술 전문가, 암호학자들의 비공식적 그룹은 개인 프라이버시를 강화하고 국가 또는 기업의 감시에 저항하는 전략에 대해 논의했다. 자유지상주의 철학에 뿌리를 둔 이 운동은 탈중앙화, 개인의 자율성, 그리고 중앙 집중 권위로부터의 자유라는 원칙에 기반을 두고 있다. 사이퍼펑크는 비트코인 및 기타 암호화폐의 창조와 같이 탈중앙화되고 검열 저항적인 화폐라는 사이퍼펑크의 이상을 구현한 기술들의 발전에 영향을 미치며, 전 세계 금융, 통신, 프라이버시 관행을 바꾸다.

또한, 이 운동은 보안 메시징 앱이나 프라이버시 중심의 웹 브라우저와 같이 일상 기술에서 암호화가 주류가 되는 데 기여했다.

 역사 

 메일링 리스트 이전 

대략 1970년대까지, 암호 기술은 군사 또는 정보 기관에서 비밀리에 활용하는 것이 일반적이었다. 두 개의 출판물이 대중에게 공개되면서 상황이 바뀌었는데 하나는 미국 정부가 출판한 데이터 암호화 표준(DES)으로 매우 널리 쓰이게 된 블록 암호이고 다른 하나는 공개적으로 활용가능한 최초의 공개 키 암호 방식인 휫필드 디피와 마틴 헬먼의 작업물이다.

사이퍼펑크 사상의 기술적 뿌리는 익명 전자 화폐, 가명 평판 시스템 등을 주제로 한 암호학자 데이비드 차움의 작업들로 거슬러 올라가는데 그의 논문 "사용자를 식별하지 않는 보안: 빅 브라더를 무용지물로 만드는 거래 시스템" (Security without Identification: Transaction Systems to Make Big Brother Obsolete, 1985)에서 이를 다루고 있다.

1980년대 후반 이러한 아이디어가 모여 하나의 운동을 이루게 되었다.

 어원 및 사이퍼펑크 메일링 리스트 

1992년 후반 에릭 휴스, 티모시 C. 메이, 존 길모어는 매월 샌프란시스코 베이 에어리어에 위치한 길모어의 회사 시그너스 솔루션스에 만나는 작은 모임을 시작했다. 첫 번째 모임의 참석자였던 주드 밀론은 암호문(cipher)과 사이버펑크(cyberpunk),두 단어로부터 사이퍼펑크라는 단어를 만들었다. 2006년 11월 사이퍼펑크는 옥스포드 영어사전에 등재되었다.

사이퍼펑크 메일링 리스트는 1992년 시작되었으며, 1994년에는 700명의 구독자가 있었다. 전성기에는 기술적 토론이 활발하게 이루어졌는데 논의의 대상은 수학, 암호학, 컴퓨터 과학, 정치적 또는 철학적 논의, 개인적인 말싸움과 공격, 일부 스팸 메일까지 포함하고 있었다. 존 길모어의 메일에 따르면 1996년 12월 1일부터 1999년 3월 1일까지 하루 평균 30건의 메시지를 교환했고 그 이전에는 더 많은 수의 메시지를 주고 받았을 것이라고 한다. 1997년에는 구독자 수가 2천 명에 이르렀던 것으로 추정된다.

1997년 초, 짐 초트(Jim Choate)와 이고르 추도프(Igor Chudov)는 중앙 집중식 리스트 구조의 단일 장애점을 제거하기 위해 독립적인 메일링 리스트 노드 네트워크인 '사이퍼펑크 분산 리메일러(Cypherpunks Distributed Remailer)'를 구축했다. 전성기에는 최소 7개의 노드가 포함되었으며, 2005년 중반에는 al-qaeda.net이 유일하게 남은 노드였다. 2013년 중반, al-qaeda.net 노드의 리스트 소프트웨어가 Majordomo에서 GNU Mailman으로 변경된 후 cpunks.org로 이름이 바뀌었다. 분산 리메일러 구조는 현재 사라졌지만, 2013년 리스트 관리자는 새로운 메일링 리스트 소프트웨어에 이 기능을 통합할 방법을 모색하고 있다고 밝혔다.

한동안 사이퍼펑크 메일링 리스트는 '메일 폭탄'을 보내는 사람들에게 인기 있는 도구였다. 이들은 피해자를 메일링 리스트에 구독시켜 엄청난 양의 메시지가 전송되도록 했다. 이로 인해 리스트 운영자들은 구독 시스템을 '답장 후 구독' 방식으로 변경했다. 메일링 리스트에서는 하루 약 200개의 메시지가 오갔는데, 이는 개인적 논쟁, 정치적 토론, 기술적 토론, 그리고 초기 스팸 등으로 나뉘었다.

사이퍼펑크 메일링 리스트는 암호학과 관련된 공공 정책 문제와 익명성, 가명, 평판, 프라이버시와 같은 개념의 정치 및 철학에 대해 광범위하게 논의했다. GURPS 사이버펑크 급습과 같은 사건들은 개인이 자신의 프라이버시를 보호하기 위한 조치를 취해야 한다는 생각에 힘을 실어주었다. 전성기에는 암호화 관련 공공 정책 문제뿐만 아니라 수학, 전산, 기술, 암호학 등 실질적인 문제들도 다루었다. 리스트에는 다양한 관점이 존재했으며, 모든 것에 대해 완전히 만장일치로 합의된 것은 없었다. 그러나 전반적으로는 개인의 프라이버시와 자유를 다른 모든 고려 사항보다 우선시했다.

 온라인 프라이버시에 대한 초기 논의 
사이퍼펑크 메일링 리스트는 1990년대 초반부터 프라이버시, 정부의 감시, 기업의 정보 통제와 같은 문제들을 논의했다. 이러한 주제들은 최소 10년이 지난 후에야 비로소 대중적인 관심사로 떠올랐다. 일부 리스트 참여자들은 이 문제들에 대해 매우 급진적인 입장을 취했다.

리스트의 맥락을 이해하려면 암호학의 역사를 참고할 필요가 있다. 1990년대 초, 미국 정부는 암호화 소프트웨어를 수출 규제 품목인 '군수품'으로 분류했다. PGP(Pretty Good Privacy) 소스 코드가 이러한 규제의 부질없음을 증명하고 우회하기 위해 종이책으로 출판된 것은 잘 알려진 사례다. 1992년, 미국 국가안보국(NSA)와 SPA(Software Publishers Association)의 합의로 상대적으로 취약하다고 여겨지는 40비트 RC2 및 RC4 기반의 암호화 기술 수출이 허용되었다. 이후 SSL(Secure Sockets Layer)이 등장하면서 이 기술들을 해킹하려는 많은 시도가 있었다. 미국 정부는 또한 스키프잭(Skipjack)과 키 에스크로(key escrow)와 같은 계획을 통해 암호화를 약화시키려 시도했다. 또한, 정부 기관이 모든 통신을 기록한다는 사실은 당시 널리 알려지지 않았으나 (이는 나중에 NSA와 AT&T 스캔들을 통해 밝혀졌다), 리스트 회원들 사이에서는 명백한 사실로 받아들여졌다.

원래의 사이퍼펑크 메일링 리스트와 첫 번째 파생 리스트인 '코더펑크(coderpunks)'는 존 길모어의 toad.com에서 호스팅되었다. 그러나 운영자와의 불화로 인해 리스트는 여러 교차 연결된 메일 서버로 이전되었고, 이는 '분산형 메일링 리스트'라고 불렸다. 코더펑크 리스트는 초대 전용으로 운영되었으며, 공공 정책보다는 기술적인 문제에 대해 더 많이 논의했다. 오늘날 'cryptography@metzdowd.com'의 암호학 리스트, 'fc-announce@ifca.ai'의 금융 암호학 리스트, 그리고 소수의 비공개(초대 전용) 리스트들은 모두 원래의 사이퍼펑크 리스트에서 그 계보를 찾을 수 있다.

toad.com은 기존 구독자 리스트를 그대로 유지하고 새로운 분산형 메일링 리스트에 미러링되었지만, 분산 리스트의 메시지들은 toad.com에 나타나지 않았다.리스트의 인기가 시들해지면서 교차 연결된 구독 노드의 수도 줄어들었다.

어느 정도는 'cryptography' 리스트가 사이퍼펑크 리스트의 후계자 역할을 하고 있다. 이 리스트에는 사이퍼펑크 리스트의 많은 인물이 참여하고 있으며, 일부 동일한 논의가 계속되고 있다. 그러나 이 리스트는 운영자가 관리하며, 원래 리스트보다 덜 괴팍하고 좀 더 기술적이다. PGP, 리눅스 커널의 /dev/random (실제 코드는 그 이후로 여러 차례 완전히 재구현되었다), 그리고 오늘날의 익명 리메일러를 포함한 여러 현재 시스템들은 이 메일링 리스트에서 시작되었다.

 기본 원칙 
기본적인 사상은 1993년 에릭 휴즈(Eric Hughes)의 《사이버펑크 선언문(A Cypherpunk's Manifesto)》에서 찾아볼 수 있다. 그는 다음과 같이 주장하였다.

“프라이버시는 전자 시대의 개방된 사회에 필수적이다. … 우리는 정부, 기업, 혹은 다른 거대하고 익명의 조직들이 우리에게 프라이버시를 보장해주기를 기대할 수 없다. … 우리가 프라이버시를 원한다면, 우리는 스스로 그것을 지켜야 한다. … 사이퍼펑크들은 코드를 작성한다. 우리는 누군가 프라이버시를 지켜주는 소프트웨어를 만들어야 한다는 것을 알고 있으며, … 우리가 그것을 작성할 것이다.”

일부는 주요 첨단 기술 기업에서 고위직으로 재직하거나 재직한 경험이 있으며, 다른 일부는 잘 알려진 연구자들이다.

사이퍼펑크에 대한 최초의 대중매체 논의는 1993년 《와이어드》에 스티븐 레비(Steven Levy)가 쓴 기사 《Crypto Rebels》에서 이루어졌다.

The first mass media discussion of cypherpunks was in a 1993 Wired article by Steven Levy titled Crypto Rebels:
해당 《와이어드》 호 표지에 등장한 세 명의 가면 쓴 인물은 유명 사이퍼펑크인 팀 메이(Tim May), 에릭 휴즈(Eric Hughes), 존 길모어(John Gilmore)였다.

이후 스티븐 레비는 《Crypto: How the Code Rebels Beat the Government – Saving Privacy in the Digital Age》라는 책을 집필하여, 1990년대 암호 전쟁(crypto wars)을 자세히 다루었다. 책 제목의 "Code Rebels"는 사이퍼펑크와 거의 동일한 의미로 사용된다.

사이퍼펑크(cypherpunk)라는 용어는 약간 모호하게 사용되기도 한다. 대부분의 문맥에서는 암호학을 사회적 변화, 사회적 영향력, 표현의 도구로 옹호하는 사람을 의미한다. 그러나 때로는 아래에서 설명할 사이퍼펑크 전자 메일링 리스트(Cypherpunks mailing list) 참가자를 의미하기도 한다. 두 의미는 분명히 겹치지만, 완전히 동일한 개념은 아니다.

사이퍼펑크 사상을 보여주는 문서로는 팀 메이(Timothy C. May)의 《The Crypto Anarchist Manifesto》(1992), 《The Cyphernomicon》(1994), 《A Cypherpunk's Manifesto》 등이 있다.

 통신의 프라이버시 
사이퍼펑크 운동에서 가장 기본적인 쟁점 중 하나는 통신의 프라이버시와 데이터 보존 문제이다. 존 길모어는 개인 통신의 프라이버시에 대해 "법률이 아닌 물리학과 수학으로 우리가 스스로에게 진정한 프라이버시를 보장할 수 있기를 원한다"고 말했다

이러한 보장을 위해서는 강력한 암호학이 필요하므로, 사이퍼펑크들은 암호 사용이나 수출을 통제하려는 정부 정책에 근본적으로 반대하였다. 《사이퍼펑크 선언문》에서는 "사이퍼펑크들은 암호학에 대한 규제를 개탄한다. 왜냐하면 암호화는 본질적으로 사적인 행위이기 때문이다."라고 밝히고 있다.

이는 많은 사이퍼펑크들에게 핵심적인 문제였다. 대부분은 암호학을 제한하려는 정부의 여러 시도들; 암호 수출 규제, 제한된 키 길이 암호의 장려, 특히 에스크로 암호화에 강력히 반대하였다.

 익명성과 가명성 
익명성, 가명성 그리고 평판 문제 또한 광범위하게 논의되었다. 사이퍼펑크들의 대다수는 익명 발언과 출판의 가능성이 개방된 사회와 진정한 표현의 자유에 필수적이라고 주장하였다.

 검열과 감시 
일반적으로 사이퍼펑크들은 정부와 경찰의 검열과 감시에 반대하였다.

특히 미국 정부가 추진한 클리퍼 칩 제도(정부가 열람할 수 있도록 전화 통화를 에스크로 암호화하는 방식)는 많은 사이퍼펑크들에게 혐오스러운 것으로 여겨졌다. 이 문제는 강한 반발을 불러일으켰고, 많은 새로운 참여자들이 사이퍼펑크 진영에 합류하게 만들었다. 메일링 리스트의 참가자였던 맷 블레이즈는 이 제도에서 심각한 결함을 발견하여 그 종말을 앞당기는 데 기여하였다.

또한 스티븐 시어는 2002년에 법원의 명령이나 국가안보 서한(NSL)의 비밀 유지 조항을 무력화하기 위해 영장 카나리아(Warrant canary)를 처음 제안하였다. 2013년 기준으로 영장 카나리아는 상업적으로 점차 수용되고 있다.
 숨김 행위의 숨김 
억압적인 권력이 존재하는 환경에서 암호 기술을 사용하는 문제는 사이퍼펑크 논의에서 매우 중요한 주제 중 하나이다. 이로 인해 사이퍼펑크들은 암호화 자체의 사용 사실을 숨기거나, 혹은 심문자가 이미 숨겨진 정보를 강제로 추출했다고 믿게 만드는 스테가노그래피(Steganography) 기법을 연구하고 발전시켜 왔다.

예를 들어, 러버호스는 저장 장치에 실제 비밀 데이터와 가짜 비밀 데이터를 구분된 영역에 섞어 저장하고, 각 영역에 서로 다른 암호를 부여하는 도구였다. 심문자가 하나의 암호를 알아내어 접근하더라도, 그들은 원하는 정보를 얻었다고 믿게 되지만, 실제로는 진짜 데이터는 여전히 숨겨져 있는 상태로 남는다. 즉, "그 존재 자체가 숨겨지는 것"이다.

또한 사이퍼펑크들은 억압적인 정권이 설치한 네트워크 모니터링 시스템에 탐지되지 않으면서 암호화를 사용할 수 있는 조건에 대해서도 활발히 논의해 왔다.

 활동 

《사이퍼펑크 선언문》은 이렇게 말한다. “사이퍼펑크들은 코드를 쓴다.” 좋은 아이디어는 단순히 논의에 그치지 않고 실제로 구현되어야 한다는 생각은 사이퍼펑크 메일링 리스트 문화의 핵심이었다. 존 길모어는 “우리는 기술을 구축하고 배포하는 능력과, 정부가 법과 조약을 만들어 그것을 통제하려는 능력 사이에서 경주를 벌이고 있다. 어느 쪽도 완전히 패배하기 전에는 멈추거나 현명해지지 않을 것이다.”라고 말했다.

 소프트웨어 프로젝트 

익명 이메일 중계기(믹스마스터 리메일러)는 거의 전적으로 사이퍼펑크 커뮤니티에서 개발된 프로젝트였다. 그 밖의 사이퍼펑크 관련 프로젝트로는 이메일 프라이버시를 위한 PGP, 인터넷 전체에 대한 기회적 암호화(opportunistic encryption)를 지원한 FreeS/WAN, 인터넷 채팅에서의 비밀성을 위한 Off-the-record 메시징, 익명 웹 브라우징을 위한 Tor 프로젝트 등이 있다.

 하드웨어 

1998년, 전자 프런티어 재단(EFF)은 메일링 리스트의 지원을 받아 약 20만 달러의 비용으로 DES 크래커라는 기계를 제작하였다. 이 장비는 데이터 암호화 표준(DES)의 키를 며칠 만에 무차별 대입(brute-force)으로 해독할 수 있었으며, 이를 통해 DES가 사실상 안전하지 않고 시대에 뒤떨어진 암호 알고리즘임이 명확히 입증되었다. 이는 당시 미국 정부가 DES를 여전히 공식 표준으로 권장하던 입장과 대조적이었다.

 전문가 패널 

사이퍼펑크들은 다른 전문가들과 함께 암호 기술과 정책에 관한 여러 보고서 작성에도 참여하였다.

그중 하나인 〈상업적 보안을 위한 대칭 암호의 최소 키 길이〉 보고서에서는 기존 암호 체계를 안전하게 유지하기 위해서는 최소한 75비트 이상의 키 길이가 필요하다고 제안하였다. 당시 데이터 암호화 표준(DES)은 56비트 키를 사용하는 미국 정부의 공식 표준이었기 때문에, 이 보고서는 큰 반향을 일으켰다.

또 다른 보고서인 〈키 복구, 키 에스크로, 그리고 신뢰할 수 있는 제3자 암호화의 위험〉에서는 정부의 키 에스크로(escrowed encryption) 정책에 대한 비판적 분석이 이루어졌다.

또한, 〈Carnivore 시스템 기술 검토에 대한 의견〉 보고서에서는 FBI의 이메일 감시 시스템(Carnivore)에 대한 기술적 문제점을 다루었다.

1996년 미국 국립연구위원회(National Research Council)의 암호정책 보고서 《정보 사회 보안을 위한 암호 기술의 역할》(CRISIS)에서도 사이퍼펑크들은 중요한 의견을 제공하였다. 이 보고서는 미국 의회의 의뢰로 작성되었으며, 전국 각지의 전문가와 이해 관계자들의 의견을 수렴한 결과물이었다. 보고서는 당시 정부의 암호 수출 제한 정책을 점진적으로 완화할 것을 권고했으나, 정책 입안자들에게는 거의 무시되었다. 이후 사이퍼펑크들이 제기한 소송 결과로, 암호 소프트웨어에 대한 비헌법적 통제는 결국 철폐되었다.

 소송 

사이퍼펑크들은 주로 미국 정부의 위헌적 조치를 대상으로 여러 건의 소송을 제기했다.

필 카른은 1994년 암호 수출 통제를 이유로 국무부를 상대로 소송을 제기했다. 국무부는 브루스 슈나이어의 저서 《Applied Cryptography》는 수출이 가능하다고 판정했지만, 같은 내용의 코드를 담은 플로피 디스크는 ‘군수품’으로 간주해 수출 허가를 거부했다. 이 사건은 암호 기술을 ‘무기’로 분류한 정부 정책의 비합리성을 부각시켰다. 카른은 이후 하원과 상원 위원회에 출석해 암호 정책에 대한 의견을 진술하기도 했다.

대니얼 J. 번스타인은 전자 프런티어 재단(EFF)의 지원을 받아 암호 소스 코드의 출판을 금지하는 것이 표현의 자유를 침해한다고 주장하며 소송을 제기했고, 승소함으로써 암호 수출 규제를 사실상 무력화시켰다. 자세한 내용은 Bernstein 대 미국 사건 문서를 참조할 수 있다.

피터 정어 또한 유사한 이유로 소송을 제기해 승소하였다.

 시민 불복종 
사이퍼펑크들은 암호기술 수출에 관한 미국 법률과 같은 사안에서 특히 시민 불복종을 장려했다.
1997년까지 암호화 코드는 법적으로 군수품으로 간주되어 국제무기거래규정(ITAR)의 통제를 받았으며, 수출관리규정(EAR)상의 키 길이 제한은 2000년이 되어서야 해제되었다.

1995년 애덤 백은 공개키 암호를 위한 RSA 알고리즘을 세 줄의 Perl 코드로 작성했고, 사람들이 이를 이메일 서명 파일로 사용하자고 제안했다.

# !/bin/perl -sp0777i