투타 (이메일)

투타(Tuta, 구 명칭 Tutanota)는 독일의 단대단 암호화 기반 이메일 암호화 앱이자 프리미엄 보안 이메일 서비스이다. 이 서비스는 광고가 없으며 기부와 유료 구독에 의존한다. 2023년 6월 기준, Tutanota의 소유주들은 1,000만 명 이상의 사용자를 보유하고 있다고 밝혔다. 이 회사는 2019년 3월에 100% 재생 가능 에너지 전기로 전환한다고 발표했다. 이 결정은 직원들이 청소년 기후행동(Fridays for Future) 시위에 참여한 것과 때를 같이했다. 2024년 10월 1일, 투타는 독립형 암호화 캘린더 앱을 출시했다. 또한 곧 Tuta Drive로 알려질 가능성이 높은 파일 저장소 애플리케이션을 출시할 계획임을 확인했으나, 출시일은 아직 확정되지 않았다. Tuta Mail은 자체 프로토콜인 TutaCrypt를 통해 양자 후 암호 기능을 통합했으며, 2024년 3월 이후 생성된 계정에 대해 RSA-2048 및 AES-256과 같은 표준 암호화 방식을 대체했다.

 역사 
섬네일|2014년부터 2024년까지 사용된 Tutanota 로고
Tutanota는 라틴어에서 유래되었으며 "안전한 메시지"를 의미하는 "tuta"와 "nota"라는 단어를 포함하고 있다. Tutao GmbH는 2011년 독일 하노버에서 설립되었다.

투타 개발자들의 목표는 이메일 프라이버시를 위해 싸우는 것이다. 그들의 비전은 2013년 7월 에드워드 스노든이 엑스키스코어와 같은 NSA의 대량 감시 프로그램을 폭로했을 때 더욱 중요해졌다.

2014년부터 이 소프트웨어는 오픈 소스로 공개되었으며 외부인이 깃허브에서 검토할 수 있게 되었다.

2018년 8월, 투타는 독점 코드에 대한 모든 의존성을 제거하고 F-Droid에 앱을 출시한 최초의 이메일 서비스 제공업체가 되었다. 이는 알림을 위한 구글 클라우드 메시징(GCM) 의존성을 서버 전송 이벤트(SSE)로 대체한 앱 전면 개편의 일환이었다. 새 앱은 검색, 2단계 인증(2FA)을 지원하고 사용자 인터페이스도 새롭게 개선되었다.

2020년 11월, 쾰른 법원은 공갈 시도에 사용된 단일 투타 계정에 대한 모니터링을 명령했다. 모니터링 기능은 해당 계정이 받게 될 미래의 암호화되지 않은 이메일에만 적용되어야 하며 이전에 수신된 이메일에는 영향을 미치지 않는다.

2023년 11월 7일, Tutanota는 브랜드 이름을 단순히 'Tuta'로 변경한다고 발표했다. 이전 도메인 네임인 tutanota.com은 이제 더 짧은 tuta.com으로 리디렉션된다.

2023년 11월 11일, Tuta가 당국의 백도어가 있는 범죄자용 허니팟으로 사용되고 있다는 주장이 제기되었다. 전직 왕립 캐나다 기마경찰(RCMP) 요원인 캐머런 오티스(Cameron Ortis)는 이 서비스가 범죄자들을 유인하고 이에 걸려든 사람들에 대한 정보를 얻기 위한 위장 창구로 사용되었다고 증언했다. 그는 당국이 전체 서비스를 모니터링하여 파이브 아이즈에 전달하고, 파이브 아이즈는 이를 다시 RCMP에 분배하여 범죄 지하 세계에 대한 더 많은 지식을 얻었다고 진술했다. 그러나 이 진술을 뒷받침할 증거는 제시되지 않았으며, 투타는 해당 주장을 전면 부인했다.

 서비스 
 Tuta Mail 
"Tuta Mail"은 투타의 초기이자 주요 서비스이다. Tuta Mail은 안드로이드(구글, F-Droid, apk) 및 iOS에서 다운로드 가능한 완전한 단대단 암호화 이메일 서비스이다. Tuta Mail은 리눅스, 윈도우 및 macOS용 이메일 클라이언트를 보유하고 있다. 웹 브라우저를 통해서도 접속할 수 있다. 2024년에 투타는 양자 컴퓨터의 미래 공격으로부터 데이터를 보호하기 위해 시그널과 유사한 혼합 암호 체계 프로토콜에 양자 내성 알고리즘을 도입했다.

 Tuta Calendar 
"Tuta Calendar"는 양자 후 암호로 암호화된다. Tuta Calendar는 처음에 Tuta Mail의 통합 캘린더로 출시되었다. 2024년 10월, 투타는 iOS 및 안드로이드에서 사용 가능한 독립형 캘린더 앱으로 출시했다.

 Tuta Drive 
Tuta Drive는 개발 중인 비공개 파일 저장소 서비스로, 다른 Tuta 서비스와 마찬가지로 양자 후 암호를 지원할 예정이다. 이 서비스를 개발하기 위해 독일 정부로부터 150만 유로의 보조금을 지원받았다. 출시일은 발표되지 않았다.

 요금 체계 
투타는 1GB의 저장 공간과 하나의 캘린더를 제공하는 무료 플랜을 운영한다. 유료 플랜에는 20GB 저장 공간, 무제한 캘린더, 15개의 주소를 제공하는 월 3유로의 가장 인기 있는 'Revolutionary' 플랜과 500GB 저장 공간 및 30개의 주소를 포함하는 월 8유로의 'Legend' 플랜이 있다. 비즈니스 플랜도 월 6유로에서 12유로 사이의 가격으로 제공된다.

 암호화 
사용자가 투타에 가입하면 개인 키와 공개 키가 기기에서 로컬로 생성된다. 개인 키는 투타 서버로 전송되기 전에 사용자의 비밀번호로 암호화된다. 사용자 비밀번호는 Argon2 및 SHA256을 사용하여 해싱된다.

투타 사용자 간의 이메일은 자동으로 단대단 암호화된다. 외부 수신자에게 보내는 이메일의 경우 대칭 암호화를 위해 비밀번호를 교환해야 한다. 투타는 또한 메타데이터 및 검색 색인과 함께 이메일 및 캘린더의 제목줄과 첨부 파일도 암호화한다. 사용자의 이메일 주소와 발신자 및 수신자의 주소는 평문으로 저장된다. 이메일이 송수신된 시간을 나타내는 타임스탬프 또한 암호화되지 않는다.

투타는 256비트 길이의 고급 암호화 표준(AES)과 2048비트 RSA로 구성된 표준화된 혼합 방식을 사용한다. Tuta를 사용하지 않는 외부 수신자에게는 임시 Tuta 계정으로 연결되는 링크가 포함된 알림이 전송된다. 미리 교환한 비밀번호를 입력하면 수신자는 메시지를 읽고 단대단 암호화된 답장을 보낼 수 있다.

Tuta Mail은 2024년 3월 이후 생성된 새 계정에 대해 새로운 프로토콜인 TutaCrypt를 통해 양자 후 암호 기능을 사용한다. TutaCrypt는 전통적인 암호화 방식과 양자 내성 알고리즘을 결합하여 통신을 보호한다. 이는 기존의 RSA-2048 키를 두 개의 새로운 키 쌍으로 대체한다:

 타원 곡선 키 쌍: 타원 곡선 디피-헬먼(ECDH) 키 교환을 위해 X25519 곡선을 활용한다.

 Kyber-1024 키 쌍: CRYSTALS-Kyber 알고리즘을 사용하여 양자 후 키 캡슐화를 구현한다.
TutaCrypt는 인증된 대칭 암호화를 위해 HMAC-SHA-256과 함께 CBC 모드의 AES-256을 사용한다. 2024년 3월 이전에 생성된 기존 사용자 계정에 대한 TutaCrypt 전환은 2024년 12월에 이루어질 예정이다. 투타는 제목줄 암호화의 한계와 알고리즘 업데이트의 유연성 부족 때문에 PGP를 사용하지 않는다고 밝혔다. S/MIME 또한 2018년에 확인된 치명적인 취약점 때문에 사용하지 않는다.

 평가 
기술 전문 웹사이트들의 Tuta에 대한 리뷰는 대체로 긍정적이었다. 2023년 7월, 테크레이더(TechRadar)는 Tuta Mail을 광범위한 기능과 직관적인 디자인에 중점을 둔 "훌륭한 암호화 이메일 플랫폼"이라고 칭찬했다. 그러나 고객 지원의 한계와 추가 저장 공간 비용에 대해서는 비판했다. 2024년 6월, PCMag은 강력한 암호화와 사용자 친화적인 인터페이스를 강조하며 Tuta에 5점 만점에 4점을 부여했다. CyberNews는 종합 4.6점을 주었으나, PGP 및 IMAP 지원 부족을 비판했다. 또한 투타의 본사가 독일에 있다는 점이 14개의 눈 연합의 일부라는 점을 단점으로 지적했다.

 미래 
투타는 양자 후 암호에 중점을 둔 "TutaDrive"라는 이름의 클라우드 스토리지 플랫폼을 개발 중이다. 공식 명칭이 "PQDrive - 양자 후 암호화 온라인 저장소 개발"인 이 프로젝트는 Tuta와 같은 중소기업(SME)을 지원하는 독일 정부의 KMU-innovativ 프로그램으로부터 150만 유로의 자금을 지원받는다. 이 프로젝트는 또한 연구개발에서 핵심적인 역할을 수행할 부퍼탈 대학교와의 60만 유로 규모 협력을 통해 추가 지원을 받는다.

 계정 삭제 
투타는 6개월 동안 로그인하지 않은 무료 계정을 삭제한다. Tuta에 따르면 이는 보안상의 이유와 서비스의 무료 유지를 위해 발생한다.

투타는 2018년부터 일반 데이터 보호 규칙(GDPR)을 준수하고 있다.

 검검 
투타는 2019년 10월부터 이집트에서 차단되었으며, 2020년 2월부터 러시아에서 알 수 없는 이유로(국외에서 운영되는 서비스, 특히 암호화된 통신을 포함하는 서비스에 대한 조치와 관련이 있다고 여겨짐) 차단되었다.

 같이 보기 
 메일 서버 비교
 웹 메일 제공업체 비교

 각주 

 외부 링크 
 

분류:자유 보안 소프트웨어
분류:크로스 플랫폼 소프트웨어
분류:2011년 개설된 인터넷 자산
분류:자바스크립트로 작성된 자유 소프트웨어
분류:GPL 라이선스 소프트웨어