키 트랜스페어런시 증명은 조회 허용을 감사할 수 없다

요약

KEYTRANS는 허용된 검색 결과를 인증하고 로그 뷰 간 불일치를 드러내는 데 도움을 줄 수 있지만, 투명성 작업 이전에 요청을 허용하거나 차단하는 애플리케이션 정책 자체를 표준화하지는 않습니다.
draft-ietf-keytrans-architecture-09는 인증, 관계 규칙, 속도 제한을 포함해 사실상 임의적인 애플리케이션 접근 통제를 명시적으로 허용하는 반면,draft-ietf-keytrans-protocol-05는 검색 접근이 해제된 후에도 필요한 모니터링을 계속할 수 있는 좁은 권리를 유지합니다.
Daniel Kade는 정책 버전, 요청자 및 관계 등급, 작업, 결정 코드, 로그 에포크, 예외 및 정정 사항을 기록하면서도 라벨, 연락처 그래프, 자격 증명 또는 전체 검색 이력을 노출하지 않는 프라이버시 보호 조회 정책 수령증을 제안합니다. 이는 편집 지침이며 KEYTRANS 또는 IETF 요구사항이 아닙니다.

투명한 답변은 보이지 않는 결정에서 시작할 수 있다

키 트랜스페어런시(Key Transparency)는 종단 간 암호화 통신의 실제 약점을 다룹니다. 사용자의 공개 키를 배포하는 메시징 서비스는 자신이 통제하는 키로 대체하고, 암호화된 것처럼 보이는 대화 안에 스스로를 끼워 넣을 수 있습니다. 검색 가능하고 암호학적으로 보호되는 이력은 신원과 키의 바인딩을 검증 가능하게 만듭니다. 사용자는 특정 라벨에 연결된 키를 검사하고, 상태를 보존하고, 다른 사람이 본 이력과 갈라지는 뷰를 탐지할 수 있습니다.

그러나 이 약속은 의도적으로 경계가 정해져 있습니다. 현재 KEYTRANS 차터는 인증 서비스가 사람에 대한 정보—신원이 등록되어 있는지 여부를 포함해—를 요청할 권한이 있는 클라이언트에게만 공개해야 한다고 명시합니다. 아키텍처는 이 프라이버시 목표를 분업으로 구현합니다. 키 트랜스페어런시 프로토콜은 저장된 매핑과 데이터 구조의 진화를 인증하고, 주변 애플리케이션이 누가 Search, Update 또는 관련 작업을 실행할 권한이 있는지 결정합니다.

이 경계는 아키텍처의 가장 단순한 예에서 드러납니다. Alice는 Alice와 Bob을 검색하고 Alice를 업데이트할 수 있습니다. Fred에 대한 검색과 Bob에 대한 업데이트는 전송 계층에서 차단됩니다. 거부된 화살표는 투명성 로그가 증명을 생성하기 전에 멈춥니다. Alice의 성공한 SearchResponse를 검증하는 검증자는 그 안에 담긴 암호학적 명제를 검사할 수 있습니다. 그러나 검증자는 빠진 Fred 응답을 설명하는 대칭적인 객체를 받지 못합니다.

이것은 프로토콜의 결함이 아닙니다. 범용 투명성 체계는 서비스가 “친구”, “동료”, “같은 조직”, “유료 계정”, “어뷰즈 의심” 또는 “속도 제한 클라이언트”를 어떻게 정의하는지 알 수 없습니다. 따라서 아키텍처는 제한된 예외를 두고 애플리케이션이 임의적인 접근 규칙을 부과하도록 허용하며, 거부 메커니즘과 가능한 설명을 애플리케이션에 맡깁니다. 거버넌스상의 실수는 유효한 투명성 증명이 게이트도 투명했다고 암시하도록 두는 것입니다.

증명이 실제로 증명하는 것

현재 프로토콜 초안은 두 개의 데이터 구조를 결합합니다. 프리픽스 트리는 라벨-버전 검색 키를 커밋먼트에 매핑하고 효율적인 포함·비포함 증명을 허용합니다. 로그 트리는 연속적인 프리픽스 트리 루트를 기록하고 시간에 걸친 일관성 검사를 허용합니다. SearchResponse는 트리 헤드, 값과 오프닝, 바이너리 래더 자료, 결합된 증명을 전달합니다. 검증은 관련 루트를 재구성하고 보존된 상태에 대해 요청된 조회를 점검합니다.

아키텍처는 이 결과 보증을 신중하게 서술합니다. 증명을 올바르게 검증하고 필요한 모니터링을 수행하는 사용자는, 투명성 로그 운영자가 해당 작업을 올바르게, 그리고 같은 라벨에 대해 대략 같은 시점에 다른 사용자가 보았을 내용과 일관되게 실행했다는 확신을 얻습니다. 운영자가 포크를 제시하거나, 작업을 잘못 실행하거나, 사용자를 허용 불가능하게 낡은 뷰에 남겨두면, 명시된 배포 가정 하에서 모니터링과 신선도 한계가 문제를 드러내도록 설계되어 있습니다.

그러나 이 계산들 중 어느 것도 애플리케이션의 정책 입력을 담지 않습니다. 프리픽스 증명은 Alice와 Bob이 친구였는지, Fred의 계정이 속도 제한을 넘었는지, 어뷰즈 예외가 활성 상태인지, 기업 테넌트가 부서 간 조회를 허용했는지, 서비스가 어떤 정책 버전을 사용했는지를 부호화하지 않습니다. 그 정밀성은 트리 안의 검색 키에 대한 것이지, 그 검색을 제출할 사람의 자격에 대한 것이 아닙니다.

이 구분은 한 계층에서만 인증서 트랜스페어런시(Certificate Transparency)와 유사합니다. RFC 6962와 RFC 9162는 추가 전용 머클 구조를 사용해 인증서 로깅을 검사 가능하게 만들고 불일치하는 이력을 탐지할 수 있게 합니다. 그러나 모든 의존 당사자의 입장, 신뢰 또는 집행 정책을 로그 증명의 일부로 만들지는 않습니다. KEYTRANS는 효율적인 프라이빗 조회와 계정 중심 모니터링을 추가하지만, 인증된 증거가 별도의 정책 아래에서 소비될 수 있다는 같은 제도적 경계를 해소하지는 않습니다.

프라이버시는 거부를 필요로 하지만, 거부도 권력 행사다

접근 통제는 단순히 제거해야 할 불편함이 아닙니다. KEYTRANS 프라이버시 모델은 그것에 의존합니다. 서비스는 특정 라벨의 존재 여부를 낯선 사람에게 숨겨야 할 수 있습니다. 더 이상 연락처가 아닌 사람은 계정이 변경되었는지 알 수 없도록 제한될 수 있습니다. 운영자는 사용자 모수와 업데이트 빈도를 가리기 위해 로그에 패딩을 넣을 수 있습니다. 모든 답이 암호학적으로 완벽하더라도, 공개되고 제한 없는 디렉터리는 이런 목적을 무너뜨릴 것입니다.

따라서 애플리케이션 게이트는 정당한 이익을 보호합니다. 동시에 중대한 결정을 내립니다. 규칙이 낡아지면 의도된 수신자의 새 키가 권한 있는 통신 상대에게 도달하지 못할 수 있습니다. 기기 간 관계 상태가 다르면 두 사람이 로그에 어떤 포크도 없이 서로 다른 입장 결정을 받을 수 있습니다. 속도 제한이 조용히 바뀌면 고위험 클라이언트가 인시던트 중 키를 검증하지 못할 수 있습니다. 예외가 목적이 끝난 뒤에도 남으면, 관계가 끝난 후에도 누군가 계정의 존재를 계속 학습할 수 있습니다.

이 네 가지 실패 전부에서 트리는 전역적으로 일관된 상태를 유지할 수 있습니다. 도달한 모든 요청을 완벽하게 처리할 수 있습니다. 불일치는 어떤 요청이 프로토콜 작업으로 허용되었는가에 있습니다. 이 경계를 명명하지 않고 서비스 전체를 “투명하다”고 부르면, 암호학 계층이 관찰한 적 없는 결정에 대한 공을 가져가는 위험이 생깁니다.

RFC 6973은 문제의 다른 쪽을 위한 올바른 규율을 제시합니다. 접근 결정을 감사 가능하게 만드는 것이 두 번째, 더 폭로적인 검색 이력을 만들어서는 안 됩니다. 신원, 조회 대상, 관계, 시간은 결합해 민감한 사회적·운영 데이터가 될 수 있습니다. RFC 7258은 트래픽 특성과 상관을 위협 모델 안에 둡니다. 누가 누구를 검색했는지에 대한 완전한 중앙 기록은, 접근 통제가 막으려 했던 바로 그 공개로부터 만들어진 책임성 체계가 되어 버릴 것입니다.

해제가 상태 기계를 드러낸다

게이트가 단순한 허용/거부 비트가 아니라는 가장 명확한 증거가 연락처 모니터링(Contact Monitoring)입니다. 이전에 라벨을 검색한 사용자는, 악의적인 업데이트가 이후 탐지를 회피하지 못하도록 그 이전 관찰을 모니터링해야 할 수 있습니다. 따라서 아키텍처와 프로토콜은 사용자가 더 이상 Search나 Update를 반복할 권한이 없더라도 특정 Monitor 작업이 계속 가능해야 한다고 요구합니다. 프로토콜은 그 이전 권한을 증명하는 간단한 방법 중 하나로 커밋먼트 오프닝을 언급합니다.

이 순서에는 적어도 네 가지 상태가 있습니다: 검색 권한, 유효한 결과의 보유, 새 검색에 대한 권한 상실, 그리고 이전 결과에 대한 경계된 모니터링의 지속 권한. “접근 해제”는 너무 거칠습니다. 새로운 발견을 올바르게 끝내면서도, 이전에 수용된 조회가 만든 증거 의무를 잘못 종료할 수 있습니다. 반대로 지속 모니터링이 프라이버시 모델이 숨기려는 해제 후 계정 콘텐츠를 학습하는 경로가 되어서는 안 됩니다.

합리적 모니터링 창(Reasonable Monitoring Window)은 이 상태 기계에 시간을 더합니다. 구분된 엔트리가 공용 체크포인트를 제공하며, 클라이언트는 배포 모드 하에서 부정행위를 탐지할 만큼 충분한 상태를 보존하고 충분히 오래 활성 상태를 유지해야 합니다. 애플리케이션 정책은 계정 삭제, 기기 교체, 관계 변경, 속도 제한 이벤트 전반에서 필요한 모니터링 경로를 보존해야 합니다. 검색 증명은 게이트가 바뀐 후에 그 경로가 유지되었는지 감사자에게 말해줄 수 없습니다.

여기서 정책 버저닝은 사무적 문제가 아니라 운영적 문제가 됩니다. Search 시점의 권한 규칙은 이후의 모니터링 의무를 만듭니다. 서비스가 전환을 보존하지 않은 채 규칙을 교체하면, 거부된 Monitor 요청을 구현 결함, 의도된 프라이버시 경계, 어뷰즈 통제와 구분할 수 없습니다. 정책 에포크는 기반 사회적 관계를 공개 기록에 놓지 않으면서 트리 에포크와 내구성 있는 조인을 가져야 합니다.

제3자가 이음선을 볼 수 있는 사람을 바꾼다

KEYTRANS는 여러 배포 모드를 지원하며, 접근 결정의 가시성은 모드마다 달라집니다. 제3자 관리(Third-Party Management)에서는 사용자가 작업을 서비스 운영자에게 보냅니다. 운영자는 접근 통제를 집행하고 허용된 작업을 관리자에게 전달합니다. 관리자는 일반적으로 평문 라벨과 값, 그 수정 이력, 조회 빈도 같은 트래픽 패턴을 학습합니다. 그러나 모든 입장·거부의 애플리케이션 사유를 자동으로 학습하지는 않으며, 거부된 작업은 도달하지 않을 수 있습니다.

제3자 감사(Third-Party Auditing)에서는 감사자가 변경의 수, 순서, 대략적 시점을 학습할 수 있고 라벨과 값은 VRF 출력과 커밋먼트로 마스킹됩니다. 유용한 분리지만, 감사자의 암호학적 뷰에는 애플리케이션 정책에 의해 차단된 요청 모수가 포함되지 않습니다. 서비스는 정직한 로그와 불일치하는 게이트를 함께 운영할 수 있습니다. 감사자는 차별적 조회 입장에 대한 증거 없이도 본 이력을 진실하게 승인할 수 있습니다.

RFC 9458과 RFC 9614는 분리가 여전히 유용할 수 있음을 보여줍니다. 한 역할은 클라이언트를 알고 다른 역할은 요청을 볼 수 있으며, 분할은 참여자가 학습하는 내용을 줄일 수 있습니다. 그러나 비공모, 타이밍, 작은 익명 집합, 공유 인프라가 중요합니다. KEYTRANS에서 모든 거부를 하나의 공용 감사 서비스로 보내면 상관 지점이 다시 생깁니다. 목표는 최대 가시성이 아니라, 독립 검토자가 정책이 선언된 대로 적용되었는지 검사할 수 있는 최소 증거입니다.

멀티서비스 배포는 또 다른 경계를 추가합니다. 아키텍처는 올바른 로그로의 일관된 라우팅을 요구하고, 통제 주체가 익명화 프록시 역할을 할 수 있도록 허용하면서, 다른 로그의 접근 정책을 저해하는 방식의 미러링이나 결합에 대해 경고합니다. 프록시는 요청자를 다른 서비스에 대한 노출로부터 줄일 수 있습니다. 그러나 신원, 목적지, 결정을 매핑하는 주체가 되기도 합니다. 그 정책 버전, 보존 정책, 비공모 가정은 통제 표면에 속합니다.

검색 서류가 아니라 조회 정책 수령증

Daniel Kade의 제안은 프라이버시 보호 조회 정책 수령증입니다. 이는 암호학적 증명 밖에 있으며 KEYTRANS 와이어 형식을 확장한다고 가장하지 않습니다. 입장 결정을 검사 가능하게 만들면서, 누가 누구를 검색했는지에 대한 공개 지도를 만드는 것을 거부합니다.

수령증은 정책 식별자와 불변 버전으로 시작합니다. 작업 등급—Search, Update, 최초 Monitor 또는 계속 Monitor—과 소유자, 현재 연락처, 모니터링 권한이 있는 옛 연락처, 같은 테넌트 사용자, 미인증 호출자 같은 대략적 요청자 등급을 기록합니다. 관계 등급과 결정 코드를 기록하되 관계 당사자를 저장하지 않습니다. 대상은 서비스 간 재사용 불가능한 회전하는 키가 적용된 로컬 다이제스트나 넓은 라벨 등급으로 표현될 수 있습니다.

다음으로 결정을 시간대, 서비스, 관련 투명성 로그 구성 또는 트리 에포크에 바인딩합니다. 허용, 거부, 속도 제한, 낡은 클라이언트 상태, 필요한 이전 모니터링 계속, 시간 한정 예외를 구분합니다. 결과를 지배한 규칙, 예외를 승인한 권한, 예외 만료를 식별합니다. 정정 경로는 사용자가 연락처 그래프를 공개 대상에게 강제로 공개하지 않고 결정에 이의를 제기하는 방법을 명시합니다.

수령증에는 사용자명, 원시 라벨, 공개 키, 자격 증명, 메시지 메타데이터, 전체 IP 주소, 정확한 연락처 관계, 내구성 있는 서비스 간 식별자, 완전한 개인 이력이 들어서는 안 됩니다. 대부분의 감독은 수명이 짧은 로컬 카운터와 프라이버시 안전한 집계로 수행할 수 있습니다: 정책 버전별 결정 코드 분포, 허용·금지 관계 등급을 대표하는 합성 쌍, Search 해제 후 Monitor 계속률, 만료된 예외, 등가 테스트 케이스 간 설명되지 않는 차이.

독립 테스트는 통제된 계정을 만들고, 관계를 수립하고 종료하고, 검색 증명을 얻고, 키를 회전시키고, 새 검색 접근을 해제한 뒤, 경계된 Monitor 경로가 유지되는지 검증할 수 있습니다. 출력은 정책 적합성 관찰이며, 실제 사용자의 쿼리 복사본이 아닙니다. 인시던트 조사에 더 세밀한 증거가 필요한 경우, 접근은 목적 한정, 시간 한정이어야 하며 별도 권한 아래 기록되어야 합니다.

삭제는 분리를 강화한다

아키텍처는 프루닝과 삭제를 위해 사용자 데이터를 암호학적 자료와 분리하기도 합니다. 애플리케이션 정책에 의해 영구적으로 접근 불가능해진 값은 삭제될 수 있는 반면, VRF 출력, 커밋먼트 또는 다른 트리 자료는 다른 버전에 대한 증명을 위해 남아 있어야 할 수 있습니다. 프로토콜은 애플리케이션의 접근 정책을 로그에 담지 않습니다. 유용한 관심사 분리지만, 남아 있는 커밋먼트는 접근이 왜 끝났는지, 삭제가 올바른 권한을 따랐는지에 대한 기록이 아니라는 뜻입니다.

따라서 접근 정책 수령증은 삭제를 증명한다고 주장하지 말아야 합니다. 명명된 정책 전환이 삭제를 승인했다는 것, 애플리케이션 데이터 계층이 완료를 보고했다는 것, 프로토콜 계층이 자체 알고리즘에 필요한 자료만 보존했다는 것을 기록할 수 있습니다. 실제 삭제 보증, 백업, 복제본, 법적 의무에는 각자의 증거가 필요합니다. 암호학적 지속성과 애플리케이션 삭제는 연결된 상태이지 서로 교환 가능한 판정이 아닙니다.

증명되지 않는 것

아키텍처와 프로토콜은 현재 워킹 그룹 인터넷 드래프트이며 RFC가 아닙니다. 아키텍처 개정판 09는 Informational이 될 예정이고, 프로토콜 개정판 05는 진행 중인 작업입니다. 그 문구와 배포 가정은 바뀔 수 있습니다. 승인된 차터는 그룹의 범위를 정할 뿐, 구현이나 시장 채택을 정하지 않습니다.

고정된 출처들은 명명된 서비스가 이 초안을 배포했다는 것, 사용자가 부적절한 조회 거부를 겪었다는 것, 어떤 접근 통제 모델이 우세하다는 것, 특정 정책이 합법적이라는 것을 확립하지 않습니다. 거부율 벤치마크, 인시던트 빈도, 성능 결과, 차별적 운영의 증거도 제공하지 않습니다. 이 글의 수령증은 거버넌스 제안이지, 주장이나 프로토콜 요구사항이 아닙니다.

더 좁은 결론만으로 충분합니다. KEYTRANS 증명은 허용된 조회가 인증된 상태에 대해 올바르게 답변되었음을 보여줄 수 있습니다. 그러나 그 조회가 존재하기로 결정된 이전의 선택을 감사할 수는 없습니다. 프라이버시는 그 선택을 필요로 합니다. 책임성은 그것이 경계되고 검사 가능하기를 필요로 합니다. 해법은 소셜 그래프를 공개하는 것이 아니라, 트리 루트가 게이트를 지배한다는 가장을 멈추는 것입니다.

키 트랜스페어런시 증명은 누가 볼 수 있었는지 감사할 수 없다

왜 중요한가

요약

투명한 답변은 보이지 않는 결정에서 시작할 수 있다

증명이 실제로 증명하는 것

프라이버시는 거부를 필요로 하지만, 거부도 권력 행사다

해제가 상태 기계를 드러낸다

제3자가 이음선을 볼 수 있는 사람을 바꾼다

검색 서류가 아니라 조회 정책 수령증

삭제는 분리를 강화한다

증명되지 않는 것

출처

프로필 심층 컨텍스트

Strategic Circle

Leadership Alliance

Strategic Circle 브리핑

Leadership Alliance 브리핑

요약

투명한 답변은 보이지 않는 결정에서 시작할 수 있다

증명이 실제로 증명하는 것

프라이버시는 거부를 필요로 하지만, 거부도 권력 행사다

해제가 상태 기계를 드러낸다

제3자가 이음선을 볼 수 있는 사람을 바꾼다

검색 서류가 아니라 조회 정책 수령증

삭제는 분리를 강화한다

증명되지 않는 것

출처

프로필 심층 컨텍스트

Strategic Circle

Leadership Alliance

추천 읽을거리