Microsoft Passport의 누락된 사이트별 로그인 기록

요약

Passport는 여러 참여 사이트에 하나의 계정으로 들어가게 했다. FTC의 2002년 소장에 따르면 Microsoft는 이용자가 로그인한 사이트와 날짜·시간을 개인 식별이 가능한 기록으로 한동안 보관했고, 고객지원 담당자는 이를 이름과 연결할 수 있었다.
FTC는 개인정보처리 설명이 다른 수집 항목은 적었지만 이 기록은 빠뜨렸다고 주장했다. 최종 명령은 정확한 정보 공개, 문서화된 보안 프로그램, 독립적 평가를 요구했다.

간편한 문 하나가 출입부를 만들었다

1999년 10월 시작된 Passport는 여러 사이트의 비밀번호를 한 계정으로 묶어 주었다. 고객에게는 덜 외우고 빨리 들어가는 서비스였다. 운영자에게는 여러 사이트의 인증 요청이 통과하는 한 지점이었다. 2002년 12월 FTC 소장은 Microsoft가 이용자가 어느 참여 사이트에 언제 로그인했는지 개인 식별이 가능한 형태로 제한된 기간 동안 남겼다고 적었다. 고객지원 직원은 문의에 답할 때 그 기록을 이름과 연결할 수 있었다.

당시 개인정보 설명은 꽤 자세했다. 가입 정보, 계정마다 부여되는 고유 번호, 운영 정보, 로그아웃 때 삭제되는 임시 쿠키를 열거했다. FTC가 문제 삼은 빈칸은 사이트별 로그인 이력이었다. 쿠키를 쓴다는 사실을 안다고 해서 여러 참여 사이트를 오간 시간표를 운영자가 보유한다는 사실까지 알 수는 없다. 기록의 범위는 Passport로 로그인한 참여 사이트이며, 소장은 정확한 보관 일수를 밝히지 않는다.

FTC 문서에는 보안 홍보, Passport Wallet의 구매 안전성 주장, Kids Passport의 부모 통제 문제도 실려 있다. 로그인 이력의 핵심은 중앙 인증의 작동 방식이다. 여러 문을 한 열쇠로 열어 주면 열쇠를 검사하는 곳은 각 문을 통과한 사건을 모을 수 있다. 그 모아진 정보가 서비스 설명에서 빠졌을 때, 편리함은 이용자가 볼 수 없는 관찰 위치가 된다.

합의 뒤에는 담당자와 점검표가 생겼다

Microsoft는 2002년 8월 FTC와의 합의를 발표하며 보안 절차를 공식화하고 문서화하며 독립적으로 감사받겠다고 했다. 12월 최종 명령은 수집·이용·공개·보호에 관한 허위 설명을 금지하고, 책임자 지정, 위험 평가, 보호조치, 시험과 수정이 담긴 서면 보안 프로그램을 요구했다. 비슷한 여러 사이트 인증 서비스도 대상에 포함했다.

로그인 이력에 관한 내용은 FTC의 주장이고, Microsoft는 합의하면서 다투는 사실을 인정하지 않았다. 반면 명령의 업무는 분명하다. 회사가 어떤 데이터를 다루는지 말하고, 누가 책임지며, 어떤 통제를 시험하는지 문서로 남겨야 한다. 개인정보 약속은 광고 문구에서 점검 가능한 운영 과제로 바뀌었다.