요약

  • Proton은 비밀번호 재설정과 기존 데이터 복호화를 나눈다. 이메일이나 문자는 앞의 기능만 제공하고, 복구 문구는 두 기능을 함께 제공한다.
  • 복구 문구를 같은 Proton 계정의 Drive나 Pass에만 넣어두면 잠긴 계정이 예비 열쇠까지 가둔다. 편리한 서비스 통합과 독립적인 복구 경로는 다른 설계가 필요하다.

개인정보 보호 서비스에 돈이나 시간을 쓰는 이유 중 하나는 운영자도 내 자료를 함부로 읽지 못하게 하기 위해서다. 비밀번호를 잊어버린 날에는 바로 그 장점이 조금 다른 표정으로 나타난다. 고객센터가 내가 누구인지 알아봤다고 해서, 읽을 수 없던 옛 자료를 곧바로 읽을 수 있게 되는 것은 아니다.

Proton의 복구 설명은 이 지점을 숨기지 않는다. 공식 계정 복구 문서는 비밀번호 재설정과 데이터 복구를 별도 기능으로 구분한다. 전자는 예전 비밀번호 없이 새 비밀번호를 정하고 로그인하는 능력이고, 후자는 계정에 이미 있던 데이터를 복호화해 다시 쓰는 능력이다.

복구 문구는 두 가지를 처리한다. 이메일이나 휴대전화 번호로 하는 복구는 비밀번호 재설정만 담당한다. 복구 파일과 기기 데이터 백업은 반대로 데이터 복구를 담당한다. 설정 화면에서 나란히 보인다고 서로 같은 대체품이 되는 것은 아니다.

이 글의 대상은 개인 복구 기능을 사용하는 계정이다. Proton Business 또는 Visionary 조직의 비공개가 아닌 사용자 계정은 관리자에게 비밀번호 재설정을 요청하는 별도 구조를 따른다. 제품명이 같아도 복구 권한을 보관하는 사람은 달라진다.

성공 알림은 어디까지 성공했을까

문자 코드가 도착하고 새 비밀번호가 저장되고 로그인 화면을 통과하면, 사용자는 사건이 끝났다고 생각하기 쉽다. 그런데 이전 메일을 열려는 순간 다른 결과를 만날 수 있다. 계정은 사용할 수 있지만 옛 내용은 아직 읽히지 않는다.

이메일과 문자 복구 안내는 이 두 방법이 기존 메일, 일정, 연락처, 파일, 비밀번호 등의 데이터를 복구하지 않는다고 설명한다. 복구 이메일도 주소를 입력하는 것만으로 충분하지 않고 검증을 끝내야 사용할 수 있다.

이 분리에는 분명한 보호 효과가 있다. 복구용 이메일이나 전화번호를 장악한 사람이 그 사실만으로 전체 과거 기록을 읽는 권한까지 얻지 못한다. 정당한 이용자가 마주치는 벽도 이와 같은 경계다. 불편한 날이라고 암호화가 상대를 골라 느슨해지는 서비스라면, 평소의 약속부터 달라진다.

따라서 지원 담당자의 친절함과 데이터 복구 능력을 한 가지로 평가하면 곤란하다. 신원을 확인하는 절차는 중요하지만, 확인했다는 사실이 역사적 데이터의 복호화 수단을 새로 만들어주지는 않는다. 사업자가 갖지 않기로 한 능력을 긴급한 전화 한 통에 기대할 수는 없다.

비밀번호 재설정 성공이라는 표시는 그 자체로 정확할 수 있다. 다만 알려주는 성공의 범위가 좁다. 새 출입구가 열렸다는 결과와 예전 작업을 재개할 수 있다는 결과를 구분해야 한다. 지원 기록에서는 완료됐는데 실제 업무는 멈춰 있는 상황이 이 틈에서 생긴다.

예비 열쇠를 잠긴 서랍에 넣어두는 정리법

Proton의 복구 문구는 열두 단어로 된 일회용 예비 비밀번호다. 계정 비밀번호를 재설정하고 암호화된 데이터도 복구할 수 있다. 단어 수보다 중요한 것은 비상시에 그것을 꺼낼 수 있는 장소다.

Proton은 이 문구를 안전하면서 접근 가능한 곳에 보관하라고 안내한다. 그리고 자기 회사 제품인 Drive나 Pass를 이 용도로 권하지 않는다고 밝힌다. 계정에 들어갈 수 없으면 Proton 서비스들에도 접근할 수 없기 때문이다.

일상적으로는 한곳에 모아두는 일이 정리다. 복구에서는 같은 행동이 의존성의 원을 만들 수 있다. 금고 안에 금고를 여는 안내서를 보관하면 분실 걱정은 줄어든 것처럼 보인다. 금고를 못 여는 순간, 잘 정리한 안내서도 함께 쓸모를 잃는다.

여러 사본을 같은 로그인 뒤에 두는 것도 독립성을 만들지 못한다. 반대로 복구 문구를 너무 쉽게 나눠주면 계정과 데이터에 다시 접근하는 권한을 넓혀버린다. 핵심은 복제 수가 아니라 보관 주체, 장소, 접근 방식이다.

서비스 밖에 남겨둔 이 작은 부분은 통합 제품이 대신 끝내주지 않는 일이다. 사용자는 업무 도구를 더 많이 묶을 수 있지만, 복구 경로까지 같은 문 뒤에 묶어서는 목적을 달성하지 못한다. 편리함을 사면서 독립성도 따로 관리해야 한다.

한 번 보관했다고 영구히 끝나는 일도 아니다. 복구 문구는 일회용으로 설명되고, 실제 복구 후 오래됐다고 표시되는 방법은 갱신해야 한다. 예전에 내려받은 적이 있다는 기억은 지금 쓸 수 있다는 증거와 다르다.

읽히지 않는 것과 지워진 것은 다르다

기존 데이터 복구 안내에 따르면 이메일이나 문자로 비밀번호를 재설정한 뒤에도 예전 비밀번호 또는 미리 설정해둔 데이터 복구 수단으로 내용을 열 수 있다. 필요한 수단은 재설정 전에 준비해야 한다. Proton 웹 앱에서 기본으로 켜지는 기기 데이터 백업도 가능한 경로가 될 수 있다.

이때의 문제는 복호화가 안 된다는 것이다. 데이터가 삭제됐다고 단정하면 남아 있는 경로를 포기할 수 있고, 로그인됐으니 복구됐다고 생각하면 필요한 후속 조치를 놓칠 수 있다. 상태를 정확히 부르는 일이 다음 판단을 바꾼다.

일반적으로 계정 설정에서 비밀번호를 변경하거나 복구 문구를 사용한 경우에는 이후 기존 데이터를 별도로 복호화할 필요가 없다. Proton VPN만 쓰는 이용자에게는 이와 같은 저장 데이터가 없다는 구분도 공식 문서에 있다. 모든 Proton 사용자의 경험을 하나로 묶을 수 없는 이유다.

이미 로그인한 세션도 역할이 있다. 로그인 상태에서의 재설정은 기존 세션을 활용해 데이터 접근을 보존한다. 다른 비밀번호 복구 수단을 사용할 수 있다면 해당 흐름에서 바로 변경할 수 있다. 그렇지 않으면 요청 후 72시간을 기다리는 경로가 제공된다.

그동안 다른 로그인 기기로 알림이 전송되고 요청을 취소할 기회가 주어진다. 기다린 뒤 재설정을 마칠 때는 요청을 시작한 동일한 브라우저를 사용해야 한다. 따라서 72시간은 특정 절차의 조건이지 모든 재설정의 대기시간이 아니다.

남아 있는 세션은 유용한 자원이다. 하지만 언제까지나 유지된다고 가정할 수 있는 독립적 대비책은 아니다. 지금 열려 있는 문을 이용하는 능력과, 문이 모두 닫힌 뒤에도 사용할 수 있는 수단은 따로 확인할 필요가 있다.

개인정보 보호의 운영비

공개 자료에는 실제 고객 사고 기록, 손실률, 평균 복구 시간이 없어 그런 비용을 수치로 계산할 수 없다. 대신 시험할 수 있는 결과는 명확하다. 해당 구성에서 다시 로그인하고, 재설정 전에 있던 암호화 자료까지 읽을 수 있어야 사용 가능한 복구를 입증한다.

이는 설정란에 복구 이메일이 적혀 있는지 보는 것보다 까다롭다. 그만큼 서비스를 선택한 목적에 가깝다. 사람들은 계정 이름을 되찾기 위해 기록을 맡긴 것이 아니다. 기록을 계속 쓰려고 맡겼다.

Proton의 보호는 사업자의 접근 능력을 줄이는 데서 가치를 만든다. 그 대가로 이용자가 보관해야 하는 복구 능력도 있다. 앞의 장점만 구매 결정에 넣고 뒤의 책임을 사고 때 발견하면, 편리한 제품 설명과 실제 이용 사이의 차이가 너무 늦게 드러난다.