💡 클라우드마다 암호화 수준이 전혀 다릅니다. 엔드투엔드 암호화를 기본 지원하는 서비스는 4개 중 사실상 1개뿐이며, 이 차이가 개인 정보 보호의 핵심입니다.
암호화 기능, 왜 갑자기 이렇게 중요해졌나요
솔직히 말씀드릴게요. 저도 몇 달 전까지는 “구글 드라이브에 올려두면 안전하겠지”라고 생각했습니다. 그냥 편해서 썼어요. 그런데 주변 지인 한 명이 클라우드 계정을 해킹당해 5년치 사진과 업무 문서를 한꺼번에 날린 일을 가까이서 보고 나서, 처음으로 암호화 기능이 뭔지 제대로 찾아보기 시작했습니다.
충격이었습니다. 진짜로요.
클라우드 저장소를 고를 때 용량이나 가격만 따지는 분들이 많은데, 사실 보안 구조는 서비스마다 천차만별입니다. 어떤 서비스는 직원이 파일을 열어볼 수 있고, 어떤 서비스는 원칙적으로 제공자조차 내용을 볼 수 없습니다. 이 차이가 생각보다 훨씬 큽니다.
이메일 로그인 정보, 계좌 관련 메모, 가족 사진… 이게 유출됐을 때의 피해는 상상 이상입니다. 혹시 이런 생각 해보신 적 있으신가요? “나는 별거 없으니까 괜찮겠지.” 하지만 별거 없다고 생각한 파일이 사실 제일 위험한 경우가 많습니다.
엔드투엔드 암호화란 정확히 무엇인가요
💡 엔드투엔드 암호화(E2EE)는 파일이 내 기기를 떠나기 전에 암호화되고, 오직 나만 복호화 키를 가진 구조입니다. 서비스 제공자조차 내용을 열람할 수 없습니다.
암호화에는 크게 두 가지 방식이 있습니다. 첫째는 전송 중 암호화(TLS)로, 파일이 이동할 때만 암호화됩니다. 서버에 저장된 이후에는 서비스 제공자가 열람 가능합니다. 둘째는 저장 중 암호화(At-Rest Encryption)인데, 서버에 저장될 때 암호화되지만 키를 누가 가지느냐가 문제입니다.
잠깐, 이건 꼭 알아야 해요. 엔드투엔드 암호화(E2EE)는 완전히 다릅니다. 파일이 내 기기를 떠나기 전에 암호화되고, 복호화 키는 오직 나만 가집니다. 서비스 회사조차 내용을 볼 수 없습니다. 이게 진짜 보안입니다.
대부분의 메이저 클라우드는 E2EE를 기본 제공하지 않습니다. 놀랍죠? 그러면 각 서비스를 직접 비교해봅시다.
flowchart LR
A[내 파일] --> B{암호화 방식}
B --> C[전송 중 암호화\nTLS]
B --> D[저장 중 암호화\nAt-Rest]
B --> E[엔드투엔드 암호화\nE2EE]
C --> F[서버 도착 후\n복호화 가능]
D --> G[서비스 제공자\n키 보유 가능]
E --> H[서비스 제공자\n열람 불가]
style E fill:#4CAF50,color:#fff
style H fill:#4CAF50,color:#fff
4대 클라우드 저장소 암호화 기능 비교
💡 구글 드라이브·원드라이브·드롭박스는 기본 E2EE 미지원. iCloud는 고급 데이터 보호 활성화 시 E2EE 지원. 제로지식 암호화는 별도 서비스가 필요합니다.
제가 지난달 직접 각 서비스의 공식 보안 백서와 개인정보 처리방침을 하나씩 읽어봤습니다. 약관 읽는 게 이렇게 스릴 있을 줄 몰랐어요(이건 진짜 꿀팁). 핵심만 정리한 비교표입니다.
표를 보시면 한 가지가 눈에 띕니다. 기본 암호화는 네 서비스 모두 제공합니다. 그런데 진짜 E2EE는 iCloud의 고급 데이터 보호와 OneDrive의 개인 보관함뿐입니다. 드롭박스와 구글 드라이브는 E2EE를 기본으로 지원하지 않습니다.
여기서 반전인데, iCloud의 고급 데이터 보호는 기본으로 켜져 있지 않습니다. 설정에서 직접 활성화해야 합니다. 그리고 이걸 켜면 복구 키를 잃어버렸을 때 애플도 데이터를 복구할 수 없습니다. 실제로 이걸 모르고 활성화했다가 기기를 잃어버린 후 패닉 상태가 된 지인을 봤습니다. 정말 아찔했어요.
OneDrive의 개인 보관함은 별도 PIN이나 생체인증이 필요한 추가 잠금 폴더입니다. 민감한 문서를 따로 보관하기에 유용하지만, 무료 플랜에서는 파일 3개까지만 저장 가능합니다. 이 제한이 좀 아쉽습니다.
2단계 인증과 보안 취약점 대응 정책
💡 2단계 인증(2FA)은 반드시 활성화해야 합니다. SMS 방식보다 인증 앱이나 하드웨어 보안 키가 훨씬 안전합니다.
암호화가 완벽해도 계정이 탈취되면 소용없습니다. 그래서 2FA가 중요합니다.
네 서비스 모두 2FA를 지원하지만 방식에 차이가 있습니다. 구글과 드롭박스는 하드웨어 보안 키(FIDO2)를 지원해서 피싱 공격에 가장 강합니다. SMS 인증 방식은 심 스와핑 공격에 취약하기 때문에, 가능하면 인증 앱이나 하드웨어 키를 쓰는 게 좋습니다.
아 그리고, 보안 취약점 보고 프로그램도 중요한 지표입니다. 구글(VRP), 마이크로소프트(MSRC), 드롭박스(HackerOne)는 외부 보안 연구자들이 취약점을 신고하면 보상을 지급하는 버그바운티 프로그램을 운영합니다. 이런 프로그램이 있다는 건 그만큼 투명하게 보안을 관리한다는 뜻입니다.
솔직히 이 부분은 저도 좀 헷갈렸어요. 버그바운티가 있다고 무조건 안전한 건 아니니까요. 다만 없는 것보다는 훨씬 낫습니다. 여러분은 어떻게 생각하시나요? 보안 정책이 클라우드 서비스 선택에 영향을 미치시나요?
IT 보안에 민감한 사용자라면 이렇게 선택하세요
💡 E2EE가 절대적으로 필요하다면 iCloud 고급 데이터 보호 활성화 또는 별도 제로지식 암호화 서비스(Proton Drive, Tresorit 등)를 고려하세요.
IT 보안에 관심 많은 30대 초반 직장인 지인이 있는데, 그분은 구글 드라이브에 올릴 파일을 미리 Cryptomator로 암호화해서 업로드합니다. 클라이언트 측에서 암호화한 후 저장하는 방식입니다. 번거롭지만 서비스 제공자의 보안 수준에 관계없이 높은 보안을 유지할 수 있습니다.
근데요, 이 방법이 모든 분께 맞는 건 아닙니다. 편의성이 많이 떨어지거든요. 현실적인 추천을 드리자면 이렇습니다.
- 일반 사용자: 구글 드라이브 또는 OneDrive + 2FA 활성화만으로 충분합니다.
- 개인 정보에 민감한 사용자: iCloud 고급 데이터 보호를 켜거나, OneDrive 개인 보관함에 민감 파일만 따로 보관하세요.
- 최고 수준의 보안이 필요한 사용자: Proton Drive나 Tresorit 같은 제로지식 암호화 서비스를 고려하세요. 무료 플랜 용량이 적다는 점은 감안해야 합니다.
중요한 건 완벽한 서비스를 찾는 게 아니라, 본인의 위협 모델에 맞는 서비스를 고르는 것입니다. 클라우드 보안은 “얼마나 불편함을 감수할 수 있느냐”와 직결됩니다. 편의성과 보안은 언제나 트레이드오프입니다.
어떤 서비스를 쓰든 2단계 인증은 반드시 켜두세요. 이것만 해도 계정 탈취 시도의 대부분을 막을 수 있습니다. 기본 중의 기본인데, 안 하시는 분들이 생각보다 훨씬 많습니다.