Suveria의 사생활 보호와 보안

Suveria에 대화를 맡기기 전에 사생활 보호의 구상을 알고 싶은 분들을 위한 페이지입니다. Suveria란을 더 깊이 설명하며 각 부분에 백서 링크가 있습니다.

전체를 이끄는 원칙은 하나입니다. 사생활 보호는 재단이나 서버 관리자의 선의에 대한 신뢰에 의존해서는 안 됩니다. 작동을 독립적으로 검증할 수 있는 보안 장치에 기반해야 합니다. 선언문은 “모든 보안 약속은 우리의 말만이 아니라 코드와 실리콘에 증거가 있어야 합니다.”라고 표현합니다. 대화를 보관하는 기본 장소는 자신의 기기로 하고자 하며 개인 자료에 대한 숨은 접근 통로는 만들지 않습니다.

Suveria는 현재 설계 단계입니다. 아래 내용은 모두 작동 구상이며 이를 확인할 시험은 아직 하나도 수행하지 않았습니다.

더 알아보기: 선언문 2.2절, 3.1절.

누구로부터 보호하려 하며 보호하지 못하는가#

대화와 파일 내용, 보조 도구의 이력과 기억, 키(암호화된 데이터를 여는 비밀 문자열), 청구 데이터와 메타데이터, 즉 연결 자체의 시간, 네트워크 주소와 요청 크기를 보호합니다.

기밀 환경은 관리자조차 들여다볼 수 없는 하드웨어로 격리된 서버 영역입니다. 실제로 그러한지는 하드웨어가 서명하여 어떤 소프트웨어가 어떤 보호 모드로 서버에서 실행되는지 확인하는 원격 증명으로 확인하도록 구상합니다. 기밀 API는 우리 애플리케이션이 연결하는 외부 제공업체의 이런 환경입니다(API는 프로그램 간 연결 통로입니다). 표는 아직 시험으로 검증하지 않은 의도된 작동을 설명합니다.

표의 설명: “보호 목표”는 의도한 보호, “부분 보호”는 내용은 보호하지만 주변의 모든 것까지 보호하지는 않음, “보호하지 못함”은 한계의 명시이며, “제공업체의 설명, 검증 필요”는 직접 검증하기 전까지 보호를 확인하지 않는다는 뜻입니다. 제공업체 관리자는 모델이 실행되는 서버의 운영자입니다. 네트워크 관찰자는 기기와 서버 사이의 통신을 보지만 전송 중 내용은 암호화되어 있습니다. 물리적으로 접근할 수 있는 사람은 서버 케이스를 열 수 있습니다. 재단은 서비스 운영자인 우리입니다.

세 가지 한계는 처음부터 알아두는 것이 좋습니다. 기밀 컴퓨팅은 감염된 휴대전화나 컴퓨터를 고치지 않습니다. 서버에 물리적으로 접근할 수 있는 모든 사람으로부터 보호하지도 않습니다. 2025년 연구자들은 서버에 물리적으로 접근하면 하드웨어 증명을 위조할 수 있는 장치를 천 달러 미만으로 만들었습니다. 서버의 보호는 정직해야 하는 프로세서 제조사의 키에도 의존합니다.

더 알아보기: Suveria 백서 2장, 2.3절.

메시지가 시스템을 통과하는 경로#

Suveria는 사용자의 기기 내 애플리케이션, 게이트웨이(요청을 정산하고 지출 한도를 지키는 우리 측 시스템), 모델을 갖춘 기밀 환경, 암호화된 사본 저장소와 주소를 숨기는 선택적 중계기로 구성하도록 구상합니다.

목표 방식에서는 메시지 하나가 다음 경로를 거치도록 설계합니다.

1. 애플리케이션이 승인된 버전의 설명을 받아 서버의 원격 증명을 확인합니다.
2. 이 증명을 공개 정책과 대조합니다. 메시지 암호화 키는 그 증명과 결합되어 있어야 합니다.
3. 확인에 성공한 뒤에만 암호화 연결을 맺습니다. 불일치하면 데이터 전송을 멈추며 다른 방식으로 바꾸려면 사용자의 의식적인 선택이 필요합니다.
4. 환경은 네트워크와 도구 접근을 제한한 상태에서 요청을 처리하고 결과를 반환하며 공개 정책에 따라 작업 데이터를 삭제합니다.
5. 대화나 기억은 사용자가 선택한 범위에서만 저장됩니다.

원격 증명은 무엇이 실행되었는지 확인하도록 돕지만 코드가 안전하다는 사실까지 자체적으로 입증하지는 않습니다. 코드 검토와 독립적으로 검증할 가능성이 필요합니다. 시범 운영 전에 기기가 통제하는 암호화가 어디에서 끝나고 게이트웨이가 내용을 보는지 애플리케이션에 표시하겠습니다.

이메일함처럼 다른 사람의 메시지가 있는 출처를 연결할 때 특히 주의합니다. 남의 메시지에는 모델이 사적인 기억을 드러내도록 유도하는 숨은 지시가 있을 수 있습니다. 따라서 보조 도구는 사람의 확인 없이 스스로 메시지를 보내거나 네트워크 주소를 열거나 개인 원칙집(자신의 원칙과 가치 모음)을 바꿀 수 없습니다.

서비스 시작과 함께 수집하는 모든 종류의 서비스 작동 데이터를 목적 및 보관 기간과 함께 공개하겠습니다. 목록 밖의 데이터는 수집하지 않습니다.

더 알아보기: Suveria 백서 3장.

자신의 키#

암호화된 데이터 묶음인 사적 컨테이너의 키는 사용자가 통제합니다. 재단은 키나 그 일부를 보관하지 않으므로 사용자를 대신해 접근을 복구하거나 사용자의 데이터를 넘겨줄 수 없습니다. 운영자를 통한 계정 복구는 내용의 잠금을 풀지 않습니다.

모든 키 사본을 잃으면 데이터를 영구적으로 잃을 수 있습니다. 따라서 함께 조합할 수 있는 복구 방법을 검토합니다. 접근 가능한 두 번째 기기, 종이나 비밀번호 관리자에 보관한 키, 하드웨어 키나 어느 한 사람도 혼자 데이터를 읽지 못하도록 여러 신뢰하는 사람에게 키를 나누는 방식입니다. 초기에는 두 번째 기기와 종이에 적은 키를 권합니다. 각 장치는 데이터 복원 시험으로 검증합니다.

더 알아보기: Suveria 백서 2.2절.

보이지 않지만 정보를 드러내는 전송 리듬#

응답은 데이터 조각인 패킷으로 전달됩니다. 암호화는 내용을 숨기지만 길이나 리듬은 숨기지 않습니다. 이는 내용이 아니라 전송 방식으로 정보가 새는 부채널입니다. 2024~2025년 연구는 네트워크 관찰자가 이를 통해 주제, 때로는 대화 내용도 복원할 수 있음을 보여 주었습니다. 그래서 기밀 모드에서는 고정 크기와 일정한 리듬의 조각으로 응답을 보내고자 합니다. 약간의 지연과 대역폭 비용이 듭니다.

더 알아보기: Suveria 백서 3장.

검증 가능한 버전#

소프트웨어에 대한 신뢰가 한 사람이나 재단 자체에만 달려서는 안 됩니다. 누구나 공개 코드로 애플리케이션을 직접 빌드하고 설치하는 것과 결과가 같은지 확인할 수 있습니다. 재단 밖의 독립된 주체 두 곳 이상이 버전을 재현하고 일치함을 공개적으로 확인하도록 할 계획입니다. 그들을 찾기 전까지 해당 버전은 제삼자 미확인으로 표시합니다.

완전한 보호는 설치형 애플리케이션을 위해 설계합니다. 브라우저에서는 서버를 확인하는 코드 자체를 운영자가 매번 제공하므로 브라우저 버전에는 더 낮은 보호 수준을 명확히 설명할 것입니다.

더 알아보기: Suveria 백서 3장.

여러 그래픽카드#

실행하려는 모델은 그래픽카드 한 대에 들어가지 않으므로 카드 사이로도 데이터가 흐릅니다. 카드 자체와 그 사이 연결 모두의 보호를 검증해야 하며 “secure”라는 상품 표시는 이를 대신하지 못합니다. 제공업체의 제안은 자체 애플리케이션으로 시험한 뒤에야 비교합니다.

더 알아보기: Suveria 백서 5장.

작동 여부를 검증할 방법#

가장 중요한 시험에서는 기밀 환경 밖의 운영자 권한(게이트웨이, 디스크, 네트워크, 로그)을 가진 팀이 비밀 문자열을 숨겨 둔 시험 계정의 대화를 읽으려 시도합니다. 우리를 포함한 누구라도 이를 추출하면 시험은 실패입니다.

어떤 버전이든 기밀이라고 부르기 전에 올바른 원격 증명, 코드나 키를 바꿨을 때 전송 거부, 로그에 내용이 남지 않음, 삭제와 복구 등을 문서화하겠습니다. 실패를 포함한 결과는 결과 기록에 담습니다. 2026년 10월 29일 기준으로 설명한 시험은 아직 하나도 수행하지 않았습니다.

시험은 공개적으로 진행하고자 합니다. 보안, 암호기술, 기반시설이나 애플리케이션 분야에서 활동하거나 설계를 비판적으로 살펴보고 싶다면 salve@novusignis.org로 제목을 “[Dołącz] Próby Suverii”으로 하여 연락해 주세요.

더 알아보기: Suveria 백서 9장.

읽고 생각을 들려주세요#

방식과 위험의 전체 비교, 애플리케이션 보안 장치와 해결할 사안 목록은 Suveria 백서에 있습니다. 의문이 들거나 잘못된 듯한 내용이 있다면 문서에서 해당 부분을 선택하고 “의견이 있습니다” 버튼을 이용하거나 salve@novusignis.org로 연락해 주세요.

출처 파일: content/ko/page/suveria-prywatnosc.md · 변경 기록 · 변경 제안하기