아이오와 코커스에서 드러난 오픈소스의 필요성

미국 대선을 앞두고 아이오와주에서 열린 민주당 코커스(caucus)에서 투표 결과를 집계하기 위해 사용된 앱에 오류가 발생해 일부 투표 데이터가 누락된 것으로 알려지면서 파문이 일고 있다. 이 앱은 경선 절차의 효율성을 높이기 위해 개발된 것이지만, 결국 이 앱 때문에 투표 결과 발표가 상당 시간 지연됐다. 이번 사태를 두고 보안 전문가들은 디지털 시스템에 대한 의존과 정보 중앙화, 그리고 이에 따른 불투명한 시스템 운영의 폐해를 보여주는 사례라고 입을 모은다.

아이오와주 민주당 트로이 프라이스 의장은 4일 오전 성명을 내고 아이오와 코커스에서 사용된 앱에 기록된 투표 데이터 자체는 정확하며, 문서로 기록된 데이터와 대조해 이에 대한 검증을 마쳤다고 언급했다. 그는 이어 “결과 보고 시스템에서 코딩 오류가 발생”했다고 말하며 이를 파악해 바로잡았다고 설명했다. 또 각 선거구에서 정확한 데이터를 수집해 보고하는 데도 별다른 차질이 빚어지지는 않았다고 주장했다.

소프트웨어 보안회사 베라메트릭스(Veramatrix)가 지난해 발간한 보고서에 따르면 1천 줄의 코드가 있을 때 일반적으로 예상할 수 있는 오류는 15~50개 정도다. 하나의 앱을 구성하는 코드는 평균적으로 5만 줄 정도이기 때문에 앱 하나에서 발생할 수 있는 오류도 2500개 정도로 업계는 보고 있다.

베라메트릭스의 최고운영책임자 아사프 아시켄아지는 “오류 발생률, 즉 버그 밀도(bug density)는 앱 개발자의 보안 지식과 코드 테스팅 및 점검 수준에 따라 조금씩 다르다”고 설명하면서 “여러 보도 내용을 취합해볼 때 아이오와 코커스에서 쓰인 앱의 경우 테스팅 절차가 제대로 이뤄지지 않은 것 같다”고 평가했다.

만약 이 앱이 캔디크러쉬와 같은 게임 앱이었다면 큰 문제가 아니었을지 모르지만, 한 나라의 대통령 후보를 뽑는 경선에 사용하기 위한 용도로 개발된 앱이라면 아주 큰 문제가 된다. 아이오와주 민주당이 코커스 개최 이전에 앱의 명칭 등 관련 정보를 제대로 공개하지 않은 것도 문제의 심각성을 더욱 증폭시킨다. 해당 앱은 섀도우(Shadow)라는 테크 기업이 만든 것으로, 민주당 관련 인물들의 지원을 받고 있는 곳으로 알려져 있다. 이번 사태와 관련해 섀도우는 성명을 내고 “당사가 개발한 앱은 데이터를 정확하게 수집했으나 아이오와주 민주당 측에 투표 결과를 전송하는 과정에서 문제가 발생했다”고 해명했다.

이번 사태는 아이오와 코커스에서 사용된 앱과 같이 중앙화된 기술을 선거에 도입해 사용할 때 발생할 수 있는 또 하나의 큰 문제를 보여준다.

“대통령 선거에 사기업이 만든 소프트웨어 사용은 부정행위”

오픈소스 소프트웨어의 사용을 장려하고 보호하는 오픈소스이니셔티브(Open Source Initiative, OSI)의 조슈아 시몬스 이사는 선거 등에 사용되는 앱은 투명성이 필수 조건이라고 강조했다.

"대통령 선거와 같이 중대한 사안에 개별 기업이 만든 소프트웨어를 도입해 사용하는 것은 솔직히 말해 부정행위라고 볼 수밖에 없다.” – 조슈아 시몬스, 오픈소스이니셔티브

시몬스 이사는 선거에서는 오픈소스 라이선스 기반 소프트웨어를 도입하고 실제 사용하기 전에 보안 전문가들의 철저한 검증과 검토를 거쳐 잘못된 부분을 바로잡고 사고를 예방해야 한다고 주장했다.

그는 또 건전한 민주주의가 유지되기 위해서는 각 기관과 그 기관들이 사용하는 시스템에 대한 신뢰가 무엇보다 중요하지만, 최근 몇 년을 되돌아보면 신뢰보다는 회의감과 냉소주의만 커진 것 같다고 평가했다. 그러면서 그는 앞으로 투명성과 신뢰를 제고하면서 더욱 굳건한 시스템을 구축하기 위해서는 ‘오픈소스 방식’의 기술을 활용하는 것이 중요하다고 강조했다.

아이오와주 민주당은 러시아 등 외부 적대 세력의 개입을 방지한다는 이유로 앱 개발자의 이름을 공개하지 않았다.

베라메트릭스의 아시켄지아는 “언론 보도 내용을 보면 제대로 된 테스팅 절차를 거치지 않은 앱이 사용된 것 같은데, 상당히 우려스럽다”고 말하면서 “어떤 앱이라도 신뢰도를 높이려면 그 앱을 테스팅하기 위해 사용한 방법과 해킹을 방지하기 위해 적용된 기술 등에 대한 정보를 투명하게 공개해야 한다”고 지적했다.

앱의 불투명한 개발과 운영은 앱 자체에 대한 신뢰에 타격을 입힐 수 있는 기술적 문제를 일으킬 뿐만 아니라 잘못된 정보와 음모론 등을 전파하는 데 악용될 수도 있다.

실제로 버니 샌더스 후보 측은 3일 저녁 샌더스 후보가 승리한 것으로 보이는 자체 집계 자료를 공개했고, 피트 부티지지 후보 역시 선거구 개표 결과가 도착하기 전에 자신이 아이오와에서 승리했다고 선언했다. 이후 소셜미디어에는 다양한 음모론이 퍼지기 시작했으며, 이는 이후 더욱 확산될 가능성이 높다.

이와 같은 혼란과 잘못된 정보의 양산은 민주주의를 기반으로 하는 기관들에 대한 대중의 신뢰가 추락하고 있는 시점과 맞물려 더욱 우려스럽다.

제도와 기관에 대한 대중의 신뢰도를 조사해 발표하는 기업 에델만(Edelman)이 발간한 2020년도 신뢰도 지표(2020 Trust Barometer)에 따르면 오늘날 사람들은 특정 기관을 신뢰할 수 있는지를 판단할 때 해당 기관이 약속한 바를 지키는 능력을 의미하는 ‘역량’과 올바른 일을 하고 더 나은 사회를 만들기 위해 노력하는 것을 의미하는 ‘도덕적 행동’을 기준으로 삼는데, 실제로 기업이나 정부 기관을 능력이 있거나 도덕적이라고 생각하는 사람들은 많지 않았다. 아이오와 코커스 사태로 이와 같은 불신의 골은 더욱 깊어질 가능성이 있다.

임의적인 조작이 불가능한 블록체인 기술의 특성을 살려 선거에 적용해야 한다는 주장은 블록체인 커뮤니티 내에서 큰 호응을 얻고 있지만, 사이버보안 전문가들은 강력히 반대하고 있다. 이와 관련해 애덤 르바인은 어제 코인데스크에 쓴 칼럼에서 블록체인을 선거에 접목하면 어느 정도는 도움을 받을 수 있겠지만, 근본적인 해결책은 될 수 없다고 지적했다.

탈중앙화 솔루션은 단 한 번의 오류로 기관에 대한 모든 신뢰를 앗아갈 수도 있는 단일 시스템에 대한 의존성을 줄여준다. 아이오와 코커스에서 사용된 앱은 효율성 증대와 데이터 중앙화라는 명목하에 개발됐지만, 결과적으로는 이와 같은 앱이 오류를 일으켰을 때 그 안에 담긴 정보에 대한 신뢰가 무너질 수밖에 없다는 사실을 보여줬다.

블록체인 기술이 오늘날 선거 시스템에 존재하는 문제점들을 해결해 줄 것인지를 두고는 의견이 갈린다. 다만 블록체인 기술의 등장으로 현존하는 선거 시스템의 과도한 중앙화에 따른 취약성이 재조명을 받게 된 것만은 분명하다. 소수의 몇 명만 아는, 불투명하게 개발되는 기술은 외부의 검토와 견제를 받을 수 없다. 여러 리스크를 안고 있는 현재의 선거 시스템을 있는 그대로 유지할 때 발생할 수 있는 문제들을 다시 원점에서 바라봐야만 하는 이유다.

[출처] https://www.coindeskkorea.com/news/articleView.html?idxno=70179 (코인데스크코리아)