이원영 기자
클럽하우스(Clubhouse)가 인기를 끌면서 중국 기업인 아고라(Agora) 주가가 지난달보다 2배가 뛰었다는 보도가 나왔다. 이런 가운데 SIO(Stanford Internet Observatory)가 최근 조사에서 클럽하우스에 입실 중인 이용자별 메타 데이터를 포함한 패킷이 앤드투앤드 암호화도 없는 일반 텍스트로 아고라에 보내지는 것으로 나타나 클럽하우스가 대응에 쫓기고 있다.
아고라는 동영상과 음성, 라이브 인터랙티브 전달 플랫폼으로 실리콘밸리 산타클라라와 중국 상하이에 사무소를 두고 있는 기업. 클럽하우스를 비롯한 전 세계 기업에 API를 제공하고 있는데 클럽하우스와의 관계는 한 번도 공식적으로 공표되어 있지 않다.
지난해 6월 주당 20달러로 나스닥 상장 당시 CEO 인터뷰에서도 클럽하우스 얘기는 하나도 나오지 않았다. 클럽하우스 출시와 비슷한 시기 IPO를 한 것이지만 미 행정부가 중국 앱 제거에 나서는 상황 등을 감안하면 별로 거래 관계는 공개하고 싶지 않았을 수 있다.
하지만 클럽하우스 백엔드를 아고라가 맡고 있다는 얘기는 비교적 일찍부터 알려져 있었다. 아고라 IPO 다음주 트위터에서 클럽하우스 소셜 음성 플랫폼은 어디에서 개발한 것이냐는 질의에 엔젤 투자자가 아고라라는 기업이 클럽하우스를 기반으로 일주일 정도 만에 개발한 것이라고 답한 것이다.
이 때 정보가 게임스탑 주식을 급상승시킨 레딧 투자 포럼에 나온 건 1월 25일. 잘 알려져 있지 않지만 클럽하우스는 아고라 API를 이용해 일주일에 개발된 앱이며 종목 코드도 API를 이용했으며 구독이 아닌 종량과금 모델이므로 사용 시간이 길어지면 가격도 오를 것이라고 올라온 것이다.
따라서 클럽하우스가 개발한 건 UI적 부분이며 클럽하우스 음성 플랫폼을 움직이는 건 상하이에 위치한 아고라라는 것이다. 음성 데이터 호스팅을 하는 것도 아고라, 인터넷 전달을 하는 것도 아고라라는 것.
여기에서 신경이 쓰이는 건 아고라 서버 위치다. 이는 미중 양국에 걸쳐 있기 때문에 만일 클럽하우스 음성 데이터가 중국 측 서버를 경유하는 경우 중국 정부로부터 수사나 치안 목적으로 대화 데이터 전달을 요청받으면 응해야 한다는 귀찮은 법적 의무가 있다. 이는 아고라가 미 증권거래위원회 SEC에 제출한 IPO F1 안내서에 명기되어 있다.
중국에선 외국계를 포함한 당연한 의무지만 클럽하우스는 실시간으로 전 세계인과 채팅할 수 있고 음성은 녹음, 보존, 공개 금지라 스스럼없이 얘기할 것이라고 말하고 있다. 우려스러운 건 스탠포드 네트워크 분석 도구(Wireshark) 등을 이용해 조사해 보면 데이터는 아고라를 통해 처리되는 걸 발견했고 사용자 고유 아이디와 룸 아이디 메타 데이터가 암호화도 되지 않은 일반 텍스트로 전송되고 있는 실태까지 확인했다고 한다.
다시 말하자면 사용자 네트워크에 액세스할 수 있는 제3자는 쉽게 보내는 내용에 액세스할 수 있다는 얘기다. 같은 채널에 들어가 있는지 보면 사용자가 말하는 걸 알 수 있고 다른 발언자 아이디와 프로필 조합도 가능하다. 그 밖에 여러 보안 취약점을 발견했지만 대학 측은 클럽하우스에 직접 연락해 해결하거나 수정이 필요하다고 밝혔다고 한다.
중국 정부가 국가 안보를 위협한다고 판단하는 경우 아고라는 문제에 대한 음성 확인이나 저장을 지원해야 한다는 보고서가 있다. 서버가 미국 내라면 중국 정부 요청에 응할 필요는 없다. 클럽하우스나 아고라 모두 협박과 거짓말 등 통보가 있을 때 증거 자료가 필요하기 때문에 음성은 임시 저장하지만 세션이 종료되면 삭제한다고 설명한다. 어쨌든 암호화가 아닌 평문이라 별다른 법적 수단에 의지하지 않아도 직접 방문해 녹음하려고 하면 이론상 가능하다.
클럽하우스는 스탠포드 대학 협력을 얻어 암호화를 강화하고 중국 내 서버에 정보가 전송되지 않도록 대책을 추진하겠다는 뜻을 분명히 했다. 관련 내용은 이곳에서 확인할 수 있다.
이석원 기자
정용환 기자
