사진 금고 앱은 안전한가요?

‘금고’라는 말은 안심이 되지만, 앱이 실제로 파일을 어떻게 저장하는지는 아무것도 알려 주지 않습니다. 어떤 금고 앱은 내 비밀에서 파생된 키로 모든 것을 암호화합니다. 다른 앱은 사진을 일반 폴더에 두고 앞에 숫자 키패드만 세웁니다. 코드를 들여다볼 수는 없지만, 앱이 알려 주는 것과 요청하는 것에서 많은 것을 알 수 있습니다.

고려 중인 모든 금고에 아래 체크리스트를 적용해 보세요. 저희 앱도 포함해서요.

체크리스트

1. 암호화를 설명하나요?

저장 암호화란 파일을 뒤섞인 형태로 저장해 올바른 키로만 읽을 수 있게 하는 것입니다. 안전한 금고는 어떤 알고리즘을 쓰는지(예: AES-256), PIN·비밀번호·패턴에서 키를 어떻게 파생하는지, 키를 어디에 저장하는지를 쉬운 말로 알려 줍니다.

구체적인 내용 없이 ‘은행 수준 보안’ 같은 모호한 표현은 경고 신호입니다. 잠금 화면 이야기만 하는 설명도 마찬가지입니다. 탄탄한 답이 어떤 모습인지는 AES-256 암호화 설명을 참고하세요.

2. 비밀이 기기 암호와 분리되어 있나요?

금고가 Face ID로 열리고 아이폰 암호로 넘어간다면, 그 암호를 아는 사람은 누구나 들어올 수 있습니다. 기본 가려진 항목 앨범과 같은 한계입니다. 별도의 PIN, 비밀번호, 패턴은 의미 있는 계층입니다.

3. 개인정보 보호 레이블에는 뭐라고 쓰여 있나요?

앱의 App Store 페이지에서 앱 개인정보 보호까지 스크롤하세요. Apple은 개발자의 신고 내용을 사용자를 추적하는 데 사용되는 데이터, 사용자에게 연결된 데이터, 사용자에게 연결되지 않은 데이터로 묶어 보여 줍니다. 금고라면 이상적으로 데이터를 수집하지 않음 또는 설명 가능한 짧은 목록이 보여야 합니다. 레이블은 자체 신고이지만, 프라이버시 앱에 식별자, 사용 데이터, 위치가 길게 나열되어 있다면 한 번 멈춰 생각해 보세요.

4. 계정이 필요한가요?

이메일 기반 계정이 본질적으로 위험한 것은 아니며, 백업을 가능하게 해 주는 경우가 많습니다. 하지만 회사가 내가 누구인지, 금고를 쓴다는 것을 알게 되고, 유출되거나 피싱당할 수 있는 계정이 하나 더 생깁니다. 클라우드 기능이 필요 없다면 계정 없는 금고로 이를 피할 수 있습니다.

5. 클라우드로 가는 것이 있나요?

사진이 휴대폰 밖으로 나가는 일이 있는지 확인하세요. 클라우드 백업이 있다면 종단간 암호화(나만 키를 가짐)인지, 단지 회사 서버에서 암호화되는지 확인하세요. 간단한 실전 테스트는 계정 없는 금고 가이드에 있습니다. 에어플레인 모드에서 앱을 써 보고 무엇이 작동하지 않는지 보는 것입니다.

6. 광고로 운영되나요?

광고 기반 앱은 보통 타사 광고 SDK를 포함하며, 이 SDK는 기기 수준 데이터를 수집하고 내가 통제할 수 없는 네트워크 요청을 보냅니다. 그렇다고 사진이 유출된다는 뜻은 아니지만, 관여하는 주체가 늘어납니다. 개인정보 보호 레이블의 추적 항목에 대개 반영됩니다.

7. 삭제하면 어떻게 되나요?

iOS 앱은 파일을 자체 비공개 컨테이너에 저장합니다. 앱을 삭제하면 iOS가 그 컨테이너를 지우고, 기기에만 저장된 금고 내용도 함께 지워집니다. 프라이버시에는 좋지만 데이터에는 위험합니다. 어떤 금고든 삭제하기 전에 간직할 것을 내보내고, 함께 지워야 할 클라우드 사본이 있는지 확인하세요.

8. 복구는 어떻게 되나요?

비밀을 잊거나 휴대폰을 잃으면 어떻게 되는지 물어보세요. 가능한 답은 다음과 같습니다.

• 이메일 또는 계정 복구: 편리하지만, 나 아닌 누군가가 접근 권한을 줄 수 있다는 뜻입니다.
• 내가 관리하는 복구 키나 백업: 신중하게 보관한다면 강력합니다.
• 복구 없음: 가장 프라이버시가 높고, 가장 관용이 없는 방식입니다.

모두에게 맞는 정답은 없습니다. 중요한 것은 앱이 솔직하게 알려 주는지입니다. 저희가 이를 어떻게 다루는지는 금고 패턴을 잊었나요?를 참고하세요.

9. 원본은 어떻게 처리하나요?

대부분의 금고는 가져올 때 사진을 복사합니다. 원본은 직접 지울 때까지 사진 앱(그리고 iCloud)에 남고, 지운 뒤에도 약 30일간 최근 삭제된 항목에 있습니다. 좋은 앱은 이를 상기시켜 주고, 부주의한 앱은 사진이 옮겨졌다고 믿게 둡니다. 정리 방법은 가져온 뒤 원본 삭제하기 가이드에서 다룹니다.

위험 신호 한눈에 보기

신호	중요한 이유
파일 암호화 방식에 대한 언급 없음	잠금 화면뿐일 수 있음
기기 암호를 대체 수단으로 열림	내 암호를 아는 누구나 접근 가능
추적이 포함된 긴 개인정보 레이블	프라이버시 앱에 제3자가 관여
기본 사용에 계정 필수	내 신원이 금고와 연결됨
종단간 암호화 없는 클라우드 백업	회사가 사본에 접근 가능
절대적이고 뚫리지 않는 보안 약속	정직한 보안 제품은 그런 약속을 하지 않음

어떤 금고도 막을 수 없는 것

잘 만든 금고에도 한계가 있으며, 정직한 앱은 이를 밝힙니다. 누군가 비밀을 입력하는 모습을 지켜보는 것, 탈옥된 휴대폰의 악성 코드, 금고가 열린 상태로 휴대폰을 건네받은 사람, 화면을 촬영하는 사람은 막을 수 없습니다. 그리고 다른 곳에 있는 사본, 즉 사진 앱, iCloud, 채팅, 사진을 보낸 상대의 휴대폰에 있는 사본에는 손이 닿지 않습니다.

Velcrypt는 체크리스트에 어떻게 답할까

투명성을 위해 저희 앱의 답을 밝힙니다.

• 암호화: Apple CryptoKit을 통한 AES-256-GCM. 키는 최소 600,000회 반복의 PBKDF2-HMAC-SHA512로 패턴에서 파생되며, 금고마다 고유한 무작위 마스터 키가 있고, 그 위에 iOS 데이터 보호가 적용됩니다. 자세한 내용은 보안 페이지와 암호화 기능 페이지에 있습니다.
• 비밀: 기기 암호와 분리된 5×5 격자 패턴. 의도적으로 Face ID를 쓰지 않습니다.
• 계정과 클라우드: 없음. 가입, 서버, 업로드가 없습니다(오프라인, 계정 없음).
• 복구: 첫 번째 버전에는 없습니다. 금고 내용은 iCloud와 컴퓨터 백업에서 제외되므로, 휴대폰을 잃거나 패턴을 잊으면 내용을 복구할 수 없습니다. 암호화 백업 옵션은 계획되어 있습니다.
• 원본: 가져오기는 항목을 복사하며, 원본은 직접 삭제합니다.

고려 중인 금고가 이 항목들에 이만큼 명확히 답할 수 있다면 좋은 신호입니다. 더 넓은 비교는 아이폰 사진 금고 앱 비교를 참고하세요.