휴고 바라, 샤오미 개인정보 백도어 재 부정

핀란드의 보안 업체 F-Secure가 샤오미 백도어를 검증한 가운데, 샤오미 부회장 휴고 바라는 백도어 설을 재 부정하고 나섰습니다.

아래는 휴고 바라가 본인의 구글 플러스 계정에 게시한 글의 번역문입니다.

------------------------------------------------------------------------------------------------------

샤오미는 고품질 제품 및 쉬운 인터넷 서비스를 제공하는 모바일 인터넷 회사입니다. 사용자 데이타 및 개인 정보를 보호하는 것을 최우선으로 하고 있습니다. 사용자의 허가 없이 개인 정보 또는 데이타를 업로드하거나 저장하지 않습니다. 본 Q&A는 지난 48시간동안 불거진 개인 정보 사항에 대한 답변입니다.

Q: MIUI 클라우드 메시징이 무엇인가요?

A: 샤오미는 MIUI 운영체제의 일부로 클라우드 메시징이라는 무료 서비스를 제공합니다. 본 서비스를 이용하여 통신사 SMS 게이트웨이 대신 IP를 통해 MIUI 사용자 간에 SMS 요금 없이 무료로 메시지를 전송할 수 있습니다.  

Q:  클라우드 메시징은 어떻게 동작하나요? 사용자 개인 정보를 저장하나요?

A: Mi 단말기가 켜질 때, 사용자에게 무료 문자 메시지 기능을 제공하기 위해 클라우드 메시징 서비스가 샤오미 서버와 IP 통신 프로토콜로 통신하여 자동 활성화됩니다. MIUI 클라우드 메시징은 SIM카드 및 장치 인식자 (전화번호, IMSI 및 IMEI)를 사용하여 다른 메시지 서비스와 같이 두 사용자 간에 메시지를 교환합니다. 자세한 기술 사항은 아래 첨부합니다. 사용자의 전화번호부 또는 소셜 활동 정보 (전화부 간 매핑 등)는 클라우드 메시지 서버에 저장되지 않으며, 메시지 내용 (암호화됨)은 수신자에게 전송되었음을 확인하는 데 필요한 이상으로 저장되지 않습니다.

Q: 지난 48시간동안 샤오미의 개인정보 보호에 대한 문제가 불거진 이유는 무엇인가요? 귀하의 답변은 무엇인가요?

A: 대만의 최근 글 및 F-Secure의 관련 보도가 샤오미 장비가 전화번호를 샤오미 서버에 전송한다고 주장하여 문제가 되었습니다. 이런 사항은 위 설명드린 MIUI 클라우드 메시징 서비스에 관계되어 있습니다. 사용자 데이타 및 프라이버시를 보호하는 것을 최우선으로 하고 있는 만큼, MIUI 클라우드 미시징을 옵트-인 서비스로 전환하고 자동 활성화시키지 않기로 결정했습니다. 오늘 (8월 10일) OTA 시스템 업데이트가 계획되어 이 변경 사항을 반영할 예정입니다. 업그레이드 이후, 신규 사용자 도는 초기화한 사용자는 홈에서 "설정->Mi Cloud->Cloud Messaging" 또는 메시지 앱에서 "설정->Cloud Messaging"로 들어가 서비스를 활성화 시킬 수 있습니다 - 켜진 경우 끌 수도 있습니다.

사용자 및 Mi 팬 여러분께 걱정을 끼쳐 드려 죄송합니다. 의견 및 조언을 보내 주신 매체 및 사용자 여러분께도 감사드립니다.

Q:  MIUI 클라우드 메시징 체계가 어떻게 전화번호를 다루는 건가요?

A: MIUI 클라우드 메시징에 관한 자세한 사항에 관심이 있는 분들께 설명 드립니다:

- 메시지 전송을 위한 주요 구분자는 수신자의 전화번호입니다. 장비의 온라인 상태를 확인하기 위해 IMEI 및 IMSI 정보 또한 사용됩니다.

- 사용자가 메시지를 전송하고, 인터넷 연결이 가능하다면, 클라우드 메시징 시스템이 IP를 통해 메시지 전송을 시도합니다. 만약 수신자가 오프라인이라면 (IP를 통해 바로 연결할 수 없다면), 송신자의 장비에서 일반 SMS 메시지 전송으로 전환합니다.

- MIUI 사용자가 문자 메시지 또는 전화부 항목을 열거나, 새 연락처를 생성하면, 클라우드 메시지 서버에 연결하여, 해당 연락처의 전화번호를 전달하여 해당 사용자의 온라인 상태 확인을 요청하여, 온라인일 경우 파란 아이콘 오프라인일 경우 (또는 클라우드 메시지 사용자가 아닐 경우) 회색 아이콘으로 표시합니다. 이를 통해 발신자가 SMS 비용 발생 없이 연락 가능한 수신자인지 확인할 수 있습니다.

- 해당 단계 중, 수신자의 전화번호는 온라인 상태 확인 및 메시지 전달을 위해서만 사용됩니다. 연락처 상세 사항 또는 소셜 정보 (연락처 간 매핑 등)은 클라우드 메시지 서버에 저장되지 않으며 메시지 내용 (암호화 됨)은 수신자에게 전달을 확인하는 용도 이상으로 저장되지 않습니다.

- 금일 (8월 10일)자의 OTA 시스템 업데이트로 클라우드 메시지 서버로 전화번호를 보낼 때 암호화하는 추가 보안 레이어를 추가하였습니다.

- 본 아키텍쳐에 변경 및 개선을 아끼지 않겠습니다.

* 출처 : Hugo Barra (링크)