"꼬우면 포크하던가"… 사용자 비번 스캔 논란에 급발진한 오픈소스 개발자

요약 오픈소스 스마트홈 플랫폼인 홈 어시스턴트(Home Assistant)의 깃허브 저장소에서 보안 스캔 기능의 기본 적용 여부를 둘러싸고 개발진과 사용자 간에 날 선 설전이 벌어졌습니다. 발단은 한 보안 전문가(Viss)가 올린 이슈였습니다. 그는 홈 어시스턴트가 사용자의 동의나 옵트인(Opt-in) 절차 없이 비밀번호 및 시크릿(secret) 데이터를 스캔해 외부 유출 확인 서비스(HIBP)로 전송하고 있다며, 이는 심각한 사생활 침해이자 악용될 소지가 있는 구조라고 지적했습니다. 그는 자신을 보안 기업 대표이자 과거 트위터의 단독 레드팀 요원으로 일했던 경력자라고 밝히며, 이 기능을 끌 수 있는 옵션을 제공하고 기본 활성화가 아닌 선택적 기능으로 변경해 달라고 요구했습니다. 이에 대해 홈 어시스턴트 핵심 멤버인 프렌크(Frenck)는 사생활 침해가 아니라고 선을 그었습니다. 비밀번호 원본이 전송되는 것이 아니며, 1Password 등 주요 앱에서도 널리 쓰이는 K-익명성(K-anonymity) 기법을 사용해 안전하게 처리된다는 해명이었습니다. 이어 프렌크는 이슈를 즉각 '해결됨(completed)' 및 '수정 불가(won't fix)'로 닫아버렸습니다. 이러한 일방적인 태도에 커뮤니티의 불만이 폭발했습니다. 다른 사용자(0x00string)가 등판해 "사용자에게 무작정 믿으라고 강요하지 말고 비활성화 방법부터 답하라. 오만하게 굴지 말고 합리적으로 대응하지 않을 거면 그냥 언인스톨하고 포크(fork)해서 따로 나가라는 뜻이냐"라며 강하게 반발했습니다. 그러나 개발자 프렌크는 "협박이나 위협성 발언으로는 아무것도 얻을 수 없다. 문서 저장소에 올라온 이슈라 고칠 것도 없다. 정 마음에 안 들어서 삭제하고 포크하겠다면 오픈소스니까 그렇게 하라"며 냉담하게 응수했습니다. 이후 다른 화이트햇 해커까지 논쟁에 가세하며 분위기가 험악해지자, 홈 어시스턴트 측은 해당 이슈를 '너무 과열됨(too heated)'으로 잠그고 대화를 차단했습니다. 오픈소스 커뮤니티 특유의 개발자 고집과 보안 프라이버시 갈등이 적나라하게 드러난 사건입니다.