핵심 요약

  • 폴 코처는 암호 기술 연구와 컨설팅을 이어가다 크립토그래피 리서치를 세웠다. 벤 준은 함께 보안 시스템을 만든 경험을 계기로 합류했고, 킷 로저스는 사업을 맡았다.
  • 회사는 외부 투자를 받지 않았다. 초기 컨설팅으로 산업별 문제를 익힌 뒤 해결책을 개발해 라이선스하거나 고객에게 제공했다.
  • 유료 TV의 불법 시청 문제에서는 공격 한 번으로 시스템 전체가 뚫리지 않도록 설계를 바꿨다. 프린터 카트리지에는 결제 시스템에서 쓰던 보안 접근법을 적용했다.
  • 램버스에 회사를 매각할 때는 최고가 제안 대신 사업을 확장하고 지분이 적은 직원도 배려할 수 있는 거래 구조를 택했다.
  • 코처는 AI가 암호 알고리즘 자체보다 그 주변 소프트웨어의 결함을 찾아내는 데 영향을 줄 수 있다고 전망했다. 장기적인 영향은 불확실하다고 덧붙였다.

연구와 우연한 협업에서 시작된 회사

코처는 수의사가 될 생각으로 스탠퍼드에 진학했지만 암호 기술에 관심을 갖게 됐다. 그는 암호 관련 모임에 참여했고, 졸업 무렵에는 넷스케이프의 SSL 3 프로토콜 작업을 비롯한 여러 프로젝트를 맡았다. 암호 시스템이 연산에 걸리는 시간 같은 부수적인 정보로 비밀을 드러낼 수 있음을 다룬 연구도 했다. 처음부터 사업 계획을 세운 것은 아니었다. 컨설팅 수입이 들어오면서 사람을 채용했다.

준과의 인연은 오더블의 초기 오디오 재생 기기 프로젝트에서 시작됐다. 준은 온라인으로 판매한 콘텐츠를 기기에 전달하고 보호할 시스템이 필요해 코처에게 도움을 청했다. 이후 코처는 결제용 스마트카드의 전력 소비를 관찰해 카드의 비밀 키를 추출할 수 있음을 준에게 보여줬다. 준은 이 문제를 업계와 함께 해결하는 일에 참여하기 위해 박사과정 진학 계획을 미뤘다.

두 사람이 카드 업계에 기술의 가치를 인정받는 데 어려움을 겪자, 준은 이전부터 함께 일하고 싶었던 로저스에게 연락했다. 로저스는 기술적 재능은 충분하지만 사업을 맡을 사람이 필요하다고 판단해 합류했다. 코처는 세 사람이 서로 다른 문제에 강점을 가진 점이 어려운 기술 구현과 거래, 회사 운영에 도움이 됐다고 회고했다.

컨설팅을 산업 이해와 기술 개발의 출발점으로 삼다

로저스에 따르면 회사는 한때 약 30명 규모였고, 그중 암호 기술자가 약 20명이었다. 결제, 유료 TV, 블루레이 디스크, 프린터 카트리지처럼 서로 다른 산업의 고객 문제를 컨설팅으로 파악했다. 이후 특정 문제를 해결할 기술을 만들어 라이선스하거나 고객에게 제공하는 방식으로 사업을 넓혔다.

코처는 높은 시간당 보수를 받는 컨설팅 덕분에 청구 시간을 무리하게 늘리지 않아도 됐다고 설명했다. 남는 시간에는 새로운 문제를 탐구할 수 있었다. 회사는 벤처 투자나 다른 외부 자금을 조달하지 않았으며, 초기 컨설팅을 바탕으로 기술을 개발했다. 준은 이 방식에 외부 투자자의 조언이 없는 어려움도 있었다고 돌아봤다.

보안 기술보다 공격자의 경제성을 먼저 살피다

한 위성방송 사업자는 반복되는 불법 시청 문제를 해결하려고 회사를 찾았다. 팀은 수신기의 취약점뿐 아니라 제조, 시험, 업그레이드, 현장 교체까지 시스템의 전체 수명주기를 살폈다. 로저스의 설명에 따르면 당시 캐나다에는 서비스에 돈을 낼 의사가 있어도 가입할 수 없는 사람이 약 600만 명 있었다. 그만큼 불법 접근을 시도할 경제적 유인이 컸다는 것이 그의 판단이다.

팀이 개발한 해결책은 한 번의 공격으로 많은 수신기를 뚫을 수 없게 하고, 공격이 성공하더라도 개별 사례에만 통하도록 설계됐다. 로저스는 이 방식이 불법 시청 사업의 수익성을 무너뜨렸으며 고객사에 수십억 달러의 손실을 막아줬다고 주장했다. 코처는 이런 프로젝트에서 해결책이 작동하면 큰 대가를 받고, 실패하면 투입한 노력을 감수하는 거래도 했다고 설명했다.

프린터에서는 카트리지와 본체의 통신을 보호하는 방식에 주목했다. 준에 따르면 제조사는 프린터 판매 후 카트리지 구매로 비용을 회수하려 했지만, 카트리지에 쓰던 보안 기술은 그 사업 규모에 비해 부족했다. 팀은 카트리지를 단순히 사용량을 기록하는 부품으로 보는 대신, 결제 시스템에 쓰던 보안 모델을 적용할 수 있다고 봤다. 준은 회사의 성과만 보면 처음부터 좋은 아이디어만 골라 실행한 듯 보이지만, 팀 내부에서 버린 아이디어도 많았다며 생존자 편향을 경계했다.

가까운 협업에는 신뢰와 비용이 함께 따랐다

준과 로저스는 회사가 커진 뒤에도 같은 사무실을 썼다. 준은 고객과 협상하는 로저스의 어려움을 곁에서 알 수 있었고, 로저스도 개발팀의 위기를 바로 접할 수 있었다. 일정이 촉박할 때 한쪽은 기능을 구현할 방법을 찾고 다른 쪽은 고객에게 시간을 더 확보하려 했다는 사례를 들었다.

코처는 이런 밀접한 소통이 스트레스도 키웠다고 말했다. 아직 확정되지 않은 영업 대화가 개발팀의 일에 영향을 줄 수 있어서다. 로저스는 오랜 기간 낮은 급여와 긴 노동시간을 감수해야 했다고 회고했다. 채용에서는 능력뿐 아니라 함께 일할 태도를 봤고, 코처는 시장보다 낮은 급여와 공식이 정해지지 않은 연간 보너스가 작동하려면 구성원의 신뢰가 필요했다고 설명했다.

매각 가격보다 확장과 직원 배분을 택하다

반도체 제조 과정의 보안에 회사 기술이 들어가게 되자, 일부 대형 고객은 약 30명 규모 회사에 핵심 공정을 의존하는 것을 부담스러워했다고 로저스는 전했다. 세 사람은 사업을 더 크게 운영할 파트너가 필요하다고 판단했다. 매각 여부를 직원들에게 묻자 전원은 매각에 찬성하거나 경영진의 결정에 따르겠다고 답했다.

크립토그래피 리서치는 2011년 램버스에 3억 4,200만 달러에 인수됐다. 로저스에 따르면 램버스의 제안은 최고가에 가깝지도 않았지만, 지분이 적은 직원에게 매각 대금을 더 배분할 수 있는 구조를 허용했다. 인수 후 회사를 떠나는 직원에게 예정된 돈이 지급되는 대신 자선단체로 가도록 하는 잔류 보상 구조도 마련했다. 코처는 이 방식이 직원 해고와 무성의한 근무 양쪽에 대한 금전적 유인을 줄였다고 평가했다.

AI가 바꿀 보안 위험의 위치

질의응답에서 코처는 암호 알고리즘을 견고한 벽돌에, 그 주위의 시스템을 약한 접착재에 비유했다. 그는 AI가 큰 수의 소인수분해나 AES 암호 자체를 깨기보다 통신 상대, 패킷의 시간과 크기 사이의 관계를 분석하거나 소프트웨어 결함을 찾는 데 쓰일 수 있다고 봤다. 이런 문제는 단기적으로 악화할 수 있지만 장기적인 결과는 분명하지 않다고 했다.

이 회사의 사례에서 세 사람이 거듭 강조한 것은 기술의 성능만으로 사업이 완성되지 않았다는 점이다. 고객 시스템의 작동 방식과 공격자의 유인, 거래 조건, 팀이 실행할 수 있는 범위를 함께 다뤄야 했다는 것이 이들의 회고다.