5월에 진행한 영국 NHSX 추적 앱 분석, 영국이 Apple과 Google의 노출 추적 API를 사용하는 방향으로 전환한다는 소식, 그리고 최근 iPhone에 접촉자 추적 기능이 등장한 일을 계기로, 그 이후에 벌어진 일에 대한 분석을 공유합니다.
영국의 COVID 대응이 어떻게 전달되어 왔는지를 두고 정치적 요소가 많이 작용했으며, 흔히 퍼진 오해도 여럿 있습니다.
첫 번째 오해는 정부가 “단독 추진”을 고집했다는 것입니다. 정부가 그렇게 시도하겠다고 발표한 것은 사실이지만, Apple과 Google의 API를 사용하는 구현도 함께 계약해 구축하기로 했다는 것 역시 분명한 사실입니다. 이 계약은 2020년 5월 6일에 체결되었고, 계약서는 여기에서 읽을 수 있습니다. 와이트섬 시범 운영이 시작되기 전이었고, NHSX 앱에 대한 외부 분석이 이루어지기 전이었습니다.
두 번째 오해는 NHSX 앱이 충분히 테스트되지 않았다는 것입니다. 와이트섬 시범 운영이 시작되었을 때 NHSX는 앱을 오픈소스로 공개하고, 앱을 어떻게 만들고 테스트했는지에 관한 문서를 여러 건 공유했습니다. 많은 기자들이 저에게 그 문서들이 적절한 테스트 방법론이 사용되었음을 보여 준다고 생각하는지 물었습니다. Reincubate가 발견하고 다룬 내용은, NHSX 팀이 호주 접촉자 추적 앱의 한계를 해결하기 위해 새로운 기법을 찾아냈지만 그것이 얼마나 잘 작동할지는 분명하지 않았다는 점이었습니다.
해설가, 전문 분석가, 그리고 BBC가 자문을 구한 사이버 보안 업체는 Apple / Google API 방식에 기술적 이점이 있다는 점, 그리고 이 기법이 안고 있는 단서 조건 속에서 얼마나 효과적일지 확인할 유일한 방법은 직접 테스트해 보는 것이라는 점을 제외한 모든 것에 대해 확신하지 못했습니다.
물론 이처럼 복잡한 시스템을 가장 이상적으로 검증하는 방법은, 상당수의 사용자에게 배포해 실제로 얼마나 잘 작동하는지 현실 세계의 데이터를 모으는 것입니다. 바로 그렇게 했는데도, 일부 해설가들이 와이트섬 시범 운영을 시범 운영이 아닌 정식 배포와 혼동한 것은 이상한 일입니다.
세 번째로, NHSX 앱이 돈 낭비였다거나 정부가 “제대로 작동하는” 앱을 내놓는 데 지연을 초래했다는 오해가 있습니다. 이것이 잘못된 이유는 두 가지입니다. 제가 5월에 썼듯이, Apple이나 Google의 API를 사용해 앱을 배포하는 것은 현실적인 선택지가 아니었습니다. 당시 저는 다음 네 가지를 공유했습니다.
- iOS 13.5는 아직 출시되지 않았으며, 몇 주 더 걸릴 수도 있습니다
- 어제 이전까지 마지막 iOS 13.5 베타에는 심각한 보안 결함이 있었는데, 이는 Apple 엔지니어링 팀 내부에서 대규모 작업이 진행되고 있음을 시사합니다
- 출시되더라도 대다수 iOS 사용자가 설치하기까지는 몇 달이 걸릴 가능성이 큽니다(이례적으로 Android의 동급 버전 보급은 더 빠를 수 있습니다)
- iPhone 6 같은 구형 iOS 기기는 iOS 13을 실행할 수 없으므로 Apple의 방식을 사용할 수 없습니다
그 후로 크게 달라진 것은 없습니다. iOS 13.5는 5월 20일에 “노출 알림” API와 함께 출시되었습니다. Statscounter는 그달 말까지 13.5의 보급률이 2.2%였고, 3월에 나온 iOS 13.4는 37%에 불과하다고 보고했습니다. 2015년에 판매된 iPhone조차 iOS 13을 실행할 수 없으며, 상당수 사용자가 13.5를 쓰게 되는 것은 2020년 말 무렵이 될 가능성이 큽니다. (2020년 6월 기준으로 Apple의 데이터는 기기의 92%가 iOS 13을 실행한다고 보여 주지만, 출시된 지 4년이 넘은 기기는 제외한 수치입니다.)
결과적으로, 이 기술이 작동하려면 보급이 매우 중요하다는 점을 감안할 때 Apple의 API 활용을 검토하는 것은 2021년 초에나 가능할 것입니다. 영국이 몇 달 안에 Apple / Google API 기반 도구를 갖추지 못한다면 그때는 그것을 지연이라고 볼 수도 있을 것입니다. (싱가포르는 이 문제를 해결하기 위해 국민에게 전용 하드웨어 기기를 보급하고 있습니다.)
그러는 사이 와이트섬 시범 운영은 종료되었고, Apple과 Google API에 대한 테스트도 마무리되었습니다. 두 방식 모두 데이터는 도움이 되지 않았으며, 런던 의회는 거리 측정 문제를 논의하고 있습니다. BBC는 다음과 같이 전했습니다.
Specifically, the software registered about 75% of nearby Android handsets but only 4% of iPhones. By contrast, the Apple-Google model logged 99% of both Android mobiles and iPhones. But its distance calculations were weaker. In some instances, it could not differentiate between a phone in a user’s pocket 1m (3.3ft) away and a phone in a user’s hand 3m (9.8ft) away.
“돈 낭비”라는 비난은 이례적입니다. 정부가 시민들의 죽음에 직면한 상황에서 생명을 구하기 위한 기술 R&D 투자에 어떤 값을 매겨야 할까요? Apple의 솔루션이 나올 때까지 기다렸어야 했을까요(현실적으로는 지금도 기다리고 있어야 했을 것입니다)? 그렇게 기다렸다가 거리 추적과 iOS 13.5 보급 문제에 부딪혔다면, 다른 접근법이 통할지 알아보는 데 수백만 파운드를 쓴 것이 그리 나쁜 일은 아니었을 것 같습니다. 결과적으로 영국이 택한 이중 트랙 방식은 모범 사례로 보입니다. 거대 기술 기업들이 내놓을, 작동하지 않을 수도 있는 무언가를 손 놓고 기다리지 않았기 때문입니다.
마지막으로, 새로운 그림이 드러나고 있습니다. 기술이 접촉자 추적의 만병통치약이 되지는 않으리라는 것입니다. NHSX의 방식이든 Apple과 Google의 방식이든, 사용된 두 접근법 모두 기대만큼 잘 작동하지 않습니다.
문제는 네 가지로 보입니다.
- 보급(사용자가 이 기술을 사용하는 데 필요한 iOS 업그레이드나 Android 소프트웨어를 갖추고 있지 않음)
- 하드웨어 성능(2015년형 iPhone은 앱을 실행할 수 없고, 일반적인 Android 기기는 Bluetooth 품질이 낮아 거리를 잘 추적하지 못함)
- 개인정보 보호(사용자가 앱을 설치하거나 접근 권한을 부여하는 데 우려를 느낌. Apple이 시스템 설정 메뉴를 활성화한 것만으로도 6월 말 영국에서 상당한 동요가 일었음)
- 행동(앱이 작동하려면 사용자가 COVID 보고나 검사 요건을 반드시 이행해야 하지만, 그렇게 하지 않을 수 있음. 현재도 훨씬 단순한 사회적 거리두기 규칙이 무시되는 것에 대한 우려가 있음)
일부 국가는 접촉자 추적 앱으로 제한적인 성과를 거뒀다고 주장하지만 데이터는 부족하며, 이 기술이 작동하는가라는 질문은 이제 기술적 논의가 아니라 정치가 주도하는 서사가 되었습니다. 제 생각에 사용자가 이 기술에서 얻을 수 있는 최선은 접촉자 추적이 아닌, 부분적으로 정확한 노출 알림입니다.
어느 쪽 접근법도 결국 COVID-19의 확산을 추적하고 관리하는 데 효과적이지 않을 수도 있습니다. 그래도 그것을 이루기를 바라며 여러 기술 솔루션에 투자하는 것이 타당하다는 점에는 반박하기 어렵습니다.
