스팀 관련앱을 사용시 내 계정으로 몰래 보팅을 한다든지, 내가 모르던 수익쉐어 (Beneficiary) 부분이 있다든지 하는 내용이 가끔씩 커뮤니티에서 이슈가 되고 최근에도 몇가지 사건이 있었는데요
오늘은 스팀 관련 앱을 사용하실때 내 계정을 안전하게 지키는 방법에 대해서 써보도록 하겠습니다.
스팀 관련 앱들은 크게 세가지 카테고리가 있습니다.
1. 스팀잇 아이디만 입력하면 되는경우
아무 걱정 안하고 쓰셔도 됩니다.
스팀에 있는 모든 정보는 누구나 볼 수 있는 공개된 정보이기에 사실 통계나 모니터링 앱들의 경우에는 아무 권한 없이도 유용한 앱들을 만들 수 있습니다.
제가 만들었던 SteemAlert나 보팅 분배를 보여주는 SteemReports, 
2. 스팀의 포스팅키나 마스터키 (패스워드)를 요구하는 경우
마스터키 (패스워드)를 요구하는 경우에는 절대로 사용하시면 안됩니다.
나쁜 의도가 있거나 아주 특별한 경우가 아닌한 스팀 관련 앱중에는 마스터키를 요구하는 경우는 거의 없습니다.
마스터키 입력한다는건 내 스팀잇 계좌의 출금, 마스터키 변경을 포함한 모든 권한을 넘겨주는 행위이기때문에 최악의 상황에는 다시는 내 스팀잇 계정에 로그인 하지 못하고 모든 자산이 털리는 일이 발생할 수도 있습니다.
포스팅키만 요구하는 앱들은 어느정도 리스크가 있습니다.
예전에는 Busy나 DTube등 유명한 스팀잇 앱들도 모두 이 방식을 사용했었고 지금도 많은 앱들이 이 방식을 사용하는데요, 포스팅키는 글 또는 코멘트를 올리거나 보팅을 할 수 있는 권한을 가지고 있습니다.
기술적으로 세분화 하자면 클라이언트 (본인의 PC)에만 포스팅키가 저장되는 경우와 서버에 저장되는 경우로 또 나뉠 수 있는데요, 유져입장에서 어떤 방식인지 알아내기는 힘듭니다 (개발자시라면 앱 리버싱이나 네트워크 트래픽을 모니터링 해서 알아내실 수 있겠죠).
사실 키를 악용하지 않는다는 전제하에 클라이언트에 저장하냐 서버에 저장하냐만을 놓고 어떤게 보안상 더 취약하냐를 판단 할 수는 없는데요, 취약한 개인 PC의 경우 서버보다 바이러스등에 의한 정보 유출이 더 일어나기 쉽기 때문입니다.
하지만 두가지 경우에 앱에서 할 수 있는 행위는 크게 다릅니다.
클라이언트에만 키가 저장되는 경우에는 내가 웹사이트에 접속해 있는 동안만 앱을 통해 포스팅, 보팅등의 행위가 가능하지만 서버에 저장되는 경우는 내가 컴퓨터를 끄고 자고 있는 동안에도 서버에서 내 계정으로 보팅이나 포스팅을 할 수 있습니다.
자동 보팅봇이나 댓글 봇 같은 경우가 서버에 키를 저장하는 대표적인 케이스인데요, 내가 굳이 브라우져를 열어놓지 않아도 계속 프로그램이 돌아가야 하기때문입니다.
자동 보팅봇 (팔로우 보팅) 의 경우에는 포스팅키를 받아서 하루에 1-2개정도의 보팅을 자기들 마음대로 사용하는걸 비지니스 모델로 하는 경우가 많은데요, 유져의 동의하에 하는거라면 큰 문제가 없겠지만 제대로 공지를 안하고 몰래 하는 경우도 있으니 주의하셔야 하며, 이런 툴들을 사용하실 경우에는 개발팀이나 회사가 충분히 믿을만한지, 사용 조건은 어떻게 되는지 확실히 알아보시고 사용하셔야 합니다.
3. 페북, 구글 로그인처럼 로그인 버튼을 누르면 권한요청이 뜨고 로그인 되는 경우
2번의 포스팅 키 방식을 보안하기 위해 Busy 팀과 Steemit Inc가 합작으로 만든 OAuth 방식의 웹 로그인입니다. steemconnect.com은 사실상 스팀잇에서 공식적으로 운영하고 있기 때문에 믿고 사용하셔도 됩니다.
페이스북, 구글 로그인처럼 로그인 버튼을 누르면 아래와 같은 SteemConnect의 권한 요청 페이지로 이동했다가 Continue 버튼을 누르면 앱으로 다시 이동하여 로그인이 되는 방식으로 포스팅 키를 입력하는 방식보다 사용성 측면에서도 훨씬 더 좋습니다.
웹이나 앱 기반의 스팀 앱이고 개발이 중단되지 않은 이상 요즘 대부분 앱들이 이 방식을 사용합니다.
앱의 권한면에서는 포스팅키를 클라이언트에만 저장하는 방식과 동일하게 내가 해당 사이트에 접속해있는 동안만 앱을 통해서 코멘트나 보팅등이 가능하며, 앱마다 더 최소한의 권한을 요구 할 수도 있습니다.
클라이언트에는 포스팅 키 자체가 저장되는게 아니라 일정기간동안만 유효한 엑세스키만 저장되어 해킹등에 의해 유출되더라도 비교적 더 안전하며 로그인 후에도 언제든지 SteemConnect 앱 관리 페이지에서 사용하는 앱들의 권한을 철회하실 수 있습니다.
마지막으로 가끔 논란이 되는 앱에서 올린 글에 대한 Beneficiary (수익 쉐어)에 관한 문제인데요..
Beneficiary는 스팀 생태계에 더 다양한 시도들이 나올 수 있도록 하드포크 17 이후에 추가된 기능으로 글을 올릴때 제3자에게 글 수익의 일부를 나눠줄 수 있는 기능입니다.
앱을 만들고 운영하려면 생각보다 많은 시간과 개발 비용, 운영비용이 발생하는데요, 여러명이 풀타임으로 개발하고 운영해야 할만한 앱들을 아무 보상도 없이 자기돈을 써가면서 운영하는건 현실적으로 불가능하니까요.
SteepShot은 총 보상의 10%, Utopian 이나 DTube 등은 25%를 가져갑니다.
유져 입장에서는 크게 생각될 수도 있는 비율이지만 사실 저정도 비율로는 운영비정도는 충당되겠지만 회사규모로 수익을 내지는 못합니다. Utopian이나 Steepshot은 사실 저 수익쉐어보다 스폰서들한테 기부받은 스팀파워로 플랫폼 컨텐츠를 보팅하고 여기서 나오는 큐레이션 수익을 다시 스폰서들에게 일부 배당하는데요, 이쪽에서 나오는 수익이 훨씬 더 클거라고 생각합니다.
앞으로 SMT가 나오면 더 다양한 방식의 수익모델이 나올 수 있을거고, 스팀 블락체인 위에서도 크게 성공하는 회사들이 나올거라고 생각합니다.
사용자 입장에서는 앱을 사용하여 포스팅을 했을때 해당 수익쉐어를 주고도 더 많은 보상을 얻을 수 있다든지, 같은 보상을 받아도 더 적은 노력이 들어간다든지 하는 실질적인 이득이 있어야 할텐데.. 이부분은 아마 사람마다 느끼는게 다르겠죠.
아무튼 결론은 포스팅 키를 입력하고 사용하는 앱이나 로그인 버튼 방식으로 이용하는 앱들의 경우에는 앱 사용 전에 미리 수익쉐어부분에 관해 먼저 확인하시고 사용하시면 되겠습니다.
참고로 저희 팀이 개발중인 스팀헌트는 이제 마지막 개발 작업을 하고 있습니다.
새로운 기술 스택을 배워가며 하느라 예상보다 훨씬 늦어졌지만, 이번주중에는 런칭 할 수 있도록 마지막 버닝중입니다 ㅎㅎ
다음 글은 스팀헌트 런칭글이 되길 희망하며.. 남은 휴일도 불태워야겠네요!