EU의 게이트키퍼 사이드로딩 허용에 따른 모바일 플랫폼 보안 영향 분석 - 안드로이드와 iOS 환경을 중심으로 -

 구글, 애플 등 전 세계인의 일상생활 속에서 가장 많은 IT 서비스를 제공하는 글로벌 IT 플랫폼 기업들이 2023년 5월부터 본격 시행되는 EU의 “디지털 시장법”(Digital Markets Act: DMA)에 주목하고 있다. 이미 2022년 7월 유럽의회는 IT 기업의 독점적 관행을 금지하는 디지털 시장법을 통과시켰으며, 법안 주요 내용으로는 EU 내 디지털 시장에 상당한 영향력 행사가 가능한 핵심 플랫폼 서비스 제공자를 게이트키퍼(gatekeeper)로 명명하여 게이트키퍼에 대한 시장 독점 지배력 완화를 통한 소비자의 선택권을 확대할 수 있도록 지원하는 것을 담고 있다[1].
 특히, 소위 게이트키퍼로 분류되는 애플의 경우, DMA의 주요 내용 중 사용자들에게 서드 파티 앱스토어와 자사 앱스토어를 거치지 않고 인터넷에서 직접 설치하는 이른바 사이드로딩(sideloading)을 통해 모바일앱을 설치할 수 있도록 해야 한다는 내용에 일찍이 주목하여 DMA에 대한 반대의사를 2021년 말부터 적극적으로 표명하기 시작하였다[2].
 애플의 반대의사 주요 내용으로는 애플에서 제공하고 있는 모바일 앱 서비스의 경우, iOS라는 대표적인 폐쇄적인 환경에 기반하여 앱에 대한 보안성 등을 엄격하게 심사한 후 앱스토어 등록 허가를 내주는 자체 앱스토어 리뷰 프로세스를 갖고 운용 중에 있어 앱에 대한 보안성 심사절차가 별도로 없는 서드파티 앱스토어 또는 자사 앱스토어 리뷰 프로세스를 거치지 않은 앱이 유통되고 사용될 경우, 이용자가 보안위협과 개인정보 유출 등의 위험에 노출될 수밖에 없다는 내용이다.
 본 고에서는 애플이 주장하고 있는 사이드로딩 허용 시 iOS 환경에 미치는 보안 영향력을 분석하고자 한다. 이를 위해 우선, 이미 사이드로딩을 허용하고 있는 안드로이드와 사이드로딩을 허용하지 않은 iOS 환경을 보안관점에서 비교해 보고, 이후 사이드로딩 허용 시 iOS 환경에서 발생 가능한 보안위협 등을 파악하고자 한다.

1. 구글플레이 보안운영 현황

[표 1] 구글플레이 마켓 등록 규정

<자료> 디에스컴퍼니 자체 작성

 구글은 애플리케이션이 구글플레이 마켓에 등록되기 위해 다음과 같은 조건으로 제한하고 있다. 구글 개발자정책센터는 별도 규정을 마련하여 제시된 규정을 위배할 경우 개발 앱에 대한 배포를 제한 중에 있다. 특히, [표 1]과 같이 3개 규정은 사용자 및 기기 보안에 대한 정책으로 규정을 위반할 경우 안드로이드 구글 플레이 마켓 등록을 제한하고 있으며, 이를 보다 자세히 살펴보면 다음과 같다. 첫째, 개인정보보호, 사기 및 기기 악용은 개발된 애플리케이션이 사용자의 개인정보를 포함하는 앱, 기기 또는 데이터를 악용 및 오용하는 행위의 코드가 포함될 경우 제한된다. 해당 규정은 사용자 데이터, 권한, 기기 및 네트워크 악용 등이 포함되며, 스팸 및 최소 기능은 사용자에게 원치 않는 스팸 또는 악의적인 내용이 포함된 메시지를 전송하는 소스 코드가 포함된 경우와 악성코드가 사용자 또는 데이터를 위험에 노출할 수 있는 모든 소스 코드가 포함된 경우를 제한하고 있다. 참고로 안드로이드의 경우, 버전에 따라 악의적인 동작이 수행될 수도 있어 앱 수정을 통해 악의적인 영향을 초래할 수 있을 경우 멀웨어 또는 잠재적인 위험 애플리케이션(potentially harmful applications)으로 표시한다[3].

2. 앱스토어 보안운영 현황  애플은 개발자의 애플리케이션을 심사하기 위해 제출하기 전과 제출한 이후를 포함하여 다양한 앱스토어 검토 지침을 제공하는 것과 함께 안정성, 성능, 비즈니스, 디자인 그리고 법적 요구사항 등의 엄격한 심사 규정을 적용하고 있다[4]. 이러한 규정을 적용받아 운용되고 있는 앱스토어와 관련하여 이용자의 관점에서 바라보면, 애플리케이션을 설치하는 방법은 크게 두 가지가 존재한다. 개인은 애플에서 제공하는 모든 사용자에게 허용되어 있는 앱스토어에서 구입 또는 무료로 다운로드하여 앱을 설치하여 사용할 수 있고, 단체(조직)는 apple developer enterprise program을 사용하여 독자적인 기업용 iOS 앱을 내부용으로 제작하여 배포할 수 있다. 다만, 앱스토어를 통하지 않는 단체 앱의 배포는 다음과 같은 기본 자격을 충족해야 한다는 가이드를 제공한다. 우선, 허위 사업자, 상표명 또는 직접적인 이름은 허용되지 않고 있으며, 이 프로그램은 사내에서만 사용하는 전용 앱을 생성하여 조직 내의 직원에게 비공개로 안전하게 배포하기 위한 용도로만 사용해야 한다. 다음으로는 직원만 내부용 앱을 다운로드하고 멤버십 자격 증명 및 자산을 보호할 수 있는 시스템을 갖추고 있어야 하며, 애플의 확인 인터뷰 및 지속적인 평가 절차에 참여하고 통과해야 한다[5].
 이외에도 애플은 사용자들이 안전하게 앱을 발견하고 다운로드할 수 있는 안전하고 신뢰할 수 있는 플랫폼을 설립하자는 목표를 가지고 앱스토어를 출시하였다. 이 때문에 앱스토어의 심사지침을 비롯하여 개발 도구인 Xcode를 이용한 승인된 기술 사용 유무, Private API 참조 유무, 악성코드 보유 유무, 개인정보보호 및 보안 기능 내장 유무, developer enterprise program을 통한 검증 등을 통해 유해한 앱이 배포되지 않도록 선제적 예방을 목표로 하고 운영 중에 있다[6].

1. 안드로이드  구글 안드로이드는 하드웨어 보안에 대해 DRAM의 의도치 않은 부작용을 이용할 수 있는 로우해머(rowhammer)1) 형식의 공격이 발생하지 않도록 하기 위해 메모리 사용과 기기의 암호화 키에 대한 보관 방식에 대해 스트롱박스 키마스터(StrongBox Keymaster)2) 환경 지원을 권장한다. 시스템 보안에서는 사용자 인증을 위한 생체 인식 방식을 권장하며 보다 강한 인증 방식의 경우 안드로이드 호환성 정의 문서 가이드라인을 준수해야 한다. 또한, 앱 보안에서는 안드로이드 스튜디오에서 제공되는 코드 스캔 도구 린트(android lint)를 통한 소스 코드 보안 결함 탐색과 소프트웨어 개발 생명주기에 따른 자동화 테스트 및 과도한 권한을 부여하지 않도록 권장하며 앱과 프로세스를 샌드박스 모델을 이용하여 분리하여 보안 위험을 감소하도록 권장한다. 네트워크 보안에서는 공격 표면이 될 수 있는 기기의 수신 소켓 최소화를 권장하며 안드로이드 호환성 테스트에서 수신 포트가 열려 있는지 테스트할 수 있는 환경 제공과 함께 디버깅 도구인 ADB 사용을 중지하도록 권장한다. 이외에도 앱을 등록한 이후 운영을 위한 개인정보보호팀 구축, 소스 코드 변경 추적과 같은 내용 조직구성 방안과 사용자가 데이터를 관리하기 위한 수집 가이드라인을 권장사항으로 제공하고 있다[7].
 구글은 안드로이드 개발자 가이드라인에 개인정보보호와 관련된 사항을 권장사항으로 두고 앱 개발 시 개인정보보호와 관련된 내용을 제공하고 있다. 우선, 권한 부여에 대해 기능에 필요한 최소 권한을 요청해야 하며, 앱의 기능이 필요한 이유를 설명해야 한다. 그리고 사용자는 권한을 계속적으로 거부할 수 있게 개발해야 하며 사용되지 않는 앱의 권한은 삭제되어야 한다고 설명한다. 또한, 위치 데이터에 대한 권한을 요청하지 말아야 하며 특수하게 요청하는 상황에서는 사용 정보를 설명해야 한다. 데이터 처리와 관련해서는 민감한 사용자 정보를 수집 및 사용할 경우 사용자에게 통보해야 하며, TLS의 네트워크 통신 프로토콜을 사용하도록 권장한다. 마지막으로 재설정할 수 있는 식별자를 사용하여 계속적으로 사용자의 IMEI 및 기기 일련번호와 같은 식별자에 접근해서는 안 되며 광고를 사용 시 광고 ID만을 사용하도록 권장하고 있다[8].

2. iOS  애플은 자체 소프트웨어에 특화된 칩을 개발하였기 때문에 확장 가능한 아키텍처가 제공된다. 애플의 하드웨어는 2016년 공개된 A10 AP부터 M1 및 M2까지 확장 보안을 제공한다. 시스템 보안은 소프트웨어 업데이트와 리소스에 대한 보안을 포함하며, 버퍼 오버플로, 히프 공격 등의 취약점을 방지하기 위해 iBoot 부트로더를 구축하였고, 운영체제 소프트웨어는 실행될 때 무결성을 보호한다. 앱 보안 단계에서는 안전을 위해 계층형 보호 기능을 제공한다. 특히, 모든 앱은 샌드박스되어 사용자를 보호한다. 현재 아이폰 iOS의 경우 사이드로딩이 제한되어 있지만 mac OS의 경우 오픈된 인터넷 환경에서의 앱 다운로드가 가능하다. 이를 보호하기 위해 mac OS는 제어 단계를 추가하여 무단 접근을 제어한다[9]. 애플은 추가적으로 클라우드 저장소, 인증, 결제 등과 같은 서비스 보안, 애플 서비스를 확장할 수 있게 하기 위한 프레임워크를 제공하고 개인정보 및 사용자 보호를 위한 개발자 키트 보안, 다양한 애플 제품에 대한 정책과 시행을 위한 보안기기 관리, 데이터 보호를 위한 암호화 및 데이터 보호에 대한 추가적인 플랫폼 보안 방안을 제공한다([표 2] 참조).

[표 2] Android와 iOS간 보안사항 차이점

<자료> 디에스컴퍼니 자체 작성

 더불어, 구글과 같이 iOS와 관련한 개인정보 취급에 대해 데이터 수집, 공개, 유형 및 사용, 추적 등으로 구분한다. 먼저, “데이터 수집”은 사용자가 앱에서 수집되는 데이터와 사용처에 대한 내용을 파악하기 위한 내용을 제공해야 한다. “선택적 공개”는 데이터는 추적 목적으로 사용되지 않아야 하며 광고 등을 위해 사용되지 않도록 제공해야 하며 규제 대상 금융서비스, 건강 연구에 대해 선택적으로 공개할 수 있다. “데이터 유형”은 연락처 정보, 건강, 재무, 위치, 민감한 정보, 콘택트렌즈, 사용자 콘텐츠, 검색 기록 등 다양한 구분을 하고 있다[10].

3. 안드로이드 보안위협 현황  구글 안드로이드의 강력한 심사 정책에도 안드로이드 앱에 다양한 멀웨어가 발견되고 있다. 글로벌 보안기업 맥아피는 2023년 응용 프로그램 목록과 GPS를 포함하는 장치 정보 기록 수집 등 다양한 악성행위를 행하는 멀웨어가 포함된 60건 이상의 안드로이드 기반 앱을 공개하였으며, 네덜란드의 트릿패브릭(ThreatFabric)은 은행을 타깃으로 하여 사용자의 자격 증명과 개인정보를 가로채는 트로이목마 형태의 신종 멀웨어 제노모프(Xwnomorph)를 발견하였다[9]. 또한, 애플의 경우, 이미 자체 보고서를 통해 안드로이드의 멀웨어 감염 건수가 2021년 기준 iOS 대비 15~47배 수준으로 그 주된 이유를 안드로이드의 사이드로딩 허용 때문이라고 발표하는 등 사이드로딩 허용 위험성을 강조하고 있다[11].
 이처럼 사이드로딩 허용을 포함한 개방형 생태계 플랫폼을 지향하는 안드로이드 플랫폼의 경우, iOS에 비해 다양한 악성 앱이 유통되기 용이하여 보안위협이 지속 발생할 수 있는 환경으로 판단된다[12],[13].3)

 EU의 게이트키퍼로 지정될 가능성이 높은 애플의 iOS 환경에서 사이드로딩에 따른 주요 보안위협을 크게 사용자의 유해 앱 노출 가능성 증가, 앱 신뢰도 하락과 데이터 위험 증가, On-device 플랫폼 보안 약화로 구분하여 살펴본다.

1. 사용자 유해 앱 노출 가능성 증가  직접 다운로드하거나 third party store를 통한 앱은 유해한 앱 여부를 가늠하는 충분한 검증 절차가 없다. 앱의 안전성 여부는 사용자가 직접 판단해야 하는 위험이 존재한다. 유해 앱이 주는 네 가지의 위험은 다음과 같다. 첫째, 멀웨어에는 광고 수익 창출을 목표로 하여 과도한 불쾌감을 주는 애드웨어, 사용자 데이터를 암호화 하여 해제하는 대가로 금품을 요구하는 랜섬웨어, 사용자의 개인정보를 침해하거나 탈취하여 스미싱이나 피싱에 이용하는 스파이웨어, 장치에 접근하여 금융 정보와 사용자 자격증명을 탈취하여 사기에 이용하는 트로이안(banking and credential-stealing trojans)이 있다. 둘째, 미검증된 불법 도박 앱, 불법 복제 앱 또는 도난당한 지적 재산이 포함된 앱과 같은 불법 콘텐츠가 포함된 앱 등이 사용자에게 노출될 수 있다. 셋째, 미성년자를 대상으로 하는 안전하지 않은 앱의 노출이 있다. 불건전한 콘텐츠의 노출은 미성년자에게 악영향을 끼질 수 있다. 마지막으로 확인되지 않은 유해 앱의 확산이 있다. 중앙 집중식 검토 없이 사이드로딩과 같은 외부 인입이 허용되면 관련이 있는 개발자에게 이를 알리거나, 유해한 앱의 확산을 제어할 수가 없다. 앱스토어에서 제거한다고 해도 타 경로를 통해 유입될 수 있기 때문이다.

2. 앱 신뢰도 하락과 데이터 위험 증가  애플의 앱스토어는 모든 개발자가 앱에 대한 신뢰할 수 있는 정보를 제공하도록 요구하며, 사용자가 앱이 접근할 수 있는 데이터를 제어할 수 있도록 기능을 제공한다. 하지만 사이드로딩이 허용될 경우, 검증되지 않은 앱은 권한의 필요 여부에 관계 없이 마이크 또는 위치 데이터 등과 같은 민감한 데이터를 부적절하게 획득할 수 있고 개인정보보호 사용자의 데이터는 허가 없이 수집 및 공유 될 수 있다.

3. On-device 플랫폼 보안 약화  보안 상의 이유로 애플은 민감한 하드웨어 요소(NFC, 보안영역, 메모리, ultra wideband)에 접근하는 것을 제한하고 앱이 비공개 운영 체제 기능을 사용하는 것을 허락하지 않는다. 사이드로딩 허용에 따라 하드웨어 요소 및 공개되지 않은 운영체제 기능의 전체 접근 권한까지 제공해야 한다면 플랫폼 보안 기능은 약해지게 된다. 이는 앱이 다른 앱의 데이터를 훔치거나 수정하고, 위치 데이터, 마이크 또는 카메라에 접근하는 것을 방지할 수 없다.

4. 사이드로딩 허용에 따른 보안 위협 영향  애플에 사이드로딩이 허용될 경우 보안 위협은 안드로이드 운영체제의 보안 위협과 비슷한 수준으로 높아질 수 있다. 사이드로딩을 허용한 안드로이드에서 발생하는 악성 소프트웨어는 애플에서 발생하는 것보다 약 15~47배 더 많은 것으로 나타났으며, 모바일 멀웨어의 98%는 안드로이드를 대상으로 한다. ERA(European Regulatory Agency)에 따르면 매일 약 23만 개의 새로운 멀웨어 감염사례가 보고되고 있다. 카스퍼스키랩(Kaspersky Lab)은 매월 약 600만 건의 공격이 발생한 것으로 추정하였다. 이러한 공격들은 사용자로 하여금 스미싱이나 피싱 수법에 노출되게 하고, 개인정보 유출 및 민감한 데이터를 손상시킬 수 있다. 멀웨어에 감염된 개인의 모바일 장치는 BYOD(Bring Your Own Device) 정책을 채택하고 있는 기업에서 사용될 경우 기업 데이터 및 기업 네트워크에도 영향을 미칠 수 있다. 보안 위협은 데이터를 암호화 한 후 복호화를 대가로 금품을 요구하는 랜섬웨어, 앱의 취약점을 이용하여 악성 앱을 감염시키는 스미싱, 사용자의 디바이스(카메라)를 이용하여 음란한 행위를 유도한 후, 녹화본을 이용하여 협박하는 몸캠 피싱 등 사이버 범죄에도 이용될 수 있다[14],[15].
 이러한 보안 위협을 예방하고 해결하기 위해서는 많은 시간과 자원을 낭비하게 된다. 멀웨어에 많이 노출되는 PC 환경에서의 안전한 프로그램을 증명하기 위한 코드 사이닝 기법과 멀웨어 탐지 및 삭제를 위해 안드로이드에 설치되는 AV(Anti-Virus) 프로그램의 사용, 관리가 이를 방증한다.
 그에 반해, 앱스토어를 이용하는 애플의 앱 관리 및 검증 체계는 사이드로딩 허용에 따른 보안 위협을 현저히 축소시켜 위협에 대한 관리 비용을 최소화 하고 있다.

 EU는 디지털 시장법을 마련하고 시행하여 EU 역내 이용자의 앱 마켓을 비롯한 모바일 플랫폼 서비스 이용 선택 권한을 강화하였다. 그리고 이러한 움직임은 그간 글로벌 IT 플랫폼 기업의 독점적 사업 영위 행태에 따른 이용자의 다양한 앱 마켓 이용 권리 등을 저해하는 움직임에 제동을 거는 계기를 제공하였다.
 본 고를 통해 이용자의 선택권이 다양화될수록 보안 위협의 노출도와 영향도 역시 더 커졌다는 것을 확인할 수 있었다. 사이드로딩 허용 등 이용자의 선택권을 존중한 안드로이드 운영체제에서는 장치 정보 기록 수집 등 다양한 악성행위를 행하는 멀웨어 보안위협 등이 발견되었으며, 이는 게이트키퍼 지위자로 선정될 애플에서도 분명히 발생할 수 있는 문제임을 생각하여, 향후 애플의 사이드로딩 허용에 따른 보안위협을 제시하였다. 그리고 이를 바탕으로 정책당국이 관련 정책방향 수립 시 참고할 만한 세부방안을 제시하면 다음과 같다.
 첫째, 마켓 단에서 이루어지지 못한 검증 절차를 앤드포인트(endpoint)인 단말에서 이루어질 수 있도록 검증 단계를 추가하는 것이다. 사이드로딩을 통해 설치되는 앱이 단말에 설치되기 전 자체적으로 디컴파일과 복호화를 통해 시큐어코딩을 확인하고, 개인정보의 유출이나 디바이스 장치(카메라, 스피커 등)를 이용하여 프라이버시를 침해할 수 있는 가능성을 차단하는 방안을 마련할 필요성이 있으며, 추가적으로 악의적인 행위를 하는 코드를 검증하여 랜섬웨어와 같은 멀웨어를 예방하는데 노력을 기울여야 할 것이다.
 둘째, 코드사이닝이 포함된 앱만 설치되도록 정책 방향을 가져가는 방법이 있다. 사이드로딩으로부터 앱의 유입을 막을 수 없다면, 애플에서 발급한 인증서를 이용하여 앱을 배포하기 위해서는 반드시 코드사이닝 절차를 거치게 만들어 추가적으로 검증할 수 있는 절차를 가져갈 수 있도록 권고하는 방안이다.
 셋째, 사이드로딩을 통해 악의적인 행위를 하는 멀웨어가 설치되고 실행이 되었다면, iOS 전용 AV 앱을 이용하여 멀웨어를 삭제하여 보안성을 높이는 방안이다. 다만, AV 앱은 사이드로딩을 통한 설치를 피하고 사전에 검증이 완료된 앱스토어와 같은 안전한 출처로부터의 설치가 강제되어야 할 것이다.
 향후, 본 고가 소위 게이트키퍼라 불리는 글로벌 모바일 IT 플랫폼 기업 간 공정 경쟁 환경을 촉진하는데 있어 정책입안자가 이용자의 안전성 확보와 보안성 제고를 지속적으로 유도하고 참고하는데 작게나마 기여할 수 있기를 바란다.