요약
캘리프 팀이 파리 헥사콘에서 아이폰 해킹 시연을 공개했습니다.
캘리프는 10월 16일 뉴스레터에 처음부터 목표로 삼았던 아이폰을 해킹했다는 짧은 글을 올렸습니다. 같은 날 프랑스 파리의 보안 콘퍼런스 헥사콘에서 보인 시연을 모은 글이고, 전체 내용은 때가 되면 공개하겠다고 했습니다.
왜 중요한가
- Signal 같은 별도 앱뿐 아니라 기본 메신저 iMessage까지 시연 대상으로 내세웠습니다.
- 앱을 따로 깔지 않은 평범한 아이폰 사용자도 공격 대상이 될 수 있다는 뜻으로 읽힙니다.
- 기법과 대상 iOS 버전은 아직 밝히지 않아, 실제 위험 범위는 세부 공개 뒤에야 가늠할 수 있습니다.
핵심 내용
- 첫 시연에는 'Signal 1-click'이라는 제목이 붙어, 한 번 클릭으로 Signal을 공격하는 방식임을 내비쳤습니다.
- 이어서 누구나 iMessage를 쓰는데 다른 앱이 대수냐는 문구와 함께 iMessage 시연으로 넘어갔습니다.
- 독자의 아이폰도 같은 일을 할 수 있냐고 되묻는 시연도 실었습니다.
- 마지막에는 APT(국가 배후 해킹 조직처럼 오래 잠복하는 공격자)를 'Apple Persistent Threat'로 바꿔 부르며 글을 맺었습니다.
- 본문에는 취약점 종류, 기종, iOS 버전 같은 세부 정보가 없습니다.
HN 반응
- 탈옥(제조사 제한을 풀어 시스템 권한을 얻는 일)한 기기를 애플이 iCloud에서 막을까 걱정하는 댓글에, 오랜 탈옥 이용자는 그런 적이 없다고 반박했습니다.
- 애플 생태계에 지갑으로 맞서자는 주장에, 애플이 너무 커서 규제만이 답이라는 반론과 규제도 빅테크 앞에선 무력하다는 재반론이 이어졌습니다.
이 거대 기업들의 "생태계" 전략에 우리가 굴복한 게 안타깝습니다. 탈옥하고 업데이트를 절대 안 한다 해도, 애플은 탈옥을 쉽게 감지해서 iCloud나 iMessage 같은 걸 전부 막아 버릴 수 있습니다. 그러고 나면 아이폰은 그냥 근사한 아이팟 터치 한 대가 되겠죠.. :-(
이런 걸 보고 있으면 초창기 탈옥 안드로이드 폰 시절의 기운이 느껴집니다. 루트 권한을 따서 하드웨어로 뭐든 할 수 있던 때요… 업데이트가 있을 때마다 xda 같은 포럼을 뒤져서 자잘한 팁이랑 수정 방법을 찾는 게 지겨워서 그런 짓은 그만뒀습니다. 이제 LLM이 그 작업을 자동화해 줄 수 있으니, 옛날 방식의 휴대폰을 다시 만나볼 수도 있겠습니다…
지갑으로 투표하세요. 엿이나 먹으라죠.
소프트웨어 돌리려고 LLM을 써야 하는 상황이 되면 안 됩니다.
6~12개월만 두고 보세요. 대형 AI 업체들이 그런 기능을 막아 버리고, 로컬 모델을 돌리는 건 비용 때문에 엄두도 못 낼 일이 될 겁니다.
애플은 그걸로 어떻게 할 수 있는 규모가 아닙니다. 지금은 강력한 규제만이 유일한 해법이에요. 기업 분할도 필요할지 모르고요.
똑똑한 소비자들이 다른 선택을 하기에 애플이 '너무 크다'는 건 아닙니다. 오히려 매그니피센트 7 기술 기업들은 전부 규제가 '해법'이 되기에 너무 큽니다. 이 회사들은 이제 하나같이 '규제 준수' 부서를 두고 있는데, 이게 규제 준수와 관련 있는 정도는 '진리부'가 진리와 관련 있는 정도와 같습니다. 그 부서는 고액 연봉을 받는 전직 규제 당국자, 로비스트, 변호사로 채워져 있고, 이들은 내부 사정을 이용해 규제의 영향을 피하거나 비켜 가거나 무력화합니다.
회사 전략은 이제 구상 단계부터 기소나 집행이 거의 불가능하도록 의도적으로 설계됩니다. 지난 10년 동안 이게 너무 잘 먹혀서, 걸린 판돈이 충분히 크면 거대 기술 기업들은 점점 더 노골적으로 규제를 어기는 쪽을 택합니다. 법정에서 몇 년을 버티다 보면 정부가 이미 벌어들인 이익보다 적은 벌금으로 합의해 주리라는 걸 아니까요.
"똑똑한 소비자들"이라는 말에 너무 많은 짐을 지우고 계시네요. 소비자 제품을 만드는 기술 기업 중에 똑똑한 소비자들 덕에 그렇게 커진 곳은 없습니다.
그래 봐야 소용없습니다. "똑똑한" 사용자는 극소수이고, 그중에서 불매 운동을 조직할 의향이 있는 사람은 더더욱 소수입니다. 불매 운동이 실제로 벌어진다 해도 새 발의 피예요.
"똑똑한 사용자"를 부르는 다른 말들이 있습니다.
얼리어답터
트렌드세터
취향 선도자
가족 중에 기술을 좀 알아서 다른 식구들이 기술 문제만 생기면 찾아가는 바로 그 사람
다시 말해, 맞아요, "똑똑한" 사용자는 소수입니다... 하지만 훨씬 더 많은 사용자에게 영향을 줍니다.
애플 불매가 영원히 의미 없으리라는 데는 동의합니다. 제 요점은 "규제"를 외치는 건 책임 회피라는 겁니다. 이제는 규제가 매그니피센트 7 거대 기업들의 횡포를 막지 못하니까요.
그리고 애플이 "너무 크다"고 주장하는 것도 반박했는데, 그것 역시 애플 농장에 목까지 잠긴 사람들이 앵무새처럼 되뇌는 책임 회피이기 때문입니다. 그런다고 매그니피센트 7 중 최악의 탐욕스러운 횡포를 부리는 곳들을 애플이 거들어 주는 게 조금이라도 괜찮아지는 것처럼요. 애플을 사고 싶으면 사세요, 상관없습니다. 다만 자기 선택에 책임을 지고, 무화과 잎 같은 합리화는 우리한테 늘어놓지 마세요.
아니요, 이건 현실을 인정하는 거고, 아무것도 안 하면서 뭔가 하는 척하지 말자는 호소입니다. 애플이 끔찍하긴 해도 구글보다 나쁘지는 않습니다. 제 생각엔 오히려 낫습니다. 애플은 자유를 중시하는 척한 적이 없고, 고객을 자기 소유물처럼 여기는 마음이 있어서 그게 가끔은 보호로 작용하기도 하니까요. 게다가 폰도 그냥 더 오래 쓸 수 있습니다.
그건 형편없는 논점이고, 애초에 논증도 되지 않았습니다. 기업이 사실상, 그리고 종종 말 그대로 지금 규제를 받지 않고 있다는 사실이 규제가 횡포에 대한 "믿을 만한 견제"가 아니라는 증거가 되지는 않습니다. 제가 오븐 장갑을 안 끼고 계속 화상을 입는다고 해서 오븐 장갑이 화상을 막아 주는 믿을 만한 보호 수단이 아니라는 증거가 되지 않는 것과 똑같습니다.
애플은 다른 선택을 하기에 너무 큽니다. 선택지는 둘뿐이고, 둘 다 끔찍합니다. 결국 은행 거래, 공과금 납부, 가게에서 물건 사기, 모든 인터넷 사이트 로그인, 어쩌면 통행료 내기, 심지어 운전까지(면허가 폰에 발급될 수도 있죠) 하려면 둘 중 하나를 골라야 하는 때가 옵니다. 이 중 일부는 어느 정도 지금도 사실이고요.
누가 당신한테 "무화과 잎" 같은 변명을 해야 할 의무가 있습니까? 아무도 당신을 달래려는 게 아닙니다. 자기 생각이 뭐고 왜 그렇게 행동하는지 말해 주는 것뿐이니 오히려 고마워해야죠.
저는 모든 기기에 데비안을 쓰는 사람이고, N900에서 시작해 파이어폭스 폰을 거쳐 8 버전에 멈춰 있는 20달러짜리 안드로이드까지 써 왔습니다. 그 폰은 "구글 계정"이 없어서(그리고 한 번도 가져 본 적이 없어서) 구글 플레이 스토어에 연결한 적이 없고 F-Droid만 씁니다. 인터넷 검색도 안 하고 이메일도 연결하지 않는 폰이에요(저는 HN 말고는 소셜 미디어가 하나도 없습니다). 자랑할 만한 일이 아니라 고집일 뿐입니다. 판세를 조금도 바꾸지 못하고, 그렇게 안 한다고 해서 변명할 필요도 없습니다. 특히 당신한테는요.
어쨌든 저는 coreboot도 안 쓰고, 더는 리눅스 폰도 안 쓰고, 일부 패키지에 바이너리 블롭도 받아들이니, 제가 과연 뭘 하고 있는 걸까요?
저보다 훨씬 더럽게 사는 사람들이 보이는 이런 순수주의자 흉내 낸 가짜 급진 태도만큼 짜증 나는 것도 없습니다. 혹시 애플을 쓰는 이유가 그걸 쓰는 사람들에게 설교하려는 건 아닌가요? 안드로이드가 문을 걸어 잠그고 정책 면에서 애플과 구분이 안 되게 돼 가는 게 정말 그렇게 큰 죄입니까?
당신이 애플이나 안드로이드를 안 쓴다고 해서 울어 줄 사람은 당신 말고는 한 명도 없습니다. 이걸 막을 유일한 방법은 규제입니다.
본인에게, 그리고 사용자의 자유를 지지하는 회사들에게는 의미가 있습니다. Librem 5에서 보냄.
아이폰 쓰는 사람한테 문자를 보내거나 Gmail 계정 쓰는 사람한테 이메일을 보내기 전까지는요...
그러면 어떻게 되는데요?
상대방 화면의 픽셀이 파란색 대신 초록색으로 바뀌고, 애플이 떠밀려서 쓰게 된 게 아니라 자기가 의식적으로 고른 선택이라는 걸 당신이 상기시켜 줬다고 화를 내죠.
그래 봐야 소용없습니다. 그 폰은 우연히 돌아가고 있을 뿐이니까요. 모든 웹사이트와 앱은 구글 폰과 아이폰을 기준으로 테스트됩니다. 어느 날 뭔가를 할 수 없게 됐을 때, 폰 제조사가 크게 애써 주거나 공짜로 일해 주는 한가한 사람들이 친절을 베풀지 않는 한 그 기능이 돌아올 가능성은 사실상 0입니다.
제 폰은 데스크톱용 GNU/Linux 운영체제에 데스크톱용 파이어폭스(깔았다면 크로미움)를 돌립니다. 데스크톱 파이어폭스가 웹사이트를 제대로 못 보여주는 지경이 되면, 지원 안 되는 마이너한 폰보다 훨씬 큰 문제가 생긴 겁니다.
거기서 은행 앱은 어떻게 돌아가나요?
애플을 안 써서 아낀 돈으로, 은행이 인터넷 뱅킹을 지원하지 않는다면 은행과 호환되는 가장 싼 폰을 사면 됩니다.
물론이죠, 폰을 2개 들고 다니고 싶다면요.
그러면 그건 폰을 쓰는 게 아니죠. 전화 기능이 있는 컴퓨터를 쓰는 겁니다. 대부분의 사람한테는 이게 그다지 쓸모없다는 걸 아시겠죠?
맞습니다, 대안이 더 나쁘니까요.
빅테크 기업을 겨냥한 의미 있는 규제를 통과시키고 집행하려면, 미국에서 혁명에 버금가는 급진적인 정치 변화가 필요하다고 봅니다. 군산복합체나 대형 금융을 상대로 싸우는 것과 마찬가지입니다. 이들은 자기네 이익이 국내 정책뿐 아니라 외교 정책에서도 최우선이 되도록 보장하는 권력 구조에 스스로를 통합시켜 놨습니다. 빅테크는 미국 제국의 팔다리입니다.
리나 칸이 그 방향으로 밀어붙였다가 얼마나 비난을 받았는지 보셨나요?
이 문제는 투표용지에 올랐었고, 앞으로도 다시 오를 겁니다.
리나 칸의 생각은 훌륭했지만, 결국 그의 유산은 저가 항공권을 없앤 것입니다.
리나 칸은 합병을 막아서 스피릿 항공을 무너뜨리고 혼자서 소비자를 엿먹였잖아요. 엄격한 규제가 꼭 좋다고는 말 못 하겠네요.
저는 틀렸다고 생각하지만, 설령 맞다 해도 그래도 왜 지갑으로 투표하지 않습니까?
당신 혼자서는 애플에 큰 타격을 못 줄지 몰라도, 당신이 밀어주기로 한 신생 경쟁사에는 분명 도움이 될 수 있습니다.
이 댓글을 보고 누군가 안드로이드나 iOS에 ArtCraft 같은 짓을 해야 한다는 생각이 들었습니다. 괜찮은 리눅스 폰 스킨을 만들고, 여러 웹 앱을 모바일 네이티브 앱만큼 편하게 쓸 수 있도록 고성능 자동 업데이트 래퍼를 붙이는 거죠. 그러면 우리도 거대 기업을 버리고 LLM이 뒷받침하는 오픈소스 유토피아를 만끽할 수 있을 텐데요. 흐으음.
그 지갑을 어디로 향하게 하죠? 구글도 이 부분에서 애플에 못지않고, 어떤 면에서는 더 앞서 있습니다. 게다가 리눅스로 돌아가는 FOSS 폰은 대부분(전부?) 아이폰보다 더 비쌉니다.
저는 아이폰 3GS 때부터 탈옥해 왔고(iOS 17.0 기기도 아주 오랫동안 붙들고 있었습니다), 애플이 굳이 탈옥을 감지해서 iCloud와 iMessage에서 사람들을 막은 적은 없습니다.
굳이 따지자면 앱에 탈옥 감지 기능을 제공해서, 앱이 계정과 기능을 막아 버리거나 아예 튕기게 만드는 건 그 치사한 보안 프레임워크 업체들입니다.
정부가 의무화한 일부 감사 절차에서도(적어도 제가 알기로는 여기 싱가포르에서는) 탈옥 감지를 요구합니다.
전적으로 맞는 말은 아닙니다. 해킨토시의 경우에는 분명히 그랬습니다. 사실 몇 년 전에 제가 첫 맥을 산 계기가 바로 그거였어요. macOS가 나올 때마다 커스텀 부트로더와 kext로 우회하기가 점점 더 어려워졌거든요. 애플이 단순히 자기네 OS를 돌리는 것만이 아니라 진짜 애플 기기가 아니면 그걸 못 쓰게 하려고 적극적으로 막았으니까요.
해킨토시는 iOS 탈옥과 다릅니다.
iOS 탈옥은 애플 기기를 파일 시스템과 비공개 API에 접근할 수 있는 리눅스 기기처럼 쓰려는 것입니다.
해킨토시는 인텔 PC에서 macOS를 부팅하고 돌리는 데 필요한 API(와 진짜 애플 일련번호. iCloud와 iMessage 접근을 막는 데 이걸 쓰는 것 같습니다)를 에뮬레이션하는 쪽에 가깝습니다.