요약
은행 앱 십여 개가 구글 인증 운영체제 외에 GrapheneOS도 명시적으로 허용하기 시작했습니다.
GrapheneOS 프로젝트가 마스토돈 공식 계정에서 밝힌 내용입니다. 욜라 휴대폰에 실망한 이용자들의 대화에서 GrapheneOS는 은행 앱 공식 지원이 부족하다는 지적이 나오자 이에 답했습니다.
왜 중요한가
- 구글 인증을 받은 운영체제만 받아 주던 은행 앱에서 GrapheneOS를 따로 허용하는 예외가 늘고 있습니다.
- 공식 지원이 부족하다는 지적과 달리, 대부분의 은행 앱은 이미 GrapheneOS에서 작동한다는 설명입니다.
- 남은 걸림돌은 비접촉 결제입니다. 많은 은행이 이를 GrapheneOS를 막는 Google Pay에 맡기고 있습니다.
핵심 내용
- 은행 앱 십여 개가 구글 인증 운영체제와 함께 GrapheneOS를 명시적으로 허용하기 시작했고, 그 수는 늘고 있습니다.
- 은행 앱의 약 10%는 구글이 인증하지 않은 운영체제를 막아 GrapheneOS에서 쓸 수 없습니다.
- 많은 앱은 메모리 손상 버그나 잘못된 변조 방지 코드 때문에 앱별 호환 모드(일부 보안 강화 기능을 그 앱에서만 끄는 설정)를 켜야 합니다.
- 유럽에서는 Curve Pay, PayPal과 여러 은행 앱이 GrapheneOS에서도 비접촉 결제를 허용합니다.
- 유럽 밖에서는 Google Pay가 사실상 독점이라 이것이 가장 큰 문제라고 했습니다.
HN 반응
- 은행이 앱을 강요하지 말고 웹 접속과 하드웨어 토큰을 계속 제공해야 한다는 댓글이 가장 앞에 올랐고, 대부분은 편의를 위해 앱을 쓴다는 반론이 맞섰습니다.
- 은행 앱이 개인정보를 빼 간다는 우려에는, GrapheneOS에서는 은행 앱을 별도 사용자 프로필에 설치해 다른 정보와 격리할 수 있다는 보충이 나왔습니다.
고맙지만 사양합니다.
저는 GrapheneOS를 쓰는데, 은행이 어떤 기술을 앞세워 제 돈에 대한 접근을 막겠다면 그 기술은 계좌에 기본으로 포함해서 제공해야 한다고 생각합니다.
예를 들어 HSBC는 지금도 웹 브라우저로 계좌를 관리하게 해 주고, 인증 수단으로 배터리로 작동하는 하드웨어 토큰도 계속 제공합니다.
저는 어떤 이유에서든 은행에 제 돈을 맡기고 있습니다. 그런데 왜 제가 은행의 분산 인프라 제공자 노릇까지 해야 합니까? 제 돈에 접근하려고 은행의 사유 악성코드를 돌려야 하는 상황은 받아들이지 않을 겁니다.
회사에 돈을 맡기는 특권을 누리는 대가로, 내가 소유한 하드웨어에서 그 회사의 쓰레기 같은 소프트웨어를 돌리라고 무료 컴퓨팅 자원을 계속 내놓아야 하는 것이 당연시되는 흐름은 요즘 가장 터무니없는 유행 가운데 하나입니다.
JS 웹앱도 마찬가지라고 하고 싶지만, 적어도 웹앱은 제가 정한 조건대로 샌드박스에서 돌릴 수 있고 요청 내용도 직접 들여다볼 수 있습니다. 제 하드웨어에 별도의 보안 영역이 따로 만들어지는 일도 없고요. (EME는 예외지만 그건 다른 날 따로 얘기할 주제이고, 은행이 EME까지 쓰기 시작하면 저는 그것도 불평할 겁니다.)
너무 깊이 생각하시는 것 같습니다. 대부분의 사람은 편해서 휴대폰을 쓰고, 앱 덕분에 은행 업무에서 단계 하나라도 줄어든다면 아마 그렇게 할 겁니다.
두 번째 문제(별도의 인증 수단)는, 은행이 휴대폰을 갖고 있어야 한다고 요구한다면 분명 꽤 문제가 되겠지만, 그건 전혀 다른 별개의 문제입니다.
대부분의 사람은 자기가 이용당하고 있다는 사실도 모릅니다. 제가 말하는 건 주로 데이터 유출입니다.
유럽과 영국에서는 그게 불법입니다. 소비자 보호법을 제대로 갖추세요.
기업이 불법을 저지르는 일은 절대 없고, 모두가 유럽에 살고 있으니 참 다행이네요.
우리 유럽인한테는 다행이죠 ;)
기업은 웬만하면 불법적인 짓을 안 합니다. 특히 상장사이거나, 들통나면 큰 손해를 볼 주주가 있는 회사라면 더 그렇고요. 게다가 사람들이 알아내는 걸 막는 건 거의 불가능하잖아요.
기업이 불법을 안 저지르는 건 들킬 가능성이 높을 때뿐입니다.
데이터 관련 법의 문제는, 일단 기업이 여러분의 데이터를 손에 넣고 나면 그걸로 뭘 하는지 아는 건 그 기업뿐이라는 점입니다. 그러니 막아야 하는 건 기업이 데이터를 갖는 것 자체인데, 그런 법들은 보통 그걸 막지 않습니다.
어떤 데이터가 수집되는지는 확인할 수 있습니다. 예를 들어 버전별로 배포된 앱을 디컴파일해 볼 수 있죠. 정부라면 (필요한 허가와 합법적인 절차를 거쳐) 그냥 서버로 찾아가서 무슨 일을 하는지 확인할 수도 있고, 소스 코드를 공개하라고 의무화할 수도 있습니다.
그건 데이터를 특정 용도로 쓰는 걸 막으려는 게 아니라 수집 자체를 막으려 할 때만 도움이 되는데, 기업이 문제 삼는 건 수집이 아니라 활용이 아닙니까.
뻔한 예를 들면, 기업이 클라우드 저장소에 여러분의 파일과 메시지를 기본으로 전부 보관한다면 기업은 기본적으로 그 파일과 메시지를 전부 갖고 있는 겁니다.
그런 일은 대개 기업이 뭔가 하고 있다고 의심할 만한 이유가 있을 때나 일어나는데, 기업만이 그 사실을 아는 상황에서는 그런 이유가 생길 수가 없습니다.
게다가 관할 지역 안에 있는 서버를 조사하더라도, 데이터가 관할 밖의 서버로 복사되지 않았다는 것도, 거기서 그 데이터가 어떻게 쓰이는지도 알 방법이 없습니다.
아, 또 이 논리예요? 그러게요, 법이 대체 왜 필요하겠어요 /s
GrapheneOS에서는 은행 앱을 다른 사용자 프로필에 설치하고 Google Play를 샌드박스에서 돌릴 수 있어서, 은행 앱을 쓴다고 해서 다른 정보에 누군가 접근하게 되는 일은 없습니다.
그렇게 구성해도 구글이 은행 정보에 접근할 수 있나요?
아니요. (어차피 브라우저 데이터에 접근하는 것 이상은 못 합니다.)
이해가 안 됩니다. 브라우저가 여기서 무슨 상관인가요? 브라우저는 Google Play 없이도 쓸 수 있잖아요.
은행 앱과 같은 샌드박스에 Google Play가 있다면 구글이 거기 있는 걸 전부 볼 수 있는 것 아닌가요? 아니면 서로 다른 샌드박스에 있는 건가요?
정확히 무엇을 말씀하시는 건가요?
좀 극단적이네요. 어디까지나 편의를 위한 앱일 뿐인데요. 웹 접속도 함께 제공해야 한다는 데는 동의하지만, 대부분의 사람은 앱이 더 쓸모 있다고 여깁니다.
앱을 아예 안 쓰시나요?
저는 원 댓글 작성자의 분노가 이해가 됩니다. "내 돈을 맡아 주고 있다"는 것만으로도 은행은 좋은 웹앱을 만들고 대체 OS를 지원하도록 온 힘을 다해야 할 이유가 충분해요.
저는 은행 앱에는 그만큼 더 화를 낼 만한 이유가 있다고 봅니다. (게다가 많은 나라에서 ATM 찾기도 점점 힘들어지고 있어요. 은행들은 대체 무슨 속셈일까요?)
문제는 원 댓글 작성자 같은 사람들이, 자기 돈을 맡아 주는 게 은행에 별로 자산이 되지 않는다는 걸 모르는 것 같다는 겁니다. 전혀요. 금리가 높아진 지금은 아닐지도 모르지만, 대체로 여러분이 은행에 무슨 호의를 베푸는 건 아닙니다. 제가 아는 바로는 리테일 예금은 대부분의 은행에게 미끼 상품입니다. 원 댓글 작성자가 초부유층이 아닌 이상, 예금을 맡긴다고 해서 은행에 득이 되는 건 아니에요.
은행은 리테일 예금으로 분명히 돈을 벌고, 여러분이 돈을 맡기는 건 확실히 은행에 호의를 베푸는 겁니다.
은행은 고객 한 명을 확보하는 데 마케팅비를 많이 쓰고, 그 뒤에 대출이나 신용카드처럼 수익성이 더 높은 상품을 추가로 팔려고 합니다. 하지만 고객 확보 비용이 크고 이후에 추가 판매를 한다는 것이 "미끼 상품"과 똑같지는 않습니다. 미끼 상품이라고 하면 한계 이익이 마이너스라는 뜻이 되는데, 그건 분명히 사실이 아닙니다.
금리가 낮던 시절, 이를테면 LIBOR가 0에 가깝던 때는 그렇지 않았나요? 제가 알기로 그 시기에는 많은 리테일 은행이 리테일 예금을 줄이려고 애썼습니다. 돈을 맡아 두는 게 수익이 안 됐고, 특히 리테일 예금은 더 그랬죠. 그리고 지금도 큰 틀에서 은행이 노리는 건 그게 아닐 거라고 생각합니다.
저희 은행은 웹 버전에 없는 기능을 앱에서만 제공합니다. 그래서 억지로 앱을 쓰고 있지만, 모든 기능을 웹에서 쓸 수 있으면 좋겠습니다.
저도 같은 마음이에요. 다만 저는 앱을 절대 설치하지 않기 때문에, 그런 경우에는 그 기능을 아쉽게 포기하고 맙니다.
웹뱅킹은 인증에 카드 리더기 같은 장치가 필요합니다. 앱은 OS의 보안 기능을 이용해 인증을 돕기 때문에 카드를 읽을 필요가 없습니다. 휴대폰에서 웹으로 접속해도 카드 리더기가 필요하고요.
요즘 카드와 휴대폰은 NFC를 지원하니까, "장치"(NFC 리더기)가 필요한 건 NFC가 내장되지 않은 PC를 쓸 때뿐이고, USB 리더기는 20달러쯤 합니다.
정말 필요한 건 브라우저의 NFC 지원을 개선하는 것입니다.
https://developer.mozilla.org/en-US/docs/Web/API/Web_NFC_API
그러니 그렇게 하면 됩니다.
생각하시는 그런 종류의 NFC가 아닙니다.
스마트 카드와 RFID로 통신하는 방식입니다. 이걸 쓰려면 은행이 여러분의 컴퓨터가 카드와 통신할 수 있도록 키를 전송해야 하는데, 보안상의 이유로 은행은 아마 그렇게 하고 싶지 않을 겁니다.
저희 쪽은 앱에서 웹 버전에 없는 기능을 제공하면서, 동시에 몇몇 기능은 웹 버전을 써야 하더라고요.
기업이 당신의 편의를 위해 뭔가를 하는 게 습관이 된 경우가 얼마나 된다고 보세요?
댓글 단 분은 아니지만, 앱을 설치하라거나 계정을 만들라고 요구하면 저는 정말 이용하고 싶거나 (사실상 어쩔 수 없이) 써야 하는 경우가 아니면 대개 그 서비스를 그냥 건너뜁니다.
뭐, 경쟁 우위이기도 하죠. 둘이 서로 배타적일 필요는 없고요.
HSBC는 앱을 쓰도록 압박하고, 배터리로 작동하는 OTP 기기로 돌아갈 방법은 없는 것 같습니다. 적어도 영국에서는 제가 아는 한 없습니다. 저는 그 기기의 배터리가 나갈 때까지 버텼는데, 그러자 지점에 직접 오라고 하고는 왜 스마트폰을 못 쓰는지 사정을 설명하라고 하더군요. 3년 동안 이 실랑이를 하다 보니 질려 버렸습니다.
대부분의 은행에서 먹히는 마법의 주문은 "계좌를 해지하겠습니다"입니다. 다만 은행이 물러서지 않으면 정말로 계좌를 해지할 각오는 하고 있어야 합니다.