요약
애플이 보안 연구자에게 빌려주는 연구용 아이폰의 신청을 10월 30일까지 받습니다.
애플 보안 연구 사이트에 올라온 Apple Security Research Device(SRD) 프로그램 안내입니다. 애플은 검증된 연구자가 기기의 보안 기능을 우회하지 않고도 iOS를 깊이 들여다볼 수 있도록 제한을 푼 아이폰을 빌려줍니다.
왜 중요한가
- 탈옥(기기 보안 제한을 해킹으로 푸는 것) 없이 셸과 커널을 직접 다룰 수 있는 정식 경로입니다.
- 그 대가로 이 기기에서 찾은 취약점은 곧바로 애플에 보고해야 하는 의무가 따릅니다.
핵심 내용
- SRD는 연구용으로 특별히 설정한 아이폰으로, 셸 접근과 자체 도구 실행, 권한 지정, 커널 수정을 허용합니다.
- Apple Pay와 서드파티 앱을 뺀 iOS와 아이폰의 모든 구성 요소가 연구 대상입니다.
- 찾은 취약점은 자동으로 Apple Security Bounty(애플 버그 포상금 제도) 심사에 오르고, 베타 소프트웨어에는 보너스가 붙습니다.
- 기기는 12개월마다 갱신하는 대여품이고 소유권은 애플에 있으며, 연구 장소 밖으로 들고 다니거나 개인용으로 쓸 수 없습니다.
- 지원하려면 보안 문제를 찾은 실적이 있어야 하고, 한국을 포함한 지정 국가에 살아야 하며, 해마다 기기 수가 한정됩니다.
HN 반응
- 애플에만 보고하게 하는 것은 사실상 입막음이라는 비판에, 패치 전에 공개하면 포상금만 잃을 뿐이라는 반론이 맞섰습니다.
- 부트로더 잠금을 풀 수 있다면 이런 프로그램은 필요 없다는 지적에, 기술에 서툰 사용자를 지키려면 잠금이 낫다는 의견이 이어졌습니다.
이 프로그램에 가입해서 애플 기기를 '연구'에 쓰면, 발견한 보안 버그는 애플에만 보고하도록 계약으로 묶입니다(서드파티 앱의 버그는 예외). 저는 이게 보안 취약점이 공개되어 안 좋은 언론 노출로 이어지는 걸 막으려는 꽤 교묘한 방법이라고 봅니다.
보안 연구자들이 늘 원하던 것을 주는 대가로 침묵을 얻어 내는 겁니다. 달리 말하면 뇌물입니다.
이런 부정적인 추측을 하기 전에 기존 맥락을 무시하면 안 됩니다. iOS 익스플로잇이 만들어져 건당 수백만 달러에 팔리는데, 애플의 방침 때문에 화이트햇 해커들은 자기 연구를 할 방법이 없다는 거센 반발이 있었습니다. 이 프로그램은 그 반발을 달래려고 만든 겁니다. 그러니 취약점을 보고하게 하고, 최고가 입찰자에게 팔지 못하게 하는 것도 당연합니다.
보안 커뮤니티 전체가 90일 공개 모델을 쓰고 신뢰합니다. 애플에만 보고하고 최고가 입찰자에게 팔지 않는 것이 맞다는 말씀에는 동의합니다. 하지만 그렇다고 그 보안 연구자가 자기가 찾아낸 것을 다른 누구에게도 영원히 공개하지 못하게 입을 막는 건 말이 안 됩니다.
그 페이지에는 애플에 보고할 의무가 있다는 말만 나오고, 그 뒤에 이를 추가로 공개하면 안 된다는 말은 없습니다(제가 놓친 게 없다면요).
다른 댓글들에 터무니없는(그럴듯하긴 하지만) 추측이 많은 만큼 중요한 댓글입니다.
그 페이지의 바로 다음 문장에는 서드파티 앱에서 취약점을 찾으면 그 서드파티에 알려야 한다는 내용도 있습니다.
"애플이 소프트웨어 업데이트를 배포하고 보고된 보안 취약점에 대한 보안 권고문을 게시하기 전까지는 애플 외의 누구에게도 공개해서는 안 됩니다."
https://security.apple.com/terms-and-conditions/
문장 전체는 이렇습니다.
이건 제3자나 대중에게 공개하는 것을 금지한다는 뜻이 아닙니다. 포상금을 포기하게 된다는 뜻일 뿐입니다.
문제는 Apple Security Research Device Program에 가입하면 그 기기에서 찾은 모든 버그를 이 방식으로 제출해야 한다는 겁니다. 그러니 말씀하신 대로 '포상금만 포기'하겠다고 하면 이런 일이 생깁니다.
"애플은 이 약관을 위반했다고 애플이 판단하는 경우, Apple Security Bounty 프로그램 참여를 즉시 종료할 권리를 가집니다."
포상금을 포기하는 대신 먼저 공개하기로 하는 것은 약관 위반이 아닙니다. 약관이 명시적으로 허용하고 있습니다.
아주 합리적입니다.
보고는 할 수 있지만 수정될 때까지 기다려야 한다는 거잖아요.
이걸로 화를 내는 사람은 그냥 화낼 이유를 찾고 있는 거라고 생각합니다. 그리고 가장 시끄럽게 불평하는 사람들은 애초에 이 프로그램의 대상도 아닐 것 같습니다.
구글 보안 총괄은 어떤가요?
https://x.com/benhawkes/status/1286021329246801921
이 글에서 화나 불평은 전혀 안 느껴지는데요. 아쉬움 정도는 있을 수 있겠네요. 공개할 권리를 지키려고 프로그램에 참여하지 않기로 했다는 말이잖아요.
아닙니다. 악용되기 전에 애플이 보안 문제를 고치고 그 수정본을 고객에게 배포할 수 있게 하려는 방법입니다.
문제를 만들어 놓고, 그 해결책을 만들겠다며 영웅처럼 싸우네요.
이런 건 애초에 있어선 안 됩니다. 애플이 "아이폰은 전부 우리 거고, 사용자는 화면을 톡톡 두드리기만 하면 된다"고 고집하지만 않았어도 필요 없었을 거예요.
부트로더를 그냥 풀고, SWD를 다시 켜고, 내가 실제로 가진 아이폰으로 하고 싶은 걸 할 수 있다면, 이렇게 제한적인 프로그램은 아예 필요 없었을 겁니다.
그러면 가장 안전한 소비자용 폰이 될 수 없잖아요, 안 그래요?
수많은 기술 종사자가 보안과 자유가 양립할 수 없다고 믿고, 그 거짓말에 돈까지 낸다는 사실이야말로 애플의 선전이 의도한 대로 먹히고 있다는 증거입니다.
우리 밀리 이모의 아이폰이 안전한 건 이모 자신으로부터 안전하기 때문입니다. 인터넷에서 아무 쓰레기나 설치할 수 없고 walled garden 안에 있으니까요.
IT 업계에서 일하는 사람으로서 말씀드리면, 사용자는 자신과 자기 조직의 최악의 적인 경우가 많습니다. 우리는 수십 년 동안 교육도 해 보고 (백신으로) 블랙리스트도 써 봤지만, 실제로 먹히는 건 화이트리스트와 잠가 두기인 것 같습니다.
저는 '절충안'이 있다면 좋겠습니다. 공장 초기화를 하면 직접 만든 코드를 설치할 수 있게 하되, e-fuse를 끊어서 이 기기가 더는 'OEM이 보증한 보안 상태'가 아님을 표시하는 방식이요.
크롬북에는 메인보드에서 나사 하나를 빼면 완전히 잠금이 풀려서 뭐든 할 수 있게 하는 방식이 있었습니다. 실수로 그럴 사람은 없죠. 그나마 덜 사악했던 시절의 구글다운 합리적인 해법이었습니다.
안드로이드에서 앱 설치하는 방법을 단계별로 자세히 알려 주는 악성코드 팝업도 본 적이 있습니다. 무서운 경고를 아무리 띄워도, 사기 앱을 정말 설치하고 싶은 사람은 전부 무시하고 눌러 버립니다.
이런 폰에 "방해하지 마, 내가 뭘 하는지 알고 있으니까" 하는 간단한 스위치가 있으면 정말 좋겠습니다. 하지만 애플과 구글이 사용자를 사용자 자신으로부터 보호하려고 가능한 한 많은 장애물을 세우는 이유도 충분히 이해합니다.
그래서 구글이 안드로이드를 잠그려고 준비하는 거죠.
저는 폰에 "성인" 모드가 있었으면 좋겠어요. 일부러 보안망이 작동하지 않고, 일반 사용자 영역과 완전히 분리된 모드요. 성인 모드에서는 제가 원하는 걸 설치하는 거죠.
방금 삼성이 폰에서 하는 방식을 그대로 말씀하셨네요. 잠금을 풀 수 있지만, 나중에 정식 OS로 되돌려도 그 퓨즈 때문에 일부 기능은 영구적으로 꺼집니다.
제 기억이 맞다면 지난 1년간 삼성 One UI 업데이트는 잠금 해제를 지원하던 기기에서도 그 옵션을 없애 왔습니다.
"양립할 수 없다"는 건 좋은 관점이 아닙니다. "트레이드오프"가 훨씬 낫습니다.
아이폰은 폰을 루팅하는 데는 관심이 없고, 피싱으로 전 재산을 털리면 몹시 불행해질, 기술에 밝지 않은 수많은(수십억) 사용자를 겨냥한 제품입니다.
아, 그러니까 애플은 우리를 지키려면 모든 사람에게서 원하는 소프트웨어를 설치할 자유를 빼앗을 수밖에 없다는 거군요. 크롬북처럼 메인보드에 "초기화하고 보증을 포기하면 모든 기능을 잠금 해제"하는 스위치를 다는 건 도저히 불가능하고요. 삼성이나 다른 안드로이드 제조사처럼 "제조사에서 보증이 무효가 되는 일회용 코드를 받는" 방식도 불가능하고요. 할머니를 위해서라면 자유로 가는 길이 아예 없도록 해야 한다는 거네요.
할머니에게는 자신과 이웃을 지키는 데 도움이 되는 DeFlock이나 ICEBlock을 설치할 자유가 필요 없겠죠, 그렇죠? 팀 쿡은 트럼프 후원자지만 물론 정치적 편향은 없고, ICE와 법 집행기관이 늘 윤리적으로 행동한다고 확신하니까 걱정할 건 없겠네요.
기업이 사람들이 사회와 소통하는 도구에 대한 기본적인 자유를 빼앗았는데, 소비자들이 공개 포럼에 나와서 그 기업을 변호해 주다니. 믿기지가 않네요.
이런 사고방식으로 투표하지 않으시길 진심으로 바랍니다.
그냥 원하는 기기를 사시고, 다른 사람들도 원하는 기기를 사게 두면 안 되나요?
허수아비 논증과 정치로 물을 흐릴 수는 있겠지만, 여기 사람들을 많이 설득하긴 어려울 겁니다.
그러니까 제 댓글의 핵심은 짚지도 않고 손을 내저어 버리면서, 위험이나 대안을 알려 주려는 시도조차 없이 사람들이 어떤 소프트웨어를 설치할지 선택할 자유를 포기하게 두자고 주장하시는 거네요.
기술 업계 CEO들은 항상 이윤이나 정치적 호의보다 공익을 먼저 생각해서 올바르게 행동하겠죠, 그렇죠?
대중이 대체로 원하던 앱을 검열하는 일은 절대 없겠죠, 그렇죠?
포트나이트는 애플 수수료를 안 냈다는 이유로 아무도 포트나이트를 설치하지 못했습니다. 안전을 위해서라면서요.
분명히 말해 두자면 구글도 똑같이 나쁩니다. 저는 두 회사 제품 어느 것도 쓰지 않고 추천하지도 않습니다.
저는 노트북이나 데스크톱을 쓰고, 아니면 아무것도 안 쓰는데 잘 지냅니다.
제 맥은 아주 안전하고 뭐든 설치할 수 있습니다. 그런데 아이폰에서 그러면 안전하지도 사생활이 지켜지지도 않는다고 하죠. 돈 때문에요.
하지만 "내 맥은 아주 안전하고 뭐든 설치할 수 있다"는 완전한 착각입니다. 안전하지 않아요. 최근에 Muse가 사람들의 메시지를 뒤지고 다닌 게 좋은 예입니다. 아니면 사용자를 속여서 설치하게 하고 폭넓은 권한을 받아 내는 맥 클리너 류의 앱도 있고요.
기기를 사용자로부터 보호하는 게 왜 필요한지 이해하지 못한다면, 기술에 밝지 않은 친척이 다크 패턴이나 헷갈리는 UI에 걸려 곤경에 빠졌을 때 수습을 도와 본 적이 없는 거라고 생각합니다.
기술에 밝지 않은 사람을 위해 영구적으로 기능을 낮출 수 있는 기기를 만드는 건 식은 죽 먹기일 겁니다. 그 모드를 자발적으로 고르는 고객이 얼마나 될지 궁금하네요. 제 짐작으로는 그러면 애플의 보안 쇼가 멍청하고, 짜증 나고, 사람을 깔보는 아이디어의 무덤에, 제 생각에 있어야 할 자리에 영영 묻히게 될 겁니다.
애플 마케팅 말고 그게 맞다는 걸 우리가 어떻게 압니까?
유명 정치인, 기자, 사업가들의 폰이 그렇게 많이 해킹당한 걸 보면 아이폰도 해킹 불가능한 건 아닙니다.