By LILY HAY NEWMAN, WIRED US

애플은 무슨 일이 있더라도 굳건히 입을 닫고 유행에 무감각한 조직으로 익히 알려진 가운데, 보안 연구 조직과 대립하는 경향을 보인다. 애플은 일반적으로 자사 제품과 보안 기능의 작동 방식 관련, 상세한 설명을 비밀로 한다. 따라서 보안 연구원도 주로 의존하는 얼마 없는 정보가 애플이 발표하는 연례 플랫폼 보안 지침뿐이라고 말한다. 마침 애플은 2월 18일(현지 시각), 새로운 플랫폼 보안 지침을 발표했다. 애플의 플랫폼 보안 지침은 애플이 새로 선보인 M1 칩을 포함해, 가장 종합적이면서도 기술적인 안전가이드를 제시한다.

애플은 10년 전, 아이폰 시대의 서막과 함께 플랫폼 보안 지침을 작성하기 시작했다. 이후 ‘iOS 보안 지침’으로 진화해, 모바일에만 단독으로 중점을 두었으며, 이후 2019년에 맥OS 관련 보안 지침까지 아우르기 시작했다. 애플의 보안 지침은 애플의 보안 차별점인 터치 아이디와 페이스 아이디 등과 같은 보안 기능과 보안 부트를 상세히 제공해, 소프트웨어 개발자와 보안 연구원이 애플 생태계의 보안 기능 작동 방식과 상호작용하는 방식을 더 자세히 이해하도록 한다. 몇 년 뒤, 애플은 광범위한 청중의 가독성과 깊은 기술적 지식을 보유한 이들 간의 균형을 맞추고자 했다고 밝혔다. 2021년, 애플은 그 어느 때보다 신규 기능과 기존 기능 관련, 더 많은 정보를 제공한다.

오랫동안 애플 보안 연구원으로 활동한 사라 에드워드(Sarah Edwards)는 “계속 애플의 보안 지침을 언급하면서 몇 년간 연구를 해왔다. 애플의 보안 지침을 개인적인 연구의 모든 측면과 일상적인 업무, 교육 등 모든 부문에 활용한다. 1년에 한 번꼴로 아이패드를 두고 애플의 보안 지침을 꼼꼼하게 읽으면서 이전에 간과한 부분을 찾거나 클릭을 하면서 연구에서 알게 된 부분을 검토한다”라고 말했다.

2021년에 발표된 애플의 보안 지침에는 M1과 같은 하드웨어와 관련해 확장된 중대한 정보와 보안 관련 중요한 사항, 소프트웨어 기능 호스트 책임 등이 포함되었다.

연구원과 해커 모두 똑같이 완제품을 검증하면서 무언가를 구축하는 것을 결정하는 과정인 리버스 엔지니어링(reverse engineering)을 통해 많은 정보를 여러 출처에서 수집한다. ‘불확실성을 통한 보안’은 해커가 어느 정도 방어하도록 도움을 주지만, 애플은 플랫폼 보안 지침을 발표하면서 고객이 애플의 보안 기능을 최대한 활용하면서 해커보다 먼저 보안 취약점을 발견하기를 바라며 보안 연구원을 위한 지침을 제공하기도 한다.
 
오랫동안 iOS 연구원 겸 iOS용 보안 방화벽 앱 제작을 한 윌 스트라파치(Will Strafach)는 “모든 것이 리버스 엔지니어링 대상이 될 수 있다. 적어도 개인적으로 매우 흥미로운 부분이다. 애플의 필요 이상의 설명과 매우 상세히 설명된 권한 문서는 도움이 된다. 누구나 특정 보안 능력이 의도하는 바와 한계를 알 수 있기 때문이다. 애플은 항상 보안 문제와 관련, 지나치게 많은 문제를 지니고 있지 않은 상황에서도 항상 훌륭한 행보를 보여왔다”라고 말했다.

많은 연구원이 아이템에 애플이 미래 지침을 포함하는 것을 원한다고 말한다. 스트라파치는 M1 칩이 보안상 안전하게 다른 운영체제에서 부팅을 관리하는 법을 알고 싶어한다. 이는 애플이 새로운 프로세서를 출시할 때마다 애플 제품 탈옥을 하는 이들이 항상 궁금해하는 바이기도 하다. 또, 스트라파치는 항상 존재하는 탈옥 악용을 무력화하기 위한 의도를 지녔지만, 간혹 이를 피할 수 있는 애플의 iOS14 강화 요소와 관련된 부분도 알고 싶어한다.

많은 연구원이 각자의 전문 지식을 기반으로 애플의 플랫폼 보안 지침과 관련해 구체적이면서도 소수만 이해할 수 있는 희망과 꿈을 지니고 있다. 개인 애플 보안 연구원인 패트릭 와들(Patrick Wardle)은 애플이 플랫폼 보안 지침에 추가한 애플의 자체 바이러스 방지 및 멀웨어 감지 툴을 더 자세히 살펴보기를 원한다고 말했다.

와들은 “애플의 새로운 플랫폼 보안 지침은 애플 기기를 배치하는 기관이 보안을 확보하는 방식으로 기기를 배치하는 데 도움을 주고자 한다. 또, 애플이 제공한 정보가 종종 큰 도움이 되지만, 개인적으로 애플의 정보가 자사의 보안 구성요소를 사용해 시스템 제어에 사용하도록 실질적인 조언을 주는 데 더 중점을 두었으면 한다”라고 말했다.

플랫폼 보안 가이드는 지난 10년간 꾸준히 강화돼, 현재는 200페이지 가까이 된다. 서서히 이루어지는 진전에는 애플이 근본적으로 보안 연구원에게 정보 공개를 꺼린다는 사실이 반영됐다. 2016년까지만 하더라도 애플은 연구원이 애플 제품에서 발견한 취약점을 공개하도록 장려하는 버그 바운티 프로그램을 제공하지 않았다. 2019년, 애플은 소수 보안 연구원에게 특별하면서도 제약이 완화된 아이폰을 지급해, 2020년 말부터 유통하기 시작한다고 공식 발표했다.

최근, iOS와 안드로이드 기기를 대상으로 광범위한 암호화 연구를 한 존스홉킨스대학교 암호화 전문가로 구성된 연구팀에 애플의 플랫폼 보안 지침과 iOS 지침은 모든 것이 작동하는 방식을 올바르게 이해하는 데 매우 중요한 역할을 했다. iOS 보안 분석 연구를 이끈 존스홉킨스대학교 박사학 과정 재학생인 막시밀리안 진쿠스(Maximilian Zinkus)는 “애플의 보안 지침은 실제로 도움이 되는 자원이다”라고 말했다. 애플은 보안 문서의 중심 아카이브를 보관하지 않는다. 그러나 진쿠스의 연구팀은 외부 기관을 통해 2012년부터 애플의 보안 문서를 압축했다.

진쿠스는 각각의 보고서 마지막 부분에 로그를 변경하는 것이 각각의 버전에서 어떤 정보가 업데이트됐는지 확인하는 데 도움이 되지만, 애플이 각주를 통해 변경 사항을 문서로 정리했다면 더 유용할 것이라고 주장했다. 또, 변경 사항과 관련된 기술적 설명을 포함한다면, 연구원이 특정 보안 결정을 이해하는 데 도움이 될 것이라고 덧붙여 전했다. 예를 들어, 애플은 2014년 2월에 발표된 보안 지침에 위치 데이터를 매우 강력한 암호화가 필요한 특별한 추가 민감 데이터 범주에 추가했다. 그러나 2014년 10월에 발표된 또 다른 보안 지침에는 해당 항목에 위치 데이터 관련 요구사항이 삭제됐다. 진쿠스는 “2014년도 보안 지침에서 확인할 수 있는 것과 같은 미묘한 변경 사항이 우려스럽다. 확실히 매우 놀라운 부분이기도 하다”라고 언급했다.

많은 연구원이 새로운 지침을 면밀히 조사하기 시작하면서 항상 더 많은 정보가 있는 것이 낫다고 주장한다. 그러나 소유 플랫폼과 시스템과 관련, 많은 연구원이 항상 해커보다 먼저 더 많은 취약점을 찾는 데 도움이 될 추가 희망 사항을 지니게 된다. 또, 그 대가로 더 강력한 방어 수단을 제안한다.

** 위 기사는 와이어드US(WIRED.com)에 게재된 것을 와이어드코리아(WIRED.kr)가 번역한 것입니다. (번역 : 고다솔 에디터)

<기사원문>
Apple Offers Its Closest Look Yet at iOS and MacOS Security