▲
GN⁺ 6달전 | parent | ★ favorite | on: 스마트폰 해킹 도구 Cellebrite, 대부분의 Pixel 기기에서 데이터 추출 가능… GrapheneOS만 예외(arstechnica.com)
Hacker News 의견

  • 내가 가장 궁금했던 건 “왜 자원봉사자들이 만든 커스텀 ROM이 공식 Pixel OS보다 산업 수준의 해킹에 더 강한가?”였음. 기자가 Google에 문의했지만 아직 답변이 없다고 함

    • GrapheneOS는 사실 자원봉사 프로젝트가 아님. 약 10명의 유급 개발자가 있고, 비영리 재단 형태로 기부금을 받아 개발자 급여와 인프라 비용을 충당함. Ars Technica도 이 부분을 수정해서 더 이상 ‘자원봉사자’라고 언급하지 않음
    • GrapheneOS가 정말 해킹이 어려운 건지, 아니면 Cellebrite가 시장 점유율이 낮은 OS라 굳이 지원하지 않는 건지 궁금함
    • GrapheneOS는 사용자 편의성을 희생하는 보안 중심 설계를 택함. 일반 사용자는 불편하겠지만 그만큼 보안이 강함. Google이 이런 방식을 채택하면 사용자 일부를 잃을 수 있음. 예를 들어 이 Reddit 스레드에서도 언급되듯 Google Pay가 아예 빠져 있음
    • Google은 정부의 요구에 응해야 하는 기업이라 비영리 단체보다 제약이 많음. Ron Wyden이 2023년에 지적했듯, Apple이 정부에 푸시 알림 데이터를 제공한 사례처럼 구조적 약점이 존재함

  • Signal 블로그의 Cellebrite 취약점 글을 보면, Cellebrite가 타깃 폰을 자동 해킹하는 솔루션을 만들지만 그 과정에서 자기 장비가 역으로 해킹될 위험도 있음

  • 흐릿하지 않은 전체 문서를 공유함: Cellebrite Android Document (2024). “android os access support matrix”로 검색하면 찾을 수 있었음

    • 하지만 그 문서는 1년 반 전 자료라 최신 정보는 아님. 보안은 공격자와 방어자 간의 지속적인 경쟁이라 이런 업데이트는 언제나 환영임
    • 새 문서에는 Pixel 9이 빠져 있어서 기사 이미지가 업데이트된 것으로 보임

  • Cellebrite가 문서에서 GrapheneOS를 직접 언급했다는 사실만으로도 이 프로젝트의 전문성과 목적 의식이 입증된다고 생각함

  • 출처는 이전 HN 스레드임

  • Pixel 10 시리즈가 물리 SIM을 없애고 eSIM만 지원한다는 소식이 놀라웠음. 멕시코 여행 중 공항 7-11에서 바로 SIM을 사서 쓸 수 있었는데, eSIM이면 이런 간편함이 사라질 것 같음

    • eSIM은 마치 문제 없는 곳에 해결책을 들이민 느낌임. 소비자는 물리 SIM으로 충분히 만족하고 있음. 제조사가 사용자 통제를 강화하려는 의도 같음
    • 여행 전에 선불 eSIM을 미리 구매할 수도 있음
    • 반대로, 몬테네그로나 세르비아처럼 SIM 구하기 어려운 지역에서는 eSIM이 훨씬 편리함. 온라인으로 바로 구매 가능하고, “모든 국가용 eSIM”도 있음. eSIM 확산 덕분에 로밍 요금 인하도 생긴 듯함
    • 하지만 eSIM 전환 과정은 여전히 번거로움. 고객센터에 여러 번 연락해야 하고 하루 이상 걸림. 물리 SIM 교체는 10초면 끝남. 기술적으로는 가능하겠지만, 서비스 품질 저하(enshittification) 의 또 다른 사례 같음
    • 이 변화는 미국 한정임

  • GrapheneOS 포럼에는 이미 오래전부터 같은 슬라이드 자료가 올라와 있었음

  • “rogueFed가 회의 주최자를 실명 언급했다”는 문장에서 FBI를 말하는지 궁금했음

    • 실제로는 FBI가 아니라 Cellebrite 직원 Alex Rankmore였음. 스크린샷은 스레드 아래쪽에 있음

  • 왜 지금까지 Cellebrite 장비가 유출되어 분석된 사례가 없을까 궁금했음. 경찰 장비 관리가 허술한 곳도 많을 텐데

  • “해킹에 취약하다”는 표현이 과장된 것 같음. 이 자료들은 오래된 차트일 뿐, 실제로는 LUKS 암호화된 데스크톱 수준의 보안임.
    BFU(전원 꺼진 상태) Pixel 기기를 해킹하려면 결국 비밀번호를 brute-force해야 함.
    수백만 달러짜리 제로데이 공격이 아닌 이상, Pixel 자체의 암호화 우회 취약점은 존재하지 않음