1P by GN⁺ | ★ favorite | 댓글 1개
  • 스마트폰 알림이 Apple·Google 서버를 거치는 구조 때문에, 일부 정부가 푸시 알림 데이터로 사용자를 추적할 수 있다는 경고가 Ron Wyden 미국 상원의원 서한을 통해 공개됨
  • Wyden은 외국 관리들이 특정 앱 사용 방식을 추적하려고 두 회사에 데이터를 요구했으며, 이 구조가 정부 감시의 접점이 될 수 있다고 봄
  • Apple은 미국 연방정부 때문에 관련 정보를 공개하지 못했지만, 이번 공개 이후 투명성 보고서에 이런 요청을 더 자세히 반영하겠다고 Reuters에 밝힘
  • 사안에 정통한 소식통에 따르면 외국 및 미국 정부 기관 모두 푸시 알림 메타데이터를 요청해 왔고, 익명 메시징 앱 사용자를 특정 Apple 또는 Google 계정과 연결하려는 데 쓰였음
  • 알림 내용은 개발자가 암호화할 수 있지만, 어떤 앱이 얼마나 자주 알림을 보내는지 같은 메타데이터는 암호화되지 않아 앱 사용 패턴 노출 가능성이 남아 있음

푸시 알림이 감시 접점이 된 이유

  • 일부 신원이 공개되지 않은 정부들이 스마트폰 사용자의 푸시 알림을 추적해 감시한다는 경고가 Ron Wyden 미국 상원의원의 법무부 서한을 통해 나옴
  • 감시 대상은 Google과 Apple 서버를 통과하는 푸시 알림 데이터임
  • Wyden은 외국 관리들이 스마트폰 추적을 위해 두 기술 기업에 데이터를 요구하고 있다고 밝힘

Wyden의 법무부 요청

  • 푸시 알림 트래픽은 Apple과 Google을 사용자의 앱 사용 방식에 접근할 수 있는 특별한 위치에 놓음
    • 두 회사가 특정 앱 사용에 대한 정부 감시를 촉진할 수 있는 접점이 될 수 있음
  • Wyden은 법무부에 푸시 알림 감시에 관한 공개 논의를 막는 정책을 폐지하거나 수정하라고 요청함

Apple의 대응

  • Apple은 Wyden의 서한을 계기로 정부의 푸시 알림 감시 방식에 대해 더 많은 정보를 공개할 수 있게 됐다고 Reuters에 밝힘
  • 이전에는 미국 연방정부가 이 사안에 관한 정보 공유를 막았다는 입장임
  • 방식이 공개된 만큼 Apple은 투명성 보고서를 업데이트해 이러한 종류의 요청을 더 자세히 다룰 예정임

요청된 데이터와 사용 방식

  • Wyden의 서한에서 감시 정보의 출처는 한 제보로 제시됨
  • 사안에 정통한 소식통은 외국 및 미국 정부 기관이 Apple과 Google에 푸시 알림 관련 메타데이터를 요청해 왔다고 확인함
  • 해당 데이터는 익명 메시징 앱 사용자를 특정 Apple 또는 Google 계정과 연결하려는 시도에 사용된 것으로 전해짐
  • Reuters의 소식통은 어떤 정부가 요청했는지는 밝히지 않았지만, 요청 주체를 “미국과 동맹인 민주주의 국가들”이라고 표현함
  • 요청이 얼마나 오래 이어졌는지는 알려지지 않음

개발자 권고와 남는 노출 지점

  • Apple은 개발자에게 알림에 민감한 데이터를 포함하지 말라고 권고함
  • 알림 페이로드에 데이터를 넣기 전 암호화하라는 권고도 제공함
  • 다만 이 보호 조치는 개발자가 직접 수행해야 함
  • 어떤 앱이 알림을 보내는지, 얼마나 자주 보내는지 같은 메타데이터는 암호화되지 않음
  • 이 메타데이터에 접근할 수 있는 주체는 사용자의 앱 사용 방식에 대한 정보를 얻을 가능성이 있음

댓글과 토론

Hacker News 의견들
  • 이건 https://news.ycombinator.com/item?id=38543155의 중복임
    • Apple이 상원의원의 폭로에 대해 응답/인정한 내용으로 보임. Reuters가 기사를 업데이트한 게 아니라면
  • 어떤 해결책이 있을까?
    Nextcloud 서버에서 UnifiedPush를 돌리고, 기기에서는 Nextpush 앱을 사용함. 일부 앱은 이걸 사용함
    어떤 앱은 웹소켓을 쓰지만, 백그라운드에서 계속 돌리면 자원을 많이 먹는 것으로 이해함
    어떤 앱은 Cheogram 앱에 얹혀서 푸시 알림을 받을 수 있음
    Google Play Services가 없는 Android 포크를 쓰고 있는데, iPhone에서는 무엇이 가능한지 모르겠음
  • 그러면 푸시 알림을 끄면 추적도 안 되는 건가?
    • 그건 휴대폰에 표시되는 것만 막는다고 봄. 앱은 여전히 Apple 서버를 통해 알림 전송을 시도할 것 같음
      휴대폰 설정이 아니라 앱 내부에서 끄면 효과가 있을 수도 있음