팀 쿡에게 이메일을 보내서야 풀린 MacBook Activation Lock

 (tokyodev.com)
2P by GN⁺ | ★ favorite | 댓글 1개
  • 분실 후 돌아온 MacBook이 Activation Lock에 걸렸고, Apple Store 영수증까지 제출했지만 일반 지원 절차에서는 잠금 해제가 거부됨
  • Hacker News 1위 노출에도 Apple의 연락은 없었고, 일본 영어권 개발자 Discord에서 제안받은 tcook@apple.com 경로가 실제 해결로 이어짐
  • 이메일 발송 4영업일 뒤 Tim Cook의 일본 임원 보좌진이 답했고, 약 2주간 확인한 결과 MacBook은 8월 중순 초기화된 뒤 새 iCloud 계정으로 분실 신고된 상태였음
  • Apple은 분실 신고된 기기는 원 구매 증빙이 있어도 풀지 않는 정책을 적용했지만, 추가 문서를 검토한 뒤 작성자 소유로 판단해 잠금을 해제함
  • Apple Security Research는 보안 문제로 보지 않았고, 이 사례는 Find My 설정을 쉽게 건너뛸 수 있는 초기 설정 흐름과 잠금 해제 정책의 허점을 드러냄

Tim Cook 이메일로 에스컬레이션된 잠금 해제

  • 분실했던 MacBook은 반환됐지만 Activation Lock이 켜져 있었고, Apple은 Apple Store 영수증을 제출했는데도 잠금 해제를 거부함
  • 이전 경험을 쓴 글이 Hacker News 상단에 올랐지만 Apple에서 직접 연락은 오지 않음
  • 일본의 영어권 소프트웨어 개발자 Discord에서 한 모더레이터가 tcook@apple.com으로 이메일을 보내면 임원 보좌진이 해결 가능한 담당자에게 에스컬레이션한 적이 있다고 알려줌
  • 정상 경로를 모두 시도한 뒤 보낸 이메일에는 다음 내용이 담김
    • MacBook이 분실 후 돌아왔지만 Activation Lock이 켜져 있음
    • Apple Store 영수증을 제출했음에도 잠금 해제 요청이 거부됨
    • 이 경험을 쓴 글이 Hacker News 상단에 올랐고, 답답한 이야기에 좋은 결말을 원함
  • 4영업일 뒤 Tim Cook의 일본 임원 보좌진이 답장했고, 이후 약 2주 동안 이메일과 전화로 확인이 이어짐
  • 확인된 경위는 다음과 같음
    • MacBook은 작성자가 잃어버린 뒤인 8월 중순에 초기화됨
    • 새로 만들어진 iCloud 계정에 연결됨
    • 이메일 주소가 p로 시작하는 계정이 해당 MacBook을 분실 신고함
  • Apple은 분실 신고된 기기는 원 구매 증빙이 있어도 잠금 해제하지 않는 정책 때문에 기존 요청을 거절함
  • 임원 보좌진은 제출된 문서들을 바탕으로 해당 MacBook이 작성자 소유라고 확신했고, 그 결과 잠금이 해제됨
  • Hacker News 확산이 결정적이었는지는 확실하지 않지만, 작성자는 보좌진에게 기존 Activation Lock 해제 요청 때보다 더 많은 증거를 제공하지 않았다고 밝힘

MacBook에 실제로 일어난 일과 남은 의문

  • 잠금이 풀릴 때쯤 이미 대체 MacBook을 구매한 상태였고, 이번 해제는 실사용보다 원칙과 경위 확인에 가까웠음
  • Apple은 MacBook이 “어떻게” 잠겼는지는 알려줬지만 “왜” 그런 일이 벌어졌는지는 알려주지 않음
  • MacBook을 돌려준 사람과 이메일을 주고받으며 파악한 경위는 다음과 같음
    • 그 사람은 직접 초기화하지 않았음
    • 한 상점에 가져가 잠금 해제를 요청함
    • 상점은 잠금 해제는 하지 못했지만 MacBook을 초기화함
    • 상점에 맡기기 전에는 작성자의 로그인 프로필 정보가 보였지만, 이후에는 보이지 않았다고 전함
    • 상점은 잠금 해제에 실패했는데도 돈을 요구함
    • 왜 돈을 요구했는지 추궁하자 그 사람은 답장을 멈춤
  • 작성자는 상점이 새 Apple ID로 MacBook을 초기화하고 분실 신고해 돈을 뜯어내려 했을 가능성을 의심함
    • 처음에는 “잠금 해제된” 것처럼 돌려준 뒤 나중에 다시 분실 신고로 잠가 추가 비용을 요구했을 가능성이 있음
    • 또는 자신들만 잠금을 풀 수 있게 만들고 더 높은 비용을 요구했을 가능성도 있음
    • iCloud 주소가 p로 시작한 것은 로그인 화면에 보인 “Paul McMahon”이라는 이름을 보고 그럴듯한 이메일 주소를 만들었기 때문일 수 있음
  • MacBook 초기 설정에서 Apple은 Find My 설정을 쉽게 건너뛸 수 있게 해둠
  • Find My를 설정하지 않았을 때의 결과가 심각한 만큼, Apple은 초기 설정 흐름에서 이 위험을 더 명확히 알리거나 잠금 해제 정책을 재검토할 필요가 있음
  • 이 사례를 Apple Security Research에 신고했지만, Apple은 “보고서에서 보안 문제를 식별할 수 없다”고 답함

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 도난당했던 노트북을 예전에 경찰이 되찾았다고 연락받았지만, 증거물 봉투 안에 산산조각 난 껍데기로 돌아와 크게 실망한 적이 있음
    이번 사례에서 기기가 다시 쓸 수 있게 된 건 다행이지만, 근본적으로는 구매한 회사가 부과한 인위적인 문제라고 봄
    자기 기기의 개인 키를 갖고 있지 않다는 건 결국 매우 부유하고 무관심한 타인들의 호의에 따라 사용권이 좌우된다는 뜻이고, 이번처럼 좋은 결과를 얻는 경우는 예외에 가까워 보임

    • 도난 방지 기능을 유지하면서 더 나은 해법이 뭔지 궁금함
      활성화 잠금이 걸린 iPhone이나 Mac의 가치는 대체로 해외 시장에서 부품으로 뜯어 파는 정도이고, 운이 나쁘면 iCloud에서 기기를 제거하라는 협박 문자를 받기도 함
      도둑이 새 펌웨어를 올려 새 기기처럼 쓰지 못하게 하는 점은 핵심 판매 포인트이고, 일부 구매자에게는 더 높은 가격을 정당화할 수도 있음
      0: https://old.reddit.com/r/applehelp/comments/13yn1o0/phone_st...
      1: https://old.reddit.com/r/applehelp/comments/16fcd4c/recently...
    • “자기 기기의 개인 키를 갖고 있지 않다”는 부분이 오해임
      애초에 Apple 컴퓨터를 소유한다는 것 자체가 불가능하다고 봄
    • 원글은 Activation Lock을 칭찬하면서도 설정을 건너뛸 수 있는 점을 비판하는데, 그걸 Activation Lock 자체가 나쁘다는 주장으로 바꾸고 있음
      이 사이트에서 흔한 Apple 무조건 비난에 불과하고, 지루하고 별 의미 없으며 흥미롭지 않음
    • 이건 회사가 부과한 문제가 아니라 전적으로 사용자가 자초한 문제임
      2023년이면 원격 측정, 수리 불가능한 하드웨어, “엿 먹어라”식 버그 신고와 고객 서비스, 그리고 더 이상 자기 기계를 소유하지 못한다는 사실을 모두 알고 있음
      Apple, 더 넓게는 Microsoft를 사는 사람은 자기 기기에 접근권을 주지 않을 것임을 알면서도, 더 나은 오픈소스 선택지가 있다는 것도 알면서도 사는 것이니 그 결과를 그대로 감수해야 함
    • 이제는 하드웨어조차 누구도 제대로 소유하지 못함

  • 제품 문제를 고객지원이 해결하지 못하거나 안 해줄 때는, 연락처 판매 사이트에서 CEO 이메일과 전화번호를 사서 직접 연락함
    최근 Google 집단소송 합의금 수령 문제도 그렇게 해서 수표를 특급으로 받았음
    다만 Cash App에서는 역효과가 나서 “지원 시스템 밖에서 직원에게 연락했으므로 계정이 종료됐다”는 답을 받음
    이제 Sundar Pichai 휴대폰 번호는 얼마일지 궁금함. 사용자명, 비밀번호, 복구 이메일은 있는데 예전 전화번호가 없어 Google 계정에 못 들어가고 있음

    • Cash App 건은 Consumer Financial Protection Bureau에 민원을 넣으면 금방 정리될 것임
    • 공유 가능하다면 Cash App 이야기를 듣고 싶음
      자기 서비스 문제를 해결하려고 했다는 이유로 계정을 종료하는 건 모욕처럼 보임
    • 호주에는 소비자를 돕기 위한 ACCC가 있고 소비자법도 꽤 강함
      이런 이유로 몇몇 회사는 정부 대응을 피하려고 호주 진출을 꺼리지만, 호주 소비자가 돈을 많이 쓰기 때문에 결국 그 규칙에 맞춰야 함
    • 개인 전화번호를 사서 지원 요청을 위해 연락하는 건 괴롭힘으로 볼 수도 있음
    • 다른 방법으로 주주 담당 부서에 연락할 수도 있음
      주주이면 더 좋지만 꼭 그럴 필요는 없고, 표준 절차가 작동하지 않을 때 비표준 경로를 쓰는 윤리는 각자 판단할 일임
      이런 받은편지함은 보통 유능한 사람이 보고, 적어도 내부에서 생성된 케이스를 닫기 위해 알맞은 담당자에게 전달해 줌
      Patio11도 https://www.kalzumeus.com/2017/09/09/identity-theft-credit-r...의 “Where exactly should I address letters?” 섹션에서 이 방법과 법무팀 연락을 다룸
      주소를 못 찾으면 본사로 “ATTN LEGAL DEPARTMENT”라고 편지를 보내면 되고, 그런 우편은 비싼 사람들이 열어봄
      예전에 보유하던 시가총액 약 20억 달러짜리 회사의 연례보고서 관련 질문을 주주 담당 부서에 보냈지만 후속 메일까지 답이 없어서 주식 절반을 팔았고, 결과적으로 아주 만족했음

  • 개인용으로 더 이상 MacBook을 사지 않는 이유가 있음
    2019년에 당시 최고 사양 MacBook 15인치에 3천 유로 이상을 썼고, 이는 유럽의 내 나라 평균 월급 두 달 치가 넘었음
    보증 1년이 끝나기 2주 전에 스페이스바가 고장 났고, 설계 문제라 현지 서비스센터에서 보증으로 며칠 만에 교체됨
    1년 뒤 배터리가 죽어가서 공인 수리점에 갔더니, 배터리 교체를 위해 키보드와 트랙패드 전체를 바꿔야 해서 약 750유로가 든다고 했음
    PC 수리점에서 몇백 유로에 해줄 수 있다기에 맡겼고 잘 작동했지만, 3개월 뒤 노트북이 갑자기 꺼졌음
    Apple은 비공식 배터리를 썼다는 이유로 유상 수리도 거부했고, Mac은 벽돌이 됨
    결국 개인용으로 2.5년 쓰는 데 3,500유로가 들었고, 싼 중고차보다 비쌌음

    • 보증이 끝난 Apple 노트북 배터리는 1천 유로 미만으로 교체할 수 없다는 뜻처럼 들림
      그게 사실이라면 아무도 Apple 노트북을 다시 사는 실수를 하지 않도록 1면 뉴스로 보도돼야 할 정도로 믿기 어려움
    • 2013년에 산 400달러짜리 Toshiba 노트북은 아직도 멀쩡하고, 2015년 모델도 잘 버팀
    • 한편 3년짜리 AppleCare를 140달러에 살 수도 있었음

  • Apple에서 AirPods Max를 돌려받았는데, 리퍼 제품으로 교체된 듯했음
    며칠 안 쓰다가 소리가 나서 꺼내 보니, 이 AirPods Max가 어떤 iCloud 계정에 연결되어 있다는 알림이 iPhone에 떴음
    Apple이 준 추적 가능한 헤드폰이라는 게 불쾌해서 Tim에게 이메일을 보내 상황을 설명함
    다음 날 Apple 임원 서비스팀에서 전화가 와서 세부 사항을 물었고, 리퍼가 아닌 새 헤드폰과 실제로 추적 가능했는지 여부 확인을 원한다고 말함
    그다음 날 답은 둘 다 나왔는데, 새 제품 교체는 안 되고, Find My에 연결된 계정으로 실제 추적이 가능했으며, 미안하다는 것이었음

    • 애초에 리퍼 제품으로 교체해 주는 것부터 말이 안 됨
    • 그런 결말은 예상 못 했음
      헤드폰 문제에 대해 그냥 감수하라고 답했다는 게 믿기 어려움

  • Tim의 임원팀이 문제를 해결해 준 건 기분 좋은 일이지만, 넓게 보면 현실 신원과 디지털 신원 및 기기를 묶는 메커니즘이 필요하다는 뜻으로 보임
    구매 증빙 대신 계정이나 기기에 연결해 둔 정부 신분 증명을 제시하고, 신원 확인 절차를 신뢰할 수 있다면 그 신원을 기기에 묶은 사람으로 확인되어 기기나 계정 접근을 되찾는 방식임
    Tim에게 이메일 보내는 방식은 확장 가능하지 않음
    계정 복구의 규제 공백에 대해 FTC에 의견을 제출한 적이 있고, 신원은 금융 서비스 중심의 정보보안 업무에서 다루는 요소임

    • 현실 신원을 기계에 묶는 건 이 문제에 대한 아주 나쁜 해법이고, 문제 자체를 제대로 이해하지 못해서 나온 생각임
      핵심은 기기를 설정하는 데 쓰이는 개인 키의 소유권을 구매자가 갖지 못한 채 기기가 팔린다는 것임
      키가 내 것이 아니면 기기도 내 것이 아님
    • 현실 신원을 디지털 신원과 기기에 묶는 건 해결하는 것보다 더 많은 문제를 만듦
    • 에스토니아에는 그와 조금 비슷한 시스템이 있음: https://e-estonia.com/solutions/e-identity/id-card/
    • 내 신원이 하드웨어에 묶이는 건 절대 원하지 않음
      일단 그렇게 되면 업계가 온라인 계정까지 연결하자고 캠페인을 시작할 것임
      정부와 산업계를 그 정도로 신뢰하지 않음
    • 이 상황을 막는 데는 현실 신원을 끌어들이지 않아도 디지털 신원과 기기 소유권의 연결이면 충분했을 것임
      원글 작성자는 그 연결을 만들 기회가 있었지만 선택하지 않았음
      Apple 서비스를 좋아하지만, 자기 컴퓨터가 계속 대형 기술기업에 통신하는 걸 원하지 않는 심리는 이해함
      다만 Apple에 통신하는 것도 싫은 사람이 정부에 통신하는 건 괜찮다고 여길 이유는 이해하기 어려움

  • 모든 기업은 고객을 사람 대 사람으로 응대할 수 있어야 함
    “우리는 너무 커서 인간 고객과 인간이 대화할 수 없다”는 태도가 정상화되고 있는데, 되돌려야 할 흐름임
    매출원은 키우면서 그 매출원이 필요로 하는 지원에는 투자하지 않는 건 나쁜 사업 관행임

    • 아이러니하게도 Apple 제품을 쓰는 이유 중 하나가 런던에 살 때 이용할 수 있었던 인간 지원 인력 때문이었음
      Dell, HP, Lenovo 문제는 보내고 기도해야 했지만, Apple 문제는 Covent Garden 매장에 걸어 들어가 물어볼 수 있었음
      Apple 지원 경험은 대체로 매우 좋았고, 업무용으로 AppleCare와 AppleCare+를 잘못 주문한 한 번의 사고만 예외였음
    • 최근 지역 은행 지점에서 30분 기다린 뒤 만난 직원이, 문제 해결은 전화 핫라인으로 하라고 했음
      직접 처리할 수 없었거나 처리하지 않으려 했음
    • Apple은 경험상 담당자에게서 전화 연락을 꽤 빨리 받을 수 있음
      https://support.apple.com/contact
    • 도덕적으로는 나쁜 관행일 수 있지만, “비용 부서”에 가능한 한 적게 쓰는 건 사업적으로는 좋다고 볼 수도 있음
    • 쓸모없는 사람이 챗봇보다 더 많은 시간을 낭비하게 만든 경험은 없었는지 궁금함

  • 처음 MacBook을 활성화할 때 Apple은 Find My 설정을 쉽게 건너뛰게 해두지만, 그렇게 하지 않았을 때 결과가 심각하다면 설정 흐름을 바꿔야 한다는 제안은 타당해 보임
    해당 단계를 건너뛸 때의 결과를 명확히 경고하거나, 잠금 해제 정책 자체를 재검토해야 함

    • 그렇게 하면 곧바로 계정 생성을 강요하려고 사용자를 겁준다고 공개적으로 비난받을 것임
      여기서는 모두를 만족시키는 입장이 없음
    • Find My 계정에 기기를 추가하지 않으면 다른 사람이 자기 계정에 추가해 기기를 잠글 수 있다는 뜻이라면, 경고 문구는 바로 그 내용을 말해야 함
      “이 단계를 건너뛰면 누군가 이 기기를 자기 Find My 계정에 추가해 당신을 기기에서 잠가버릴 수 있습니다. 이런 일이 생기면 Apple은 어떤 경우에도 도와주지 않습니다. 방금 산 이 비싼 물건에 계속 접근하려면 이 기기를 Find My 계정에 추가하는 것을 권장합니다” 정도가 되어야 함
    • OS 업데이트로 벽돌이 된 2019년형 MacBook에서 펌웨어 잠금에 걸려 있음
      OS만 부팅된다면 펌웨어 암호는 필요 없고, 지울 때만 필요함. 지우고 싶은 게 아니라 부팅되길 원하는 것임
      Grand Central에서 현금으로 샀고 출시 주간의 “Welcome to your New Mac” 이메일도 있으며, 지금도 Find My에 들어 있음
      다만 현금 영수증은 보관하지 않았고, 해외 여행 전 펌웨어 암호를 걸어둔 뒤 기억하지 못함
      Apple은 Find My에 있고 처음부터 끝까지 내 소유였는데도 잠금을 풀어주지 않음
      잠금을 풀고, 망가진 OS 업데이트를 고치고, 다시 잠그는 방식도 해주지 않음
      내 관점에서는 Apple이 내 기계를 망가뜨렸고, 다시 고치지 못하게 막고 있음
      그래서 Find My도 자기 자신으로부터는 구해주지 못함

  • 약간 다른 이야기지만, Activation Lock 같은 장치에는 2~3년 만료일이 있어야 한다고 봄
    누군가 로그아웃하지 않았다는 이유만으로 멀쩡한 컴퓨터가 버려지는 무의미한 전자폐기물을 크게 줄일 수 있음

    • 예전에 자동차 딜러십에서 일했는데, 시간이 지나 아무도 로그인하지 못해 결국 버려지는 iPad를 직접 본 것만 10대 이상임
      1년쯤 지나면 대략 3분의 1 정도가 그렇게 됨
    • 작년에 바 주인이 두고 간 iPhone 한 상자를 줬는데, 새것에 가까운 것도 많았지만 약 24대 중 복구 가능한 건 iPhone 7 한 대뿐이었고 나머지는 전자폐기물이 됨
    • 기업용 MacBook이라면 그런 걱정은 없음
    • 전자폐기물은 문제지만, 기기를 벽돌로 만드는 것이 유일하게 강한 도난 억제책임
      많은 범죄자는 새 iPhone을 훔친 뒤 3년 후 되팔 수 있다면 기꺼이 그렇게 할 것임

  • 이 정책은 누군가 노트북을 팔아 새 구매자가 Find My Mac 계정을 설정한 뒤, 판매자가 다시 훔쳐서 Apple에 자기 것으로 만들어 달라고 요청하는 일을 막기 위한 것임

    • Apple이 어떤 정책을 만들더라도 실제 법적 소유권 정의와 정확히 맞지는 않을 것임
      많은 관할권에서는 일정 조건에서 도난품도 합법적으로 구매할 수 있고, 매수자 주의 원칙 문제는 있지만 잠금이 구매 후 발생했다면 이론상 Apple이 새 소유자를 위해 잠금을 풀도록 강제될 수 있음
      그 밖에도 훨씬 덜 의심스러운 소유권 이전은 많고, 법이 중고 시장을 인정하는 상황에서 Apple이 그 모든 것을 중재할 위치에 있지는 않음
    • 그 시나리오는 MacBook으로 원전을 해킹해 폭파한다는 것보다 아주 조금 더 그럴듯한 정도로 들림
      그런 시나리오에 대해서도 MacBook에는 아무 보호 장치가 없음
    • 팔았다가 다시 훔쳐가는 일이 이 정책을 정당화할 만큼 자주 일어날 수는 없지 않나

  • Tim Cook에게 보낸 내 편지도 효과가 있었다고 믿음
    macOS Big Sur가 Intel Mac에서 고주사율 외부 디스플레이 지원을 망가뜨렸음
    HDMI/DisplayPort의 DSC 기능 문제였고, 4년 전 Catalina에서 4K@144Hz로 잘 쓰던 사람들은 Big Sur 이후 60Hz만 쓸 수 있게 됨
    Apple 지원 및 엔지니어링 부서는 Catalina를 설치해 실제로 4K@144Hz가 동작한다는 걸 보여 달라고 했고, 진단 데이터를 잔뜩 가져간 뒤 “해결책으로 Catalina로 내려가도 된다”고 답함
    케이스 번호와 함께 Tim Cook에게 편지를 보냈고, 놀랍게도 macOS Sonoma에서 고쳐졌음

답변달기