▲

경찰은 범죄자들이 Google Pixel과 GrapheneOS를 쓴다고 하지만 — 나는 그것이 진정한 자유라고 본다

 (androidauthority.com)
4P by GN⁺ 3일전 | ★ favorite | 댓글 2개
  • 스페인 경찰이 Google Pixel 기기를 사용하는 사람을 범죄자와 연관 지어 프로파일링하는 현상이 나타나고 있으나, 이는 Pixel에 기본 탑재된 Titan M2 보안칩 때문이 아니라 프라이버시 강화 OS인 GrapheneOS 덕분임
  • GrapheneOS는 Google 서비스가 기본 포함되지 않음에도, Play Store 설치 및 대부분의 앱(심지어 은행 앱까지) 정상 사용 가능하며, 설치와 사용 경험에서 큰 불편함 없이 안드로이드의 주요 기능을 완벽하게 대체함
  • 앱 샌드박싱 및 권한 통제가 매우 엄격해 Google조차 일반 앱처럼 제한적으로만 동작하도록 만들고, 듀레스(duress, 강제상황) PIN 등 고급 보안 기능도 제공함
  • GrapheneOS 사용 이유는 “숨길 게 있어서”가 아니라, 사용자가 스스로 데이터와 기기에 대한 통제권을 갖기 위함임
  • 프라이버시 도구를 범죄와 연결 짓는 시각은 오히려 프라이버시의 중요성을 입증하며, 소프트웨어 자체의 잘못이 아닌 오남용의 문제임

스페인 경찰, Pixel + GrapheneOS 사용자 ‘범죄 연루’로 의심

  • 스페인 카탈루냐 지역 경찰이 Google Pixel 기기 소지자를 범죄자와 연관 지어 프로파일링하고 있다는 보도가 나옴
  • 마약 밀매범들이 Pixel을 선호하는 이유는 Titan M2 보안칩이 아니라, 프라이버시 중심 OS인 GrapheneOS 때문임
  • 필자 역시 GrapheneOS를 사용하는 일반 사용자로서 이 같은 프레임에 불쾌감을 느낌

왜 GrapheneOS를 쓰는가

  • GrapheneOS는 설치가 간편하며, 현대적인 소프트웨어 기능 손실 없이 사용할 수 있음
  • 오픈소스 안드로이드 포크임에도 불구하고, Play Store 설치와 앱 호환성이 뛰어남
    • 대부분의 앱(특히 은행 앱 포함)이 정상 작동함
  • 주요 특징은 다양한 보안 기능과 앱 샌드박싱 강화, 악성 공격 벡터 감소
    • 일반적인 안드로이드에서는 Google 앱이 시스템 레벨로 개인정보 접근이 가능함
    • GrapheneOS는 Google 앱도 일반 앱처럼 샌드박스 내에서 동작, 권한 기본 비활성화 및 수동 제어 가능
    • 사용자 프로필 분리로 앱 권한을 더욱 안전하게 격리하고, 알림을 메인 프로필로 포워딩하는 기능까지 지원함
  • 앱별 인터넷 차단, 센서 접근 차단 등 세밀한 권한 관리 가능
  • 특정 앱에 노출할 연락처, 사진, 파일만 선택적으로 허용 가능
  • 듀레스 PIN(Duress, 강제로 비밀번호를 요구받을 때 입력 시 데이터 완전 삭제) 기능 제공

GrapheneOS와 프라이버시에 대한 오해

  • "숨길 게 없으면 굳이 써야 할 이유가 있나"라는 주장에 대해, 실제 목적은 기기와 데이터에 대한 ‘사용자 주도적 통제권’ 확보* 에 있음
  • Google의 데이터 접근을 최소화할 수 있다는 점이 핵심 장점
  • GrapheneOS의 앱 격리 기능은 원격 감염이나 악성 공격 방지에 매우 효과적임
  • 일부 보안 개선은 AOSP에도 반영되어 전체 Android 생태계의 보안성 향상에 기여함
  • GrapheneOS가 법집행기관의 관심을 끄는 자체가 그만큼 프라이버시 강화 효과가 크다는 방증임

GrapheneOS의 프라이버시와 보안이 정치적 논란이 되는 이유

  • Signal 등 암호화 메신저 서비스처럼, GrapheneOS도 감시를 어렵게 만든다는 이유로 의심과 압박에 직면함
  • EU에서는 "Chat Control" 법안을 통해 엔드투엔드 암호화 메시지까지 스캔하도록 요구하는 움직임 존재
    • 암호화 자체는 허용되지만, 장치 내 사전 스캔이 사실상 백도어를 도입하는 게 됨
    • 이것이 시민 감시나 악의적 해킹 위험을 증대시킬 수 있음
  • 아이러니하게도, 2019년 카탈루냐는 Pegasus 스파이웨어 사태의 중심지였음
    • 정부 전용 감시 도구 사용으로 많은 정치인과 활동가가 해킹 피해 경험
    • 그럼에도 불구하고, 현재는 스스로를 보호하려는 일반 시민과 파워유저가 감시 대상이 되고 있음

오픈 소스 툴의 중립성

  • GrapheneOS와 Signal 개발자는 소프트웨어 사용 목적을 통제할 수 없으며, 대부분의 사용자는 프라이버시와 보안 강화 목적임
  • 범죄 예방을 핑계로 프라이버시 툴 규제 요구는 본질적으로 문제 소지가 있음
  • “성냥갑은 방화에, 현금은 돈세탁에 쓰인다”는 논리와 비슷
    — 프라이버시 도구 자체를 규제하는 것은 부당
    • 오픈 소스의 도구성 중립성을 인정해야 함
  • 결국, GrapheneOS와 같은 툴을 쓴다는 이유로 법 집행기관의 프로파일링 대상이 되는 현실은 부당함
    • 만약 프라이버시를 추구하는 것이 의심의 이유가 된다면, 그 자체로 사회적 문제가 됨
▲
bus710 3일전  [-]

사소한 문제라면 어떤 회사들은 DUO 등의 push 인증 앱을 이용하곤 할텐데 (옥타/지라 로그인, 풀 리퀘스트 승인 등등), 이런 비공인 OS의 경우엔 설치 및 사용에 제한이 있겠다 싶네요. 물론 폰을 둘 쓰면 해결 되겠습니다만...

답변달기
▲
GN⁺ 3일전  [-]
Hacker News 의견

  • GrapheneOS 공식 SNS에서는, 유럽 일부 권위주의자들과 언론이 GrapheneOS와 Pixel 폰을 범죄자들이 쓰는 도구로 왜곡하고 있다고 밝힘
    GrapheneOS는 경찰 국가로 가는 대중 감시 체제에 반대함을 강조함
    국가 공무원이 공식적인 위치에서 부정확한 정보로 GrapheneOS를 범죄자용 운영체제로 몰아가고, 사용자 집단까지 범죄자로 취급하는 건 국가 차원의 공격으로 해석함
    GrapheneOS SNS 성명1 / 성명2 링크 공유함

    • 나는 스페인에 가본 적은 없고 바르셀로나나 카탈루냐 문제는 잘 모르지만, 이런 상황은 생각해볼 만함
      아이러니한 점은, 카탈루냐가 과거 페가수스 스파이웨어 스캔들의 중심이었다는 것임
      페가수스는 정부에만 판매되는 정교한 감시 툴이고, 2019년에 유럽의회 의원들의 휴대폰을 해킹하는 데 쓰였음
      그런데 이제 그 지역 경찰이 불법 감시를 막으려 Pixel과 GrapheneOS를 쓰는 시민들을 의심하고 있다는 점이 심각하다고 느낌

    • GrapheneOS도 완벽하진 않지만, 너무 과장된 두려움 조장이 계속되고 있음
      이들이 GrapheneOS의 프라이버시 보호 능력을 자꾸 의심하게 만들려는 조직적 홍보전을 펼치고 있다고 생각함
      놀랍게도 경찰 등은 이것이 범죄자용이라고 몰아가면서도, 막상 프라이버시와 보안엔 효과가 없다고 주장함
      참고: 관련 SNS 포스트

    • 사실 “GrapheneOS에 대한 국가 차원의 공격”이라 하기에는, 진짜 국가는 대규모 체포나 자금 차단 등 무거운 조치를 할 것임
      각자 PR(홍보)를 하는 것이고, 서로 다른 시각을 가짐

  • “숨길 게 없으면 프라이버시가 왜 필요하냐”는 논리는 반박해야 함
    내가 무엇을 숨겨야 할지 결정하는 게 아니라, 권력이 그걸 정하게 됨
    권력은 언제든 타락 가능하며, 현재 미국을 봐도 알 수 있음
    예를 들어, 어떤 사람이 게이이고, 현재는 그걸 숨길 필요 없지만 새로운 정권이 생기면 언제든 핍박받을 수 있음
    결국, 정보가 남아있다면 그게 죄가 되는 사회가 올 수 있음

    • 꼭 그 정도까지 가지 않아도 됨
      그런 답변을 하는 사람한테 은행 정보, 패스워드, 혹은 민감한 사진이라도 달라고 해보면 됨
      누구나 숨길 게 있기 마련임, 만약 없다면 심각한 문제가 있는 것임

    • 예전에 읽은 좋은 예시가 있음
      “숨길 게 없으니 프라이버시는 필요 없다”는 말은 “할 말이 없으니 표현의 자유도 필요 없다”는 것과 같다고 함
      둘 다 그 여파가 엄청남

  • 유럽의 반(反)프라이버시 운동이 매우 걱정됨
    특히 일반 대중이 프라이버시 문제에 신경 쓰지 않아 큰 변화가 예상됨
    이런 극단적 변화가 어디서 시작됐는지, 혹시 어떤 로비가 있는지 궁금함

    • 이런 현상은 유럽뿐만 아니라 미국도 같음
      예시로, Roman Storm이 프라이버시 툴을 만들었다는 이유로 최근 재판을 받고 있음
      Rage 기자들이 정도만 이 사안을 잘 다루고 있음

    • 많은 사람들이 ChatControl 제안(정부의 모든 메신저 백도어 허용)이 가지는 결과를 잘 모름
      정치인들은 아동 보호만을 위한 것이라 주장하지만, 예를 들어 스웨덴에선
      경찰과 정보기관이 시민의 데이터에 접근하고, NSA와의 데이터 공유로 모든 DM이 미국에 저장될 수 있음
      타국 정보기관도 정보를 알 수 있어, 내가 비행기를 타고 그 나라에 가는 순간 내 성정체성이나 정치 성향도 노출됨
      이 모든 것은 내 나라의 법이나 권한 밖에서 일어남
      정치인 Ylva Johansson 관련 의혹도 존재함
      ChatControl 위키
      스웨덴 표현의 자유
      스웨덴 차별금지법
      Johansson, 감시 정책 관련

    • 이런 시스템을 만들어 놓으면 언젠가 정부가 변질됐을 때 정적 제거에 악용 가능함
      항상 “센터(중도)가 권력을 잡을 것”이란 것은 너무 안일한 생각임
      미국에서 “트럼프가 대통령 될 리 없다”던 자신감도 헛된 것처럼, 영국에서는 Reform, 프랑스에선 내셔널 랠리가 정권을 잡을 가능성도 큼
      아무도 모른 척하면 안 됨

    • 로비가 배후에 있는 건 당연함
      더 심각한 문제는, 인권과 프라이버시를 내세우던 나라들이 지난 10~15년간 완전히 돌아선 것임
      극우 때문만은 아니며, 국민의 목소리를 막으려는 노골적인 시도임
      헝가리 같은 국가는 이해되지만, EU 등이 이런 정책을 내놓는 것은 전혀 상식적이지 않음

  • 대부분 이 이슈를 프라이버시 공격이라고 말하는데, 실제로 기사에서 그런 부분을 못 봤음
    요점은 경찰이 Pixel 폰 사용자들을 프로파일링한다는 것임
    불법화, 암호화 금지와는 다른 문제임
    나도 개인적으로 Pixel 폰에서 Mullvad를 쓸 만큼 프라이버시에 신경 씀
    하지만 지금 이 토론은 제목만 읽고 상상의 적을 공격하는 것 같음
    진짜 논의는 경찰의 프로파일링이 적합한지, 반대로 정말로 GrapheneOS 사용자가 범죄자인지에 대해 해야 함
    유럽이 암호화와 프라이버시를 공격중인 건 맞지만, 이번엔 해당 안 됨

    • 경찰이 Pixel 폰 사용자를 프로파일링한다는 핵심 내용까지 도달하려면 여러 링크를 눌러야만 나옴
      실제로는 한 경찰관이 지나가듯 말한 한 줄의 코멘트임
      그 한마디로 언론에서 큰 이슈를 만들고 있다고 느낌

    • 이번 이슈의 본질은 GrapheneOS 이용이 곧 범죄자라는 거짓 인식을 퍼뜨리는 것임

    • 범죄라는 개념 자체에 대한 논의도 함께 이뤄져야 함
      보통 사람들의 무고한 행동들도 범죄로 규정하지 않는 사회라면, 이렇게 개별 기술을 악마화할 필요성조차 줄어듦

    • 경찰의 프로파일링이 실제로 어떤 영향을 주는지 토론이 필요함
      단순히 경찰이 “약간 더 의심스럽다”고 느끼는 것과, 실제로 사소한 이유로 계속 검문/수색 당하는 것은 별개의 문제임
      후자는 각국의 불심검문 기준 등 법적 근거의 문제임

    • 기계나 소프트웨어 기반의 프로파일링이 프라이버시에 악영향을 주지 않는다고 생각하는 사람이 있다면 놀라움
      대부분의 서양 국가에서 감시는 범죄 증거가 있어야 정당화됨
      만약 휴대폰 브랜드나 OS가 범죄 의심의 근거가 된다면, 그 자체만으로 심각한 프라이버시 침해임
      프라이버시 지향 기기 사용이 범죄 의심점이 돼선 안 됨

  • 나는 GrapheneOS를 쓰는데, 이유는 부정적인 목적 때문이 아니라 구글이 안드로이드 전체에 너무 많은 통제력을 갖는 걸 원치 않기 때문임
    아이러니하게도 이를 위해 구글폰을 사야 했지만, 타사 안드로이드도 결국 구글식 마케팅과 데이터 수집 대상임
    또한 안드로이드가 보안 강화 명목으로 Android>Data 폴더 접근을 막은 점도 불만임
    내 휴대폰인데 원하는 대로 사용할 수 있어야 함
    GrapheneOS에서는 폴더들에 자유롭게 접근 가능해서 좋음

    • Fairphone이나 Nothing Phone처럼 부트로더 재잠금이 가능한 폰에도 GrapheneOS가 지원되지 않는 점 때문에 사용하지 않게 됨
      훌륭한 OS 같지만, 구글을 멀리하려고 구글폰을 사는 건 모순이라고 느낌

  • 이번 논란은 익명의 경찰관이 한 신문 “사회”란에서 한 줄 코멘트한 게 출발점임
    진짜 취재원까지 도달하려면 무려 다섯 단계의 링크를 타야 함
    결국 한 문장, 그것도 기계번역을 여러 번 거친 내용이 커다란 담론으로 확장된 셈임
    스페인 기사 번역본 / 카탈루냐어 원문

  • 현금은 이미 각국에서 규제 및 의심의 대상임
    카드 사용이 간편해서 전환이 쉬웠고, 스웨덴 등은 사실상 현금 없는 사회임
    일정 금액 이상 현금 거래는 거의 불가능하고, 세금이나 버스비 지급도 현금으로 어렵게 됨
    어떤 국가는 계좌가 없는 사람도 있음
    심지어, 현금을 RFID로 추적하는 나라도 있음 (예: 호주)
    표면상으론 모두 선의로 포장되지만, 실제론 감시와 통제 수단임

  • 기술은 도덕적으로 중립적임
    선한 목적과 악한 목적 모두에 쓰일 수 있으며, 기술 자체가 도덕 판단을 하지 않음
    기술을 규제하면 항상 준법 사용자에게 부담이 더 큼
    암호화, DRM, 심지어 칼 같은 기본적 도구도 마찬가지임
    결국 두려움과 도덕적 공황이 이성을 이기는 경우가 자주 발생함

  • GrapheneOS를 최근 설치하고 앱들을 차근차근 이관 중임
    나는 매우 평범해서 감시받아도 별 신경 안 쓰겠지만 프라이버시를 지키는 이유는, 쓸데없이 당국의 자원 낭비를 막고, 기업으로부터 내 정보를 빼앗기지 않기 위함임
    경험상, 경찰은 대중과 조금만 달라 보여도 그게 “충분한 증거”라고 여김
    도전적인 기분이라면 GrapheneOS가 어느 정도 욕구를 채워줌

    • 프라이버시를 지키는 건 내 가족과 친구 보호에도 도움 됨
      예를 들어, 주소록을 샌드박싱해서 메시지앱이 내 연락처 전체를 가져가지 못하게 막을 수 있음

  • GrapheneOS는 홍보(PR)가 거슬려 더 이상 사용하지 않게 됨
    SNS마다 타 프로젝트가 잘못하고 있다는 비판이 반복되고, 자신들 기준에서 보안/프라이버시가 조금만 다르면 폄하하는 경향이 있음
    “모욕”, “공격”이란 단어를 근거 없이 남용함
    실제로는 GrapheneOS가 성능이나 사용성, 보안 측면에서 최고지만, 그들이 이런 방식으로 행동하는 것이 아쉬움
    옛날부터 느껴왔던 자만심이 ‘고치지 않을’ 버그 같음

    • 나는 타 프로젝트가 잘못하고 있는 부분을 자세히 설명하는 건 좋은 점이라고 생각함(그래도 GOS 팀의 외교력이 부족하다는 부분은 동의함)
      예전에는 Fairphone이 왜 지원되지 않는지 “보안 때문이다”라는 답 이상을 못 들었지만, 최근에는 Secure Element(보안 칩)와 같은 구체적인 이유를 제공함
      덕분에 내가 스스로 찾고 비교해볼 수 있게 됨

    • 실제로 자료를 찾아봤는데, GOS가 “모욕”을 주장하면 그 근거가 뚜렷하다고 느낌
      다른 프로젝트를 “비난”하는 것은, 예를 들어 /e/OS가 보안 허술한 하드웨어와 오래된 AOSP로도 최고의 프라이버시를 주장할 때 근거로 비판함
      GOS가 모든 오픈소스 프로젝트를 일반화해서 폄하한다는 건 내가 보기엔 오히려 모욕임
      GOS에서 “공격”이라 하는 건 근거 없는 비난이 대량으로 제기될 때임
      근거 없는 예시를 보여달란 유저 요구도 있었음
      GOS가 실제로 추천하는 프로젝트들은 모두 합리적인 이유가 있음
      “Custom ROM” 용어도, GOS는 그 자체를 싫어하는 것이 아니라 부정확한 표현이라고 설명함
      태도의 문제는 있지만, 내용까지 잘못된 것은 아님

    • 나는 모바일 OS 개발자가 홍보를 잘할 필요까지는 없다고 생각함
      내가 원하는 건 규칙적인 보안 업데이트임, 그 기준은 잘 맞춰줌

답변달기