▲

안드로이드 개발자 인증: 조기 액세스 시작

 (android-developers.googleblog.com)
3P by GN⁺ 21일전 | ★ favorite | 댓글 1개
  • 안드로이드 개발자 인증 제도가 본격 도입되어, Play 외부에서 앱을 배포하는 개발자를 대상으로 조기 액세스 프로그램이 시작됨
  • 이 제도는 사기·악성코드 유포 방지를 위한 추가 보안 계층으로, 개발자의 실명 기반 검증을 요구해 공격자의 활동 비용을 높이는 구조
  • 학생·취미 개발자용 계정 유형이 신설되어, 제한된 기기 수에 앱을 배포할 수 있도록 완화된 인증 절차 제공
  • 고급 사용자용 설치 흐름도 개발 중으로, 사용자가 위험을 인지하고 비검증 앱 설치를 직접 선택할 수 있는 기능 포함
  • 구글은 커뮤니티 피드백을 반영해 인증 절차를 개선하고, 안드로이드 생태계의 안전성과 접근성 균형을 유지하는 방향으로 개발 중

안드로이드 개발자 인증 제도의 목적

  • 새로운 개발자 검증 요건은 안드로이드 사용자 보호를 위한 추가 방어층으로 설계됨
    • 구글은 다양한 사용자 유형을 고려한 균형 잡힌 보안 접근을 목표로 함
    • 초기 발표 이후 학생, 취미 개발자, 고급 사용자 등으로부터 피드백을 수집함
  • 사기 및 디지털 사기 방지는 오랜 기간 안드로이드 보안의 핵심 과제였음
    • Google Messages의 사기 탐지, Google Play Protect, 실시간 스팸 전화 경고 등 기존 기능과 연계됨
  • 최근 온라인 사기와 악성코드 캠페인이 더욱 공격적으로 변하고 있음
    • 특히 디지털화가 빠르게 진행되는 지역에서 피해가 심각하게 나타남

검증의 필요성과 실제 사례

  • 기술적 보호 장치만으로는 모든 사회공학적 공격을 막기 어려움
    • 공격자는 사용자를 속여 보안 경고를 무시하게 만드는 고압적 사회공학 기법을 사용함
  • 동남아시아에서 관찰된 사례에서는, 공격자가 피해자에게 은행 계좌가 해킹되었다고 속이고
    ‘검증 앱’ 설치를 유도, 실제로는 2단계 인증 코드를 탈취하는 악성코드를 설치하게 함
  • 검증 절차가 없으면 공격자가 즉시 새로운 악성 앱을 만들어 배포할 수 있음
    • 개발자 실명 검증을 통해 악성 행위자의 활동 비용을 높이고, 공격 확산을 어렵게 함
    • Google Play에서 이미 효과가 입증된 방식으로, 이를 안드로이드 전체 생태계로 확장 적용 중

학생 및 취미 개발자 지원

  • 일부 개발자는 가족이나 친구 등 소규모 대상 배포용 앱 개발 시 진입 장벽을 우려함
  • 이에 따라 학생·취미 개발자 전용 계정 유형이 도입됨
    • 이 계정은 제한된 수의 기기에 앱을 배포할 수 있으며, 전체 인증 절차를 거치지 않아도 됨

고급 사용자 권한 강화

  • 보안 위험을 감수할 의향이 있는 숙련 사용자를 위한 새로운 설치 흐름이 개발 중
    • 사용자가 비검증 앱 설치 시 위험을 명확히 인지하도록 경고 메시지를 표시
    • 강요나 사기 상황에서도 우회되지 않도록 설계되어 있음
    • 현재 디자인에 대한 초기 피드백을 수집 중이며, 향후 세부 정보 공개 예정

조기 액세스 프로그램 시작

  • Play 외부에서 앱을 배포하는 개발자를 대상으로 Android Developer Console에서 개발자 인증 조기 액세스 초대 시작
    • Play Console용 초대는 추후 제공 예정
  • 새로운 콘솔 환경 시연 영상과 가이드·FAQ 문서가 공개되어 있음
  • 구글은 개발자 피드백을 반영해 인증 경험을 간소화하고, 안전한 생태계 구축을 지속 추진 중
▲
GN⁺ 21일전  [-]
Hacker News 의견

  • 나는 Google의 승인 없이도 F-Droid 같은 대체 앱스토어에서 앱을 설치하고 자동 업데이트를 받고 싶음
    수동으로 adb로 설치하는 건 허용되어야 하지만, 그건 충분하지 않음
    Google의 “사용자 보호”는 사실 광고 수익 통제를 위한 것이라 생각함. 예를 들어 SimpleMobileTools 사건처럼, 앱이 매각된 후 새 소유자가 사용자에게 불리한 업데이트를 강제로 배포할 수 있었음
    반면 F-Droid는 이런 버전을 차단하고 오픈소스 포크인 Fossify Apps를 추천했음 (관련 댓글)

    • 결국 핵심은 통제라고 생각함. 플랫폼과 접근을 통제하면 세상을 지배할 수 있음
      우리가 할 일은 다음 세대에게 FOSS를 가르치는 것임. 어릴 때 익힌 습관은 평생 가기 때문임. 개발자들이 학교에서 이런 주제로 강연을 자원해야 함
    • 자동 업데이트를 허용하면서 동시에 악의적인 개발자 전환을 막는 건 모순적임
      Google이나 F-Droid 모두 개발자가 계정과 키를 넘겼는지 탐지하기 어려움
    • “사용자를 안전하게 지키는 게 최우선”이라니, 나는 Big Brother에게 보호받고 싶지 않음
    • 자동 업데이트가 기본 비활성이라면 SimpleMobileTools 같은 문제는 없었을 것임
      사용자가 직접 결정해야 함. 나는 모든 앱의 인터넷 접근을 기본 차단함.
      결국 Android 자체가 감시 비즈니스 회사가 만든 사용자 적대적 OS임
    • 웃긴 건, Google Drive를 macOS에 설치하려면 .pkg 파일을 직접 다운로드해야 함
      Apple Store에도 없는데, 왜 Android에서는 이런 걸 금지하나? 이중잣대 아님?

  • Google이 이번 정책을 발표할 때부터 일부 국가는 정부 압력 때문이라고 암시했음
    공식 블로그 글에 따르면 브라질, 인도네시아, 싱가포르, 태국에서 시행된다고 함
    정부가 사기 앱 문제로 Google을 책임지게 하니, 비기술 사용자가 “검증되지 않은 앱”을 쉽게 설치할 수 있는 방법은 존재할 수 없음
    하지만 이런 접근은 많은 사람에게 근본적으로 받아들일 수 없는 일임

    • 나는 정부 압력이라는 주장을 믿지 않음. 진짜 문제는 앱이 개인정보에 접근할 수 있다는 구조임
      Google은 프라이버시 침해 기반 비즈니스 모델을 유지하려고 이런 복잡한 통제 방식을 만든 것임
      결국 이건 “서서히 개구리를 삶는” 식으로 사이드로딩 금지를 정당화하려는 수순임
    • Google은 YouTube ReVanced 같은 앱을 없애고 싶어함
      yt-dlp 차단 사례만 봐도 명확함
    • 정부 압력이라기보다 Google이 주도한 정책임
      정부와 기업이 법 절차를 우회해 권력을 집중시키는 건 비민주적 행태임
    • 나는 하드웨어를 구매했으니 수정·수리할 자연권이 있음
    • “검증되지 않은 앱”을 막는 건 공유지의 비극과 비슷함
      사기 방지를 위해선 사용자 교육과 정보 제공이 병행되어야 함

  • “사이드로딩”이란 단어 자체가 문제임
    시스템이 지원하는 방식으로 코드를 실행하는 건 그냥 정상적인 실행임
    이런 단어가 사람들의 인식을 왜곡함

    • 단어를 없앨 수는 없으니, 재정의해야 함. 우리도 지금 “사이드로딩된 브라우저”로 Hacker News에 글을 쓰고 있음
    • 나는 f-droid에서 앱을 설치할 뿐, “사이드로딩”하는 게 아님
    • 내게 사이드로딩은 물리적으로 옆 기기에서 apk를 옮기는 행위였음
    • 이 용어는 이미 2006년부터 쓰였음. CNET 책 링크

  • Google의 새 정책에서 “학생·취미 개발자 전용 계정”이 생긴다는데, 결국 규모 제한을 두는 것임
    소규모 앱이 위험하다는 논리라면, 이건 앞뒤가 맞지 않음

    • 다음 섹션의 “숙련 사용자용 고급 플로우”가 핵심임
      검증되지 않은 앱 설치를 허용하지만 위험을 감수해야 함
    • 그런데 왜 단순히 “나는 위험을 이해한다”고 OS에 표시하는 걸 허용하지 않는지 의문임
    • 설치 수가 적은 앱이 위험하다면, 소규모 배포를 쉽게 만드는 건 모순임

  • Google의 정책 변화에 맞춰 F-Droid를 설치해봤음
    보안이 생각보다 잘 되어 있었음. 앱별로 “다른 앱 설치 허용”을 개별 설정해야 함
    NewPipe를 설치한 뒤 시스템 수준의 사이드로딩을 꺼도 잘 작동함
    즉, 무분별한 앱 설치 위험은 과장되었음
    Play Store에도 악성 앱이 많은데, Google의 새 정책은 결국 통제 강화일 뿐임

  • Google이 “숙련 사용자용 고급 플로우”를 만든다는데,
    한 번만 설정하면 되는 절차라면 좋겠음. 하지만 Apple의 macOS처럼 귀찮게 만들까 걱정임

    • “사이드로딩”이란 단어는 부정적 뉘앙스라, 새로운 용어가 필요함
    • 한 번만 설정 가능한 쿨다운 기간을 두는 건 어떨까?
    • 이 플로우가 서명되지 않은 바이너리도 허용하는지 궁금함
    • 핵심은 숙련 사용자를 성인으로 대우하느냐임

  • 지금 방식은 양쪽 모두에게 최악임
    악성 apk는 여전히 퍼질 수 있고, 규모가 커지면 검증이 필요함
    차라리 Google이 개발자 검증을 요구하되, F-Droid 같은 제3자 스토어를 허용했으면 함
    이렇게 하면 사용자는 직접 악성 사이트에서 apk를 받지 않아도 됨
    하지만 이런 균형 잡힌 해결책은 논의되지 않고, 감정적 반응만 넘침

    • 실제로는 두 가지 변경이 있음
      1. 학생·취미 개발자용 검증
      2. 숙련 사용자용 고급 플로우
        후자가 F-Droid를 지원할 만큼 강력할지는 미지수임
    • 나는 내 기기에서 앱을 만들 때 인터넷 연결이 필요 없는 자유를 원함
    • 왜 내가 소유한 폰에 앱을 설치하려면 스토어가 필요한가?
    • F-Droid는 설치 수 추적을 거부함. 프라이버시 침해이기 때문임
      Google이 앱스토어를 검증한다면, 그건 또 다른 게이트키핑임

  • Google이 “사용자 보호가 최우선”이라 말하지만, 실제로는 계정 보안이나 알림 제어 문제를 방치함
    악성 앱이 알림을 가로챈다면, 그건 샌드박스가 약하다는 뜻임
    결국 Google은 중앙 통제로 사후 차단하는 구조임
    진짜 문제는 격리 실패와 패치 지연임

    • 이런 발언은 오히려 보안 구조의 허점을 드러냄
      민감 권한이 필요한 앱만 별도 검증하면 충분함
    • 기업의 언어는 늘 같음. 죽음, 세금, 그리고 기업식 말장난
    • 그들의 최우선은 수익 창출임
    • 실제로는 YouTube ReVanced나 uBlock Origin 같은 앱을 막는 게 목적임
    • 물론 Google이 보안에 막대한 투자를 하는 건 사실임. 하지만 구체적 개선이 필요함

  • “허용한다(Allow)”는 표현이 문제의 핵심임
    내가 돈 주고 산 기기에서 Google이 뭘 허용한다니 말이 안 됨
    그래서 나는 GrapheneOS로 옮길 준비 중임. Google이 여론이 잠잠해지면 다시 잠금 정책을 강화할 것임
    이제는 탈구글화가 필수라고 생각함

    • 나도 Google 서비스를 줄이는 중임. Drive와 Photos 데이터를 옮기고 있음
      이메일도 직접 관리하려 함. Google이 스팸 필터를 엉망으로 만들고 가격까지 올렸음
      AI 기능을 강제로 포함시켜 요금을 인상했지만, 나는 그걸 원하지 않음
      postmarketOS나 GrapheneOS를 테스트할 예정임
      YouTube의 AI 더빙 기능도 너무 불쾌해서 대안을 찾는 중임
    • UbuntuTouch도 고려할 만함. Android apk도 실행 가능함

  • Google이 의무 검증 절차를 완화한다고 발표했음
    숙련 사용자가 위험을 감수하고 비검증 앱을 설치할 수 있게 하는 “고급 플로우”를 개발 중이라 함

    • 하지만 이미 사이드로딩 절차가 복잡한데, 더 강화될까 걱정임
      그래도 완전 차단이 아니라면 조심스러운 낙관을 가짐
    • 진짜 안전이 최우선이었다면 이런 절차를 처음부터 만들었을 것임
      그래도 이번 변화는 긍정적 신호로 보임
    • 다만 이건 사용자 측 이야기일 뿐,
      개발자가 제3자 스토어나 웹사이트에 앱을 배포하려면 여전히 검증 절차를 거쳐야 함
답변달기