요약
은행 앱 십여 개가 구글 인증 운영체제 외에 GrapheneOS도 명시적으로 허용하기 시작했습니다.
GrapheneOS 프로젝트가 마스토돈 공식 계정에서 밝힌 내용입니다. 욜라 휴대폰에 실망한 이용자들의 대화에서 GrapheneOS는 은행 앱 공식 지원이 부족하다는 지적이 나오자 이에 답했습니다.
왜 중요한가
- 구글 인증을 받은 운영체제만 받아 주던 은행 앱에서 GrapheneOS를 따로 허용하는 예외가 늘고 있습니다.
- 공식 지원이 부족하다는 지적과 달리, 대부분의 은행 앱은 이미 GrapheneOS에서 작동한다는 설명입니다.
- 남은 걸림돌은 비접촉 결제입니다. 많은 은행이 이를 GrapheneOS를 막는 Google Pay에 맡기고 있습니다.
핵심 내용
- 은행 앱 십여 개가 구글 인증 운영체제와 함께 GrapheneOS를 명시적으로 허용하기 시작했고, 그 수는 늘고 있습니다.
- 은행 앱의 약 10%는 구글이 인증하지 않은 운영체제를 막아 GrapheneOS에서 쓸 수 없습니다.
- 많은 앱은 메모리 손상 버그나 잘못된 변조 방지 코드 때문에 앱별 호환 모드(일부 보안 강화 기능을 그 앱에서만 끄는 설정)를 켜야 합니다.
- 유럽에서는 Curve Pay, PayPal과 여러 은행 앱이 GrapheneOS에서도 비접촉 결제를 허용합니다.
- 유럽 밖에서는 Google Pay가 사실상 독점이라 이것이 가장 큰 문제라고 했습니다.
HN 반응
- 은행이 앱을 강요하지 말고 웹 접속과 하드웨어 토큰을 계속 제공해야 한다는 댓글이 가장 앞에 올랐고, 대부분은 편의를 위해 앱을 쓴다는 반론이 맞섰습니다.
- 은행 앱이 개인정보를 빼 간다는 우려에는, GrapheneOS에서는 은행 앱을 별도 사용자 프로필에 설치해 다른 정보와 격리할 수 있다는 보충이 나왔습니다.
고맙지만 사양합니다.
저는 GrapheneOS를 쓰는데, 은행이 어떤 기술을 앞세워 제 돈에 대한 접근을 막겠다면 그 기술은 계좌에 기본으로 포함해서 제공해야 한다고 생각합니다.
예를 들어 HSBC는 지금도 웹 브라우저로 계좌를 관리하게 해 주고, 인증 수단으로 배터리로 작동하는 하드웨어 토큰도 계속 제공합니다.
저는 어떤 이유에서든 은행에 제 돈을 맡기고 있습니다. 그런데 왜 제가 은행의 분산 인프라 제공자 노릇까지 해야 합니까? 제 돈에 접근하려고 은행의 사유 악성코드를 돌려야 하는 상황은 받아들이지 않을 겁니다.
회사에 돈을 맡기는 특권을 누리는 대가로, 내가 소유한 하드웨어에서 그 회사의 쓰레기 같은 소프트웨어를 돌리라고 무료 컴퓨팅 자원을 계속 내놓아야 하는 것이 당연시되는 흐름은 요즘 가장 터무니없는 유행 가운데 하나입니다.
JS 웹앱도 마찬가지라고 하고 싶지만, 적어도 웹앱은 제가 정한 조건대로 샌드박스에서 돌릴 수 있고 요청 내용도 직접 들여다볼 수 있습니다. 제 하드웨어에 별도의 보안 영역이 따로 만들어지는 일도 없고요. (EME는 예외지만 그건 다른 날 따로 얘기할 주제이고, 은행이 EME까지 쓰기 시작하면 저는 그것도 불평할 겁니다.)
너무 깊이 생각하시는 것 같습니다. 대부분의 사람은 편해서 휴대폰을 쓰고, 앱 덕분에 은행 업무에서 단계 하나라도 줄어든다면 아마 그렇게 할 겁니다.
두 번째 문제(별도의 인증 수단)는, 은행이 휴대폰을 갖고 있어야 한다고 요구한다면 분명 꽤 문제가 되겠지만, 그건 전혀 다른 별개의 문제입니다.
요즘은 은행들이 그런 쓰레기 같은 걸 밀어붙여서 슬슬 짜증이 납니다. 다행히 장애인 접근성 관련 법 덕분에 아직까지는 토큰을 의무적으로 제공해야 하긴 합니다.
그런데 상당수 은행이 이제 휴대폰 은행 앱을 토큰 대용으로 바꿔 버렸고, 거부할 방법도 없습니다. 그래서 저는 요즘 은행 관련 일은 휴대폰으로 아예 하지 않습니다.
대부분의 사람은 자기가 이용당하고 있다는 사실도 모릅니다. 제가 말하는 건 주로 데이터 유출입니다.
유럽과 영국에서는 그게 불법입니다. 소비자 보호법을 제대로 갖추세요.
기업이 불법을 저지르는 일은 절대 없고, 모두가 유럽에 살고 있으니 참 다행이네요.
우리 유럽인한테는 다행이죠 ;)
기업은 웬만하면 불법적인 짓을 안 합니다. 특히 상장사이거나, 들통나면 큰 손해를 볼 주주가 있는 회사라면 더 그렇고요. 게다가 사람들이 알아내는 걸 막는 건 거의 불가능하잖아요.
유럽의 삼성 TV 건이 앞으로 며칠 안에 어떻게 터져 나오는지 지켜보세요. 이제는 기기가 주고받는 모든 게 암호화되어 있으니 기업들이 절대 안 걸릴 거라 생각하고 산더미 같은 불법을 저지르고 있거든요. 펌웨어 업데이트 몇 번 하고 eMudhra 취약점 관련 CA 인증서를 손보고 나면 사람들은 그 일을 싹 잊을 테고, 기업들은 다시 하던 짓으로 돌아갈 겁니다.
기업이 불법을 안 저지르는 건 들킬 가능성이 높을 때뿐입니다.
데이터 관련 법의 문제는, 일단 기업이 여러분의 데이터를 손에 넣고 나면 그걸로 뭘 하는지 아는 건 그 기업뿐이라는 점입니다. 그러니 막아야 하는 건 기업이 데이터를 갖는 것 자체인데, 그런 법들은 보통 그걸 막지 않습니다.
어떤 데이터가 수집되는지는 확인할 수 있습니다. 예를 들어 버전별로 배포된 앱을 디컴파일해 볼 수 있죠. 정부라면 (필요한 허가와 합법적인 절차를 거쳐) 그냥 서버로 찾아가서 무슨 일을 하는지 확인할 수도 있고, 소스 코드를 공개하라고 의무화할 수도 있습니다.
그건 데이터를 특정 용도로 쓰는 걸 막으려는 게 아니라 수집 자체를 막으려 할 때만 도움이 되는데, 기업이 문제 삼는 건 수집이 아니라 활용이 아닙니까.
뻔한 예를 들면, 기업이 클라우드 저장소에 여러분의 파일과 메시지를 기본으로 전부 보관한다면 기업은 기본적으로 그 파일과 메시지를 전부 갖고 있는 겁니다.
그런 일은 대개 기업이 뭔가 하고 있다고 의심할 만한 이유가 있을 때나 일어나는데, 기업만이 그 사실을 아는 상황에서는 그런 이유가 생길 수가 없습니다.
게다가 관할 지역 안에 있는 서버를 조사하더라도, 데이터가 관할 밖의 서버로 복사되지 않았다는 것도, 거기서 그 데이터가 어떻게 쓰이는지도 알 방법이 없습니다.
기업은 너무 높게 쳐 주고 정부는 너무 낮게 치시는 것 같습니다.
우선 대부분의 기업은 최소한의 위험으로 돈을 벌고 싶어 합니다. 기껏해야 회색지대에 걸친 정도로 하면서 대체로 합법을 유지하는 게 돈 벌기가 훨씬 쉽습니다. (더 "좋은" 건 로비로 그 행위 자체를 합법으로 만들어 버리는 거고요.) 그리고 두 사람 넘게 아는 정보는 더 이상 비밀이 아니며, 직원들한테 회사를 위해 법정에서 위증까지 할 만큼 월급을 주지도 않잖아요. 그래서 저는 그런 일이 그렇게 자주 일어난다고 생각하지 않고, 일어나더라도 대개는 법을 어기려는 고의가 아니라 무지 때문이라고 봅니다.
아, 또 이 논리예요? 그러게요, 법이 대체 왜 필요하겠어요 /s
법과 그 집행은 이데올로기적 국가 장치를 유지하려고 존재하는 겁니다. 설마 다른 목적이 있다고 생각하셨나요?
GrapheneOS에서는 은행 앱을 다른 사용자 프로필에 설치하고 Google Play를 샌드박스에서 돌릴 수 있어서, 은행 앱을 쓴다고 해서 다른 정보에 누군가 접근하게 되는 일은 없습니다.
그렇게 구성해도 구글이 은행 정보에 접근할 수 있나요?
아니요. (어차피 브라우저 데이터에 접근하는 것 이상은 못 합니다.)
이해가 안 됩니다. 브라우저가 여기서 무슨 상관인가요? 브라우저는 Google Play 없이도 쓸 수 있잖아요.
은행 앱과 같은 샌드박스에 Google Play가 있다면 구글이 거기 있는 걸 전부 볼 수 있는 것 아닌가요? 아니면 서로 다른 샌드박스에 있는 건가요?
안드로이드 앱은 기본적으로 서로 격리되어 있습니다. Graphene은 거기서 조금 더 나아갈 수 있지만, 어쨌든 Google Play 스토어는 앱 데이터에 접근하지 못합니다. 제 말은, 은행 데이터는 앱에 있든 브라우저에 있든 스토어로부터 똑같이 안전하다는 뜻이었습니다.
정확히 무엇을 말씀하시는 건가요?
게다가 앱은 PC 브라우저와 달리 안전하죠.
좀 극단적이네요. 어디까지나 편의를 위한 앱일 뿐인데요. 웹 접속도 함께 제공해야 한다는 데는 동의하지만, 대부분의 사람은 앱이 더 쓸모 있다고 여깁니다.
앱을 아예 안 쓰시나요?
저는 원 댓글 작성자의 분노가 이해가 됩니다. "내 돈을 맡아 주고 있다"는 것만으로도 은행은 좋은 웹앱을 만들고 대체 OS를 지원하도록 온 힘을 다해야 할 이유가 충분해요.
저는 은행 앱에는 그만큼 더 화를 낼 만한 이유가 있다고 봅니다. (게다가 많은 나라에서 ATM 찾기도 점점 힘들어지고 있어요. 은행들은 대체 무슨 속셈일까요?)
문제는 원 댓글 작성자 같은 사람들이, 자기 돈을 맡아 주는 게 은행에 별로 자산이 되지 않는다는 걸 모르는 것 같다는 겁니다. 전혀요. 금리가 높아진 지금은 아닐지도 모르지만, 대체로 여러분이 은행에 무슨 호의를 베푸는 건 아닙니다. 제가 아는 바로는 리테일 예금은 대부분의 은행에게 미끼 상품입니다. 원 댓글 작성자가 초부유층이 아닌 이상, 예금을 맡긴다고 해서 은행에 득이 되는 건 아니에요.
좋아요, 그럼 이런 경우는 어떤가요. 저는 주거래 은행에 계좌를 유지하려고 한 달에 2유로를 냅니다. 그러면 저는 고객이 아닌가요? 제가 은행에 무슨 호의를 베풀어 달라고 한 것도 아니고요. 계좌 이용료를 내고, 제 파트너는 그 은행에 보험이 있고, 저희는 채권과 그쪽 보험 상품도 삽니다. 그런데 앱이 너무나 형편없어서 저희는 조금씩 다른 은행으로 옮기고 있어요.
은행은 리테일 예금으로 분명히 돈을 벌고, 여러분이 돈을 맡기는 건 확실히 은행에 호의를 베푸는 겁니다.
은행은 고객 한 명을 확보하는 데 마케팅비를 많이 쓰고, 그 뒤에 대출이나 신용카드처럼 수익성이 더 높은 상품을 추가로 팔려고 합니다. 하지만 고객 확보 비용이 크고 이후에 추가 판매를 한다는 것이 "미끼 상품"과 똑같지는 않습니다. 미끼 상품이라고 하면 한계 이익이 마이너스라는 뜻이 되는데, 그건 분명히 사실이 아닙니다.
금리가 낮던 시절, 이를테면 LIBOR가 0에 가깝던 때는 그렇지 않았나요? 제가 알기로 그 시기에는 많은 리테일 은행이 리테일 예금을 줄이려고 애썼습니다. 돈을 맡아 두는 게 수익이 안 됐고, 특히 리테일 예금은 더 그랬죠. 그리고 지금도 큰 틀에서 은행이 노리는 건 그게 아닐 거라고 생각합니다.
저희 은행은 웹 버전에 없는 기능을 앱에서만 제공합니다. 그래서 억지로 앱을 쓰고 있지만, 모든 기능을 웹에서 쓸 수 있으면 좋겠습니다.
저도 같은 마음이에요. 다만 저는 앱을 절대 설치하지 않기 때문에, 그런 경우에는 그 기능을 아쉽게 포기하고 맙니다.
웹뱅킹은 인증에 카드 리더기 같은 장치가 필요합니다. 앱은 OS의 보안 기능을 이용해 인증을 돕기 때문에 카드를 읽을 필요가 없습니다. 휴대폰에서 웹으로 접속해도 카드 리더기가 필요하고요.