모바일 환경을 위한 프라이버시 보안 기술

2.1 모바일 프라이버시 위험요소 분석

모바일 에코 시스템은 기존의 PC 기반 에코 시스템보다 다양한 주체들이 참여하고 있으며, 이로 인해 모바일 환경에서의 프라이버시 관련 문제는 기존 PC 환경에서의 문제보다 훨씬 복잡한 형태를 가지게 된다. 또한 모바일 환경에서 수집되는 사용자의 정보도 훨씬 다양하고 정보의 질과 민감도도 매우 높으며, 이는 언제 어디서나 사용자에게 밀착되는 모바일 기기의 특성에 기반한다. 이로 인해 사용자의 프라이버시를 침해하는 위험 요소도 매우 다양해졌으며, 이들이 어디에서 발생했는지 분석하는 것 자체도 매우 어려워졌다.

모바일 에코 시스템을 구성하는 각 주체들의 위험요소는 다음과 같이 분석된다.

2.2 안드로이드 플랫폼 보안 기술 분석

모바일 플랫폼은 설치된 모바일 앱이 정상적으로 동작함을 보장하고 악의적인 행동을 하지 못하도록 제어할 수 있어야 한다. 이를 위해서 모바일 플랫폼들은 다양한 보안 기술을 적용하고 있으며, 대표적인 모바일 플랫폼인 안드로이드에서는 다음의 방식을 사용하고 있다.

안드로이드에서는 설치된 모바일 앱이 정해진 시스템 자원만을 이용하고 지정된 동작만 하도록 제어하기 위해 권한(Permission) 기반의 보안 모델을 사용하고 있다[3]. 모바일 앱은 자신의 안드로이드 매니페스트(Android Manifest) 파일에 필요한 권한을 명시해야 하며, 사용자는 설치 과정에서 권한을 확인하고 승인한다. 이후 모바일 앱의 동작 중에 해당 권한이 필요한 작업이 요청되면 플랫폼은 미리 등록된 권한 목록을 확인한 뒤 작업을 허가한다.

하지만, 권한 기반 모델은 몇 가지 문제점을 가지고 있다. 첫째, 사용자는 앱에서 요구하는 권한들에 대해 선택적으로 승인할 방법이 없으며 전체를 승인하거나 설치를 포기해야 한다. 둘째, 승인된 권한이 어느 시점에 구체적으로 어떻게 사용되는지 확인할 수 없다. 셋째, 모바일 앱이 불필요하게 과도한 권한을 요청하는 것을 억제할 수단이 없다. 이러한 문제점들을 개선하기 위해 다양한 연구가 제안되어 왔으며[4]-[6], 안드로이드 4.3 버전에서는 설치된 앱이 가지는 각각의 권한을 세부적으로 제어할 수 있는 App Ops 기능이 제공되었다. 하지만 이 기능은 4.4.2 버전 이후에 제거되었으며, 구글이 앱을 통한 광고 수입의 저하를 우려해 제거했다는 비판을 받고 있다[7].

프라이버시 보호를 위해서는 앱의 권한 제어와 별개로 사용자가 수립한 보안 정책을 수행할 수 있는 수단이 필요하다. 안드로이드에서는 2.2 버전부터 그림 1과 같이 시스템 전반에 걸쳐 보안 정책을 설정하고 집행할 수 있게 하는 기기 관리 기능을 제공하고 있다.

Fig. 1.

A screenshot of android App Ops

이 기능은 원래 기업용 모바일 기기를 위해 만들어진 것으로 기업 데이터에 대한 기기의 접근 등을 제어하기 위한 목적이지만, 개인 사용자의 프라이버시 보호를 위해서도 활용될 수 있다. 하지만 현재 설정할 수 있는 보안 정책은 매우 제한적이고, 주로 사용자의 패스워드 관리와 로그인 행위, 저장 공간 암호화 등에 관련된 정책만 제공하고 있다.

이처럼 안드로이드 플랫폼은 프라이버시 보호를 위해 활용될 수 있는 몇 가지의 보안 기술을 제공하고 있지만, 여전히 해결해야할 문제점이 존재하고 기술의 적용 범위와 유연성에 많은 제약을 지닌다. 그래서 보다 유연하게 사용자의 프라이버시 보호를 위한 보안 정책을 설정하고 이를 강제할 수 있는 새로운 방식을 필요로 하고 있다.

• EFF의 모바일 사용자 프라이버시 권리(Mobile User Privacy Bill of Rights)[8]

EFF 단체에서는 사용자들의 권리를 존중하는 방식으로 모바일 앱을 개발해야 한다는 가이드라인을 발표했고, 다음의 내용을 포함하고 있다.

• - 사용자는 앱이 어떤 개인정보를 수집하여 어떻게 사용하는지에 대한 통제권을 행사할 권리가 있다. 그리고 사용자가 동의를 철회하는 경우 개인정보 이용 역시 중단되어야 한다.
• - 모바일에 특화된 민감 정보의 수집에 신중해야 하며, 서비스 제공에 필요한 최소 정보만을 수집해야 한다.
• - 사용자는 앱이 어떤 정보에 접근하고, 얼마나 오래 보유하고, 누구와 공유되는지 알 권리가 있다.
• - 앱은 정보가 제공된 맥락에서만 해당 정보를 이용하거나 공유해야 한다.
• - 모바일 앱 개발자는 수집하고 저장하는 개인정보의 보호에 대한 책임이 있다.
• - 모바일 산업의 모든 관계자는 그들이 생산하는 H/W, S/W에 대한 책임이 있으며, 사용자는 그들에 대해 책임 추적성을 요구할 권리를 갖는다.

• 프라이버시 온더고(Privacy on the Go)[9]

2012년 캘리포니아 법무부는 모바일 산업 관계자들의 프라이버시 보호를 위한 책임 사항을 발표했으며, 각 주체별 내용은 다음과 같다.

• - 모바일 앱 개발자: 앱이 수집 가능한 개인식별정보를 검토하여 프라이버시 행태 의사 결정을 해야 한다. 앱의 기본 기능에 필요하지 않은 개인 식별정보의 수집을 피하거나 제한해야 한다.
• - 플랫폼 제공자: 이용자들이 앱을 다운로드하기 전에 충분히 검토할 수 있도록 플랫폼사가 앱의 개인정보 보호정책에 대한 접근성을 제공해야 한다.
• - 모바일 광고 네트워크: 개인정보 보호정책을 수립하여 앱 개발자들에게 제공해야 하며, 기기 식별정보의 이용을 지양해야 한다.
• - OS 개발자: 사용자가 앱에서 접근 가능한 데이터와 디바이스 기능을 제한할 수 있는 개인정보 설정 기능을 개발해야 한다.

• 모바일 앱 개발자: 보안과 함께 시작(Mobile App Developers: start with security)[10]

FTC에서는 모바일 앱 개발자에 초점을 맞춰 보안성을 확보하고 프라이버시를 보호하기 위한 권고안을 제공했다.

• - 모바일 앱의 복잡도, 성격, 서버와의 통신 여부 등 다양한 환경에 따라 적절한 보안 방식을 적용해야 하며, 환경에 대한 분석을 통해 적정한 데이터 보안을 추구해야 한다.
• - 모바일 플랫폼의 SDK를 맹신하고 서두르면 보안위협에 노출될 가능성이 있다. 그리고 사용자가 증가할수록 보안에 대한 필요성도 증가하며, 사용자는 취약 WIFI 접속 등 로우 테크 위협에 취약하다. 그러므로 모바일 앱 개발자는 개발을 시작하기 전 에코 시스템을 면밀히 검도해야 한다.
• - 보안에 대한 책임자를 지정해야 하며, 수집/보관하는 데이터에 대한 면밀한 관리가 필요하다. 그리고 인증 정보를 안전하게 생성해야 하고 민감한 정보를 전송할 때는 SSL/TLS 등의 보안 프로토콜을 적용해야 한다.

4.1 시스템 구조 설계

이 장에서는 모바일 기기 상에서 사용자가 자신의 프라이버시를 보호하기 위해 정책을 스스로 설정하고, 설정된 정책을 실시간으로 집행하는 시스템을 제안한다. 제안 시스템은, 비록 설치시에 이미 권한이 승인되었어도, 모바일 앱이 권한을 필요로 하는 기능을 요청했을 때 사용자가 설정한 정책에 위배되는지 지속적으로 검사하게 된다. 또한 제안 시스템은 모바일 앱의 행위를 지속적으로 모니터링해서 설정된 정책에 위반되는 행위를 할 때 사용자에게 경고를 하는 기능도 제공한다. 제안 시스템의 전반적인 구조는 그림 2와 같다.

Fig. 2.

Architecture of a mobile privacy protection system

모바일 앱은 설치 시에 특정 권한을 요청하고 사용자에게 승인받지만, 이 권한을 사용할 때 사용자의 정책과 일치하지 않는 경우가 자주 발생한다. 예를 들어, 한 앱이 사용자의 위치정보를 획득할 수 있는 권한을 가지고 동작중이라고 하더라도, 만약 사용자가 특정 시간대에 자신의 위치정보를 제공하지 않기로 정책을 설정했다면, 이 앱은 정책에 따라 위치정보를 얻을 수 없게 된다. 이처럼 유연하게 설정된 프라이버시 정책에 맞춰 모바일 앱의 요청에 대해 정책을 검사하고 승인/거부 결정을 내리는 시스템의 주요 흐름은 다음과 같다.

• 1. 사용자는 PAP를 통해 자신이 원하는 프라이버시 보호 정책을 설정한다. PAP는 정책을 저장소에 저장한다.
• 2. 모바일 앱이 특정 권한을 필요로 하는 기능을 요청하면, PEP는 이 요청을 가로채서 PDP에 전달한다.
• 3. PDP는 정책 저장소로부터 설정된 정책을 가져와서 앱의 요청이 정책을 위반하는지 판단한 후 그 결과 승인/거부를 PEP에게 전달한다.
• 4. PEP는 결과에 따라 앱이 요청한 기능을 제공하게 하거나 혹은 제공하지 않게 된다.

그리고 때로는 권한의 범위가 너무 커서 세밀하게 설정된 정책에 맞춰 검사하기 어렵거나 모바일 앱이 별도의 수단으로 정책에 위배되는 행위를 수행하는 경우도 가능하다. 예를 들어, 사용자는 A라는 특정 파일이 외부에 유출되는 것을 막는 정책을 설정했다고 하자. 모바일 앱의 권한이 각각의 파일 단위로 설정되지 않기 때문에 위의 검사 방식으로는 정책을 집행하기 어려운 부분이 있다. 제안 시스템에서는 이를 보완하기 위해 모바일 기기가 외부와 연결되는 접점에서의 활동을 실시간으로 모니터링하고 모바일 앱이 정책을 위배하는 행위를 수행할 경우 사용자에게 경고를 하는 모듈을 추가했으며, 다음의 방식으로 동작한다.

• 1. 모니터링 모듈은 정책 저장소로부터 설정된 정책을 가져온다.
• 2. 사용자의 개인정보를 외부로 유출할 때 사용될 수 있는 통로인 네트워크, USB 포트를 통한 통신, 그리고 SMS/MMS 기반 통신 환경에서 전송되는 데이터를 실시간으로 검사한다.
• 3. 설정된 정책에 위배해서 전송되는 데이터가 발견되면, 이 모듈은 즉시 사용자에게 경고 메시지를 전송한다.

4.2 시스템 구현

앞서 4.1장에서 제안된 시스템 설계를 바탕으로 안드로이드 플랫폼에 시스템의 프로토타입을 구현했다. 각 구성요소 별로 자세한 구현 방식에 대한 설명은 다음과 같다.

• PEP와 PDP 구현

모바일 앱의 요청을 가로채서 정책을 집행하는 PEP와 정책에 맞춰 요청을 허가/거부를 결정하는 PDP를 구현하기 위해 그림 3과 같이 안드로이드 플랫폼의 코드를 수정했다. 기존의 안드로이드에서 모바일 앱의 요청에 대해 권한을 확인하는 과정은 PackageManagerService 내의 checkUidPermission() 메소드에서 수행된다. PEP의 구현을 위해 이 메소드를 수정했으며, 기존의 확인 과정에 추가적으로 PDP의 구현물인 PrivacyManager로 요청을 연결하고 그 결과에 따라 요청의 승인/거부 결과를 리턴한다.

Fig. 3.

PEP and PDP operation in android platform

또한 PDP의 역할을 수행하기 위해 별도의 PrivacyManager를 구현했으며, 이 클래스는 요청 권한의 종류, 앱의 UID등 모바일 앱의 요청 정보를 PEP로부터 전달받는다. 그리고 정책 저장소로부터 설정된 정책을 받아서 요청 정보와 정책에 대한 비교, 검사를 통해 요청의 승인/거부를 결정한다.

• PAP 구현

PAP는 사용자가 자신의 프라이버시 정책을 설정할 수 있도록 관리하고, 설정된 정책을 다른 개체들에게 전달하는 역할을 수행한다.

이를 위해 그림 4와 같이 모바일 앱의 형태로 PAP를 구현했으며, 사용자는 앱을 실행한 후 원하는 프라이버시 정책을 설정할 수 있게 된다. 그리고 정책은 JSON 형태로 표현되며, 설정된 정책은 정책 저장소에 저장되어 PEP와 PDP 등에게 공유된다.

Fig. 4.

Android app for the role of PAP

• 모니터링 모듈 구현

프라이버시 정책에 위배되는 정보가 외부에 유출되는 것을 방지하기 위해 모니터링 모듈은 실시간으로 모바일 기기를 통한 네트워크 활동, USB 포트기반 활동, SMS 기반 데이터 전송 활동을 감시해야 한다. 네트워크 활동 모니터링은 안드로이드용 libpcap을 이용해 전송 패킷을 가로챈 후 분석을 통해 이루어지며, 그림 5는 특정 사이트로의 파일 업로드를 감지한 로그를 보여준다. USB 활동 모니터링은 안드로이드용 usbmon을 활용했으며, USB 포트 접속 장치의 정보와 전송 데이터의 확인이 가능하다. 그리고 SMS 활동 모니터링의 경우, 수신되는 SMS 메시지의 확인을 위해서는 인텐트 후킹 방식[11]을 사용했으며, 발신되는 SMS 메시지의 확인을 위해서는 ContentObserver를 활용했다.

Fig. 5.

An example log of detecting file upload

4.3 시스템 비교 분석

모바일 프라이버시에 대한 사용자의 관심이 매우 높아지고 있으며, 이를 반영해서 프라이버시 보호를 위한 다양한 앱들이 출시되어 사용되고 있다. 그 중국내에서 사용중인 대표적인 앱들에 대한 분석은 다음과 같다.