열려버린 판도라의 상자, 루팅과 탈옥

PC에 버금가는 하드웨어 성능과 수십만 개에 이르는 유용한 앱으로 무궁무진한 활용도를 보여주고 있는 스마트폰. 그러나 스마트폰에는 통상적인 방법으로는 일반 사용자가 접근할 수 없는 영역이 있다. 보안상의 문제라거나, 불법 복제를 방지하기 위해 시스템을 보호하는 장치가 접근을 막고 있는 영역이다. 그러나 언제나 막는 자가 있으면 뚫으려는 자도 있는 법. 이미 스마트폰의 보안 장치는 해커들의 표적이 된지 오래다. 이제는 해커들이 제작한 프로그램을 이용해 누구나 어렵지 않게 스마트폰의 보안 장치를 뚫고 시스템에 접근할 수 있게 됐다. 이러한 일련의 행위를 우리는 ‘루팅’ 혹은 ‘탈옥’이라고 부른다.

스마트한 마법의 지팡이, 해킹

일반적으로 안드로이드폰은 루팅(Rooting)이라는 용어를 쓰고, 아이폰은 탈옥(Jailbreaking)이라고 표현하지만 기능적으로 큰 차이는 없다. 안드로이드의 기반이 되는 리눅스에서는 최상위 관리자 계정을 ‘루트’라고 지칭하며, 안드로이드를 해킹하는 목적이 관리자 계정을 얻기 위함이기 때문에 루팅이라고 부르게 됐다. 아이폰의 경우에는 애플의 폐쇄적인 시스템을 감옥이라 부르며, 이 감옥에서 탈출한다는 의미에서 탈옥이라는 용어를 사용하고 있다. 활용의 범위가 다르기는 하지만, 기본적으로 루팅이든 탈옥이든 제조사가 막아놓은 잠금장치를 해킹해 관리자 권한을 획득한다는 측면에서는 동일하다. 이렇게 얻은 관리자의 권한으로 스마트폰의 시스템을 자유롭게 조작할 수 있다는 점도 마찬가지.

▲해킹을 하면 슈퍼 안드로이드로 변신!

해킹은 시스템을 직접 건드리는 작업인 만큼 잘못 접근하면 스마트 단말기가 ‘벽돌’(주1)이 되어 못 쓰게 될 가능성도 있다. 그러나 이런 위험에도 불구하고 많은 사용자들이 해킹을 시도하는 이유는 얻을 수 있는 것이 그만큼 많기 때문이다. 우선 해킹을 통해 관리자 권한을 얻게 되면 사용자가 단말기의 모든 기능을 자유롭게 변경할 수 있다.

국내에 출시되는 안드로이드폰들은 레퍼런스를 제외하면 수십 종의 통신사 앱이 기본적으로 설치된 상태에서 출시된다. 실제 사용되는 앱은 50%에도 이르지 못하지만 삭제도 불가능해 쓸데없이 자리만 차지하는 경우가 많다. 그러나 루팅을 통해 관리자 권한을 획득하면 이러한 기본 앱들도 사용자가 자유롭게 삭제할 수 있게 된다. 물론, 통화 앱이나 통신과 관련된 필수 앱을 삭제하면 스마트폰을 사용할 수 없게 되는 문제가 발생하니 조심해야 한다. 아이폰의 경우에는 이러한 문제를 예방하기 위해 탈옥을 해도 기본 앱은 삭제할 수 없도록 하고 있다.

스마트폰을 꾸미기 좋아하는 사용자들에게도 해킹은 필수다. 안드로이드폰들은 루팅 없이도 테마를 변경할 수 있는 방법이 있긴 하지만 한계가 있으며, 아이폰은 폰트만 바꾸려고 해도 탈옥을 해야 한다. 해킹을 하면 폰트부터 아이콘 배치나 디자인 등을 자유롭게 꾸밀 수 있으며, UI까지 원하는 대로 바꾸는 것이 가능하다. 일부 사용자들이 불편함을 호소하고 있는 자판 역시 교체할 수 있다. 이외에도 공식적으로 지원하지 않는 OS 업그레이드를 사용자가 직접 적용할 수도 있고, 하드웨어 성능을 강제로 끌어올릴 수 있는 등 막강한 관리자의 권한을 한껏 사용해 볼 수 있다.

또한, 앱스토어를 통해서만 앱을 설치할 수 있는 iOS는 탈옥을 통해 이러한 제약에서 벗어날 수 있다. 사실상 많은 아이폰 사용자들이 불법 복제 앱을 사용하기 위해 탈옥을 시도하고 있는 실정이기도 하다.

▲ 프로세서 클럭수를 강제로 끌어올려 단말기의 성능을 높이는 것도
해킹으로 가능한 기능 중 하나

▲사실 고장 난 스마트폰은 벽돌로도 쓸모 없다

소비자의 정당한 ‘권리’

스마트폰 제조사들은 기본적으로 해킹을 인정하지 않고 있다. 사용자가 단말기를 해킹해 사용하는 자체가 불법은 아니지만, 그로 인해 발생할 수 있는 여러 문제들을 미연에 방지하기 위해서다. 스마트폰에 대해 잘 알고 해킹에 대한 충분한 지식을 갖고 있는 사람이라면 해킹으로 인한 문제가 발생해도 어느 정도 선에서는 직접 대처할 수 있다. 그러나 불행하게도 해킹을 시도하는 대부분의 사용자들은 그다지 전문적이지 않다. 실수로 중요한 시스템을 잘못 건드려 스마트폰이 벽돌이 되면 외부의 도움 없이 수리하기가 어렵다. 해킹으로 인한 피해자가 증가할 경우 제조사의 사후지원 체계에도 부하가 걸리기 마련이다. 특히 메인보드 등의 핵심 부품에 손상이 발생할 때에는 수리비용도 만만치 않다. 이 때문에 초기에만 하더라도 많은 제조사들이 해킹된 단말기에 대한 수리 자체를 거부했었지만, 최근에는 유상으로 수리를 해주고 있는 추세다.

일부 사용자들은 제조사에서 관리자 권한을 막아 놓는 행위에 대해 소비자의 권리를 침해한다고 주장한다. 그러나 넓은 관점에서 보면 안전장치를 모두 풀어버렸을 때 발생할 수 있는 위험이 더욱 큰 것이 사실이다. 작년 12월 한국저작권협회가 발표한 ‘스마트기기를 통한 저작권 침해 실태조사 및 대응방안 연구결과’에 따르면 전체 스마트폰 사용자 중 약 40%가 해킹에 대해 알고 있으며, 실제로 해킹을 시도해본 사용자는 10% 정도에 이르는 것으로 나타났다. 대다수의 스마트 단말기 사용자들은 해킹에 대해 모르거나, 알고 있더라도 관심이 없다는 뜻으로 해석할 수 있다. 결국 소수 사용자들의 주장대로 모든 권리를 사용자에게 부여했을 때, 오히려 관리자 권한에 대해 자세히 알지 못하는 많은 사용자들이 자신도 모르는 사이에 시스템을 훼손하거나 악성코드에 감염되는 등 위험에 노출될 가능성이 높은 것이다.

OS를 개발한 회사들의 입장은 어떨까? iOS와 단말기를 모두 직접 개발하고 있는 애플은 탈옥된 제품에 대해서는 사후 지원을 아예 거부하고 있다. 애플이 추구하고 있는 폐쇄적인 운영정책과 일맥상통하기 때문에 사용자들도 오히려 납득하는 묘한 상황이다. 그렇다면 안드로이드를 오픈소스로 제공하고 있는 구글은 어떤 반응을 보일까? 1년도 지난 일이지만, 영어권 매체에서 넥서스S가 루팅된 것과 관련해 안드로이드의 보안 취약성을 지적한 적이 있었다. 이에 대해 구글은 루트에 접근하는 행위가 사용자들이 만들어내는 변화의 시작이 되길 바란다며 오히려 긍정적인 반응을 나타냈었다. 이어 안드로이드에서 앱을 구동하는 구조의 안전성을 강조하고, 루팅을 악의적으로 보안 취약점에 이용하는 행위에 대한 우려를 표시하기는 했다. 그러면서도 제조사나 사업자가 개방성과 폐쇄성(보안)을 두고 사용자에게 강제로 선택하게 해서는 안 된다고 뜻을 분명히 밝히는 한편, 제조사와 사업자가 확고한 보안 체계를 갖추고 사용자에게 선택권을 주어야 한다고 덧붙였다.

사용자들에게는 자율적 선택권을 부여하고, 그로 인해 발생하는 문제점을 제조사와 사업자 등 기업이 나서서 대처해야 한다고 주장한 것이다. 물론 구글 역시 보안 취약점을 보완하기 위한 작업을 지속적으로 하고 있다. 개방정책을 표방하는 구글 입장에서는 사용자의 판단에 의한 루팅 자체를 부정할 수는 없겠지만, 그렇다고 권장할 수도 없는 노릇이다. 어쨌든 루팅에 의해 보안체계에 구멍이 뚫리는 것은 분명한 사실이니까.

▲ 해킹 방법 자체는 그리 어렵지 않다. ‘밀어서 해킹’

누구에게나 평등한 ‘관리자 권한’

▲ 악성코드에 감염된 안드로이드폰. 백신 앱으로 치료할 수 있다

해킹은 사용자에게 최고 관리자의 지위를 부여해 단말기 내에서 전지적 힘을 행사할 수 있게 해준다. 그런데 문제는 해킹으로 빗장을 풀어낸 안방 문의 출입 권한이 사용자에게만 주어지는 것이 아니라는데 있다. 만약 악성코드가 단말기에 침투할 경우 활짝 열린 문으로 손쉽게 시스템까지 접근할 수 있다는 의미가 된다. 실제로 스마트폰 시장이 커져가면서 악성코드와 바이러스 역시 급격하게 증가하는 추세로 해킹한 단말기의 사용자들은 보안에도 각별히 신경 써야 한다.

국내 대표 보안전문기업인 안철수연구소의 발표에 따르면, 지난 해 상반기에 발견된 안드로이드용 악성코드는 128개였다. 그러나 하반기에는 무려 2251개가 발견되면서 반년 사이에 약 17배 증가했다. 유형별로는 전화, 문자 발송 등으로 과금을 발생시키거나 원격조종 등을 목적으로 하는 트로이목마가 1637개, 개인정보를 빼내는 스파이웨어가 743개, 트로이목마와 스페이웨어의 특성을 모두 갖고 있는 악성코드가 147개에 이르는 것으로 알려졌다. 안드로이드용의 악성코드가 이처럼 빠르게 증가하고 있는 배경에는 앱을 비합법적으로 유통하고 있는 블랙마켓의 영향이 큰 것으로 분석된다. 악성코드의 유입 경로는 주로 앱을 통해 감염되며, 블랙마켓에서 유통되는 불법 복제된 앱에는 악성코드를 쉽게 숨길 수 있다.

iOS는 원칙적으로 악성코드로부터 안전하게 보호되어 있다. 루팅하지 않고도 블랙마켓을 이용할 수 있는 안드로이드와 달리, 탈옥하지 않은 iOS는 애플에 의해 철저하게 관리된 앱만을 사용할 수 있기 때문에 앱을 통한 악성코드 유입은 거의 불가능하다. 그러나 탈옥한 iOS는 안드로이드와 마찬가지로 불법 앱을 통해 악성코드에 감염될 수 있는 위험에 노출되어 있다. 더욱이 완벽한 보안을 강조하고 있는 애플은 정책상 백신 앱을 인정하지 않고 있어 해킹된 단말기에 악성코드가 침투했을 때에는 iOS쪽이 더욱 치명적일 수 있다. 안드로이드 용으로는 안철수연구소를 비롯해 국내외 보안전문기업들이 다양한 백신 앱을 선보이고 있다.

한편, 백신 앱 중에는 관리자 계정을 요구하는 것들도 있다. 보안을 위한 백신 앱이 오히려 보안에 취약한 루팅을 강요하는 모순된 모습이지만, 그럴만한 이유가 있다. 일부 악성코드들은 루팅되지 않은 단말기를 강제로 루팅해 시스템에 접근하기 때문이다. 이런 악성코드를 예방하는 가장 좋은 방법은 정상적인 경로를 통해서 앱을 설치하는 것이지만, 만약 부득이하게 의심스러운 앱을 사용하게 된다면 오히려 루팅된 상태에서 백신 앱 등을 동원해 보안을 강화하는 것도 하나의 방법이 될 수 있다.

사실 지금 당장으로는 악성코드로 발생할 수 있는 피해가 그리 크지 않다. 아직까지는 스마트 단말기들의 활용 범위가 한정적이라 빼낼 수 있는 정보 자체가 많지 않기 때문이다. 그러나 향후 스마트 단말기의 활용도가 더욱 높아져 PC에 버금가게 된다면 보다 다양하고 중요한 정보가 스마트 단말기에 축적될 가능성이 높고, 악성코드에 의한 정보유출이 큰 문제로 이어질 수도 있다.

▲ 오픈소스로 공개되어 있는 안드로이드는 그만큼 보안에 취약하다

생태계를 위협하는 불법복제

해킹으로 인한 피해는 여러 방향에서 나타날 수 있다. 보안 문제가 가장 시급하고 표면적으로도 중요한 문제 중 하나임에는 분명하지만, 장기적 안목에서 바라볼 때 더욱 중요한 것은 소프트웨어의 불법 복제 문제다. 앞서도 언급 했듯이 단말기 해킹 자체는 불법이 아니다. 정당한 대가를 지불하고 구입한 단말기를 어떻게 사용하든 그건 사용자 마음이기 때문이다. 국내에서는 이로 인한 법적 분쟁이 없었지만, 미국에서는 실제로 해킹이 불법이 아니라는 판례도 있다. 그러나 이렇게 해킹된 단말기로 불법 복제된 앱을 사용한다면 이는 명백한 불법행위가 된다.

불법 복제 앱의 폐해는 안드로이드폰과 아이폰의 앱 수익성을 비교해보면 극명하게 드러난다. 구글 안드로이드 마켓의 앱 수익은 애플 앱스토어의 7% 수준인 것으로 알려져 있다. 안드로이드 단말기에서는 루팅을 하지 않고도 불법 복제된 앱을 설치하고 사용할 수 있기 때문에 굳이 정식 마켓을 통해 구입할 필요가 없다. 이러한 시장 환경을 기반으로 불법 복제 앱이 유통되고 있는 블랙마켓이 성황을 이루고 있으며, 특히 내부 데이터를 마음대로 변경한 불법 개조 앱들도 버젓이 유통되고 있는 상황이다. 블랙마켓을 통한 불법 복제 앱의 무분별한 유통은 시장 점유율에서 iOS를 3배 이상 앞서고있는 안드로이드의 앱 수익성을 처참한 수준으로 떨어뜨렸다.

수익성이 악화된 시장에 제품을 공급하고 싶어 하는 판매자는 드물다. 실제로 구글 안드로이드 마켓으로 앱을 출시하려는 개발자들의 숫자가 크게 줄어들고 있으며, 반대로 수익성이 높은 애플 앱스토어에는 더 많은 개발자가 몰리는 부익부빈익빈 현상이 심화되고 있다. 결국 보다 못한 구글이 직접 안드로이드 마켓의 관리를 강화하려는 움직임을 보이고 있는 실정이다. 개발자들이 시장을 외면해 새로운 콘텐츠가 공급되지 않는다면 스마트폰 생태계의 근간이 되는 앱 마켓이 붕괴될 위험성이 있기 때문이다.

폐쇄적인 정책으로 불법 복제 앱의 유통을 막고 있는 애플의 iOS는 현재로서 앱 개발자들의 천국이라 할 수 있는 조건을 갖추고 있다. 한정된 모델의 단말기와 OS를 기반으로 한 최적화된 개발환경은 물론이고, 손쉽게 제품을 판매할 수 있는 글로벌 마켓 시스템을 갖추고 있는데다 안정적인 수익까지 기대할 수 있는 생태계가 조성되어 있기 때문이다. 그러나 탈옥을 통한 불법 복제 앱이 일반화 된다면 iOS의 생태계 역시 안드로이드 마켓과 같은 길을 걷게 될 것이다.

우리는 이미 불법 복제로 인해 콘텐츠 시장이 붕괴되는 모습을 너무도 많이 보아 왔다. 대표적으로 국내 패키지 게임 시장이 불법 복제로 무너져 버렸고, 영화, 음악, 만화 등 모든 문화 콘텐츠 산업에 그림자를 짙게 드리우고 있다. 급격히 성장하고 있는 앱 시장도 지금부터 대비하지 않는다면 향후 큰 위기에 직면할 수 있다.

▲ 앱 불법 복제의 온상인 블랙마켓

판도라의 상자에 남은 것

정당한 대가를 치르고 구입한 스마트폰을 해킹을 하느냐 마느냐는 전적으로 소비자에게 선택권이 있다. 그리고 해킹으로 인해 발생할 수 있는 문제에 대한 책임 역시 소비자가 져야 한다. 그렇다고 해킹이 마냥 전지전능한 것만도 아니다. 일부 앱의 경우에는 해킹된 단말기에서 실행이 안 되도록 개발됐다. 대표적으로 보안이 중요한 금융권 앱들이 이에 해당한다. 최근에는 스마트폰용 게임들 중 일부도 해킹된 단말기에서 플레이할 수 없도록 개발되고 있기도 하다. 이에 대해 일부 전문가들은 개발사에서 보안 시스템을 강화해 대응할 수 있는 부분도 사용자의 책임으로 떠넘겨 오히려 권리를 침해하고 있다고 지적하고 있다.

이제 와서 해킹을 완전히 막는다는 것은 사실상 불가능하다. 그렇다면 차라리 사용자에게 정당한 권리를 주는 것도 하나의 방법이 될 수 있다. 가령 원하는 사용자에 한해서 일정 수준까지의 권리를 사용자에게 부여해 주는 것도 가능할 것이다. 사실 가장 좋은 대응은 사용자들이 해킹을 하는 주된 목적을 제조사와 사업자가 직접 충족시켜 주는 것이다. 그러나 그들은 책임의 일부를 사용자에게 떠넘길 정도로 나태하기 때문에 너무 많은 것을 기대하기 어렵다.

제조사와 사업자 입장에서 보자면 해킹은 판도라의 상자와 같다. 제조사가 사업자와 협의를 통해 (자신들의 입장에서) 문제가 될 만한 것들을 상자에 꾹꾹 눌러 담아 튼튼한 자물쇠까지 채웠건만, 결국 호기심 왕성한 판도라(사용자)를 막을 수는 없었다. 한 번 열어버린 판도라의 상자는 다시 닫히지 않았듯이 이미 해킹은 부정할 수 없는 또 하나의 콘텐츠로 자리 잡아 가고 있다. 신화 속 판도라의 상자에는 마지막에 희망이 남아 있었다. 과연 스마트 단말기의 해킹은 어떠한 희망을 남겨 놓았을지, 앞으로의 시장에서 확인할 수 있을 것이다. 스마트폰을 사용하는 인구가 늘어갈수록, 그리고 사용자의 의식이 높아질수록 해킹은 더욱 매력적으로 다가올 것이 분명하니까.

▲ 은행 앱들은 해킹된 단말기에서 사용할 수 없도록 제한하고 있다

월간 앱스토리│석주원 기자

이상헌 기자 press@appstory.co.kr