네덜란드 '이상주의' 은행 ASN, GrapheneOS 포함한 비구글 안드로이드 차단

내 (네덜란드) 은행 Rabobank도 GrapheneOS를 차단한다[0]. 그들에게 연락해봤는데, 늘 그렇듯 "보안이 매우 중요하다"는 말만 들었다. 논쟁은 완전히 무의미하다. 그들은 자기들이 무슨 말을 하는지 이해하지 못한다. Rabobank 앱은 몇 년 동안 업데이트를 받지 않은 안드로이드 폰에서도 잘 작동한다...

하지만 Aurora 스토어를 통하면 잘 작동한다 (Wero 포함)... 기분이 좀 불편하긴 하지만, Play 스토어와 일대일 연결이니 괜찮을 것이다... 이해가 안 되는 건 어떻게 그게 가능하냐는 것이다. 앱 자체는 설치 후에 검사를 하지 않는 것 같다? 내가 설계한다면 이렇게 하지 않을 텐데...

내 다른 은행인 bunq는 어떤 서비스에 대해 계속 징징대지만 그럼에도 정상적으로 작동한다 (Play 서비스에 내 "전화" 접근 권한을 줘야 하는데, 그게 무엇을 수반하는지 이해하지 못해서 거부한다). N26와 Trade Republic은 그냥 잘 작동한다.

Google Pay를 통한 무선 결제는 못 하지만, 그것조차 원하지 않는다. 그래서 Walt[1]를 정말 기대하고 있다. 그가 1년 안에 사용할 수 있게 하는 데 도움이 된다면 지금 당장 구독을 시작할 의향도 있다... 현재로선 Curve Pay[2]가 있는데, 그들은 자체 NFC 스택을 가지고 있다. Bunq도 예전에 그랬는데 (그들이 매우 프라이버시를 중시하던 시절) 끔찍한 Google Pay를 위해 그것을 버렸다.

[0] https://discuss.grapheneos.org/d/24630-rabobank-app-no-longe...

[1] https://walt.is/

[2] https://www.curve.com/

이 기회에 ING를 칭찬하고 싶다. 나는 꽤 최신 LineageOS가 설치된 오래된 태블릿을 가지고 있다. ROM은 루팅되어 있고 루트 계정이 필요한 앱들을 사용한다. 거의 유일한 용도가 은행 업무다. 내 메인 폰에는 은행 앱이 없다.

태블릿에 ING 앱을 설치했는데, 은행이 가진 유일한 문제는 사이버 보안이나 사기 피해 예방에 대한 온라인 교육을 받으라는 알림이 더 많이 온다는 것뿐이다. 몇 주마다 내 기기가 루팅되어 "잠재적으로 더 취약하다"는 동일한 알림을 받는데, "이해합니다"를 클릭하거나 "자세히 알아보기"를 클릭할 수 있다. 다른 문제는 없다. 어떤 것도 막지 않고, 업데이트를 강제하지도 않으며, 앱의 어떤 기능도 제한하지 않는다. 내 월급이 ING로 지급되지 않음에도 불구하고 ING는 내 주거래 은행이다. 영국 Monzo는 태블릿의 LineageOS에서 실행하는 것을 허용하지 않았고, Revolut은 태블릿에서는 아예 사용할 수 없다.

네덜란드에서는 재판매업자를 "적발"한 후 GrapheneOS 사용자들이 경찰의 표적이 되고 있다. 휴대폰 소유자들은 어떤 수사에도 연루되지 않았는데도 급습을 당했다. 휴대폰을 가지고 있다는 것만으로도 노크를 받기에 충분했다.

네덜란드 경찰이 그들의 휴대폰을 "해킹했다"고 한다.

네덜란드어로

https://archive.is/3wawb

그 스레드에서 EPI/Wero의 응답은 우려스럽다:

https://github.com/PrivSec-dev/banking-apps-compat-report/is...

이것이 다른 네덜란드 은행들도 따라하지 않기를 정말 바란다. 기술적인 측면의 문제를 이해할 수 있는 은행 직원과 실제로 연락하는 것은 이미 꽤 불가능하다. ABN Amro와 이 주제를 어떻게 꺼내야 할지조차 모르겠다.

몇 가지 세부 사항을 더 보태자면: 여러 사람이 ASN에 연락했지만, 그들은 대부분 Wero를 가리킨다. Play Integrity 검사는 nl.devolksbank.mobile.banking.security.data.wero.IntegrityRepository#requestIntegrityToken 메서드에서 수행된다. 이름으로 보아, 이것은 Wero의 SDK가 아니라 ASN 자체 코드인 것 같다. 누군가는 무결성 토큰이 ASN 자체 서버로 전송된다는 것도 발견했다: https://m.devolksbank.nl/bspc-payment-consent-administration... (De Volksbank는 ASN의 소유주다).

그들이 주장하는 것처럼 이것이 Wero에서 온 것이라면, Wero가 적용되는 국가에 사는 우리 유럽인들은 힘든 시간을 보낼 것 같다. 그렇긴 해도, 일부 네덜란드 은행들도 iDEAL에서 Wero로 마이그레이션했으면서 Play Integrity를 요구하지 않는다.

항상 이런 앱들을 설치하고 부정적인 리뷰를 남겨라, 특히 GrapheneOS 차단을 언급하라, 그럴 만한 그럴듯한 이유가 전혀 없다.

루팅된 기기와 부트로더 잠금 해제를 차단하는 것은 이해한다 (그것이 차단 근거가 되는 것에는 동의하지 않지만), 하지만 GrapheneOS는 누구에게도 가능한 변명을 남기지 않았다.

이것은 듀오폴리의 결과다. 플랫폼에 너무 많은 책임을 위임했기 때문에 더 쉽다. 결국 플랫폼에 더 많이 종속되고 소유자에게 더 많은 권력이 집중되는 악순환으로 이어진다.

우리는 최소한 세 번째 옵션이 필요하다[1].

[1] https://blog.ovalerio.net/archives/3359

나는 eOS가 설치된 Pixel 6를 가지고 있고 내 은행 앱이 여기서 작동해서 기쁘다. 만약 갑자기 작동을 멈춘다면, 나는 좀 곤란해질 것이다.

비슷한 일이 내 건강 보험에서도 일어났다. 독일은 건강 보험 카드를 없애고 디지털 신원으로 대체하는 쪽으로 나아가고 있다. 이를 관리하려면 의사에게서 NFC 기능을 사용하고, 보험 앱이나 웹사이트에 로그인하여 메시지, 문서 또는 기타 정보를 가져와야 하며, 앞으로는 새로운 인증 앱을 사용하여 본인 인증을 해야 한다. 문제는 내 보험사의 앱이 작동하지 않는다는 것이다! 분명히 어떤 "비표준 안드로이드" 때문일 것이다. 그들의 지원팀에 연락하는 것은 당연히 쓸모없다. 그들은 기술 지식이 없고 내가 심지어 더 없을 것이라고 가정하기 때문에 Q&A의 "앱 설치 방법" 단계를 그대로 반복할 뿐이다. 내게 남은 것은 ID 앱이 내 폰에서 작동하는 다른 보험사로 갈아타는 것뿐이다.

이 모든 것이 매우 짜증나지만, 특히 은행과 보험이 매우 안전해야 한다는 점은 이해한다. 그리고 그들은 난독화를 통해 이를 달성하려고 한다. 이에 대해 오픈 코드가 더 안전하다고 주장할 수도 있다. 누구나 검사할 수 있으니까. 하지만 이는 양방향으로 작용한다, 좋은 의도와 나쁜 의도 모두에. 그리고 나쁜 의도 뒤에는 좋은 의도보다 훨씬 더 많은 자원과 에너지가 있지 않은가?

내 은행 앱은 GrapheneOS에서 작동하지만 play integrity를 확인하고 생체 인식을 비활성화하며 한도를 낮춘다.

다행히도 나는 그것을 강제로 사용하지 않아도 된다. 은행에 로그인하고 정부 디지털 서명 앱으로 거래를 승인할 수 있기 때문이다. 그 앱은 하드웨어 증명을 사용하고 GOS를 완전히 안전하다고 간주한다.

웃긴 건, 은행 앱은 메모리 태깅이 활성화되면 실행 시 충돌한다는 것이다. 즉 그들은 메모리 버그를 가지고 있다.