클립보드는 오늘날 어떤 OS에서도 보안 심사를 통과하지 못할 기능이다
Ctrl+C, Ctrl+v, Ctrl+cve: Bypassing Android's Clipboard Read Security Measures
Android의 클립보드 읽기 보안 조치를 우회하는 방법을 다룬 글이 Hacker News에서 화제다. 댓글에서는 클립보드가 과거에 만들어진 레거시 개념이라 지금 새로 등장했다면 어떤 기업의 프라이버시·보안 심사도 통과하지 못했을 것이라는 지적이 나온다. 한 개발자는 Android 10 이후 백그라운드 앱의 클립보드 이벤트 수신이 막히면서 자신의 사전 앱이 동작하지 않게 됐다고 토로했고, bpost 같은 앱이 실행 즉시 클립보드를 읽는 행태에 대한 불만도 이어졌다. GrapheneOS와 iOS는 이 권한을 사용자가 제어할 수 있다는 반응도 있었다.
만약 우리에게 클립보드가 없었고 오늘날 갑자기 발명되었다면, 그 어떤 대기업의 프라이버시나 보안 심사도 통과하지 못했을 것이다.
HN 토론
31- iloveyoutwo
GrapheneOS는 최근에 보안 붙여넣기 기능을 추가했습니다: https://grapheneos.org/features#secure-paste
- vintagedave
저는 Android를 사용하지 않아서 내장된 영상에서 무엇을 보고 있는지 잘 모르겠습니다. 화면 상단에 알림이 있어야 하는데 없는 건가요? 기사에서는 시스템 알림을 숨기는 두 가지 다른 알림을 사용한다고 암시하는 것 같았는데, 저는 아무것도 보이지 않네요.
- seszett
저는 앱이 클립보드를 검사할 수 있는지 여부를 제어할 수 없다는 점에 항상 짜증이 났습니다.
bpost 앱(벨기에 국영 우체국)은 열리자마자 클립보드를 즉시 읽는데, 저는 이 행동이 정말 싫습니다. 반면에 이 앱은 부트로더 잠금 해제, 루트 권한, "의심스러운" 앱 등이 감지되면 난리를 피웁니다.
결국 저는 이 앱을 은행 및 신분증 앱과 함께 피할 수 없는 것들이라서 구형 폰에 순정 OS로 격리시켜 두었습니다. 옆길로 샜지만, 제 짜증의 원래 원인은 바로 클립보드에 대한 제어 부족이었고, 그 작은 알림 덕분에 그걸 깨달았습니다.
- chinhodado
오래 전에 저는 개인 사용을 위한 사전 앱을 만들었는데, 단어가 클립보드에 복사되면(예: 전자책 리더 앱에서) 단어 정의를 보여주는 앱이었습니다. 사전 앱은 백그라운드에서 실행되다가 클립보드 이벤트가 발생할 때만 팝업을 표시했습니다.
그런데 Android 10 즈음에 보안을 강화하면서 백그라운드 앱은 더 이상 클립보드 이벤트를 받을 수 없게 되었습니다. 보안 관점에서는 타당하지만, 제 사전 앱은 완전히 망가졌습니다. 개발자로서 내 앱만이라도 우회할 수 있는 방법이 있었으면 좋겠습니다.
- streetfighter64
어떤 프로그램이든 클립보드를 읽을 수 있게 허용하는 것은 엄청난 실수라고 생각합니다. 이상적인 방식은 OS가 완전히 보호하고, 앱이 내용을 볼 수 있는 유일한 때는 사용자가 시작한 Ctrl+V 이벤트로 내용을 받을 때뿐이어야 합니다. 비기술적인 사용자들까지 포함해 대부분의 사용자가 이렇게 작동할 것이라고 기대한다고 확신합니다.