애플 기기 없이 Find My를 쓴다고?
'FindMyWeb'이라는 오픈소스 프로젝트가 Codeberg에 공개됐어요. 애플의 '나의 찾기(Find My)'를 리버스 엔지니어링해서 웹에서 다룰 수 있게 하려는 프로젝트예요. 리버스 엔지니어링은 공식 문서 없이 동작을 분석해서 원리를 알아내는 작업을 말해요. 어떤 기능까지 지원하는지는 저장소 README에서 확인해 보세요. 이 글에서는 이런 프로젝트가 어떻게 가능한지에 집중해 볼게요. Find My의 구조를 알면 이 프로젝트가 왜 흥미로운지 자연스럽게 보이거든요.
Find My 오프라인 찾기의 원리
에어태그는 GPS도 없고 인터넷도 안 되는데 어떻게 위치를 알려줄까요? 비밀은 '주변을 지나가는 남의 아이폰'에 있어요. 전 세계에 깔린 애플 기기 수억 대를 거대한 센서 네트워크로 쓰는 거예요. 흐름은 이래요.
1. 에어태그(또는 잃어버린 기기)는 블루투스 저전력(BLE) 신호로 공개키를 계속 방송해요. 공개키는 누구나 잠글 수는 있지만 여는 열쇠는 주인만 가진 자물쇠라고 생각하면 돼요.
2. 근처를 지나던 아이폰이 이 신호를 받으면 자기 GPS 위치를 그 공개키로 암호화해서 애플 서버에 올려요.
3. 서버는 이 데이터를 공개키의 해시값을 이름표로 붙여서 저장해요. 해시값은 원본을 거꾸로 알아낼 수 없게 변환한 지문 같은 값이에요.
4. 주인의 기기는 해시값을 계산해서 서버에 '이 이름표가 붙은 리포트를 줘'라고 요청해요. 받은 데이터는 주인만 가진 개인키로 복호화해서 위치를 확인해요.
핵심은 애플 서버도 위치를 볼 수 없다는 점이에요. 서버에는 암호화된 덩어리만 쌓이고, 열쇠는 주인 기기에만 있으니까요. 게다가 방송하는 공개키는 일정 시간마다 바뀌어요. 그래서 같은 에어태그라도 신호만 보고 계속 따라가기는 어렵게 설계돼 있어요. 개인정보 보호를 꽤 정교하게 고민한 구조예요.
리버스 엔지니어링의 역사: OpenHaystack부터
이 구조가 자세히 알려진 건 독일 다름슈타트 공대 SEEMOO 연구팀 덕분이에요. 이 팀은 2021년 논문에서 Find My 프로토콜을 상세히 분석했고, 'OpenHaystack'이라는 도구도 공개했어요. OpenHaystack을 쓰면 ESP32나 micro:bit 같은 저렴한 보드로 '직접 만든 에어태그'를 만들어 애플 네트워크에 올라탈 수 있었어요. 직접 만든 키를 같은 형식으로 방송하면, 지나가는 아이폰들은 진짜 에어태그인지 따지지 않고 위치를 올려주거든요.
다만 초기에는 위치 리포트를 받아오려면 맥이 필요했어요. 애플 서버에 요청할 때 필요한 인증 정보를 맥에서 꺼내와야 했기 때문이에요. 이후 커뮤니티에서 맥 없이 인증 정보를 만드는 방법들이 나왔고, 리눅스 서버나 웹 같은 환경에서도 쓸 수 있게 됐어요. FindMyWeb 같은 프로젝트도 이 흐름의 연장선에 있어요.
그림자도 있어요
네트워크가 강력한 만큼 악용 가능성도 꾸준히 연구됐어요. 보안 업체 Positive Security는 'Send My'라는 실험에서 공개키 자리에 데이터를 실어 보냈어요. 인터넷이 안 되는 기기에서도 주변 아이폰을 거쳐 데이터를 빼낼 수 있다는 걸 보여준 거예요. 2025년에는 미국 조지메이슨대 연구진이 'nRootTag' 공격을 발표했어요. 일반 블루투스 기기를 사실상 에어태그처럼 만들어 추적할 수 있다는 내용이었어요.
더 현실적인 문제는 스토킹이에요. 작은 추적기를 남의 가방에 몰래 넣는 사건이 잇따르자 애플과 구글은 원치 않는 추적기를 감지하는 표준(DULT) 작업을 함께 진행했어요. 이제 iOS와 안드로이드 모두 낯선 추적기가 나와 함께 이동하면 경고를 띄워줘요. 구글도 2024년부터 안드로이드 기기 기반의 '내 기기 찾기' 네트워크를 운영하면서, 이 분야는 애플과 구글이 나눠 가진 판이 됐어요.
한국 개발자에게 주는 시사점
첫째, 프로토콜 설계 교과서로서 가치가 커요. 수억 대의 기기를 쓰면서도 서버가 위치를 모르게 만든 구조는 종단간 암호화와 프라이버시 설계를 대규모 서비스에 어떻게 녹이는지 잘 보여줘요. 위치 기반 서비스나 IoT를 다룬다면 SEEMOO 팀의 논문을 한 번 읽어보세요.
둘째, IoT 실험 소재로도 좋아요. ESP32 하나로 블루투스 광고 패킷을 다뤄보고 타원곡선 암호로 키를 만들어보면, 임베디드와 보안을 동시에 배울 수 있어요.
셋째, 법적·윤리적 선은 꼭 지키세요. 국내에서는 위치정보법에 따라 다른 사람의 위치 정보를 동의 없이 수집하면 처벌받을 수 있어요. 애플 네트워크를 비공식적으로 쓰는 건 애플 약관과 충돌할 수 있고, 애플이 언제든 막을 수 있어요. 그래서 상용 서비스의 기반으로 삼기엔 위험해요. 내 기기, 내 계정으로 학습이나 연구 목적으로만 써보는 게 좋아요.
마무리
한줄 정리: Find My는 남의 아이폰이 내 물건을 찾아주면서도 그 위치를 아무도 모르게 만든 정교한 암호 설계예요. FindMyWeb 같은 프로젝트는 그 구조를 직접 들여다볼 수 있는 창이고요.
여러분은 이런 크라우드소싱 네트워크가 편리함과 프라이버시 사이에서 균형을 잘 잡고 있다고 보시나요? 직접 만든 추적기를 애플 네트워크에 올리는 건 어디까지 괜찮다고 생각하세요?
🔗 출처: Hacker News