iOS 보안 연구를 하려는 사람에게 아이폰은 역설적인 대상이다. 애플이 자사 기기를 '세계에서 가장 안전한 소비자용 모바일 기기'라고 내세울 만큼 보호 장치가 촘촘한 탓에, 숙련된 연구자조차 내부를 들여다보기가 어렵다. 취약점을 찾으려면 먼저 기기의 보안 기능을 우회해야 하는데, 이 과정 자체가 높은 진입 장벽이자 법적·기술적 부담이 된다. 애플이 운영하는 보안연구용 기기(Security Research Device, SRD) 프로그램은 바로 이 지점을 겨냥한다. 애플은 현재 2026년 10월 30일까지 이 프로그램의 지원 신청을 받고 있다.
SRD가 일반 아이폰과 다른 점
SRD는 '특수하게 퓨징(fused)된' 아이폰으로, 연구자가 보안 기능을 우회하지 않고도 iOS 보안 연구를 수행할 수 있도록 설계됐다. 핵심은 접근 권한이다. 일반 사용자가 만질 수 없는 영역에 합법적으로 들어갈 수 있다는 것이 이 기기의 존재 이유다. 셸(shell) 접근이 가능하고, 원하는 도구를 자유롭게 실행할 수 있으며, 엔타이틀먼트(entitlement)를 직접 선택하고 심지어 커널을 커스터마이즈하는 것까지 허용된다. 여기에 더해 소프트웨어 프리뷰, 보안 베타 프로젝트, SRD 연구자 커뮤니티, 그리고 취약점 발견을 돕는 전용 도구에 대한 접근 권한도 함께 제공된다.
연구 대상 범위도 비교적 넓다. 애플 페이(Apple Pay)와 서드파티 앱을 제외한 모든 iOS 및 아이폰 구성 요소가 SRD 프로그램의 연구 대상에 해당한다. 실무적으로 의미가 큰 부분은 보고 과정의 안전성이다. SRD를 통해 찾은 결과물은 iOS 보안의 안쪽 계층에 대한 접근 권한을 잃을 위험 없이 애플에 보고할 수 있다. 우회 연구가 늘 안고 있던 '내가 접근한 방식 자체가 문제가 되지 않을까' 하는 불확실성을 제도적으로 걷어낸 셈이다.
보상 체계와 연결된 구조
SRD로 발견한 취약점은 자동으로 애플 시큐리티 바운티(Apple Security Bounty)의 심사 대상이 된다. 특히 프리뷰 및 베타 소프트웨어 프로그램에 대해서는 보너스 보상까지 걸려 있다. 즉 기기 대여가 단순한 연구 편의 제공에 그치지 않고, 발견-보고-보상으로 이어지는 하나의 파이프라인으로 설계돼 있다는 뜻이다. 애플은 또한 SRD를 전혀 사용하지 않고 독자적으로 찾은 취약점이라도 보고를 환영한다고 밝히고 있으며, 제출된 모든 연구를 검토해 보상 자격이 있는 보고 건을 바운티 심사에 올린다.
다만 책임도 명확하게 부과된다. SRD를 사용해 취약점을 발견·테스트·검증·확인한 경우 이를 신속하게 애플에 보고해야 하며, 문제가 서드파티 코드에 있다면 해당 서드파티에도 알려야 한다. 연구의 목적이 결국 사용자 보호에 있다는 점을 전제로 한 의무 조항이다.
대여 조건과 제약
기기는 소유가 아니라 대여 형태로 제공된다. 지원이 승인되면 12개월 단위로 갱신 가능한 대여 방식으로 SRD를 받으며, 이 기간 동안에도 기기의 소유권은 애플에 있다. 용도 역시 엄격히 한정된다. SRD는 통제된 환경에서 보안 연구만을 위해 쓰여야 하고, 개인적 용도나 일상 휴대용으로 쓸 수 없으며, 참가자의 지정 장소를 항상 벗어나지 않아야 한다. 기기에 대한 접근과 사용은 애플이 승인한 사람으로만 제한된다. 매년 공급되는 SRD 수량도 제한적이라고 명시돼 있어, 신청이 곧 수령을 보장하지는 않는다.
지원은 애플 계정으로 로그인해 진행한다. 기업·대학 등 조직 단위로 등록하려면 해당 조직을 대표할 권한을 가진 사람이 신청해야 하고, SRD에 접근할 모든 구성원의 이름을 제출해야 한다. 승인될 경우 각 개인은 자신의 책임 사항을 개별적으로 확인·동의하는 절차를 거친다. 모든 참여는 신청서 심사를 전제로 한다.
국내 보안 연구자나 기업 보안팀 입장에서 이 프로그램은 두 가지 현실적 의미를 갖는다. 하나는 그동안 우회와 탈옥에 의존하던 iOS 연구를 공식 경로 위에서 수행할 수 있다는 점이고, 다른 하나는 기기가 기관 밖으로 나갈 수 없고 소유권도 넘어오지 않는 강한 통제 아래 놓인다는 점이다. 접근성과 통제가 맞교환되는 구조인 만큼, 조직 차원에서 보관 장소와 접근 권한 관리 체계를 먼저 정비해 둘 필요가 있다. 접수 마감인 2026년 10월 30일까지 시간이 많지 않은 점도 함께 고려할 대목이다.