폭스바겐, 보안 강한 그래핀OS 유저를 막았다

폭스바겐 차량 앱이 프라이버시 강화 안드로이드 OS인 그래핀OS(GrapheneOS) 사용자의 접속을 차단하기 시작했습니다. 아이러니한 점은 그래핀OS가 일반 안드로이드보다 보안이 더 뛰어남에도 불구하고 막혔다는 것입니다. 원인은 구글의 'Play Integrity API' 무결성 검증에 있습니다. 많은 앱이 이 API의 하드웨어 인증(attestation)을 맹신해, 구글 인증을 받지 않은 커스텀 ROM을 무조건 '위변조된 기기'로 간주합니다. 실제로는 잠금된 부트로더와 검증 부팅까지 갖춘 안전한 환경인데도 말이죠. 이는 개발자 입장에서 보안 정책을 손쉽게 외주화하면서 생기는 부작용으로, 정당한 사용자가 자기 차의 앱조차 못 쓰게 되는 결과를 낳습니다. 한국 개발자에게 주는 교훈은 명확합니다. 무결성 검증을 도입할 때 Play Integrity 결과를 절대적 기준으로 삼지 말고, 단계별(MEETS_BASIC/DEVICE/STRONG) 정책과 예외 처리를 설계해 정상 사용자를 배제하지 않도록 해야 합니다. 보안과 사용자 접근성의 균형이 핵심입니다.