연말이 되면 각종 쇼핑 시즌이 찾아오며 스마트폰을 포함한 다양한 제품에 파격적인 할인 혜택이 쏟아집니다. 새 스마트폰 구매를 고민하고 있다면 잠시 멈추고 이 질문을 던져볼 필요가 있습니다. 가장 안전한 스마트폰 운영체제는 무엇일까요? 안드로이드인가요, 아니면 아이폰인가요?
2017년에는 새로운 아이폰 세대가 등장했고, 삼성 갤럭시 S8과 OnePlus 5 같은 훌륭한 안드로이드 기기들도 함께 출시되었습니다. 구매를 서두르기 전에 두 운영체제의 보안 수준을 꼼꼼히 비교해 보겠습니다.
스마트폰 보안의 핵심 요소
먼저 모든 스마트폰 운영체제가 반드시 갖춰야 할 핵심 보안 기능부터 살펴보겠습니다.
- 기기 전반에 대한 제어권: 불필요한 사전 설치 앱(블로트웨어) 삭제, 화면 잠금, PIN 및 비밀번호 설정
- 앱 스토어 보안: 앱 심사 과정과 앱 권한 관리
- 버그 및 취약점 대응: 보안 업데이트 제공 빈도
- 멀웨어·랜섬웨어 방지 능력
이제 안드로이드 8.0 오레오와 애플 iOS 11이 이 요소들을 얼마나 잘 충족하는지 하나씩 비교해 보겠습니다.
블로트웨어: 내 폰을 누가 지배하는가?
기기에 대한 완전한 통제권은 생각보다 기본적이면서도 중요한 문제입니다. 브랜드 스마트폰을 사용해 본 사람이라면 알겠지만, 현실은 다를 수 있습니다. 삭제할 수 없는 앱, 통제할 수 없는 업데이트, 추가적인 배터리·데이터 소모, 저장 공간 부족까지 — 블로트웨어는 골치 아픈 문제입니다.
iOS의 경우
iOS 11에는 여러 기본 앱이 사전 설치되어 있지만, 대부분은 직접 삭제할 수 있습니다. 더 큰 장점은 남겨두더라도 이들 앱이 모두 애플이 직접 개발하고 서명했다는 점입니다. 그만큼 신뢰할 수 있으며, 실제로 애플의 기본 앱들은 수년간 안정적으로 유지되어 왔습니다.
iOS에서 기본 앱을 삭제하는 방법은 간단합니다.
- 앱 아이콘을 길게 눌러 흔들림 모드로 진입합니다.
- 앱 아이콘 좌측 상단의 X를 누른 후 삭제를 선택합니다.
- 홈 버튼을 눌러 마무리합니다.
안드로이드의 경우
안드로이드는 상황이 완전히 다릅니다. 구글이 운영체제를 개발하지만, 수많은 제조사가 자신들만의 방식으로 OS를 탑재하기 때문입니다. 제조사마다 사전 설치 앱이 제각각이고, 그 수준도 때로 놀라울 정도입니다. 실제로 삼성 갤럭시 S8을 구매한 사용자는 Bixby 전용 버튼을 비활성화하는 것조차(루팅 없이) 수개월이 걸렸습니다.
삼성만의 문제도 아닙니다. 일부 미국 통신사는 결제 시스템으로 유입시키기 위해 사전 설치 앱을 적극 활용하며, 안드로이드의 사전 설치 앱 제거는 대체로 까다로운 작업입니다.
게다가 애플과 달리 안드로이드의 기본 앱은 대부분 기기 제조사가 개발하므로 통일된 관리 체계가 없습니다. 오래된 OS 버전을 실행하는 기기는 최신 기기와 다른 취약점을 지니며, 제조사들이 구형 기기 패치에 소극적인 경우가 많습니다. 그 결과 취약점은 기기별로 예측 불가능하게 나타납니다.
안드로이드 블로트웨어를 제거하고 싶다면 "[기기명] + remove bloatware" 등으로 검색해 기기별 방법을 찾아야 하며, 완전한 제거에는 대개 루트 권한이 필요합니다.
블로트웨어 평가 결과
iOS 승리. 기본 앱을 손쉽게 삭제할 수 있고, 폐쇄적인 iOS 생태계가 오픈소스 안드로이드보다 전반적으로 우수한 보안성을 제공합니다.
잠금 방식: PIN, 비밀번호, 생체 인식
스마트폰을 보호하는 첫걸음은 화면 잠금입니다. 두 운영체제 중 어느 쪽이 더 효과적일까요?
iOS의 경우
iOS 11의 가장 주목받은 신기능은 단연 Face ID입니다. 얼굴만으로 기기를 잠그고 해제할 수 있는 기술로, 발표 직후부터 보안 논란이 끊이지 않았습니다. 베트남 보안 연구팀 Bkav는 마스크만으로 Face ID를 속였다고 주장하기도 했습니다. 확인이 더 필요한 사례이긴 하지만, 정교한 공격이 가능하다는 점은 분명합니다.
Face ID 외에도 2013년 이후 출시된 아이폰에는 Touch ID(지문 인식)가 탑재되어 왔습니다. Touch ID는 iOS에서 가장 안전한 잠금 방식으로 평가받지만, 해커들의 우회 공격에 노출된 적도 있습니다. 다만 대부분의 해킹은 난이도가 높고 물리적 접근이 필요합니다. 참고로 전원 버튼을 빠르게 다섯 번 누르면 '긴급 모드'가 활성화되어 기기를 완전히 잠근 상태에서도 긴급 신고가 가능합니다.
생체 인식을 사용하지 않는 경우 강력한 암호를 설정할 수 있습니다. iOS 암호 옵션은 다음과 같습니다.
- 6자리 숫자 코드
- 4자리 숫자 코드
- 임의 길이의 사용자 지정 숫자 코드
- 임의 길이의 사용자 지정 영숫자 코드
또 하나 주목할 기능은 '데이터 지우기'입니다. 이 옵션을 켜면 암호 입력을 10회 실패 시 기기의 모든 데이터가 자동 삭제됩니다. 끄면 iTunes를 통한 복원이 필요합니다.
안드로이드의 경우
안드로이드가 iOS보다 먼저 얼굴 인식 잠금을 도입했지만, 비슷한 한계를 드러냈습니다. 갤럭시 S8의 얼굴 인식은 사진 한 장으로 속일 수 있었던 바 있습니다.
안드로이드의 보안 옵션은 기기에 따라 달라집니다. 필자의 S8에는 홍채 스캐너가 있지만 다른 제조사 기기에는 없을 수 있고, 지문 센서 역시 모든 기기에 탑재되는 것은 아닙니다. 안드로이드 8.0 사용자라면 대체로 다음 표준 잠금 옵션을 사용할 수 있습니다.
- 스와이프: 보호 기능 없음, 주머니 속 오작동만 방지
- 패턴: 낮은~중간 수준의 보호, 화면 잔상으로 추측 가능하며 크랙 프로그램도 존재
- PIN: 중간~높은 수준의 보호, 최대 16자리
- 비밀번호: 중간~높은 수준의 보호, 최대 16자 영숫자
가장 좋은 방법은 지문 인식과 PIN처럼 여러 보안 수단을 조합하는 것입니다. 하나가 뚫려도 백업이 있는 셈입니다.
오픈소스 특성은 안드로이드에게 축복이자 저주입니다. 안드로이드 패턴 잠금을 5번 이내로 해제하는 크랙 소프트웨어가 존재하고, 잠금 화면 자체를 우회하는 다양한 방법도 알려져 있습니다. 반면 무료 보안 앱이 풍부하고, Smart Lock을 활용하면 집 Wi-Fi 연결 시 자동 잠금 해제 같은 편의 기능도 누릴 수 있습니다.
단, 블로트웨어와 마찬가지로 안드로이드의 잠금 문제도 제조사 커스텀 버전과 직결됩니다. 순정 안드로이드는 안전한데도 제조사 수정 버전에서는 PIN·비밀번호 우회 취약점이 발견된 사례가 여러 차례 있습니다.
잠금 방식 평가 결과
접전이었지만 iOS 11이 근소하게 우위라고 판단됩니다. iOS는 글자 수 제한 없는 영숫자 비밀번호를 지원하기 때문입니다. 'martyr silent blind towing wolves cask herd' 같은 44자리 패스프레이즈를 만들면 무차별 대입(brute force) 공격으로 뚫기가 사실상 불가능합니다. 아래 xkcd 만화가 이 원리를 잘 보여줍니다.
물론 안드로이드도 긴 비밀번호를 지원하는 앱으로 보완할 수 있지만, 기본 기능에 포함되어 있지는 않습니다.
앱 스토어와 플레이 스토어 보안
애플 앱 스토어와 구글 플레이 스토어는 각각 iOS와 안드로이드 사용자가 앱을 받는 관문입니다. 최근 몇 년간 두 회사는 서로 배우며 보안 접근 방식이 비슷해졌지만, 보안 수준은 여전히 차이가 있습니다.
iOS: 앱 스토어
앱 스토어는 오랫동안 안드로이드보다 훨씬 안전하다고 평가받아 왔습니다. 애플이 iOS 앱 개발 과정을 엄격하게 통제하고, 심사 관문이 많아 심층적인 검토와 보안 점검이 이루어지기 때문입니다.
물론 앱 스토어가 보안 이슈와 완전히 무관한 것은 아닙니다. 2015년에는 XCodeGhost 멀웨어에 감염된 수백 개 앱이 삭제되었고, 그 이전에도 WireLurker, Masque Attack, AceDeceiver 등의 위협과 SSL 관련 문제가 있었습니다(모두 이미 수정됨). 또한 최근 Skycure의 보고서에 따르면 iOS 멀웨어가 분기별로 증가하는 추세입니다. 애플은 현재도 과대 광고 앱, 불필요한 코드 삽입 앱, 다운로드 후 광고를 주입하는 앱들을 지속적으로 정리하고 있습니다.
안드로이드: 플레이 스토어
구글 플레이 스토어의 멀웨어 문제는 심각한 수준입니다. 한 연구에 따르면 최대 420만 건 다운로드를 기록한 악성 앱도 발견되었습니다. Check Point의 보안 연구진은 구글이 악성 앱을 삭제해도 변종이 즉시 등장해 다운로드를 모았다고 지적했습니다.
최근 안드로이드 사용자는 Xavier, Judy, ExpensiveWall, Googlian, Godless, SonicSpy 같은 멀웨어와 맞서야 했습니다. 멀웨어 개발자에게 가장 큰 호재는 방치된 구형 안드로이드 기기가 널려 있다는 점입니다. 패치되지 않은 취약한 기기들은 멀웨어 개발자들에게 손쉬운 표적이 됩니다.
구글의 대응이 항상 신속했던 것은 아니지만, 2017년에는 멀웨어 확산을 막기 위한 여러 조치를 도입했습니다. 가장 큰 변화는 구글 플레이 프로텍트(Google Play Protect)입니다. 기기 스캔, 다운로드 전 앱 검증, 기기 위치 추적 등 다층적인 보안을 제공하는 앱 보안 솔루션입니다.
그럼에도 안드로이드는 언제나 위협에 노출됩니다. 윈도우 사용자가 잘 아듯이, 가장 널리 쓰이는 운영체제일수록 멀웨어의 주요 표적이 됩니다. 누구나 쉽게 안드로이드 앱을 개발할 수 있다는 점은 악용의 여지를 남기고, 플레이 프로텍트 역시 완벽하지 않습니다. 개발자들은 정상 앱 설치 후 일정 시간이 지난 뒤 악성 코드를 실행하거나, 설치 이후 악성 코드를 추가로 내려받게 하는 방식으로 검열을 피합니다.
앱 스토어 보안 평가 결과
여기서도 iOS의 명확한 승리. 애플은 앱 스토어를 멀웨어 없이 유지하기 위해 개발 과정을 통제하고 게시자를 면밀히 감시합니다. 구글도 안드로이드 사용자 보호에 진전을 이루고 있지만, 구형·취약 버전의 안드로이드 기기가 워낙 많아 이 전쟁은 계속될 수밖에 없습니다.
버그, 취약점, 업데이트 빈도
결론부터 말하면, iOS가 안드로이드보다 버그와 취약점이 적습니다. 업데이트 빈도는 다소 논쟁의 여지가 있습니다.
애플이 iOS를 업데이트하면 앱, 다이얼러, Siri 등 코어 전체가 함께 갱신됩니다. 기기 지원 기간도 상대적으로 깁니다. 다만 지원이 종료되면 사실상 끝장입니다. 구형 기기는 새로운 iOS 버전의 무게를 견디지 못하고 성능이 크게 저하되기 때문입니다.
반면 오래된 안드로이드 기기는 전체 업데이트를 받지 못해도, 구버전을 지원하는 방대한 앱 생태계 덕분에 계속 사용할 수 있습니다. 이것이 안드로이드의 큰 강점이자 전 세계적 인기의 이유이기도 합니다.
멀웨어·랜섬웨어 방지
마지막으로 운영체제 차원의 직접적인 위협 방어 능력을 살펴보겠습니다.
iOS의 경우
애플은 iOS 보안을 처음부터 체계적으로 설계했습니다. 앱과 운영체제 간 샌드박싱(sandboxing)이 뛰어나 코드의 소수 취약점조차 확산을 차단하며, iOS 사용자를 매우 안전하게 지킵니다. 애플은 2015년, 오히려 취약점을 유발하는 무용지물의 백신 앱들을 스토어에서 삭제하기도 했습니다.
모든 앱은 샌드박스로 격리되어 다른 앱의 파일에 접근하거나 기기에 허가 없이 변경을 가할 수 없습니다. iOS는 코드 서명, 런타임 프로세스 분석, 확장 기능 제한 등으로 앱 보안을 다층화합니다. 자세한 내용이 궁금하다면 애플의 iOS 보안 가이드(PDF)를 읽어볼 것을 추천합니다.
안드로이드의 경우
안드로이드 역시 높은 수준의 내장 보안 기능을 갖추고 있습니다. 안드로이드 애플리케이션 샌드박스가 앱 데이터와 코드 실행을 격리해 앱 간 데이터를 보호하고, iOS처럼 앱 간 임의 통신도 제한됩니다.
그러나 iOS와의 두 가지 큰 차이점이 있습니다. 첫째는 사용자 제어 방식의 앱 권한입니다. 악성 코드는 개별 앱의 권한을 악용해 시스템을 공격할 수 있습니다. 둘째는 앞서 언급한 안드로이드의 개방성입니다. 열린 생태계인 만큼 사용자가 접하는 멀웨어의 종류와 양이 훨씬 많습니다.
예를 들어 시만텍(Symantec) 보고서에 따르면 2014년부터 2016년 사이 신규 안드로이드 멀웨어 '패밀리(family)' 수는 줄었지만, 전체 '변종(variation)' 수는 증가했습니다.
멀웨어 방지 평가 결과
두 운영체제 모두 정교한 보안 레이어로 사용자를 보호합니다. 하지만 안드로이드의 개방성 때문에 사용자가 마주하는 멀웨어와 랜섬웨어의 양이 압도적으로 많습니다. 따라서 iOS가 더 나은 보호를 제공합니다.
추가 보안 기능
일부 사용자에게는 기본적인 기능이겠지만, 대다수에게는 고급 보안 옵션에 해당합니다.
전체 디스크 암호화
안드로이드와 iOS 모두 전체 디스크 암호화를 지원합니다. 특히 iOS는 암호를 설정하기만 하면 기본으로 디스크 암호화가 활성화됩니다. 미국 정부와 애플이 산버나디노 사건 아이폰을 두고 법정 공방을 벌였던 이유도 바로 이 강력한 암호화 때문이었습니다. iOS와 안드로이드의 디스크 암호화는 하드웨어와 연동되어 개인 키 추출이 극히 어렵습니다. 다만 과거 안드로이드 기기는 침해된 사례가 있으며, 잠재적 공격 경로도 더 넓습니다.
VPN 지원
두 운영체제 모두 강력한 VPN 지원을 내장하고 있습니다. 안드로이드는 운영체제와 직접 연동되는 커스터마이징 가능한 VPN 솔루션이 더 다양합니다.
탈착식 배터리
'진정한' 프라이버시를 위해 배터리를 분리해 기기 전원을 완전히 차단하는 사용자도 있습니다. iOS 기기는 밀폐 구조라 배터리에 접근할 수 없습니다. 이 부분이 중요하다면 제조사별로 배터리 탈착이 가능한 안드로이드 기기를 선택하는 것이 좋습니다.
그렇다면 승자는?
종합하면, iOS가 가장 안전한 모바일 운영체제입니다. 안드로이드 기기의 보안을 크게 끌어올리는 방법은 분명히 존재하지만, 개봉 즉시(out of the box) 기준으로는 iOS가 거의 모든 항목에서 안드로이드를 앞섭니다.
여러분은 보안 때문에 iOS를 고수하시나요? 아니면 안드로이드도 충분히 안전하다고 보시나요? 스마트폰에서 꼭 필요한 보안 기능은 무엇인지 댓글로 알려주세요!