2012년 초 처음 출시되었을 때 윈도우 스토어는 혹독한 평가를 받았습니다. 앱 선택지가 빈약하고 사용성이 떨어졌으며, 스토어에 올라온 앱들은 데스크톱용 프로그램에 비해 기능 면에서 한참 뒤처져 있었습니다.
하지만 가장 큰 문제는 보안이었습니다. 그리고 지금도 여전히 남아 있는 문제이기도 합니다. 초기 윈도우 스토어에는 사기성 앱과 카피 제품들이 넘쳐났고, 무해해 보이는 앱 속에 악성코드가 숨어 있는 경우도 발견되었으며, 요구 권한 목록이 과도하게 길어 이용자의 경계심을 사기도 했습니다.
그렇다면 지금은 상황이 나아졌을까요? 과연 오늘날의 윈도우 스토어는 신뢰할 수 있고 안전한 서비스일까요, 아니면 여전히 문제가 남아 있을까요?
이번 글에서는 윈도우 스토어의 과거와 현재를 살펴보고, 다른 인기 앱 스토어들과 비교 분석해 보겠습니다.
과거의 윈도우 스토어: 가짜 앱이 득실거리던 시절
초기 윈도우 스토어는 사용자 경험이 매우 좋지 않았습니다. VLC 플레이어나 아이튠즈(iTunes)처럼 널리 알려진 소프트웨어를 검색하면 수천 개의 결과가 쏟아졌고, 그중 수백 개가 정품 앱의 로고, 설명, 스크린샷까지 그대로 베껴 놓은 것이었습니다.
당시 VLC 검색 결과가 어떤 모습이었는지 보면 실감할 수 있습니다.
애플의 아이튠즈라고 주장하는 두 개의 앱 스크린샷입니다.
컴퓨터에 익숙하지 않은 사용자라면 함정에 빠지기 쉬웠습니다.
특히 스토어에 공식 버전이 없는 경우 이런 수법은 더욱 효과적이었습니다. 예를 들어 VLC는 자체적으로 앱을 만들었기 때문에 정식 다운로드가 최상단에 노출되었지만, 애플은 아이튠즈의 윈도우 스토어 버전을 출시하지 않았기 때문에 검색 결과에 나오는 모든 목록이 가짜였습니다.
대개 앱이 진짜가 아니라는 것을 알아내는 유일한 방법은 작은 글씨로 된 세부 정보를 읽어보는 것이었는데, 심지어 그마저도 확실한 방법은 아니었습니다.
마이크로소프트가 이런 앱들을 스토어에 그대로 두었다는 것 자체가 문제였지만, 더 심각한 것은 수많은 사용자가 피해를 입었다는 점입니다. 가짜 앱은 거의 항상 다운로드 비용을 청구했고, 미화 10달러에 달하는 가격도 흔했습니다.
그렇다면 마이크로소프트는 왜 이런 불만에 그토록 느리게 대응했을까요? 냉소적인 시각으로는 회사가 모든 판매에서 일정 부분 수익을 가져갔기 때문이라는 의혹도 있습니다.
현재의 상황은 어떠한가?
다행히 상황은 크게 개선되었습니다. 마이크로소프트는 다양한 검증 장치를 도입했고, 신뢰할 수 있는 앱을 찾는 것이 그 어느 때보다 쉬워졌습니다.
예를 들어 스토어의 이용 약관이 한층 강화되었고, 다음과 같은 조항이 포함되어 있습니다.
보안 검사: 첫 번째 검사 단계에서는 앱 패키지에 바이러스와 악성코드가 있는지 확인합니다. 이 검사에 통과하지 못하면 최신 백신 소프트웨어로 개발 시스템을 점검한 후, 깨끗한 환경에서 앱 패키지를 다시 빌드해야 합니다.
가짜 앱 문제 역시 명시적으로 다루고 있습니다.
앱으로 실질적인 가치를 제공하세요. 스토어에서 앱을 다운로드할 만한 확실한 이유를 제공해야 합니다. 고객을 오도하지 마세요. 앱이 할 수 있는 기능이나 제공 주체 등에 대해 고객에게 잘못된 정보를 주어서는 안 됩니다. 고객, 시스템 또는 생태계를 속이려 하지 마세요. 평점 및 리뷰 조작, 신용카드 사기 등 어떤 종류의 사기 행위도 우리 스토어에는 허용되지 않습니다.
듣기에는 좋지만, 여전히 해결되지 않은 문제들이 남아 있습니다.
여전히 남아 있는 악성코드 문제
주목할 점은 2014년, 즉 가짜 앱 문제가 절정에 달했던 시기에도 악성코드 자체의 흔적은 발견되지 않았다는 사실입니다. 당시 말웨어바이츠(Malwarebytes)와 아바스트(Avast) 모두 스토어 내에서 악성코드가 포함된 앱을 찾지 못했다고 밝힌 바 있습니다.
하지만 일부 수상한 앱들은 분명히 악성코드 문제를 안고 있으며, 바이러스는 종종 앱 내부의 기만적인 메시지를 통해 전달됩니다.
대표적인 사례로 2016년 5월의 사건을 들 수 있습니다. 'Torrenty'라는 이름의 비트토렌트 클라이언트는 처음 실행되면 다음과 같은 화면을 보여주었습니다.
언뜻 보면 정상적으로 보이지만, 화면의 "업데이트 대기 중" 메시지는 앱 인터페이스의 일부가 아니었습니다. 실제로는 Setup.exe라는 프로그램을 즉시 다운로드하려는 웹 페이지로 연결되는 링크였고, ZDNet에 따르면 해당 파일은 24개의 서로 다른 백신 엔진에서 위험 파일로 탐지되었습니다.
1년 전에는 또 다른 사용자가 딸이 'Video + Subtitle DX'라는 앱을 다운로드했다고 호소하기도 했습니다. 이 앱은 검색 화면을 변경하고 운영체제 곳곳에 광고를 뿌린 뒤 원격 접속 프로그램까지 설치했습니다.
간단한 구글 검색만으로도 이와 유사한 사례를 수없이 찾아볼 수 있습니다.
디지털 서명이라는 방어 장치
윈도우 스토어의 몇 안 되는 장점 중 하나는 디지털 서명을 활용한다는 점입니다.
디지털 서명 덕분에 시스템은 사용자 PC에 어떤 앱이 설치되어 있는지, 그리고 그 핵심 특징이 무엇인지 파악할 수 있습니다.
앱의 코드가 악성코드에 의해 변조되면 해당 앱의 서명이 변경됩니다. 이를 감지한 윈도우는 앱 실행을 차단하고, 스토어에서 새로운 정상 버전을 다운로드해 복원하기까지 합니다.
물론 완벽한 방어는 아닙니다. 해커들은 우회로와 취약점을 찾아내는 것으로 악명이 높으니까요. 그래도 분명히 올바른 방향으로 나아간 한 걸음입니다.
다른 앱 스토어와의 비교
그렇다면 마이크로소프트의 윈도우 스토어는 가장 큰 경쟁자인 구글 플레이 스토어, 애플 앱 스토어, 우분투 앱스 디렉터리와 비교하면 어느 정도 수준일까요?
세 스토어의 보안 기능을 간단히 정리해 보았습니다.
애플 앱 스토어
애플의 앱 스토어는 보안 분야의 '골드 스탠더드'로 평가받습니다. 이론상으로는 완벽에 가깝습니다. 모든 앱은 샌드박스 환경에서 실행되어야 하고, 앱 간 통신은 애플이 사전 승인한 채널로만 가능하며, 전담 앱 심사팀도 운영하고 있습니다.
하지만 업계의 선구자조차 문제에서 완전히 자유롭지는 못합니다.
예를 들어 2016년 2월에는 중국 개발자가 사실상 제3자 앱 스토어 클라이언트인 앱을 업로드하는 데 성공한 사건이 있었습니다. 이 앱은 심사 담당자와 중국 외 IP 주소 사용자에게는 영어 학습 앱으로 보였지만, 중국 내에서는 프로비저닝 프로파일 설정 방법과 인기 앱의 수정판을 무료로 다운로드하는 방법을 안내해 주었습니다.
이런 허점이 조직적인 사이버 범죄에 악용될 수 있다는 것은 충분히 짐작할 수 있는 일입니다.
구글 플레이
구글 플레이 역시 과거에 여러 문제를 겪어왔습니다. 지금도 애플만큼 견고하지는 않지만, 꾸준히 개선되고 있습니다.
구글은 현재 모든 앱 개발자를 심사하고, 설치된 앱을 정기적으로 스캔하며, 모든 앱이 가상 샌드박스 안에서 실행되도록 요구한다고 밝히고 있습니다.
우분투 앱스 디렉터리
우분투 개발진은 마이크로소프트나 애플, 구글 같은 재력을 갖추지 못했지만, 그럼에도 스토어 보안을 위해 철저한 관리를 해내고 있습니다.
새로운 앱에 대한 심사 절차를 운영하고, 스토어의 모든 앱은 '컨파인먼트(confinement)' 환경에서 실행됩니다. 실제로 이는 앱이 특정 디렉터리에 대해서만 읽기/쓰기 권한을 가지며, 기기의 대부분 기능과 콘텐츠에 접근하려면 보안 정책 그룹을 명시적으로 선언해야 한다는 의미입니다.
과연 윈도우 스토어보다 나은가요, 못한가요? 판단은 독자 여러분의 몫입니다.
당신은 윈도우 앱 스토어를 신뢰하나요?
지금까지 윈도우 스토어를 이용하면서 어떤 경험을 하셨나요?
수상한 앱에 속아 피해를 입은 적이 있으신가요? 다운로드한 앱에서 악성코드를 발견한 적이 있으신가요? 아니면 최근의 개선 사항들을 고려할 때 스토어에 대한 평가가 지나치게 부정적이라고 생각하시나요?
여러분의 생각과 의견을 아래 댓글로 알려주세요.