[4/23] 반드시 알고있어야할 “안드로이드보안” 팩트 6가지

안드로이드 보안은 ‘공포’를 불러오는 주제다.
지난주에도 바이퍼랫(ViperRat)과 데저트 스콜피온(Desrt Scorpion)이라는 끔직한 안드로이드 악성코드뉴스가 전세계 스마트폰 사용자들을 강타,
향후에도 안드로이드 보안과 관련된 충격적인 뉴스는 등장할것

하지만 안드로이드보안에 대한  ‘팩트’를 제대로 알면 덜 걱정하게될것, 그  6가지를 소개.

1. 안드로이드 악성코드가 스마트폰에 마법처럼 자동 설치되는 경우는 없다
대부분의 사람들은 악성코드를 전염병처럼 잘못생각한다. 몰래 침입해 은밀하게 피해를 초래하는  것은 아니다.

이런 경우는 불가능하다. 악성코드는 사용자가 수동으로 설치하고 관련된 접근 권한을 승인해야 스마트폰을 탈취한다
2. 안드로이드 악성코드가 설치된 경우에도 요주의 데이터에 액세스할 수 있는 상태가 될 확률은 아주 낮다.
안드로이드에는 각 앱을 장치의 다른 부분과 분리하고, 이 분리된 경계선 밖으로 나가지 못하도록 만드는 샌드박싱 기술이 도입이다.
안드로이드 보안 전문가에 따르면, 현재 활성 안드로이드 악성코드 중에는 광고 악용, 봇넷과 같은 동작과 부정 클릭 유발, SMS 스푸핑 등으로 부당 이익을 추구하는 악성코드가 절대 다수를 차지.
안드로이드 악성코드는 피해자의 일상에 침입하려는 ‘고급’ ID 도둑이 아닌, 통상 간접적으로 손쉬운 부당 이익 기회를 노리는 ‘저급’ 소매치기들의 영역
3. 안드로이드 보안은 여러 계층으로 구성되어 있다
사용하는 스마트폰에 최신 안드로이드 보안 패치가 적용되지 않을 수도 있다는 뉴스는 분명 걱정이 될 만하다. 매달 배포되는 안드로이드 보안 패치는 보안에 아주 중요한 역할을 하기 때문이다. 그러나 동시에 보안 패치는 안드로이드 보안의 일부에 불과하다. 그리고 단 하나의 계층만으로는 위급한 상황이 초래되지 않는 시스템이 안드로이드 시스템이다.대부분의 안드로이드 디바이스 보안은 앞서 설명한 샌드박싱, 플랫폼의 승인 시스템, 암호화 시스템, 베리파이드 부트(Verified Boot 시스템으로 구성되어 있다. 매년 운영체제 업데이트로 개선되는 보안 계층들이다. 2017년의 오레오와 현재의 안드로이드 P가 완벽한 사례다. 운영체제 업데이트가 정말 중요한 이유는 여기에 있다. 이들 보안 계층은 심각한 피해를 초래하는 대부분의 악성코드가 침입해 시스템을 감염시키기 어렵게 만든다.4. 사용자가 실제 안드로이드 악성코드를 만날 확률은 우스울 정도로 낮다
안드로이드 보안을 다룬 대부분의 뉴스는 위에서 설명한 다양한 보안 계층들, 보통 사람이 새로운 위협이 발생했을 때 실제 이에 직면하는 경우는 극소수에 불과하다는 점을 감안하지 않음

 구글의 2017년 데이터에 따르면 플레이 스토어에서 ‘위험을 초래할 수 있는 앱’을 다운로드 할 확률은 약 0.02%에 불과
 지난해 전세계 안드로이드 디바이스 중 이런 상황에 직면한 비율은 10분의 1도 안된다.

 지난 해 이런 ‘위험을 초래할 수 있는 앱’에 실제 영향을 받는 디바이스는 전체의 0.82%에 불과하다.

5. 비즈니스 때문에 안드로이드 악성코드에 대한 공포를 확산시킨다
새로운 안드로이드 보안 위협에 대한 뉴스나 정보를 접하면, 해당 위협에 대해 조사한 회사에 대해 검색해보기 바란다. 극히 예외적인 경우를 제외하고, 안드로이드용 보안 소프트웨어를 판매해 수익을 올리는 회사들이 대부분이다.

물론 이런 회사들의 주장은 모두 믿지 말라고 이야기 하는 것은 아니다. 맥락 뒤에 숨겨진 의도와 동기를 생각해 보라는 이야기이다. 이런 회사들은 안드로이드 보안에 대한 공포를 시장화하기 위해 노력한다. 사람들이 안드로이드 보안을 걱정해야 사업을 유지할 수 있기 때문이다.

6. ‘상식’이 안드로이드 보안에 아주 큰 도움을 준다
안드로이드 보안에 정말 큰 도움을 주는 것은 기본적인 ‘보안 위생’이다.
들어보지 못한 앱과 평판이 확실하지 않은 소스의 앱을 중심으로 앱을 다운로드 받기 전 앱에 대해 조사를 하고 리뷰를 읽어보라.

 앱이 요청하는 권한, 이런 권한이 타당한지 생각한다. 개발한 앱들이 어떤 앱들인지 알아보기 위해 개발자(개발사) 이름을 클릭한다.
확신이 없는 상태에서, 아무 웹사이트에서나 앱을 다운로드 받지 않도록한다.
뢰할 수 있는 앱만 다운로드 받아 사용하고, 의심이 드는 앱은 피한다.

[출처 컴퓨터월드]