모바일보호 서비스 앱은 이름을 바꾸어야 한다

파견 근무지(사기업)에서 일을 하게 되면서 기업이 요청한 보안 프로그램 두 가지를 휴대폰에 설치하게 되었다. 이런 종류의 프로그램을 MDM(mobile device management) 솔루션이라 부른다. 이를 설치하고 작동시키면 회사 안에 있을 경우 카메라가 작동이 되지 않는다. 실제로는 더 깊숙한 수준에서 휴대폰을 제어하고 있고, 당연히 사용자의 동의를 거쳐서 설치를 하게 된다. 물론 그 동의 절차가 어떤 결과를 초래하는지 정확히 모르는 경우가 많다는 것이 문제이다.

설치된 두 가지의 프로그램은 엇비슷한 이름을 하고 있었다. 하나는 '모바일보안'이고 다른 하나는 '모바일보호 서비스(삼성전용)'이었다. 편의상 이를 각각 A와 B라 부르기로 한다. 앞의 것(A)은 사용자가 직접 제어할 수 있는 앱인데(실제로는 내 맘대로 작동시키는 것이 아니라 엄격한 위치 기반으로 움직임) 최소한 하루에 한 번을 건드려 주어야 해서 여간 불편한 것이 아니다. 설명하자면 상황은 이러하다. 아침에 출근하여 신분증을 인식기에 찍으면 찍으면 거의 즉각적으로 휴대폰의 보안 프로그램이 작동하여 카메라의 작동이 불가능해 진다. 그런데 퇴근을 하고 건물을 나깔 때에는 그렇지가 않다. 신분증을 찍어서 퇴근 상태로 만들면 일단 보안이 해제되지만, 계단이나 엘리베이터로 건물 내부를 통과하여 밖으로 나가자마자 그 짧은 시간 동안 휴대폰의 위치를 점검하여 다시 보안이 걸리는 것이다. 퇴근 후 건물을 빠져나와 불과 십 미터 정도밖에 가지 않았는데 휴대폰에서는 '보안이 적용되습니다'라는 알림 소리가 들린다. 그래서 회사에서 충분히 멀리 떨어진 곳까지 가거나 아예 집까지 와서 보안을 수동으로 해제해야 비로소 카메리를 쓸 수 있다.

만일 내가 좀 더 현명한 개발자였다면, 신분증을 인식기에 찍어서 퇴근 처리를 하고 난 뒤 5분이나 10분 쯤 지나서 자동으로 휴대폰의 현재 위치를 파악하여 회사에 있지 않음이 확인되면 보안을 해제하게 만들 것이다. 왜 매번 퇴근 후에 수작업으로 보안을 해제하게 만들었을까? 이렇게 함으로 인하여 유발되는 보안을 위협할 수 있는 다른 부작용이 발생할지는 모르겠으나, 개발자에게 개선을 요구해 볼 생각이다.

이 프로그램은 앞서 말했듯이 사용자가 직접 작동할 수 있지만, 더불어 설치하는 두번째 앱(B)은 '모바일보호 서비스'라는 애매모호한 이름을 갖고 있으면서 무소불의의 권력을 휘두른다. 설치된 프로그램 목록에서 이것을 볼 때마다 모바일용 V3와 같이 내 기기를 '보호'하는 프로그램으로 착각을 했었다. 앱 이름에서 풍기는 느낌이 딱 그러하지 않은가.

하지만 실상은 이렇다.

모바일 기기를 통한 정보 유출을 방지하기 위하여 기업/기관에서 요청하여 만들어진 프로그램으로서 해당 기업/기관(개발사 입장에서는 고객)에서 고용되어 일하거나 방문하는 사람의 모바일 기기에 강제적으로 설치하는 - 회사의 보안앱과 더불어 - 보안 프로그램.

이것이 정확한 설명이다. 그러나 정작 구글 플레이에서는 보면 프로그램에 대한 설명이 눈에 잘 뜨이지 않는 곳에 있으며 이마저도 충분하지 않다. 이 프로그램을 개발한 사람은 고객사에는 최선을 다하여 프로그램에 대한 정보를 제공하겠지만, 정작 이 프로그램을 강제로 설치해야만 하는 사람에게는 친절히 설명을 할 동기가 주어지지 않는다. 다음은 PC에서 구글 플레이를 접속하여 찾은 정보이다. 일반적인 앱이라면 구글 플레이에서 검색만 해도 이것이 무엇을 위한 앱인지 친절히 설명을 해 놓았을 것이다.

이 앱의 리뷰를 보면 설치 후 캡쳐 등이 되지 않아서 고생을 한 사람들의 불평이 하나 가득이다. 내가 보기에는 구글 플레이에서 앱의 이름만 보고서 보안에 도움이 되리라 생각하고 설치를 한 뒤 부작용을 겪는 것 같다. 위의 설명에서 이 앱은 '절대 단독으로 실행되어 동작될 수 없으며...;라 하였다. 그러면, A 앱이 먼저 설치되지 않은 상태에서는 모바일보호 서비스 앱(B)의 설치 또는 구동이 되지 않게 만들었다는 뜻인가? 불만이 섞인 리뷰를 보면 그렇지는 않은 것 같다. 이 앱의 원래 목적을 정확히 모르고 설치를 한 사람이 절대적으로 많은 것 같다는 뜻이다.

다시 말해서 A가 필요한 사람 - 정확히 말하자면 보안이 필요한 기업/기관에 고용관계 혹은 방문을 위해서 A를 설치하도록 요청받은 사람 - 이 아닌 경우에도 모바일보호 서비스(B)가 단독으로 설치가 되는 것 같고, 이런 상태에서 B를 설치하면 휴대폰 작동에 심각한 제한이 걸려서 고생을 하게 된다. A는 구글 플레이에서 검색이 되지 않는다. 고객사에서 배포하거나 다운로드 사이트를 알려주지 않으면 일반인은 이를 일부러 설치할 수 없다(설치할 이유도 없다). 그런데 구글 플레이에서 우연히 '모바일보호 서비스'라는 이름의 앱(B)을 발견하여 휴대폰의 보안에 도움이 될 것으로 오해하고 설치하면 그야말로 지옥을 맛보게 될 것이다.

혹은 MDM 솔루션이 설치된 휴대폰을 제대로 삭제하지 않고 중고로 판매한 경우 이를 구입한 사람은 생고생을 하게 된다. 웹을 검색해 보니 공장 초기화 정도로 해결이 되지 않는다고 한다. MDM 솔루션을 개발한 사람은 당연히 이렇게 만들었을 것이다.

따라서 모바일보호 서비스의 개발자인 지란지교시큐리티에서는 다음의 조치를 취해야 한다고 생각한다.

1. B앱의 명칭을 '모바일 보안' 등으로 바꾸어야 한다. 앗, 그러나 A앱이 이미 이 이름을 쓰고 있다. 어쨌든 일반 사용자가 단순히 휴대폰을 보호해주는 앱으로 오해햐여 설치하는 일이 없게 해야 한다.
2. A 프로그램을 먼저 깔지 않은 상태에서는 기술적으로 모바일보호 솔루션이 설치되지 않게 해야 한다. 어떤 일이 생길지 몰라서 다른 휴대폰으로 일부러 테스트를 할 수는 없었다.
3. 고객사가 아니라 구글 플레이를 통해 이 앱을 찾은 일반 사용자에게 충분한 정보를 제공해야 한다.
4. 정상적인 앱 제거 방법을 알려야 한다. 물론 보안이 필요한 기억/기관의 피고용자가 악의적으로 제거하기는 못하게 해야 하니 고민스러울 것이다.

구글 플레이의 앱 리뷰에 이러한 취지의 글을 남기기는 했는데 과연 수용될지는 모르겠다. 

이제는 필수품이나 다름이 없는 모바일 기기를 보안이 절실한 기업 입장에서는 어떻게 통제해야 될까? 개인의 권리는 또 어떻게 찾아야 할까? 정말 어려운 문제가 아닐 수 없다.