애플과 삼성, 인도 정부의 최신 요구사항에 저항

인도 정부는 ‘인도 통신 보안 보장 요구사항’에 따라 스마트폰 보안 요구사항의 대규모 개편을 제안했습니다. 여기에는 국가의 방대한 스마트폰 시장에서 증가하는 온라인 사기 및 사이버 위협 속에서 사용자 데이터 보호를 강화하기 위한 것으로 여겨지는 83가지 보안 표준 패키지가 포함됩니다. 

애플과 삼성과 같은 기술 거대 기업들은 이 움직임에 반대하며, 이 패키지가 전례 없는 글로벌 기준이 부족하며 특히 소스 코드를 포함한 독점 세부 사항과 영업비밀을 노출시킬 수 있다고 주장합니다. 애플은 이를 치열하게 보호해 왔으며 과거 미국과 같은 국가들과의 공유에도 저항해 왔습니다. 

그러나 이 국가는 이러한 요구사항이 세계 두 번째로 큰 스마트폰 시장인 인도에서 사이버 보안을 강화하기 위한 나렌드라 모디 총리의 더 넓은 전략의 일부라고 주장합니다.

인도 정부, 휴대폰 제조업체에 요구사항 제시

아래는 목록 애플과 삼성과 같은 스마트폰 제조업체를 위해 인도가 제안하는 일부 보안 요구사항으로, 이는 기술 기업들로부터의 내부적 반발을 촉발했습니다.

• 소스 코드 공개: 제조업체가 테스트뿐만 아니라 정부 지정 연구소에 검토를 위해 독점 소스 코드를 제공하도록 의무화하며, 이는 공격자가 악용할 수 있는 전화 운영 체제의 취약점을 식별할 것으로 예상됩니다.
• 백그라운드 권한 제한: 전화가 비활성 상태일 때 앱이 카메라, 마이크 또는 위치 서비스에 접근하는 것을 제한하며, 이러한 권한이 활성화될 경우 지속적인 상태 표시줄 알림이 필요합니다. 
• 권한 검토 알림: 기기가 주기적으로 모든 앱 권한을 검토하도록 사용자를 안내하는 경고를 표시하며, 지속적인 알림을 요구합니다.
• 1년 로그 보관: 기기가 앱 설치 및 시스템 로그를 포함한 보안 감사 로그를 최대 12개월 동안 저장하도록 요구합니다.
• 정기적인 악성코드 스캔: 전화가 정기적으로 악성코드를 스캔하고 잠재적으로 해로운 애플리케이션을 식별해야 합니다.
• 프리설치 앱 삭제 옵션: 전화 운영 체제와 번들로 제공되는 앱 중 기본 전화 기능에 필수적인 것을 제외하고 삭제할 수 있는 옵션. 
• 주요 업데이트나 보안 패치를 출시하기 전에 정부 기관에 통지.
• 변조 감지 경고: 전화가 루팅되거나 ‘제일브레이크’되었을 때 감지하고 시정 조치를 권장하는 지속적인 경고 배너를 표시합니다.
• 롤백 방지 보호: 보안 다운그레이드를 방지하기 위해 제조업체가 공식적으로 서명했더라도 이전 소프트웨어 버전의 설치를 영구적으로 차단합니다.

기술 기업들의 요구사항에 대한 견해 

The 인도 정부 는 시민을 보호하기 위한 것이라고 주장하며 보안 요구사항을 방어했습니다. 이는 나렌드라 모디의 데이터 보안 추진과 일치하는 조치입니다. 그러나 삼성, 애플, 샤오미, 구글과 같은 주요 기업들은 이러한firm을 대표하는 인도 산업 그룹인 MAIT를 통해 특히 소스 코드 공유에 대해 반대를 표명했습니다. 

“이것은 비밀과 프라이버시로 인해 불가능합니다…”, 스마트폰 제조업체를 대표하는 그룹인 MAIT는 는 정부 제안에 대한 대응으로 작성된 기밀 문서에서. “EU, 북미, 호주, 아프리카의 주요 국가들은 이러한 요구사항을 의무화하지 않습니다.”

그들은 또한 제일브레이크된 전화를 감지하거나 변조를 방지하는 신뢰할 수 있는 방법이 없으며, 롤백 방지가 표준이 부족하고 많은 프리설치 앱이 중요한 시스템 구성 요소이므로 그대로 유지해야 한다고 주장합니다. 

직접적인 지식을 가진 소식통에 따르면 MAIT는 이 부서에 제안을 철회하도록 요청했습니다. 해당 기업의 문서들은 정기적인 악성코드 스캔이 전화 배터리를 크게 소모할 것이며,它们是 시정 조치여야 하는 소프트웨어 업데이트에 대해 정부 승인을 구하는 것이 “실용적이지 않다”고도 말합니다. 

정부가 기기에 최소 12개월 동안 보관하도록 요청한 전화 로그에 관하여, MAIT는 대부분의 기기가 이러한 로그를 저장할 용량이 부족하여 이행이 불가능한 요청이라고 주장합니다. 

MAIT가 제기한 점들에 대한 응답으로, IT 비서관 S. Krishnan은 업계의 합리적인 우려가 열린 마음으로 해결될 것이라고 주장하며, “그 이상을 읽기에는 너무 이르다”고 덧붙였습니다.

한편, 부대변인은 기술 기업들과 제안 사항에 대한 협의가 진행 중이라고 주장하며 추가적인 논평을 거부했습니다.