Android 개인정보 보호 및 보안에 대한 업데이트를 확인해보세요

출처 - https://developers-kr.googleblog.com/2020/07/11-weeks-of-android-privacy-and-security.html

 

작성자:

Charmaine D’Silva (Android Privacy and Framework 제품 책임자)

Narayan Kamath (Android Privacy and Framework 엔지니어링 책임자)

Stephan Somogyi (Android Security 제품 책임자)

Sudhi Herle (Android Security 엔지니어링 책임자)

 

원문은 여기서 확인하실 수 있으며  블로그 리뷰에는 강사룡(Google)님이 참여해주셨습니다.  

개인정보 보호 및 보안은  Android 설계 핵심으로, 새로운 출시를 발표할 때마다 이 부분에 대한 투자를 늘리고 있습니다. Android 11은 이런 영역에서 계속 중요한 진전을 이루고 있으며, 이번 주에는 Android 개인정보 보호 및 보안에 대한 일련의 업데이트와 자료들을 공유할 예정입니다. 먼저 저희가 사용자 개인정보를 보호하고 플랫폼의 보안 수준을 더욱 높이기 위해 Android 11에서 변경한 가장 중요한 내용부터 먼저 몇 가지 빠르게 소개해드리겠습니다.

“All things privacy in Android 11”(Android 11의 개인정보 보호의 변화) 동영상에서 공유한 것처럼, 저희는 사용자들에게 민감한 권한에 대해 훨씬 더 많은 제어 권한을 부여하고 있습니다. 이번 출시 를 위해 개발하는 내내, 저희는 개발자 커뮤니티와 자주 심층적으로 논의하고 협력하면서 사용자 개인정보 보호를 강화하면서도 개발자에게 미치는 영향을 최소화하도록, 이런 기능을 균형 잡힌 방식으로 설계했습니다. 몇 가지 기능을 살펴보겠습니다.

 

일회용 권한: 저희는 Android 10에서 사용자가 앱이 사용 중일 때만 위치 정보에 접근할 수 있또록(포그라운드 액세스라고도 함) 제한하는 세분화된 위치 권한을 도입했습니다. 새로운 런타임 권한 옵션이 제공 되자, 사용자들은 사용 시간 중 50% 이상 동안 포그라운드 위치 정보 액세스만 허용하도록 선택했습니다. 이를 통해 저희는 사용자들이 권한을 더 세밀하게 제어하길  원한다는 사실을 분명히 알게 되었습니다. 그래서 Android 11에서는 사용자가 마이크, 카메라 또는 위치에 대해 그때 한 번만 앱에 액세스 권한을 줄 수 있게 해주는 일회용 권한을 도입했습니다. 앱 개발자는앱에 대해 일회용 권한이 작동하도록 하기 위해 따로 변경할 사항은 없고, 앱은 다음에 사용될 때 다시 권한을 요청할 수 있습니다. 

 

백그라운드 위치 정보: 저희는 Android 10에서 앱이 어떻게 정기적으로 이 민감한 데이터를 사용하고 있는지 알 수 있도록 백그라운드 위치 사용 알림 기능을 추가했습니다. 이 알림을 받은 사용자들은 75% 정도 위치 권한을 다운그레이드하거나 거부했습니다. 백그라운드 위치 정보를 요청하는 많은 앱들이 실제로는 앱이 보이는 상태에서만 위치 정보를 얻는 것과 동일한 사용자 경험을 제공하고 있습니다.

Android 11에서는 백그라운드 위치 정보를 얻기 위해서는 사용자가 런타임에 대화창 을 통해 부여하는 것 외에 더 단계를 거쳐야만 합니다. 앱에 백그라운드 위치가 필요한 경우 시스템은 앱이 포그라운드 위치를 먼저 물어보도록 할 것입니다. 그러면 앱이 별개의 권한 요청을 통해 백그라운드 위치에 대한 액세스 범위를 넓힐 수 있으며, 권한 부여를 완료하기 위해 시스템 설정 앱으로 넘어가게 됩니다.

지난 2월 저희는 정보의 오용 방지를 위해, Google Play 개발자들이 앱에서 백그라운드 위치에 액세스하려면 승인을 받아야 할 것이라고 발표한 바 있습니다. 개발자들이 적절한 변경 작업을 할 수 있도록 시간 여유를 더 드리고 있으며, 2021년까지는 기존 앱에 대해 이 정책을 적용하지 않을 것입니다. 이 동영상을 통해서 코드에서 가능한 백그라운드 위치 사용법을 확인할 수 있습니다.

 

권한 자동 재설정(Permissions auto-reset): 대부분의 사용자는 기기에 60개 이상의 앱을 다운로드해 설치하지만 정기적으로 사용되는 앱은 그중 1/3 정도에 불과한 경향이 있습니다. 사용자가 Android 11을 대상으로 하는 앱을 장기간 사용하지 않은 경우, 시스템은 앱에 부여된 모든 런타임 권한을 '자동 재설정'하고 사용자에게 알려줍니다. 차후 앱 사용 시 권한을 다시 요청할 수 있습니다. 권한을 유지해야 할 적법한 필요성이 있는 앱을 가지고 있는 경우, Settings에서 앱에 대해 이 기능을 OFF로 전환하라는 메시지를 사용자에게 표시할 수 있습니다.

 

데이터 액세스 감사 API(Data access auditing APIs): Android에서는 개발자가 민감한 데이터에 대한 액세스 권한이 주어졌다 하더라도 이를 제한할 것을 권장합니다. Android 11에서는 앱이 비공개 데이터와 보호되는 데이터를 사용하는 데 대해 더욱 투명성을 부여하는 새로운 API에 개발자가 접근할 수 있게 됩니다. 이런 API를 통해 시스템에서 개인정보 데이터에 대한 앱의 접근을 기록할 때 앱이 이를 추적할 수 있습니다.

 

범위 지정 저장소(Scoped Storage): 저희는 Android 10에서 외부 저장소에 대해 필터링된 시야를 제공하여 앱 내 파일 및 미디어 컬렉션에 접근할 수 있게 해주는 범위 지정 저장소를 도입했습니다. 이 변경 사항을 통해 사진, 동영상 및 음악 데이터를 읽을 수만 있도록 저장소 권한을 변경하고 앱 저장소 속성을 개선하는 등, 다양한 방식으로 공유 저장소에 대한 폭넓은 액세스를 제한함으로써 사용자 개인정보를 보호합니다.  Android 10 이후로 저희는 개발자들의 의견을 반영해 범위 지정 저장소의 도입을 도울 수 있는 다음과 같은 개선사항들을 추가했습니다. 1) 사용자 경험 향상을 위한 권한 부여 UI의 업데이트 2) 기존 라이브러리와의 호환성을 위한 미디어 파일에 대한 파일 경로를 통한 접근 추가, 3) 미디어 파일 수정을 위한 API 업데이트, 4) 폭넓은 파일 액세스를 필요로 하는 일부 케이스를 지원하기 위한 Manage External Storage 권한, 5) 외부 앱 디렉토리의 보호. Android 11에서는 API 레벨 30을 타겟으로 하는 모든 앱에 범위 지정 저장소가 필수 사항이 될 것입니다. 더 세부적인 사항은 관련 개발자 문서를 확인해 보세요.

 

Google Play 시스템 업데이트: Google Play 시스템 업데이트는 Android 10에서 Project Mainline의 일환으로 도입되었던 기능입니다. 시스템 업데이트의 주요 이점은 Android 내에서 플랫폼 서브시스템의 모듈성(modularity)과 세분성(granularity)을 늘려준다는 점이므로, 단말 제조업체의 전체 업데이트를 받지 않고도 핵심 OS 구성 요소를 업데이트할 수 있습니다. 올해 초, 저희는 Project Mainline 덕분에 미디어 디코딩 서브시스템에서 중요한 취약점을 재빨리 수정할 수 있었습니다. Android 11에서는 새로운 모듈이 추가되고, 기존 모듈의 보안 속성은 그대로 유지됩니다. 예를 들어, 암호화 기본 형식을 제공하는 Conscrypt는 Android 11에서도 FIPS 유효성 검사를 유지했습니다.

 

BiometricPrompt API: 개발자들은 이제 BiometricPrompt API를 사용해 앱에서 필요한 생체 인식 인증자 강도를 지정하여 앱의 민감한 부분을 잠금 해제하거나 액세스할 수 있습니다. 저희는 하위 버전 호환성을 보장하기 위해 Jetpack Biometric 라이브러리에 이 API를 추가할 계획이며 이 작업이 진행됨에 따라 계속 업데이트를 공유할 것입니다.

 

Identity Credential API: 이 API는 모바일 운전면허증, 주민등록증, 디지털 신분증과 같은 새로운 사용 사례를 가능하게 해줍니다. 저희 보안팀에서는 전통적인 물리적 신분증에 비해 사용자의 개인정보 보호를 강화하는 방식으로, 데이터에 대한 액세스를 안전하게 보호하고 제어하기 위한 보안 하드웨어를 사용하여 이 정보가 확실히 안전하게 저장되도록 이 API를 만들어 왔습니다. 저희는 다양한 정부 기관 및 업계 파트너들과 협력하여 Android 11이 이와 같은 디지털 우선 ID 환경에 대비하고 있습니다.

저희가 점점 더 개인정보 보호 및 보안 수준이 높아지는 플랫폼을 만드는 과정에서도 융통성을 발휘하고 소중한 의견을 을 전해 주셔서 감사합니다. Android 11 Beta 개발자 사이트에서 더 많은 기능에 대해 자세히 알아보실 수 있습니다. 또한 개인정보 보호 및 보안과 관련된 일반적인 모범 사례도 알아보실 수 있습니다.