EU 추진 디지털 ID 월렛…구글‧애플 독점 강화 지적

EU에서는 스마트폰 등 기기를 이용해 디지털 ID·주소·나이·자격 정보 등을 저장·관리하는 디지털 ID 월렛 도입을 추진하고 있다. 이런 디지털 ID 월렛이 EU가 비난해 온 구글이나 애플 같은 거대 테크 기업 독점을 오히려 강화하게 된다는 지적이 나왔다.

EU 디지털 ID 월렛은 EU 시민 속성 정보와 자격 정보를 저장·관리하고 온라인 및 대면에서의 안전하고 확실한 신분증명을 가능하게 하는 것이다. EU 시민은 디지털 ID 월렛을 이용해 정부 관련 서비스에 접근하거나 온라인에서 연령 확인을 할 수 있다고 되어 있다.

그런데 바흐 퓨처랩은 디지털 ID 월렛에 구글이나 애플 보안 서비스에 의존하고 있다는 문제가 있다고 지적했다. 구글 보안 서비스인 구글 플레이 인테그리티 API(Google Play Integrity API)를 예로 들어 구글 서비스에 의존하는 문제점을 설명하고 있다.

구글 플레이 인테그리티 API는 구글이 개발자에게 무료로 제공하는 소프트웨어다. 개발자는 이 API를 이용해 특정 앱이 정규 인증된 안드로이드 기기에서 작동하고 있는지 여부를 확인하고 모바일 기기 신뢰성을 검증할 수 있다. 이를 통해 봇에 의한 부정행위나 은행 앱에서의 사기 행위, 게임 앱에서의 치트 행위 등을 완화할 수 있다고 한다.

하지만 구글 플레이 인테그리티 API는 검증 과정에서 해당 기기가 구글 라이선스를 받은 안드로이드 버전을 실행하고 있는지도 확인하며 라이선스를 받지 않은 대체 OS를 잠재적 보안 위험으로 취급한다. 앱에 대해서도 구글 플레이 스토어를 통해 설치된 것인지 확인하고 있으며 사용자에게 구글 계정으로의 로그인을 요구하도록 설계되어 있다.

바흐 퓨처랩은 구글 플레이 인테그리티 API의 이런 동작이 대기업 독점을 방지하는 EU 디지털 시장법(DMA)에 위반된다고 지적했다. 또 안드로이드 하드웨어 어테스테이션 API(Hardware Attestation API)를 사용하면 구글 서비스 사용이나 정책 준수를 강제하지 않고도 하드웨어 기반 보안 검사를 제공할 수 있다고 밝혔다.

그럼에도 네덜란드와 이탈리아 디지털 ID 월렛 개발자는 구글 플레이 인테그리티 API를 구현하고 있다. 이 때문에 안드로이드의 대체 OS인 e/OS나 그래핀OS(GrapheneOS) 사용자는 디지털 ID 월렛에 접근할 수 없게 될 가능성이 있다고 한다.

바흐 퓨처랩은 디지털 ID 월렛에서 구글 플레이 인테그리티 API를 사용하는 게 개방성·포괄성·기술 주권이라는 가치관에 기반한 디지털 공공 인프라 구축을 목표로 하는 EU 측 야심과 모순되며 상호운용성이 중요한 디지털 ID 월렛의 규제에도 반한다고 지적했다. 디지털 ID 월렛은 중요한 공공 서비스에 접근하기 위한 공공 인프라라며 따라서 다양한 기기와 OS 간 상호운용성을 유지하고 벤더 종속으로부터 자유로워야 한다고 주장하고 있다.

디지털 ID 월렛에 관한 문제 일부는 월렛 설계의 거버넌스 부재에 있다고 한다. EU는 디지털 ID 월렛에 관한 아키텍처 참조 프레임워크를 제공하고 있으며 이 안에서 구글 플레이 인테그리티 API 사용을 의무화하고 있지는 않지만 권장하고 있다. 이 때문에 스위스 등 일부 국가에서는 하드웨어 어테스테이션 API를 사용하는 반면 네덜란드와 이탈리아는 구글 플레이 인테그리티 API를 사용하는 등 일관성이 결여된 상태가 되어 있다.

바흐 퓨처랩은 EU가 디지털 자율성을 진지하게 추구하려 한다면 아키텍처 참조 프레임워크에서 구글과 애플 인증을 완전히 배제하고 개방형 하드웨어 기반 인증 메커니즘을 의무화해야 한다며 스위스 같은 국가가 구글 플레이 인테그리티 사용이 정당화되지 않으며 다른 해결책이 존재한다는 걸 보여주고 있다고 밝혔다. 관련 내용은 이곳에서 확인할 수 있다.