보안환경 무시한 아이폰 OS 3.1, “사용자에 대한 배신”

지난 주, 운영체제에 존재하는 크지만 알려지지 않은 버그를 해결한 아이폰 OS 3.1의 업데이트로 인해 대부분의 아이폰과 모든 아이팟 터치는 기업의 기본적인 보호수단이라고 할 수 있는 익스체인지 2007 서버(Exchange 2007)와의 호환이 불가능하게 되었다. 익스체인지 2007은  온디바디스 데이터 암호화를 요구하는 보안기능을 갖고 있다.

달리 말해 애플은 기본적으로 묵시적으로든 명시적으로든 이 기기를 지원했던 기업과 자사의 아이폰 사용자를 기본적으로 배신한 셈이 되었다.

이 글을 읽는 독자들이 필자와 마찬가지였다면 아마도 지난 금요일 다른 맥 OS X 업데이트와 함께 아이폰 OS 3.1 업데이트를 실행했을 것이다. 또 필자처럼 여러분의 기기가 여러분 회사의 익스체인지 서버 2007에 동기화 할 수 없음을 알게 됐을 것이다.

일단 필자는 백 엔드에서 뭔가 변했다고 생각했다. 왜냐하면 .1x로 나가는 업데이트는 일종의 버그 수정이고 따라서 조심할만한 중대한 어떤 것이 있을 리가 없었다. 그러나 월요일 필자는 그 업데이트야말로 그 자체로 비난의 대상이었음을 알게 되었다.

필자가 맨 처음 “세상에, 이젠 책상에 붙어있지 않을 땐 이메일이나 일정 점검도 할 수 없군. 애플이 이 문제를 해결하는데 얼마나 걸릴지 궁금하군”이라는 반응이었다. 본지의 IT 부서는 애플의 OS 변경에 대처하기 위해 암호화 요건을 완화할 생각은 없다. 왜 그래야 하나?

그런 후 서서히 이해가 되었다. 아이폰은 2008년 7월 이후 그것이 온디바이스 암호화를 지원한다고 익스체인지 서버에 거짓으로 보고를 했던 것이다.

아이폰이 해온 거짓말

맞다. 수 천명의 사용자들은 자신들이 자기 회사의 보안을 손상시키는 것도 모른 채 자신의 아이폰이나 아이팟 터치를 통해 익스체인지 연결을 거쳐 이메일, 일정과 연락처에 접속하고 있다. 그동안 애플은 익스체인지의 지원에 박수를 보내면서 많은 기업에게 아이폰은 그들이 채택해야 할, 아니 적어도 너그럽게는 참고 봐줘야 할 기업급 디바이스라고 설득해왔다.

이제 애플이 기업에 안성맞춤인 제품으로 홍보하던 기기가 나중에 보니 심각한 보안 결함이 있었다는 것을 알고 나면, 과연 얼마나 많은 회사들이 다시 지원할 생각을 할까?

애플은 분명 일정 시점에서 그 결함에 대해 알고 있었다. 그렇지 않았다면 아이폰 OS 3.1 업데이트에서 그것을 수정했을 리가 없다. 더욱 심한 것은 사용자나 기업의 관심으로부터 심각한 결함을 숨겼을 뿐 아니라, 대부분의 기기와의 호환성을 깨뜨린 수정을 배포했다는 것을 알게 된 지금 얼마나 많은 사용자나 기업들이 애플을 신뢰할 수 있을 것인가 하는 점이다.

이제는 아이폰과 동일한 익스체인지 지원을 자랑하고 있는 맥 OS X 스노우 레오파드와의 관련성도 고려해보게 된다. 지난 주에 있었던 맥 OS X 10.6.1 업데이트를 기점으로 그것은 본지의 암호화를 요구하는 익스체인지 2007 서버와 여전히 동작하고 있다. 그러나 또 다른 것을 위한 암호화가 아닌 이상 앞으로 스노우 레오파드에 비슷한 고장이 있을지 누가 알겠는가?

아마 애플이 영구적은 아닐지라도 수 년간 자사의 기업 고객에 대한 명분은 후퇴하지 않을까 싶다.

애플이 스스로에게 끼친 근본적인 피해는 신뢰와 관계된다. IT 부서는 올해 초 아이폰 3GS를 제외하고 출시된 모든 암호화되지 않은 아이폰과 아이팟 터치가 그들의 보안 정책을 위반하지 않을 것임에 기뻐할 수도 있다. 그러나 IT 부서도 그러한 기기가 보안을 담보하지 않고 그들의 익스체인지 서버에 접속했다는 것을 알거나 갑작스럽게 익스체인지에 접속할 수 없게 된 아이폰 및 아이팟 터치 사용자 모두를 감당하는 문제에 대해서는 좋아하지 않을 것이다.

#######

문제 해결할 마땅한 옵션 없어

또 IT 부서 라면 해당 디바이스를 3GS 모델로 대체하거나 적어도 아이폰 사용자가 온디바이스 암호화를 요구하지 않고도 익스체인지에 접속할 수 있도록 보안 정책을 변경하라는 애플의 공식 제안을 기꺼이 따르지도 않을 것이다. 어떤 옵션도 실질적이지도 않고 둘 다 애플이 기업환경을 바라보는 시각에 대한 놀라울 정도의 순진함이나 오만함을 나타내고 있다.

아이폰 OS를 3.0으로 다운그레이드하라는 세 번째 옵션은 많은 사용자에겐 비현실적이다. 만약 운이 좋아 아이폰의 마지막 백업에 종전의 OS가 있다면 아이튠으로 가서 복귀를 클릭한다. 그렇지 않으면 3.0 기반의 백업 카피가 있어야 하거나 (타임머신을 실행한 OS X 사용자라면 뭐 그럴 가능성도 있을 것이다), BitTorrent 혹은 다른 수상한 사이트로부터 3.0 버전을 다운로드한 후 그 예전의 OS를 사용해 자신의 아이팟 터치나 아이폰을 복귀시켜야 한다. 백업했거나 다운로드했던 3.0 OS를 선택할 수 있도록 아이튠의 복귀 버튼을 맥 OS X에서는 옵션 클릭하거나 윈도우에서는 쉬프트 클릭해야 한다. 복귀가 완료된 후 최종 백업 이후에 이뤄진 변경사항을 반영하기 위해 일부 애플리케이션을 재설치하고 음악 파일을 업데이트해야 할 것이다. 백업이 없으면 기본적으로는 처음부터 다시 시작하게 된다. 다양한 블로그에서 읽은 것이었음에도 필자는 새로운 아이튠 9를 이용해 인가되지 않은 아이폰 OS 3.0을 필자의 아이팟 터치로 복귀할 수 있었다.  

필자의 익스체인지는 다시 접속이 되지만 이를 위해 필자는 해커가 되어야 했다. 그렇게 할 사람은 거의 없을 것이다. 또 많은 조직에서 3.0 OS로 다운그레이드하거나 3.1버전으로 업그레이드하지 않음으로써 그들의 보안 정책을 난도질하는 암호화되지 않은 기기에 의한 접근을 감수하기보단 익스체인지로부터 모든 아이폰과 아이팟 터치를 금지하기로 결정할 수도 있다.

아마도 IT 보안 우려사항을 합법적으로 충족시킬 유일한 선택으로 보이는 또 하나의 옵션은 바로 애플이 소프트웨어 암호화를 포함할 수 있도록 아이폰 OS를 향상시키는 것, 그래서 3GS 이전의 기기들이 익스체인지 2007에 그들은 온디바이스 암호화를 지원한다고 정직하게 알릴 수 있게 하는 것이다. 그러나 애플은 7월 출시된 3GS를 제외하고 Day 1 이후 그러한 암호화 시행을 회피해왔다. 필시 더 빠른 칩에서만 온디바이스 암호화가 가능한 이유가 있을 것이다. 또한 애플은 어떤 소프트웨어 암호화든 그것이 필요로 할 아이폰 OS에서 동시적 프로세스를 지원하지는 않을 것이라고 분명히 말해왔다.

애플은 암호화가 요건인 상황에서 3GS 이전의 모델이 익스체인지와 연동이 될 수 있도록 할 어떤 계획은 있는 것일까? 필자는 어제 애플 측에 그에 대한 답변을 요청했고, 애플의 대변인은 자신도 답을 알게 되면 필자에게 알려주겠노라고 알려왔다. 지금까지는 없는 것이다.

이 쓰린 배신감

필자는 필자의 아이팟 터치를 정말 좋아한다. 그러나 이 시점에서 또 다른 아이팟이나 아이폰을 사지는 않으려고 한다. 당장은 애플이 제대로 된 조치를 취할 것이라는 기대를 할 수가 없다. 만약 필자가 3GS나 향후에 암호화가 되는 아이팟 터치 모델을 구입한다면 또 어떤 험한 꼴을 겪게 될까?

그 애플리케이션이 재미있고 움직이는 중에도 웹으로 이동할 수 있어 유용하긴 하지만, 필자와 대부분의 기업 사용자가 얻는 주된 이점은 이메일과 일정에 접속할 수 있다는 점이다. 만약 이 디바이스가 실제 비즈니스 환경에서 그런 기능을 할 수 없는데도 일년 넘게 그런 기능을 아주 제대로 하는 것으로써 선전이 되고 있다면 그 기기는 수 백 달러를 들일 가치도, 필자의 한정된 주머니를 차지할 가치도 없는 것이다. 대신 팜 프리를 구입한다. 왜냐하면 팜 프리는 익스체인지와도 연동이 되고 필자가 이동 중 듣는 음악이라면 더 저가의 아이팟을 가져가면 된다.

필자는 아이폰에 IT 부서가 바라는 점들이 몇 가지 빠지긴 했지만 그래도 진중하게 고려해볼 것을 기업측에 권하면서 지금까지 몇 년 동안이나 아이폰을 고급 아이팟으로써 주창하며 후원을 아끼지 않았다. 이젠 그렇게 했던 점에 대해 난처함을 느낀다. 애플이 전문가급 관리 지원을 내세우지 않는데 신중했던 점을 감안해 애플 측의 미숙한 아이폰 관리 툴을 용인해왔다. 그러나 애플은 자사의 익스체인지 지원에 대해선 혼란만 잔뜩 일으켰다. 물론 애플이 기술적으로는 익스체인지를 지원하지만, 실세계에서 누구라도 기대할 수 있는 그런 방식은 아닌 것이다. 애플은 우리 모두 그들이 그렇게 했다고 생각하게 만든다. 그리곤 놀랍고 사려 깊지 못하며 위험천만한 방식으로 진실을 드러냈다.

그건 이중 배신이다. 그리고 슬프고 쓰라린 경험이다.

애플은 즉각적인 문제 시정을 위해 발 빠르게 대응해야 하며 기업 사용자에게 그들이 필요한 정보를 제시하고 그들이 응당 받아야 할 존중을 보여주어야 한다. editor@idg.co.kr