독일 eIDAS 디지털 지갑, 결국 Apple/Google 계정 없으면 못 씀

• 독일 정부의 EUDI 지갑(eIDAS 기반 디지털 신원 지갑) 모바일 보안 검증(MDVM) 아키텍처 문서가 공개됨 — 핵심 이슈는 이 시스템이 결국 Apple이나 Google 계정 없이는 작동하지 않는다는 것

  • 정부 차원의 디지털 신원 시스템인데 빅테크 플랫폼에 종속되는 구조라 논란

• MDVM 시스템이 하는 일은 4가지

  • 기기/앱 보안 검증 — 플랫폼 증명(attestation)과 RASP(Runtime Application Self-Protection) 활용
  • 기기 분류 — 모델, OS 버전, 패치 레벨, 하드웨어 키 저장소 유형 식별
  • 취약점 검증 — OS 및 키 저장소 관련 취약점 정보 최신 유지
  • 사용 결정 — 보안이 부족한 기기에서 RWSCD 키 사용 자체를 차단

Android 보안 시그널

• Key Attestation으로 하드웨어 레벨에서 기기 모델, OS 버전, 부트로더 상태까지 검증
  • 클로닝 시도도 탐지 가능
• Play Integrity Verdict로 기기 무결성 + 앱 인증 + 환경 리스크 분석
  • "최근 12개월 이내 보안 패치" 정책 강제 가능
• RASP로 후킹, 리패키징, 탬퍼링, 루팅, 에뮬레이션을 실시간으로 연속 모니터링

iOS 보안 시그널

• App Attest로 SecureEnclave에서 생성된 키라는 걸 증명

  • 단조 증가 카운터(monotonic counter)로 리플레이 공격과 프록시 attestation 탐지

• RASP는 탈옥, 앱 변조, 디버깅, 에뮬레이션 감지 — Android와 동일한 수준으로 적용

• 흥미로운 건 문서 자체가 한계를 인정한다는 점

  • iOS 일부 시그널에 대해 "추가로 어떤 위협을 완화할 수 있는지 문서만으로는 불분명하다"고 직접 적어놓음
  • 플랫폼 보안 평가의 본질적 불확실성을 설계자들이 의식하고 있다는 뜻

---

기술 맥락

• eIDAS는 EU 전체의 전자신원 및 신뢰 서비스 규정인데, 각 회원국이 자체 구현을 해야 해요. 독일이 만든 EUDI 지갑은 그 구현체 중 하나인 거예요. 한국의 모바일 신분증이나 DID(분산 신원) 프로젝트와 비슷한 맥락이라고 보면 돼요

• 플랫폼 attestation에 의존한다는 건 결국 Apple의 App Attest나 Google의 Play Integrity 없이는 기기 보안을 검증할 수 없다는 뜻이에요. 이게 논란인 이유는 정부가 시민의 디지털 신원을 빅테크 인프라에 묶는 셈이거든요. 커스텀 ROM이나 탈구글 안드로이드 쓰는 사람은 사실상 배제되는 구조예요

• RASP(Runtime Application Self-Protection)는 앱이 실행 중일 때 자체적으로 보안 위협을 탐지하는 기술이에요. 금융 앱에서 루팅 감지할 때 쓰는 것과 같은 원리인데, 국가 수준 신원 시스템에 적용하니까 보안 요구 수준이 훨씬 높은 거예요