F-드로이드가 구글의 안드로이드 개발자 인증을 ‘보호로 위장한 위협’이라고 때린 이유

구글의 ‘개발자 인증’, F-드로이드는 왜 이렇게 세게 반발하나

• F-드로이드는 구글의 안드로이드 개발자 인증(Android Developer Verification, ADV)을 거의 악성코드에 비유하면서 비판함.

  • 표현이 꽤 과격한데, 핵심은 “사용자 보호”라는 이름으로 구글이 안드로이드 앱 실행 권한을 중앙에서 통제하게 된다는 주장임.
  • 대상은 안드로이드 8 이상 기기고, F-드로이드는 최대 40억 대 안드로이드 폰과 태블릿이 이미 이 기능의 영향을 받는 상태라고 봄.

• ADV의 목표는 구글이 승인하지 않은 개발자의 소프트웨어 실행을 막는 쪽에 가깝다는 게 글의 핵심 주장임.

  • 구글은 악성코드 확산 방지를 명분으로 내세우고 있음.
  • 하지만 F-드로이드는 “악성 행위자가 처음부터 악성 앱을 배포하는 걸 막는 기능은 아니고, 이미 잡힌 사람이 새 계정이나 새 서명 키로 돌아오는 걸 늦추는 정도”라고 깎아내림.

• F-드로이드는 더 덜 과격한 대안이 있었다고 주장함.
  • 예를 들어 Play Protect가 새로 설치된 앱 중 고권한 앱이나 의심스러운 경로로 설치된 앱을 더 빡세게 검사할 수 있음.
  • 또는 2023년에 제안된 DCM(Developers Certification Model for Mobile Ecosystems)처럼 사용자가 신뢰할 검증자를 직접 고르는 연합형 검증 모델도 가능하다고 봄.
  • 그런데 구글은 이런 방향 대신, 안드로이드 생태계 전체를 중앙 등록제로 바꾸는 쪽을 택했다는 게 비판 포인트임.

개발자 입장에서 제일 찝찝한 부분

• 개발자가 구글의 ‘검증된 개발자’가 되려면 꽤 많은 걸 내줘야 할 수 있음.

  • 계정을 만들고 비용을 내야 함.
  • 상세 개인정보와 정부 발급 신분증을 제출해야 함.
  • 지금 배포하거나 앞으로 배포할 앱의 식별자와 서명 키도 등록해야 함.

• F-드로이드가 특히 위험하다고 보는 대목은 약관의 “악성코드” 정의가 비어 있다는 점임.

  • Android Developer Console 약관에는 악성코드나 유해 앱을 배포하면 접근 권한을 종료할 수 있다는 조항이 있음.
  • 그런데 정작 “악성코드가 정확히 뭔가?”에 대한 공식 정의나 기준은 없다고 지적함.
  • 그래서 F-드로이드는 이걸 “악성코드는 우리가 악성코드라고 부르는 것”이라는 구조로 해석함.

• 이게 왜 무섭냐면, 구글의 사업 이해관계와 충돌하는 앱도 언제든 위험 범주에 들어갈 수 있기 때문임.

  • 예시로 든 게 광고 차단 앱임.
  • 광고 차단 앱은 이미 플레이스토어에서 오래전부터 제한돼 왔고, 일부 사례에서는 악성코드로 분류된 적도 있다고 함.
  • 구글이 글로벌 광고 기술 독점 사업자에 가깝다는 점을 생각하면, 광고 차단 앱 전체를 막는 시나리오가 약관상 불가능하지 않다는 게 F-드로이드의 우려임.

반발은 이미 꽤 큼

• 구글은 플레이 개발자 앱의 99% 이상이 등록됐다고 말하지만, F-드로이드는 이 수치를 인기의 증거로 보지 않음.

  • 기존 플레이스토어 계약에 묶여 있던 개발자들이 자동으로 포함된 것에 가깝다는 주장임.
  • 즉, 자발적 지지율처럼 읽으면 안 된다는 얘기.

• 반대 움직임도 숫자가 꽤 큼.

  • 수십만 명이 ADV 반대 청원에 서명했다고 함.
  • keepandroidopen.org의 공개서한에는 전 세계 70개 이상 단체가 이름을 올렸고, 여기에는 전자프런티어재단(EFF), 자유소프트웨어재단(FSF), 유럽 자유소프트웨어재단(FSFE), 미국시민자유연맹(ACLU)도 포함됨.
  • 구글이 이 제도를 설명한 개발자 라운드테이블 영상은 시청자의 90%가 싫어요를 눌렀다고 글은 전함.

• F-드로이드가 보는 더 큰 충돌은 신뢰 모델의 차이임.

  • F-드로이드는 오픈소스 투명성으로 보안과 신뢰를 만든다는 모델임.
  • 반대로 상업 앱스토어는 “우리만 믿어”에 가까운 폐쇄형 검증 모델이라고 봄.
  • 지난 16년 동안 두 모델이 공존했지만, ADV가 켜지면 구글이 보안과 신뢰의 정의를 독점하는 체제로 바뀔 수 있다는 게 글의 결론임.

9월 30일에 뭐가 바뀔 수 있나

• 첫 적용 지역은 브라질, 인도네시아, 싱가포르, 태국임.

  • 이 네 나라 인구를 합치면 약 5억 8천만 명 규모라고 글은 설명함.
  • 구글의 공개 일정에 따르면 글로벌 적용은 2027년 이후로 이어질 예정임.

• 아직 정확한 장애 형태는 F-드로이드도 모른다고 함.

  • F-드로이드 앱 자체를 설치하거나 실행하면 무슨 일이 생기는지 불확실함.
  • 이미 F-드로이드로 설치한 앱들이 비활성화되는지, 삭제되는지, 계속 실행되는지도 모름.
  • 갑자기 앱이 사라지면 그 안의 데이터에 접근할 수 있는지도 중요한 미확인 지점임.
  • 설치와 실행 검증 과정에서 구글로 어떤 텔레메트리 정보가 전송되는지도 아직 명확하지 않음.

• 그래서 이 이슈는 안드로이드 개발자만의 문제가 아니라, 독립 앱 배포와 사용자 통제권의 문제로 봐야 함.

  • 한국 개발자에게도 영향이 큼. 사내 배포 앱, 연구용 APK, 오픈소스 앱, 커스텀 도구를 안드로이드에 직접 설치하는 문화가 전부 사이드로딩 위에 있기 때문임.
  • 특히 보안 명분의 플랫폼 정책이 한번 중앙화되면, 나중에 특정 앱 카테고리나 개발자 그룹을 막는 데 쓰일 수 있다는 점이 핵심 리스크임.

---

기술 맥락

• 여기서 중요한 선택은 안드로이드 앱 신뢰 모델을 기기와 사용자 중심으로 둘지, 구글의 중앙 개발자 등록으로 옮길지예요. 구글은 악성코드 재범을 줄이겠다는 명분을 들지만, F-드로이드는 이 방식이 앱 배포 권한 자체를 플랫폼 사업자에게 몰아준다고 보는 거예요.

• 서명 키 등록이 민감한 이유는 안드로이드 앱의 업데이트 신뢰가 서명 키에 걸려 있기 때문이에요. 앱 식별자와 서명 키가 중앙 등록 대상이 되면, 독립 저장소에서 배포되는 앱도 결국 구글의 허용 목록과 정책 판단을 피하기 어려워져요.

• Play Protect 강화나 연합형 검증자 모델 같은 대안이 언급되는 이유도 여기에 있어요. 악성 앱을 막는 목적이라면 위험 앱 검사나 사용자가 선택한 검증자 조합으로도 접근할 수 있는데, ADV는 생태계 전체를 하나의 중앙 게이트로 통과시키는 방향이라 파급 범위가 훨씬 커요.

• 개발자 입장에서는 이게 단순 정책 변경이 아니라 배포 아키텍처 변경에 가까워요. 지금까지는 APK, F-드로이드, 자체 저장소, 사내 배포 같은 경로가 공존했는데, 인증이 실행 단계까지 영향을 주면 설치 경로보다 ‘구글이 그 개발자를 인정했는가’가 더 중요해질 수 있거든요.