Yoti 연령 확인 서비스로부터 플래그 지정 및 신고된 GrapheneOS 사용자

Yoti가 당국에 GrapheneOS 사용을 보고

연령 확인 서비스 Yoti는 reportedly GrapheneOS를 실행하는 장치를 자동으로 플래그 지정하고, 이러한 사례를 내부 보안 팀과 법 집행 당국 모두에 보고하는 시스템을 구현했다고 합니다. 이 사실은 Reddit과 GrapheneOS 토론 포럼에서 공유된 사용자 지원 경험을 통해 드러났는데, 여기서 신원을 확인하려는 사용자는 자신의 장치가 사용 중인 운영 체제로 인해 플래그 지정되었다는 통보를 받았습니다.

"Yoti는 [...] GrapheneOS를 실행하는 모든 장치를 자동으로 플래그 지정합니다. 이러한 사례는 당사와 당국 모두에 자동으로 보고됩니다.

Yoti로부터 보고된 통신에 따르면:

이 관행은 신원 확인 제공자가 프라이버시가 강화된 운영 체제 사용을 의심스러운 활동의 신호로 취급하고 있음을 시사하며, 이는 디지털 프라이버시를 우선시하는 사용자에게 "히트스코어"를 잠재적으로 만들 수 있습니다.

GrapheneOS가 어떻게 감지되는지

앱은 여러 가지 기술적 메커니즘을 통해 프라이버시에 중점을 둔 OS임에도 불구하고 GrapheneOS에서 실행 중임을 식별할 수 있습니다. GrapheneOS는 주식 Android에는 없는 광범위한 익스플로잇 완화 및 강화 기능을 구현하기 때문에, 이러한 고유한 특성은 지문을 채취하는 사이드 채널로 사용될 수 있습니다.

  • 하드웨어 증명 API: 앱은 하드웨어 증명을 요청하고 알려진 GrapheneOS 부팅 키와 verifiedBootKey를 일치시킬 수 있습니다.
  • 보안 기능 지문 지정: 보안 실행 생성과 같은 특정 강화 기능의 존재는 앱이 GrapheneOS를 다른 Android 배포판과 구분할 수 있게 합니다.

개인 정보 보호 영향 및 사용자 위험

당국에 GrapheneOS 사용을 보고하는 것은 프라이버시 도구와 법적 검토의 교차점에 대한 중대한 우려를 불러일으킵니다. 커뮤니티 구성원들이 강조한 중요한 실패 지점은 '비익명화'의 위험입니다. 사용자가 민감한 신원 문서(예: 여권 또는 신분증)를 동시에 OS를 의심스러운 것으로 플래그 지정하는 서비스에 제공하면, 해당 서비스는 사용자의 실제 세계 신원을 프라이버시 보존 소프트웨어 사용과 효과적으로 연결합니다.

또한, Yoti의 데이터 보호 기록은 비판자들에 의해 지적되었습니다. 이 회사는 스페인 개인정보 보호 규제 기관(AEPD)으로부터 생체 인식 개인 데이터의 불법 처리, 무효한 동의 획득, GDPR 위반으로 인한 데이터 보존 기간 초과로 인해 récemment €950,000의 벌금을 부과받았습니다.

신원 확인을 위한 커뮤니티 권장 사항

이러한 플래그 지정 관행에 대응하여, 개인 정보 보호 옹호자들과 GrapheneOS 사용자는 개인 신원을 프라이버시가 강화된 하드웨어와 연결하지 않도록 '세그먼트화된 장치 전략'을 제안합니다.

  • 전용 확인 장치: 정부 앱, 연령 확인 및 기타 필수 신원 확인에 주식 Android를 실행하는 별도의 저렴한 장치를 사용하세요.
  • 데이터 격리: 확인 장치에 개인 연락처, 개인 이메일 또는 메시징 앱이 포함되지 않도록 하세요.
  • 고위험 링크 회피: 적대적인 지문 채취 기술을 사용할 수 있는 서비스에 자신을 '합법화'하기 위해 GrapheneOS 장치를 사용하지 마세요.

반론 및 회의론

일부 관찰자들은 보고서의 진위 또는 위협의 심각성에 대해 회의론을 제기했습니다.

  • 보일러플레이트 언어: 일부는 '당국에 보고됨' 주장이 실제 법 집행 보고를 반영하기보다는 사용자를 deterrent하기 위한 표준 보일러플레이트 텍스트일 수 있다고 주장합니다.
  • 사용 맥락: 원래 Reddit 스레드 분석에 따르면, 사용자가 여러 번 실패한 확인 시도를 했을 수 있으며,これが 플래그를 트리거했을 수 있고, 단지 GrapheneOS의 존재 때문만은 아닐 수 있습니다.
  • 주장 검증: 비판자들은 해당 출처가 검증된 저널리즘 보고서가 아니라 Reddit 게시물의 텍스트 스크린샷에 기반한다고 지적하며, 이로 인해 편집된 이미지나 오해된 지원 통신의 가능성을 남겨둡니다.

Sources