사용자 지문 제거를 위해 새로운 API 요구 사항을 적용받는 Apple 개발자

iOS 17은 현재 베타 버전이며 약 한 달 안에 일반에 공개될 예정입니다. 출시가 완료되면 Apple 개발자는 특정 API 사용에 대한 새로운 제한 사항을 검토하게 될 것입니다. 문제의 API는 타겟 광고를 위한 데이터 수집을 관리하는 Apple의 개인 정보 보호 규칙을 일반적으로 우회하는 사용자 지문 채취에 잠재적으로 오용될 수 있는 API입니다.

새로운 규칙은 tvOS, VisionOS, watchOS 및 곧 출시될 Mac Sonoma 운영 체제의 새 버전에도 적용됩니다. 특정 API를 사용하려는 Apple 개발자는 해당 API가 프로그램 기능에 필요한 이유에 대한 설명을 제출해야 하며 앱이 선언된 기능에만 API를 사용하도록 제한해야 합니다.

Apple의 "앱 추적 투명성"(ATT) 프로그램은 2021년 중반 iOS 14.5 출시와 함께 완전히 출시되었습니다. 개발자는 타겟 광고를 위해 수집한 개인 정보를 공개하고 앱 설치 또는 업데이트 중에 사용자로부터 긍정적인 동의를 얻어야 합니다. 사용자가 동의하지 않으면 앱 개발자는 개인화된 광고를 촉진하는 고유한 장치 ID에 액세스할 수 없습니다. 이는 광고 수익에 즉각적이고 극적인 영향을 미쳤고, 덜 꼼꼼한 Apple 개발자 중 일부는 대안으로 사용자 지문 인식으로 전환했습니다(ATT 규칙에 따라 불법으로 지정되었음에도 불구하고).

사용자 지문 채취는 허용되지 않지만(적발될 경우 Apple 개발자가 금지될 수 있음), 그럼에도 불구하고 감지하기가 매우 어렵기 때문에 자주 사용됩니다. Apple은 새로운 요구 사항을 통해 API 수준에서 문제를 해결하려고 시도하고 있습니다. 개발자는 활성 키보드, 디스크 공간, 파일 타임스탬프, 시스템 부팅 및 사용자 기본값과 같은 특정 API 범주를 사용해야 하는 필요성을 설명해야 합니다. 이들 모두는 일반적으로 다양한 웹사이트와 앱에서 개별 사용자를 추적하는 프로필로 구성할 수 있는 고유한 장치 신호를 수집하는 데 사용됩니다.

Apple 개발자는 앱의 개인 정보 보호 정책에 이러한 API를 사용하는 이유를 선언할 수 있는 약 6개월의 유예 기간을 갖게 됩니다. 영향을 받은 API에 대한 필수 이유 없이 앱이 업로드되거나 개인 정보 매니페스트 파일에 설명이 추가되지 않은 경우 가을부터 알림 이메일이 개발자에게 발송되기 시작합니다. 새로운 규칙은 2024년 봄부터 시행될 예정이며 이를 위반할 경우 앱이 App Store에서 거부되거나 삭제될 수 있습니다.

Apple은 또한 사용자가 앱의 광고 추적을 선택한 경우에는 사용자 지문 채취가 합법화되지 않는다는 점에 유의하기 위해 노력했습니다. Apple 기기에서 언제든지 모든 종류의 지문 채취에 관여하는 모든 계정은 위험에 처하게 됩니다.

이러한 변경으로 인해 Apple 개발자가 사용자 지문 인식 구현을 중단한다고 보장할 수는 없지만 최소한 App Store에 절실히 필요한 또 다른 시행 도구를 제공하게 됩니다.

ATT 옵트인 규칙으로 인해 광고 수익 모델이 잠재적으로 파괴될 수 있다는 점에 직면한 일부 Apple 개발자는 보다 은밀한 형태의 사용자 지문 채취를 테스트하기로 결정했습니다. 주요 방법 중 하나는 서버 간 통신하는 SDK에 지문 채취 방법을 묻어 Apple이 볼 수 없는 사각지대에 활동을 유지하는 것이었습니다. 워싱턴 포스트(Washington Post)의 2021년 말 조사 보고서에서는 '집에 전화'하는 대량의 데이터와 식별할 수 있는 특정 데이터 포인트 중 일부를 기반으로 사용자 지문 채취에 관여하는 것으로 보이는 여러 인기 앱을 식별했습니다. 보고서는 또한 일부 앱이 전달하는 데이터에 대한 우려를 제기한 외부 보안 연구원들에게 Apple이 종종 응답하지 않았다고 지적했습니다.

API가 사용되는 용도를 정확하게 자체 보고하려면 Apple 개발자에게 의존하기 때문에 이 새로운 방식이 얼마나 실행 가능한지에 대한 우려가 이미 있습니다. 이에 대한 확인을 위해서는 후속 경찰이 필요할 예정이며, 어떻게 처리될 것인지에 대한 자세한 내용은 아직 알려지지 않았습니다. 규칙을 남용하는 수많은 당사자를 따라잡을 수 있는 능력이 부족하다는 점은 현재까지 사용자 지문 채취 시행 시스템의 주요 약점 중 하나였습니다.