Android 전체 기기 암호화 기술 | Secure Code Warrior

기기 암호화는 Android 기기의 모든 데이터를 암호화하는 과정입니다. Android 기기에서 이 기능이 활성화되면, 사용자가 생성한 모든 데이터는 저장소에 기록되기 전에 즉시 암호화됩니다. 이는 권한 없는 제3자가 데이터에 접근하려 해도 내용을 읽을 수 없도록 보호합니다. 스마트폰은 사용자가 휴대하고 다니며 다른 컴퓨팅 기기보다 분실이나 도난 위험이 크기 때문에 이 기능은 특히 유용합니다. 기기를 습득한 사람이나 도둑은 잠금을 해제하지 않는 한 데이터에 접근할 수 없습니다.

Android에는 두 가지 유형의 기기 암호화 방식인 전체 디스크 암호화와 파일 기반 암호화가 있습니다.

전체 디스크 암호화

전체 디스크 암호화는 API 레벨 19(Android 4.4 KitKat)에서 도입되었으나, API 레벨 21(Android 5.0 Lollipop)의 새로운 기능들을 통해 본격적으로 사용되기 시작했습니다. 전체 디스크 암호화는 단일 키를 사용하여 기기의 전체 사용자 데이터 파티션을 보호합니다. 이 키는 사용자 자격 증명으로 보호되며, 디스크의 어떤 부분에든 접근하려면 부팅 시 자격 증명을 입력해야 합니다.

이는 보안 측면에서는 훌륭하지만, 사용자가 자격 증명을 입력하기 전까지는 기기의 대부분 기능을 사용할 수 없다는 의미이기도 합니다. 즉, 기기가 재부팅되었으나 잠금이 해제되지 않은 상태에서는 알람과 같은 일부 기능이 작동하지 않고, 서비스 이용이 불가능하며 전화를 받을 수도 없습니다. 이러한 이유로 두 번째 암호화 모드가 만들어졌습니다.

파일 기반 암호화

기기 암호화의 두 번째 모드인 파일 기반 암호화는 API 레벨 24(Android 7.0 Nougat)부터 제공되었습니다. 이 모드에서는 서로 다른 파일이 독립적으로 잠금 해제될 수 있는 개별 키로 암호화됩니다. 이 암호화 모드와 함께 Direct Boot(다이렉트 부팅) 모드가 도입되어, 암호화된 기기가 잠금 화면까지 바로 부팅될 수 있게 되었으며, 기기 잠금 해제 전에는 사용할 수 없었던 기능들을 활성화할 수 있게 되었습니다.

Direct Boot를 사용하면 기기 잠금이 해제되기 전에도 제한된 환경 내에서 앱이 작동할 수 있습니다. 이를 통해 사용자 정보를 위험에 노출하지 않으면서도 앱이 정상적으로 기능을 수행할 수 있습니다. 이러한 기능을 제공하기 위해 Android 기기에는 두 가지 저장 위치가 필요합니다.

1. 자격 증명 암호화 저장소. 기본 저장 위치로, 사용자가 기기 잠금을 해제한 후에만 접근할 수 있습니다.
2. 기기 암호화 저장소. Direct Boot 모드 및 사용자가 기기 잠금을 해제한 후에 접근할 수 있습니다.

앱이 Direct Boot 모드에서 실행되는 동안 데이터에 접근해야 한다면 기기 암호화 저장소를 사용해야 합니다. 하지만 보안상의 영향을 주의하세요! 기기 암호화 저장소는 민감한 데이터를 저장하는 데 사용해서는 안 됩니다! 기기 암호화 저장소는 기기가 성공적으로 부팅되자마자 사용할 수 있는 키로 암호화됩니다. 사용자만 접근해야 하는 모든 데이터는 기본 위치인 자격 증명 암호화 저장소에 저장해야 합니다.

암호화가 무엇인지, 왜 중요한지에 대해 더 자세히 알고 싶다면 Secure Code Warrior 포털의 영상을 확인해 보세요. 또는 챌린지를 통해 암호화에 대한 지식을 테스트해 볼 수도 있습니다.

기기별 단계별 가이드가 필요하신가요? Pixel Privacy의 Bill Hess가 작성한 이 기사를 확인해 보세요.

새로운 내용을 배우셨기를 바랍니다. 다음 주에 뵙겠습니다!

자격 증명 암호화 저장소는 기본 저장 위치이며, 사용자가 기기 잠금을 해제한 후에만 접근할 수 있습니다.

https://developer.android.com/training/articles/direct-boot.html