Android 앱 서명 키 보호에 관한 종단적 연구

Android 앱 서명은 개발자가 관리하는 자격 증명(credentials)에 의존하며, 이는 소프트웨어 공급망(software supply chain)의 무결성을 위해 안전한 키 보호를 필수적으로 만듭니다. 최근 두 곳의 주요 OEM 제조사가 연루된 플랫폼 키 유출 사고는, 아무리 견고하게 설계된 서명 메커니즘이라도 개발자의 부주의로 인해 침해될 수 있음을 보여줍니다. 본 연구에서는 공개 저장소(public repositories)에서 Android 서명 자격 증명을 마이닝하고, 노출된 비밀번호를 통해 침해된 키를 복구하며, 주요 스토어 및 OEM 시스템 이미지에서 수집한 4,000개 이상의 앱 서명과 이를 대조함으로써 이 위협의 특성을 규명하는 종단적 생태계 연구(longitudinal ecosystem study)를 수행합니다. 분석 결과, GitHub에서 5,673개의 침해된 키스토어(keystores)를 식별하였으며, 278개의 실제 앱과 연결된 26개의 고유 인증서(certificates)를 찾아냈습니다. 여기에는 공개 앱 스토어의 서드파티(third-party) 앱 26개와 7개 제조사의 사전 설치(preinstalled) 앱 252개가 포함되며, 이는 총 100억 명 이상의 사용자에게 영향을 미칩니다. 우리는 개념 증명(proof-of-concept) 앱 교체 공격을 통해 이러한 유출의 실질적인 악용 가능성을 입증하였으며, 1,100개 이상의 차량 모델에 설치된 인기 있는 차량용 헤드 유닛(head-unit) 플랫폼을 포함하여 비스마트폰 플랫폼에서의 파급 위험(spillover risks)을 식별했습니다. 우리의 연구 결과는 서명 키 관리 부실이 시스템적 위험임을 드러내며, Android 릴리스 엔지니어링(release engineering) 및 배포 인프라에서 더욱 엄격한 키 관리 지원이 필요함을 강조합니다.