당사자가 미국 영토 안에 있지 않았다면, 미국에서만 적용되는 법률로 어떻게 기소할 수 있는지 여전히 궁금함

첫 기사에서 “GrapheneOS가 기본적으로 범죄적이라는 메시지를 보낸다”는 인용은 상당히 유도적임. 결국 보호는 범죄적이고 취약성은 준법적이라는 구도를 만듦

자동 재부팅 주기는 최저 10분까지 줄일 수 있음. 국경 통과나 시위처럼 압수 가능성이 예상된다면 일시적으로 짧게 설정하거나 직접 재부팅해 BFU 상태로 만드는 편이 좋음

Guardian 기사는 HN의 기존 스레드에서 논의됐지만, Computer Weekly 기사는 제출만 되고 별다른 논의가 없었음

GrapheneOS에는 국경을 건너기 전에 휴대전화를 예방적으로 초기화할 수 있도록 완전한 백업·복원 기능이 필요함. Google Cloud나 iCloud처럼 모든 앱과 데이터를 개인 SSH/SFTP 서버에 백업하고 복원할 수 있으면 좋겠음
강압 PIN을 써서 기소 위험을 감수하기보다 휴대전화를 초기화한 뒤 직접 연락처 몇 개, 여권 사본, 항공권 PDF만 넣고 입국 심사에서 요구받으면 실제 PIN을 제공하는 편을 선호함. 여행 중 필요한 것은 암호 관리자나 원격 SSH 서버의 암호 문구만 기억해 필요한 데이터만 복원하고 언제든 다시 지우면 됨
다만 이를 기본 기능으로 만들면 수사기관이 모든 GrapheneOS 사용자의 원격 저장소를 의심하고 접속과 복원을 요구할 수 있으므로, 별도로 구성하는 편이 나을 수도 있음. 자연스러워 보이도록 평범한 구매와 YouTube 구독에만 쓰는 가짜 Google 계정을 준비하는 방법도 있음
3주 뒤 한 달간 해외여행을 앞두고 있어 휴대전화를 초기화하거나, 주 휴대전화는 집에 두고 가족 비상 연락처만 담은 150유로짜리 새 기기를 가져갈지 고민 중임. 잠금 화면만으로는 일반 Pixel Android가 아니라는 사실이 드러나지 않는 점은 다행임

GrapheneOS에는 Google 클라우드 백업보다 훨씬 많은 데이터를 다루는 암호화 백업 시스템이 이미 있음. 기기 간 전송 모드로 작동해 allowBackup="false"인 앱도 백업하며, 호환 API를 제공하는 임의의 동기화 서비스도 지원함
프로필별 백업이라 보조 사용자에 복원해 시험할 수도 있음. 구현과 사용자 경험을 더 단순하고 깔끔하게 만들기 위한 전면 개편을 계획 중이며, 현재는 다른 앱들을 먼저 개편하고 있음

다른 비밀번호로 숨겨진 데이터 파티션을 부팅하고 일상용 파티션은 감추는 기능이 더 유용해 보임. LUKS처럼 저장소 덤프는 무작위 데이터로 보이고 올바른 비밀번호만 대응하는 숨은 파티션을 찾아 복호화하는 방식임
잠금 화면에서 특수 PIN을 입력하면 약간의 지연 후 미끼 파티션으로 부팅되게 하면, 예상한 국경 검문뿐 아니라 불시 검사에서도 그럴듯한 부인 가능성을 확보할 수 있음

개인 암호화 서버에 저장하고 버튼 한 번으로 복원하는 완전한 백업이 꼭 필요함. 휴대전화가 파손되거나 도난당하면 SeedVault가 놓친 항목을 몇 시간 동안 재설치·재설정해야 하고, 보안 요소 키에 묶인 계정 접근권까지 잃을 수 있어 걱정됨

실제로 서구권의 문명국가에서 Pixel에 GrapheneOS를 설치했다는 이유만으로 국경에서 표적이 될 가능성이 있는지 의문임

Android 패턴 잠금은 Log2(389112) ≈ 18.57비트의 엔트로피만 제공함. 무작위 문자 3개, 소문자 4개, 또는 6자리 십진수 PIN보다도 약함
긴 비밀번호는 기억법을 쓸 수 있지만 입력이 불편함. 너무 길면 해시 요약값을 쓰는 식으로 허용하면 될 텐데 강한 비밀번호 자체를 막으면 재사용이나 자기 자신에게 전송하는 나쁜 습관을 부추김

GrapheneOS는 Diceware 암호 문구를 위해 최대 128자 비밀번호를 지원함. 강한 암호 문구를 쓰면 보안 요소에 의존하지 않아도 되고, 무작위 6자리 PIN은 보안 요소의 시도 횟수 제한 덕분에 안전함. 총 20번만 시도할 수 있어 무작위 4자리 PIN도 충분할 수 있음
지문 잠금에는 두 번째 인증 PIN을 추가할 수 있어 생체 인증만 사용할 때의 단점 없이 강한 암호 문구를 편리하게 쓸 수 있음. 패턴 잠금은 실제 가능한 조합 중 극히 일부만 쓰게 유도해 계산보다 훨씬 취약하며, 잘못된 안전감을 주기 때문에 수년 전에 제거함. 내장 무작위 PIN·암호 문구 생성 기능도 개발 중임

GrapheneOS는 지문 시도 횟수를 20회에서 5회로 줄이고, 올바른 지문 뒤에도 두 번째 PIN을 요구할 수 있음. BFU에서는 6~8개의 무작위 Diceware 단어를 쓰고 평소에는 지문과 짧은 PIN을 조합하면 편리함
AOSP의 제한을 바꿔 최대 128자 비밀번호를 허용함. 긴 암호 문구는 재부팅 후에만 입력하면 되며, 보안 요소가 악용되더라도 보호된다는 장점이 있음

최신 Pixel에는 무차별 대입을 막는 TPM 유사 장치가 있음. 패턴이 뻔하지 않다면 공격자는 보조 키 자료가 삭제돼 암호화 키를 잃기 전까지 20번만 시도할 수 있음
보안 칩에 대한 부채널 공격은 이론적으로 가능하지만, 이미 검증된 공격법과 기기 분해 및 정밀하고 파괴적인 작업이 필요함

직접 GrapheneOS에 35자 비밀번호를 설정해 봤는데 아무 문제 없이 작동함

Apple 기기와 같은 보안 보장을 원하면 범죄자로 취급되는 상황이 우스움. Apple에도 자동 재시작, 전체 암호화, Lockdown Mode가 있음

당국은 GrapheneOS뿐 아니라 Apple에도 불만이 있지만, iPhone 사용자를 범죄자라고 부르면 조롱받기 쉬움. 반면 제3자 운영체제 설치는 낯설다는 이유로 이질화하고 주변화하기 쉬움

강압 비밀번호를 입력한 결과는 휴대전화를 넘겨받은 사람이 알아차릴 수 없어야 함. 실제 계정 정보는 지우되, 정중하고 무의미한 이메일 같은 그럴듯한 콘텐츠가 채워진 운영체제를 보여줘 수사관이 살펴볼 수 있게 해야 함

이는 강압 비밀번호보다는 미끼 비밀번호라고 부르는 기능임

앱과 데이터 일부를 별도 잠금 영역에 두고 기기 잠금 해제 후 추가 PIN을 요구하면 됨. 강압 PIN은 기기를 열면서 해당 영역을 지우고, 보안 영역이 애초에 설정되지 않았던 것처럼 보이게 할 수 있음
Google Photos나 Samsung 등 여러 운영체제와 서비스가 잠금 데이터 기능을 제공함

GrapheneOS의 강압 PIN·비밀번호는 은밀한 초기화인 척하지 않으며, 사용자가 기대하는 초기화를 안전하게 수행함. 법 집행 상황에서 어떻게 쓸지 결정하거나 법률 조언을 제공하는 것은 프로젝트 역할이 아니며, 관할권과 맥락에 따라 법이 크게 달라 변호사에게 물어야 함
프로필 삭제에는 그 존재를 입증하는 메타데이터가 기기 및 소유자 프로필의 암호화 저장소에 남음. ADB로 초기화 여부와 시각도 쉽게 확인할 수 있어 그럴듯한 부인 가능성을 제공할 수 없고, 이를 은밀하다고 믿게 하면 사용자를 위험에 빠뜨림
Android의 Private Space 숨김도 사용자 인터페이스에서만 어설프게 감출 뿐 공개된 탐지법이 여러 개이며, ADB까지 상대로 완전히 숨기기는 현실적으로 어려움. 불완전한 기능은 온라인 논의를 통해 빠르게 알려지고 LLM, 포렌식 도구와 안내서에 통합될 것임
GrapheneOS 기능은 기능의 존재를 아는 적대자에게도 작동해야 함. 강압 PIN은 실제 PIN과 구별할 방법이 없어, 기능을 쓰지 않는 사용자에게 받은 PIN조차 강압 PIN일 가능성을 고려하게 만듦
향후 기기에서는 운영체제 취약점으로도 우회하지 못하도록 Weaver 시도 횟수 제한의 일부로 보안 요소 자체에 강압 PIN 지원을 추가하려 함

최초 잠금 해제 후(AFU)에 기기를 잠근 상태에서도 보호되는지 궁금함. 자주 사용하므로 수사기관이나 공격자가 확보하기 전에 잠그더라도 AFU 데이터를 보호하지 못한다면 소용이 적고, 수사기관은 Cellebrite 같은 도구로 당일 분석도 가능함
VeraCrypt를 쓰면서도 재부팅이 귀찮아 PC를 켜두는 것과 비슷하며, 이 경우 메모리 추출로 복호화될 수 있음

GrapheneOS는 AFU 상태의 잠긴 프로필도 강하게 보호함. 기본적으로 잠근 지 18시간 뒤 자동 재부팅해 작동하는 취약점 공격의 유효 시간을 제한하며, 사용자가 10분까지 줄일 수 있음
18시간은 하루에 몇 번만 휴대전화를 쓰는 사람에게도 거의 발동하지 않도록 정한 값임. 대개 최대 수면 시간보다 조금 길면 충분하고, 밤중 재부팅 자체는 괜찮지만 통신사 전화가 아닌 긴급 연락 등을 놓칠 수 있음
최근 공개된 Cellebrite Premium 문서에서도 2022년의 특정 패치 수준 이후로 업데이트된 GrapheneOS 잠금 기기를 공격할 수단이 없는 것으로 나타남

GrapheneOS와 Motorola의 협력이 아직 진행 중인지, Motorola 기기가 언제 출시될지 궁금함

TSA나 출입국 심사를 통과할 때는 휴대전화와 노트북을 항상 꺼둠. 미국에서는 비밀번호 제공을 강제할 수 없다고 보며, 기기를 압수하더라도 전원이 꺼져 있다면 비밀번호를 깨기 어려움

종료나 재시작으로 BFU 상태를 만드는 것이 훨씬 안전함. 최신 Cellebrite 유출 자료를 보면 GrapheneOS는 AFU 상태에서도 공격할 수 없는 것으로 보임
GrapheneOS의 자동 재부팅은 최저 10분까지 설정할 수 있고 기본값은 18시간임. 이후 Google과 Apple도 고정 72시간 타이머를 도입함
다만 GrapheneOS에는 더 빠른 종료 바로가기가 있으면 좋겠음. 현재는 물리 버튼을 누른 뒤 화면에서 다시 확인해야 하는 것으로 앎

이 밈을 싫어함. 핵심은 적어도 공격자가 5달러 렌치로 폭력을 행사하게 만들어, 국가에 따라서는 사용자가 받는 혐의보다 더 심각한 범죄를 저지르게 하는 데 있음

관련 기사에 따르면 미국 법무부는 국경 요원이 Google Pixel을 수색하던 중 GrapheneOS 강압 PIN을 제공한 혐의로 애틀랜타 주민 Samuel Tunick을 기소 중임
비밀번호를 주긴 했지만 잠금 해제가 아니라 휴대전화를 초기화하는 비밀번호였던 듯함. 수색 전에 기기를 백업하지 않은 점은 의외임

선택한 앱만 지우되 티 나지 않는 완화형 강압 PIN을 만들 수 있음. 또는 앱 데이터를 지정한 복원 지점으로 되돌려 아무 일도 없었던 것처럼 보이게 하고, 설정 여부도 추적할 수 없게 하면 법적 위험을 줄이는 데 도움이 됨

신뢰성 있는 삭제에는 하드웨어 지원을 받아 키를 폐기해야 함. Android는 사용자와 Private Space마다 별도 키를 사용하므로 전체 데이터나 특정 프로필을 확실히 지울 수 있고, 남은 메모리 흔적을 없애려면 재부팅도 중요함
하지만 특정 프로필의 존재와 삭제 시점은 파일 시스템 및 운영체제 메타데이터에 남아 명백히 드러남. SSD 곳곳에 복사·수정된 파일 흔적도 남으며, 오랫동안 일반적으로 사용한 뒤에는 특정 범위의 보안 삭제를 요청해도 너무 늦고 복구될 가능성이 있음. 있어야 할 메타데이터와 통계가 사라진 사실 자체도 증거가 됨
예약 저장 공간에서 모든 암호 문구를 유효하게 받아들이고, 설정되지 않았거나 틀린 경우 무작위 출력을 내는 기능은 가능함. 제대로 구현하려면 가상 머신과 기본 예약 공간이 필요하지만, 그래도 SSD 저수준 분석으로 사용 사실을 입증할 가능성이 있음

포렌식 분석에도 안전한 방식은 불가능함. 견고하지 않은 그럴듯한 부인 가능성을 구현하면 잘못된 안전감을 줘 사용자를 위험에 빠뜨리므로 GrapheneOS는 도입하지 않을 것임