네덜란드 ASN 은행, Play Integrity로 GrapheneOS 등 비구글 안드로이드 앱 차단하고 Wero 탓으로 돌려

다른 유럽 은행들도 똑같아. N26도 GrapheneOS를 거부하는데.

N26은 내 GrapheneOS에서 잘 되더라. 신규 가입만 Play Integrity로 막고 기존 계정은 그대로 작동한다는 안내가 붙어 있었음.

그건 가입할 때 얘기고, 사용할 때는 아니지.

나는 서랍에 굴러다니는 중고 아이폰 하나를 은행 앱 전용으로 씀. 모든 계좌 열쇠를 항상 들고 다니지 않아도 돼서 마음이 편함.

그래도 iDEAL이나 Wero 같은 건 대부분 온라인 결제에 은행 앱을 요구하잖아.

Bunq에서 Wero가 된다고 해서 ASN이 특별히 나쁜 짓 하는 건 아님. Bunq 보안 기록 보면 그냥 Wero가 요구하는 정책을 넣는 걸 깜빡한 것뿐일 거임.

나도 지금은 bunq랑 CurvePay로 탭투페이 씀. Google Pay도 Graphene에서는 안 되니까. 언제까지 버티게 놔둘지 보자.

bunq는 자동이체 승인할 때마다 로그에 거래가 두 개 찍히고 핀을 다시 넣으라고 해서 못 믿겠음. 웃긴 수준임.

SafetyNet 자체가 실수였음. 은행들은 120MB짜리 난독화 APK에 루팅 탐지, 커스텀 펌웨어 탐지, VPN 탐지까지 넣는 최악의 집단이야. EU 규제당국이 공통 API를 강제해줬으면 좋겠음.

그 공통 API도 결국 SafetyNet을 요구할 거임. 은행이나 정부나 자유 컴퓨팅의 적이라는 건 똑같아.

EU는 이미 PSD2 오픈뱅킹으로 개입했고 상황을 더 나쁘게 만들었음. 규제가 너무 심해서 개인이 자기 잔액이나 거래내역을 API로 직접 못 가져옴.

그냥 은행 웹사이트 가서 하면 되는데. 굳이 앱에서 다 하려고 하는 거 아님?

그럼 루팅된 기기에서 악성코드 공격을 막는 은행 앱을 한번 보여줄 수 있냐.

내 은행 앱은 GrapheneOS에서 작동하긴 하는데 Play Integrity를 검사하고 생체인증을 끄고 한도를 낮춤. 정부 전자서명 앱은 하드웨어 인증을 쓰면서 GOS를 안전하다고 봄. 은행 앱은 메모리 태깅 켜면 실행 중에 크래시 나는데, 메모리 버그가 있다는 뜻임.

자세히 보면 여러 사람이 ASN에 연락했는데 다들 Wero 탓으로 돌림. Play Integrity 검사는 nl.devolksbank 네임스페이스에 있는 ASN 자체 코드로 보이고, 무결성 토큰은 ASN 자기 서버로 감.

메서드가 nl.devolksbank 밑에 있다고 해서 다 의미 있는 건 아님. 그냥 벤더링한 코드일 수도 있음.

iDEAL에서 Wero로 넘어간 건 로고만 바꾼 수준임. Wero는 각 은행이 구현하는 표준이라 요구사항이 Wero에서 왔을 수도 있어.

내 네덜란드 은행 Rabobank도 GrapheneOS를 막음. 연락하면 보안이 중요하다는 소리만 함. 근데 몇 년째 업데이트 안 된 안드로이드 폰에서는 잘 됨. Aurora Store로 설치하면 Wero까지 잘 되더라.

진짜 보안이 중요하면 보안 업데이트 1년 넘게 안 된 기기도 막아야지. Graphene 사용자는 무시할 수준이라 건드리지도 않는 거임.