GrapheneOS 은행 앱, Google Play를 깔면 다 될까?

Google Play가 필요한 앱에는 같은 프로필이 중요하다

GrapheneOS에서 은행 앱이 작동하지 않는다고 해서 원인이 모두 같은 것은 아니다. 공식 사용 안내는 일부 앱은 별도 설정 없이 실행되며, Play 서비스에 의존하는 여러 앱은 같은 프로필에 샌드박스 Google Play를 설치하면 사용할 수 있다고 설명한다.

여기서 같은 프로필이라는 조건을 놓치기 쉽다. 기본 사용자 프로필에 설치한 Play 서비스가 다른 사용자·작업 프로필의 앱에도 제공되는 것은 아니다. 은행 앱을 별도 프로필에 뒀다면 그 안의 설치 상태를 봐야 한다.

설치 경로는 GrapheneOS의 App Store에서 Google Play services를 선택하는 방식이다. 서로 의존하는 Play 서비스와 Play Store가 함께 설치된다. 이들은 GrapheneOS에서 일반 앱의 샌드박스 안에서 실행되며, 설치했다고 시스템 전체에 특별 권한을 얻지는 않는다.

Play 서비스 설치가 Google 인증 운영체제를 만들지는 않는다

앱에 필요한 서비스를 제공하는 일과 은행이 해당 운영체제를 받아들이는 일은 다르다. 은행 앱이 Google의 기기 무결성 판정을 요구하면 Play 서비스가 있어도 그 조건에서 막힐 수 있다.

Google의 Play Integrity 문서에서 MEETS_DEVICE_INTEGRITY는 인증된 Android 기기를 뜻한다. Android 13 이상에서는 부트로더가 잠겨 있고 인증된 제조사 운영체제 이미지가 실행 중이라는 하드웨어 기반 증명도 요구한다. 기본 무결성 판정과 이 판정은 같은 조건이 아니다.

따라서 “은행 앱이 Play 서비스를 찾지 못한다”는 문제를 해결해도 “이 운영체제를 허용하지 않는다”는 은행의 정책까지 바뀌지는 않는다. Play Store를 설치한 상태만 보고 모든 은행 앱의 실행을 기대하면 안 되는 이유다.

약 12개 앱의 명시적 허용은 은행 쪽의 변화다

GrapheneOS 프로젝트는 10월 24일 한국 시각 게시물에서 약 12개 은행 앱이 Google 승인 운영체제 외에 GrapheneOS도 명시적으로 허용하기 시작했으며 그 수가 늘고 있다고 밝혔다. 이는 앱의 허용 범위가 넓어진다는 소식이다. 모든 은행 앱이 같은 날 지원을 시작했다는 발표는 아니다.

개발자용 호환 가이드는 표준 Android 하드웨어 증명을 활용해 GrapheneOS의 공식 배포 서명 키를 허용하는 방법을 제시한다. 앱 서비스가 기기·운영체제·앱의 증명을 검증하면서 GrapheneOS를 받아들일 수 있다는 설명이다.

이 경로의 주체는 은행 앱 개발자다. 사용자가 Play 서비스를 추가하는 것과 달리, 어떤 운영체제의 증명을 신뢰할지 앱 서비스가 결정해야 한다. 지원 확대를 볼 때도 은행 이름만이 아니라 자신이 사용하는 앱과 기능이 허용됐는지가 중요하다.

충돌과 인증 거부는 확인할 곳이 다르다

실행하자마자 앱이 종료되는 문제는 운영체제 인증 거부와 구분해서 봐야 한다. GrapheneOS는 강화된 메모리 보호가 앱의 기존 결함을 드러내 충돌로 이어질 수 있다고 설명한다. 이런 경우를 위한 앱별 호환 모드가 있지만, 이 설정은 은행의 인증 정책을 바꾸는 기능이 아니다.

호환 모드는 Settings → Apps → 해당 앱 → Exploit protection compatibility mode에서 설정한다. 강화된 메모리 할당기 등 일부 보호를 해당 앱에 한해 완화한다. 오류가 난다는 이유로 휴대전화 전체의 보안 설정부터 끄는 방식으로 접근할 필요는 없다.

PrivSec의 호환 보고 저장소에서는 앱별 사용자 보고와 필요한 추가 설정을 찾을 수 있다. 이 목록은 사용자 경험을 모은 자료이므로, 보고된 앱과 버전·설정 조건을 읽는 데 쓴다. 다른 은행의 성공 사례보다 자신이 쓸 앱의 현재 조건을 확인하는 것이 전환 여부를 결정하는 데 직접 도움이 된다.