Tangem Wallet에 화면이 필요 없는 이유

오늘날의 암호화폐 환경에서 보안은 그 어느 때보다 중요합니다. Tangem의 지갑 앱은 강력한 보호와 정말 간단하고 사용하기 쉬운 경험을 결합합니다. 차별점은 하드웨어 중심 접근 방식입니다. 화면이 없는 카드 자체가 가장 민감한 작업을 처리합니다. 이 글에서는 저희가 이 기준에 맞춰 앱 보안을 어떻게 설계했는지 설명하겠습니다.
 

보안을 최우선으로 하는 Tangem의 철학

Tangem은 업계에서 가장 안전한 모바일 지갑을 만드는 데 전념하고 있습니다. 저희의 앱 보안 접근 방식은 다음과 같은 기관의 세계적으로 인정받는 모범 사례를 기반으로 합니다. OWASP 또한 Google과 Apple이 발표한 최신 보안 및 개인정보 보호 지침을 따릅니다.

저희는 고급 기법과 최신 기술을 사용해 모바일 보안의 최전선을 지키며, 사용자가 디지털 자산을 관리할 때 신뢰와 보호를 제공합니다.

Tangem은 다음을 포함한 최첨단 내장형 모바일 보안 도구를 사용합니다. DexProtector by Licel은 주요 은행 및 결제 애플리케이션에서 사용하는 도구입니다. 

DexProtector는 EMVCo의 승인을 받은 Android와 iOS 모두를 위한 최초의 소프트웨어 보호 도구입니다. 최신 위협에 견딜 수 있는지 확인하기 위해 정기적으로 평가를 받습니다.

모바일 앱 보안의 다섯 가지 기둥

Tangem은 사용자 데이터를 보호하고 잠재적 위협으로부터 앱을 안전하게 지키기 위해 포괄적인 보안 조치를 갖추고 있습니다. 이러한 조치는 다섯 가지 주요 범주로 나뉩니다.
 

1. 데이터 보호 및 개인정보 보호

여러분의 개인정보는 중요합니다. Tangem은 처음부터 이를 보호하도록 만들어졌습니다.

데이터 암호화

애플리케이션 실행 중 민감한 정보에 대한 무단 접근을 막기 위해 Tangem은 모든 데이터를 암호화합니다. 이 방식은 다음의 권고 사항에 부합합니다. OWASP MSTG (Minimum Security Threats Group). 이를 통해 자동화된 공격과 데이터 무단 접근의 위험을 최소화합니다.

안전한 로컬 저장소

Tangem은 기기에 민감한 데이터를 평문으로 저장하지 않습니다. 모든 로컬 저장소는 암호화되어 앱의 안전한 환경 안으로 제한되므로, 다른 앱이 접근할 수 없고 루팅되거나 탈옥된 기기에서도 변조에 강합니다.

민감한 데이터 처리

사용자가 지갑 주소나 보안 코드 같은 민감한 정보를 복사하면, Tangem은 Android와 iOS 플랫폼 모두에서 이 데이터가 안전하게 처리되도록 합니다. Android에서는 복사한 데이터가 시스템에서 비공개로 표시되어 다른 앱이 백그라운드에서 접근할 수 없습니다. 

iOS에서는 앱이 시스템 수준의 보호 기능을 사용하고 불필요한 클립보드 사용을 피해 노출을 최소화합니다. 이러한 안전장치는 흔하지만 자주 간과되는 공격 경로인 클립보드를 통한 민감한 정보 유출을 막는 데 도움이 됩니다.

로그 정리 및 네트워크 로그 재구성

저희 앱의 로그는 민감한 정보를 제거하거나 숨기도록 철저하게 정리됩니다. 또한 네트워크 로그에서 기밀 정보가 빠지도록 신중하게 재구성하여 정보 유출 위험을 크게 줄입니다.
 

2. 애플리케이션 및 런타임 무결성

저희는 앱이 손대지 않고 수정되지 않은 상태로, 안팎으로 안전하게 정확히 의도한 대로 실행되도록 합니다.

무결성 검사

애플리케이션에는 코드와 콘텐츠를 확인해 승인되지 않은 변경을 감지하는 메커니즘이 내장되어 있습니다. 이러한 검사는 애플리케이션이 정품인지 확인하고, 유해하거나 승인되지 않은 버전이 실행되지 않도록 막습니다. 무결성 검사는 다음의 핵심 요소입니다. 런타임 애플리케이션 자체 보호(RASP) 또한 OWASP MSTG는 애플리케이션의 신뢰와 보안을 유지하는 핵심 수단으로 무결성 검사를 권장합니다.

디버깅 및 에뮬레이션 방지 조치

Tangem 앱에는 디버그 모드나 에뮬레이션 환경에서 실행되고 있는지 감지하는 특별한 메커니즘이 있습니다. 공격자는 흔히 디버깅 도구와 에뮬레이터를 사용해 앱의 동작을 동적으로 분석하고, 취약점을 찾거나 애플리케이션 로직을 리버스 엔지니어링합니다. 

이러한 조건에서의 실행을 감지하고 막음으로써, 앱은 악용, 런타임 공격, 무단 데이터 추출의 위험을 크게 줄입니다.

루팅 및 탈옥 감지

앱은 루팅이나 탈옥의 징후를 지속적으로 모니터링하며, 손상된 기기에서는 민감한 작업에 대한 접근을 제한하거나 차단할 수 있습니다. 이를 통해 중요한 기능이 안전하고 신뢰할 수 있는 환경에서만 실행되도록 합니다.
 

3. 안전한 통신

모든 통신은 가로채기나 변조를 막기 위해 암호화되고 검증됩니다.

인증서 투명성

모든 네트워크 통신은 Certificate Transparency 를 사용해 위조 인증서의 발급과 사용을 막습니다. 이를 통해 안전한 연결을 보장하고 신뢰를 높입니다.

인증 기관(CA)이 발급한 인증서를 공개적으로 기록함으로써, Certificate Transparency는 중간자 공격을 완화하는 데 도움이 됩니다.
도메인 소유자와 외부 당사자는 승인되지 않은 인증서를 빠르게 찾아낼 수 있어 침해 위험이 최소화됩니다.

네트워크 보안 및 인증서 고정

모든 네트워크 트래픽은 안전한 TLS 연결 (TLS 1.2 이상)을 통해 전송됩니다. 앱은 서버의 신원을 철저히 확인하여 신뢰할 수 있는 서버와만 통신하도록 합니다. 이를 통해 중간자 공격의 위험을 줄이고 안전하고 신뢰할 수 있는 네트워크를 유지합니다.
 

4. 사용자 인터페이스 및 입력 보안

저희는 사용자 상호작용을 보호하고, UI 기반 공격을 막으며, 민감한 입력이 가로채이거나 조작되지 않도록 하는 데 집중합니다.

크로스 앱 스크립팅 및 WebView 보호

Tangem은 앱 간의 모든 상호작용, 특히 WebView 구성 요소 내의 상호작용을 확인하여 크로스 앱 스크립팅 공격을 막는 데 도움을 줍니다. 이러한 구성 요소는 모바일 앱 공격의 흔한 표적입니다.

앱은 JavaScript 실행을 제한하고, SSL 인증서 검증을 신중하게 관리하며, WebView에 로드되는 콘텐츠가 안전한 출처에서 오고 정리된 상태인지 확인합니다. 이러한 조치는 크로스 사이트 스크립팅(XSS), JavaScript 삽입, 중간자(MITM) 공격 등 다양한 잠재적 공격을 막는 데 도움이 됩니다.

Tangem은 OWASP MSTG와 Google의 Android WebView 보안 지침에 제시된 업계에서 인정받는 보안 관행을 따릅니다.
 

탭재킹 방지

앱에는 탭재킹을 감지하고 막는 강력한 메커니즘이 있습니다. 탭재킹은 UI 덮어쓰기 공격의 한 유형으로, 악성 앱이 정상 앱 위에 보이지 않거나 오해를 일으키는 UI 요소를 겹쳐 놓아 사용자가 의도하지 않은 동작을 실행하도록 속이는 공격입니다.

Tangem은 사용자 상호작용 중에 가려진 화면이 있는지 적극적으로 확인하여, 보안에 중요한 동작 등 애플리케이션의 민감한 부분에서 보이지 않는 UI 오버레이가 사용자의 탭을 가로채지 못하도록 합니다. 탭재킹은 OWASP Mobile Top 10과 Android 보안 모범 사례에 잘 정리된 위협입니다.
 

안전한 입력 처리

Tangem은 앱의 민감한 입력 필드를 보호하기 위해 다층적인 접근 방식을 사용합니다. 사용자가 민감한 데이터를 입력할 때 사용자 지정 키보드의 사용을 감지하여 키로거와 입력에 대한 무단 모니터링으로부터 사용자를 보호합니다. 

또한 중요한 필드에서는 자동 완성, 맞춤법 검사, 비밀번호 저장, 자동 수정, 예측 입력 같은 시스템 수준 기능이 비활성화됩니다. 이러한 기능은 일상에서는 편리하지만 민감한 정보를 의도치 않게 저장하거나 제안하여 데이터가 노출될 위험을 만들 수 있습니다.

Tangem은 또한 안전한 입력 필드 설정을 사용하여 운영 체제에 해당 내용이 비공개이며 캐시하거나 기록하거나 접근성 서비스에 노출해서는 안 된다는 신호를 보냅니다.
 

스크린샷 및 화면 녹화 비활성화

복구 문구나 개인 키 같은 민감한 데이터가 표시되는 앱 영역에서는 스크린샷과 화면 녹화가 금지됩니다. 이를 통해 특히 사용자가 모르는 사이에 화면 내용이 녹화될 수 있는 환경에서 기밀 정보가 의도적으로든 실수로든 캡처되는 것을 막습니다. 

이 조치는 OWASP MSTG 권고 사항에도 부합하며, 금융 자산이나 암호 자산을 다루는 애플리케이션에 특히 중요합니다.

 

5. 아키텍처 및 운영 보안

Tangem의 백엔드 아키텍처와 운영 워크플로는 엄격한 보안 통제를 적용하고 모바일 앱의 무결성을 유지하도록 설계되었습니다.

세션 관리 및 토큰 보호

저희는 인증 토큰과 세션 식별자의 보안을 매우 중요하게 여기며, Android와 iOS 플랫폼 모두에서 안전하고 안정적인 경험을 보장합니다. 

토큰은 플랫폼의 보안 메커니즘을 사용해 저장되며, 평문으로 저장되거나 전송되는 일이 없습니다. 세션은 일정 시간 동안 활동이 없으면 자동으로 만료되어, 기기를 분실하거나 기기가 손상된 경우 무단 접근의 위험을 줄이는 데 도움이 됩니다.
 

코드 검토 및 감사 절차

Tangem 모바일 애플리케이션에 통합되는 모든 코드는 출시 전에 여러 단계의 검토를 거칩니다. 중요한 구성 요소는 명시적으로 표시되어 정확성, 보안, 안정성을 보장하기 위한 추가 동료 검토를 받습니다.

출시 전 통제 외에도 Tangem은 코드베이스의 무결성과 보안을 평가하기 위해 정기적인 내부 감사를 실시합니다. 또한 개발 수명 주기 전반에 걸쳐 자동화 도구를 사용해 코드 품질을 유지하고 취약점 위험을 최소화합니다.
 

최소화된 권한

Tangem은 최소 권한 원칙에 따라 앱이 작동하는 데 꼭 필요한 권한만 요청합니다. 이 방식은 앱의 핵심 기능에 필수적이지 않은 기기 기능에 대한 접근을 막아 공격 표면을 줄이고 사용자 데이터를 보호하는 데 도움이 됩니다.

권한을 최소화함으로써 Tangem은 투명성과 신뢰도 높입니다. 이는 OWASP 권고 사항과 Google 및 Apple의 플랫폼별 개인정보 보호 지침 모두에 부합합니다.

이러한 철저한 조치는 사용자에게 최고 수준의 보안과 개인정보 보호를 제공하기 위해 마련되었습니다.
 

"화면이 없으면 나쁘다"는 주장이 틀린 이유

핵심 과정을 안전한 모바일 앱으로 옮겼기 때문에 Tangem의 하드웨어 지갑에는 디스플레이가 필요하지 않습니다. 안전한 앱이 모든 중요한 상호작용을 처리하며, 앞서 설명한 강력한 보안 계층으로 보호됩니다. 이를 통해 사용자의 디지털 자산을 안전하게 지키면서 사용 경험을 단순하게 만듭니다.
 

맺음말

Tangem은 고급 보호 기능과 세심한 설계를 결합하여 암호화폐 지갑 보안의 새로운 기준을 세우고 있습니다. 암호화된 저장소부터 안전한 입력 처리와 런타임 보호까지, 앱의 모든 측면은 사용자의 안전을 염두에 두고 만들어졌습니다.

무엇보다 보안을 중시하지만 편리함도 포기하고 싶지 않은 사용자에게, Tangem은 업계 최고 수준의 표준과 지속적인 혁신을 바탕으로 마음의 평화를 제공합니다.