안드로이드 앱 난독화와 다층 보안 설계

APK가 노출하는 코드와 자산

안드로이드 애플리케이션은 APK로 배포된다. 이 구조는 디컴파일 도구로 원본에 가까운 코드 형태를 확인할 수 있고, 압축 파일처럼 내부 코드와 리소스를 꺼낼 수 있다는 뜻이기도 하다. 앱 로직, API 키, 암호화 키 같은 정보가 분석 과정에서 드러날 수 있으며, 악성 코드를 삽입한 뒤 다시 패키징한 위조 앱이 배포될 가능성도 있다.

난독화는 이런 분석과 변조를 불가능하게 만드는 기술이 아니라, 공격자가 코드를 읽고 이해하는 비용을 높이는 기술이다. 지적 재산권과 민감한 비즈니스 로직을 보호하고, 취약점 분석과 무단 수정을 어렵게 만드는 방어 계층으로 둔다.

분석 경로를 복잡하게 만드는 난독화 기법

이름 난독화는 클래스, 메서드, 변수의 의미 있는 이름을 a, b, c 같은 짧은 이름으로 바꾼다. 분석자가 구조와 역할을 빠르게 파악하기 어려워지고, 바이너리 크기를 줄이는 효과도 있다.

// 난독화 전
public class UserAuthentication {
    private String userToken;

    public boolean validateCredentials(String username, String password) {
        // 인증 로직
    }
}

// 난독화 후
public class a {
    private String a;

    public boolean a(String a, String b) {
        // 인증 로직
    }
}

제어 흐름 난독화는 프로그램의 실행 경로 자체를 복잡하게 만든다. 불필요한 조건문, 점프, 분기를 추가해 정상 기능은 유지하면서도 디컴파일된 코드의 추적을 어렵게 한다.

문자열 암호화는 URL이나 API 키처럼 코드에 하드코딩된 문자열을 암호화해 저장하고, 실행 시점에만 복호화해 쓴다. 정적 분석에서 중요한 문자열이 바로 드러나는 경로를 줄이는 방식이다.

중요 알고리즘과 로직을 C/C++ 네이티브 코드로 옮기고 JNI(Java Native Interface)로 호출하는 코드 은닉도 사용된다. 자바 코드보다 네이티브 코드의 역공학이 어렵다는 점을 활용한다. 이미지, 오디오, XML처럼 APK에 담긴 리소스는 암호화한 뒤 실행 중 메모리에서 복호화해 자산 추출과 무단 사용을 막을 수 있다.

ProGuard로 릴리스 빌드 보호하기

ProGuard는 안드로이드 스튜디오에 기본 내장된 난독화 도구다. 릴리스 빌드에서 축소와 난독화를 켜는 설정은 다음과 같다.

android {
    buildTypes {
        release {
            minifyEnabled true
            shrinkResources true
            proguardFiles getDefaultProguardFile('proguard-android-optimize.txt'),
                         'proguard-rules.pro'
        }
    }
}

앱이 리플렉션으로 참조하는 클래스나 특정 라이브러리, API 모델은 규칙으로 보존해야 한다.

# 특정 클래스 난독화 제외
-keep class com.example.myapp.model.** { *; }

# 라이브러리 관련 설정
-keep class androidx.** { *; }
-keep interface androidx.** { *; }

# API 관련 모델 클래스 보존
-keepclassmembers class com.example.myapp.api.model.** {
    <fields>;
}

# Enum 보존
-keepclassmembers enum * {
    public static **[] values();
    public static ** valueOf(java.lang.String);
}

ProGuard는 사용되지 않는 클래스·필드·메서드를 제거하는 축소, 바이트코드 최적화, 이름 변경을 통한 난독화, Java 6+ 바이트코드 전처리인 전체 검증을 제공한다. 설정은 단순히 난독화를 켜는 데서 끝나지 않는다. 런타임에서 이름을 문자열로 찾는 리플렉션 코드는 이름 변경 후 오류를 낼 수 있으므로 -keep 규칙이 필요하다.

릴리스 버전과 디버그 버전을 구분하고, 난독화된 스택 트레이스를 해석할 수 있도록 ProGuard 매핑 파일을 보관해야 한다. 일부 서드파티 라이브러리도 난독화와 충돌할 수 있어 라이브러리별 예외 규칙을 검토해야 한다. 과도한 난독화는 앱 크기 증가와 성능 저하를 유발할 수 있다.

난독화가 맡는 범위와 한계

⤢✕

난독화는 충분한 시간과 자원을 투입하는 공격자를 완전히 막지 못한다. 공격을 지연시키고 분석 비용을 올리는 역할로 이해해야 한다. 따라서 난독화만으로 앱 보안을 구성하면 안 된다.

도구를 고를 때도 요구 수준을 나눠 볼 필요가 있다.

도구	주요 기능	장점	단점
ProGuard	기본 난독화, 코드 축소	무료, 안드로이드 스튜디오 내장	고급 난독화 기능 제한적
DexGuard	ProGuard 확장, 리소스 암호화, 루트 탐지	강력한 보안 기능, 다양한 난독화 옵션	유료, 설정 복잡
Arxan	앱 강화, 탬퍼링 방지, 자체 방어	엔터프라이즈급 보안, 다양한 플랫폼 지원	높은 비용, 통합 복잡성
AppSealing	코드 보호, 런타임 보호, 위변조 탐지	클라우드 기반, 간편한 통합	구독 모델, 일부 기능 제한

공격 표면별 대응

정적 분석으로 하드코딩된 API 키를 추출하려는 공격에는 API 키 문자열 암호화, 키 분할 저장과 런타임 조합, 서버 측 인증 강화를 함께 적용한다.

결제 로직을 수정한 뒤 앱을 재패키징해 인앱 결제를 우회하려는 경우에는 코드 무결성을 검증하고, 중요 로직을 네이티브 코드로 이전하며, 서버 측 결제 검증을 필수로 구현한다.

디버거를 연결해 암호화 로직을 분석하는 경로에는 디버거 탐지와 차단, 난독화와 루트 탐지 기능의 병행, 중요 로직의 네이티브 코드 구현이 대응 수단이 된다.

클라이언트를 신뢰하지 않는 보안 구조

앱 보호는 코드 수준, 앱 자체, 통신, 서버 검증을 함께 다뤄야 한다. 코드에서는 안전한 코딩 관행과 적절한 암호화 구현, 민감 정보의 로컬 저장 최소화가 필요하다. 앱 보호 계층에는 코드 난독화, 위변조 탐지, 루트/탈옥 기기 탐지가 포함된다.

통신은 HTTPS와 인증서 핀닝, API 토큰 보안으로 보호한다. 중요한 로직은 서버 측에 구현하고, 클라이언트 입력을 다시 검증하며, 비정상 패턴을 모니터링해야 한다.

모든 클라이언트 측 보안은 우회 가능하다는 전제에서 설계해야 한다. 난독화는 그 전제를 바꾸지 않지만, 서버 측 검증과 안전한 API 설계, 런타임 보호, 지속적인 보안 업데이트가 작동할 시간을 벌어 주는 방어선이 된다. 출시 뒤에도 취약점을 주기적으로 검토하고 업데이트해야 한다.