Google Workspace가 Firefox를 밀어낸다—기술 결함인가, 구조적 설계인가

Google Workspace Business Plus 계정으로 최신 Firefox에 접속하면 "Chrome을 다운로드하라"는 팝업이 상시 노출된다. Tales from Prod의 현장 보고가 이를 처음 공론화했다. Hacker News와 Lobste.rs에서 수백 개의 댓글이 달리며 논의가 확산됐다. 현재 기술적 완전 차단은 아니지만 문제의 본질은 차단 여부가 아니다. 누가 이 경고를 설계했는가가 핵심이다.

기술적 원인: CAA는 왜 Firefox를 '신뢰 미달'로 판정하는가

원인은 Context-Aware Access(CAA)다. Google의 BeyondCorp 제로트러스트 아키텍처를 Workspace에 이식한 이 기능은 기기 상태, 사용자 신원, 네트워크 위치를 실시간으로 조합해 접근 허용 여부를 결정한다. 문제는 CAA가 기기 수준 attestation을 요구하는 지점에서 발생한다.

Chrome은 Google의 엔터프라이즈 관리 정책(Chrome Browser Cloud Management), DLP 확장, 중앙 감사 로그를 네이티브로 지원한다. Workspace 관리자는 이를 CAA 조건으로 설정할 수 있다. Firefox에는 동등한 메커니즘이 없다. 따라서 관리자가 "관리형 브라우저"를 조건으로 걸면 Firefox는 설정 의도와 무관하게 자동으로 '요구사항 미충족' 판정을 받는다. User-Agent 위장도 통하지 않는다고 알려졌다. 실제 기기 서명 검증 단계가 존재하기 때문이다.

Mozilla Connect 포럼에는 이와 유사한 사례가 이미 축적돼 있다. 아이러니하게도 Google Workspace 공식 지원 브라우저 문서는 여전히 Firefox를 지원 브라우저로 명시하고 있다. 문서와 현실 사이의 간극이 IT 관리자의 진단을 어렵게 만든다.

구조적 이해충돌: 심판이 선수복도 입고 있다

기술적 설명은 타당하다. 그러나 그 기술을 설계한 주체가 바로 Google이라는 사실에서 논의가 복잡해진다.

Google은 전 세계 기업 이메일·협업 시장에서 상당한 점유율을 차지하는 Workspace와 데스크톱 브라우저 시장 65% 이상을 점유한 Chrome을 동시에 보유한다. CAA의 "관리형 브라우저" 조건이 Chrome의 독점적 API에 의존하도록 설계됐다면, 플랫폼 정책이 경쟁 브라우저를 구조적으로 불리하게 만드는 전형적인 자기우대(self-preferencing)에 해당한다.

물론 반론도 있다. 기업 보안 요구사항이 진짜 높아졌고 Firefox가 그 요구를 충족하는 엔터프라이즈 API를 제공하지 않는 것도 사실이다. 하지만 "Chrome이 아니면 보안 미달"이라는 인식이 IT 관리자 사이에 굳어지는 순간 경쟁 브라우저가 그 격차를 메울 시장 인센티브 자체가 사라진다. 닭이 먼저냐 달걀이 먼저냐지만 닭장을 소유한 쪽이 Google이라는 점은 분명하다.

생태계 쏠림과 Mozilla의 구조적 취약성

이번 사태가 특히 예민한 이유는 Mozilla의 재정 구조 때문이다. Mozilla 재단의 수입 대부분은 Google과의 기본 검색엔진 계약에서 나온다. 기업 IT 환경에서 "Firefox는 Workspace에서 경고 팝업이 뜬다"는 인식이 퍼지면 기업 배포 비율이 떨어지고 광고 트래픽 감소로 이어져 재정 압박을 가중시킨다. Google이 경쟁자의 수입원을 쥐고 있으면서 동시에 그 경쟁자를 플랫폼 정책으로 압박하는 구도다.

Chromium 기반 브라우저(Edge, Brave, Arc 등)는 이 문제에서 상대적으로 자유롭다. Chrome과 동일한 렌더링 엔진과 확장 API를 공유하기 때문이다. 결과적으로 "엔터프라이즈 적합 브라우저 = Chromium 계열"이라는 공식이 기업 현장에서 자연스럽게 자리잡는다. 브라우저 엔진 다양성이 사실상 Google 한 곳에 귀속되는 시나리오다.

전망: 규제가 답인가, 기술 대응이 답인가

EU DMA는 게이트키퍼 플랫폼의 자기우대를 명시적으로 금지한다. 미국 DOJ의 구글 반독점 재판(2024-2025)도 진행 중이다. 이번 사태가 직접적인 규제 트리거가 되기엔 CAA 설정이 관리자 재량에 달려 있다는 방어논리가 있지만 패턴의 축적은 다르게 작동한다.

더 현실적인 단기 대응은 Mozilla가 Firefox에 엔터프라이즈 관리 API를 강화하는 것이다. 하지만 이는 Google이 정의한 "기업 보안 표준"을 추격하는 구도가 된다. 표준을 정의하는 자가 누구냐는 질문이 다시 원점으로 돌아온다.

Google Workspace가 Chrome 설치를 요청한 것은 사소한 UX 버그가 아니다. 플랫폼 권력이 브라우저 시장을 재편하는 방식의 단면이다.