macOS에서 Clash 설치 시 '열 수 없음' 또는 '손상됨' 오류: 네트워크 확장 프로그램 및 키체인 권한 해결

macOS에서 Clash 계열 클라이언트(ClashX, ClashX Meta, Clash Verge Rev, Clash Nyanpasu 등)를 설치하면 처음 실행할 때 흔히 세 가지 종류의 차단이 발생합니다. 각각 Gatekeeper의 공증 검사, 네트워크 확장 프로그램 인증 절차, 키체인 접근 제어라는 서로 다른 시스템 계층에서 나오는 문제입니다. 팝업 문구는 비슷해 보이지만 해결 경로는 완전히 다르므로, 명령어를 무작정 섞어 쓰면 오히려 상황이 더 복잡해질 수 있습니다.

이 글은 '먼저 어느 계층의 문제인지 파악한 뒤, 시스템 버전에 맞는 설정 경로를 찾는' 순서로 정리했습니다. macOS 13 Ventura 이후의 '시스템 설정' 경로를 기준으로 설명하고, macOS 12 Monterey 이하 버전의 '시스템 환경설정' 경로도 함께 안내합니다.

오류 진단: 팝업 문구로 원인 계층 파악하기

대부분의 Clash 클라이언트는 커뮤니티 개발자가 관리하며 Apple의 유료 개발자 서명·공증 절차를 거치지 않았거나, 배포판이 재패키징되면서 서명이 무효화되는 경우가 많습니다. 이 때문에 시스템이 사용자에게 수동으로 실행을 허용하도록 요구합니다. 아래 표에서 실제로 뜬 팝업 문구를 대조해 어느 계층에서 막혔는지 먼저 확인한 뒤, 해당 절로 이동해 해결하세요.

팝업 문구	관련 계층	해결 경로
'손상되었기 때문에 열 수 없습니다. 휴지통으로 이동해야 합니다'	다운로드 격리 속성(quarantine)	터미널에서 quarantine 제거(2절)
'확인되지 않은 개발자이므로 열 수 없습니다' / 'Apple이 악성 소프트웨어 포함 여부를 검사할 수 없습니다'	Gatekeeper 공증 검사	우클릭으로 열기 또는 '그래도 열기'(3절)
'네트워크 콘텐츠를 필터링하려고 합니다' / '시스템 소프트웨어 로드가 차단되었습니다', 향상 모드가 켜지지 않음	네트워크 확장 프로그램 인증	시스템 설정 3곳에서 허용 처리(4절)
실행할 때마다 '키체인에 저장된 정보를 사용하려고 합니다' 팝업이 반복됨	키체인 접근 제어	항상 허용 또는 키체인 복구(5절)

이 네 가지 문제는 동시에 나타날 수 있습니다. 먼저 '앱이 열리지 않는' 문제를 해결하고, 다음으로 '켜졌지만 향상 모드가 작동하지 않는' 문제를, 마지막으로 '실행할 때마다 비밀번호를 입력해야 하는' 문제를 순서대로 처리하면 됩니다. 이 글의 순서를 그대로 따라가면 되며, 단계를 건너뛸 필요는 없습니다.

'손상되어 열 수 없음': 다운로드 격리 속성 제거하기

브라우저나 메신저로 내려받은 dmg, zip 파일에는 시스템이 자동으로 com.apple.quarantine 확장 속성을 붙입니다. 이 속성이 붙은 앱이 서명 검증에 실패하면 '손상됨' 팝업이 뜹니다. 해결 방법은 재다운로드가 아니라 이 속성을 직접 제거하는 것입니다. 다시 받아도 같은 속성이 붙어 있어 결과는 동일합니다.

dmg에서 앱을 '응용 프로그램' 폴더로 드래그해 넣고, 최종 경로가 /Applications/ClashX.app(실제 앱 이름 기준)인지 확인합니다.
'터미널'을 엽니다(런치패드 → 기타 → 터미널).
아래 명령을 실행하고 로그인 비밀번호를 입력한 뒤(입력 중 화면에 표시되지 않는 것이 정상) Enter를 누릅니다.

sudo xattr -rd com.apple.quarantine /Applications/ClashX.app

매개변수 설명: -r은 앱 패키지 내 모든 파일을 재귀적으로 처리하고, -d는 지정한 속성을 삭제합니다. 경로에 공백이 있으면 전체 경로를 큰따옴표로 감싸야 합니다. 명령 끝에 공백을 하나 남겨두고 Finder에서 앱 아이콘을 터미널 창으로 드래그하면 경로가 자동으로 채워져 오타를 줄일 수 있습니다.

주의

이 명령은 해당 앱 하나에 대해서만 Gatekeeper 검사를 건너뛰게 하는 것입니다. 공식 GitHub 저장소나 신뢰할 수 있는 경로에서 받은 설치 파일에만 적용하세요. 출처가 불분명한 설치 파일은 실행을 허용하지 말고 바로 삭제하는 것이 안전합니다.

'개발자를 확인할 수 없음': Gatekeeper 일회성 허용

이 팝업은 '손상됨' 오류보다 처리가 간단하며, 시스템에 내장된 일회성 허용 기능으로 명령어 없이 해결할 수 있습니다. 아래 두 방법 중 하나를 사용하세요.

방법 1(추천): Finder에서 앱을 찾은 뒤 Control 키를 누른 채 아이콘을 클릭(또는 두 손가락으로 클릭)하고 '열기'를 선택합니다. 이때 팝업에 '열기' 버튼이 추가로 나타나며, 클릭하면 시스템이 이 선택을 기억해 이후에는 더블클릭만으로 정상 실행됩니다.

방법 2: 앱 실행이 차단된 지 약 1시간 이내라면, '시스템 설정 → 개인정보 보호 및 보안'을 열고 아래로 스크롤해 '보안' 항목에서 'xxx 사용이 차단됨' 안내를 확인한 뒤 '그래도 열기'를 클릭하고 비밀번호를 입력해 확인합니다.

버전별 경로: macOS 13 Ventura 이후는 '시스템 설정 → 개인정보 보호 및 보안'에서, macOS 12 Monterey 이하는 '시스템 환경설정 → 보안 및 개인정보 보호 → 일반'에서 처리합니다. 후자는 창 왼쪽 아래 자물쇠 아이콘을 눌러 잠금을 해제해야 '그래도 열기'를 클릭할 수 있습니다.

권장하지 않는 방법

일부 오래된 가이드에서는 sudo spctl --master-disable을 실행해 '알 수 없는 개발자' 허용 옵션을 켜라고 안내합니다. 이 명령은 시스템 전체의 Gatekeeper를 비활성화해, 이후 새로 받는 모든 앱이 검사를 거치지 않게 되어 영향 범위가 지나치게 커집니다. 앱별로 개별 허용하는 방법으로 대부분의 사용 상황을 충분히 해결할 수 있으므로 전역 설정 변경은 권장하지 않습니다.

네트워크 확장 프로그램 인증: 향상 모드와 TUN 모드

ClashX Meta의 '향상 모드'와 mihomo 계열 클라이언트의 TUN 모드는 본질적으로 시스템 수준의 네트워크 확장 프로그램을 설치해 전체 트래픽을 제어하는 기능입니다. macOS는 이런 확장 프로그램에 대해 사용자의 명시적 허용을 요구하며, 처음 활성화할 때 다음 두 가지 시스템 팝업이 차례로 나타납니다.

'"xxx"가 네트워크 콘텐츠를 필터링하려고 합니다': 콘텐츠 필터 인증, '허용'을 클릭합니다.
'개발자 xxx의 시스템 소프트웨어 로드가 차단되었습니다': 시스템 확장 프로그램 로드 인증으로, 설정에서 직접 '허용'을 클릭해야 합니다.

macOS 13 이후에서는 다음 세 곳을 순서대로 확인합니다.

'시스템 설정 → 네트워크 → 필터': 사용 중인 클라이언트의 필터 스위치가 켜져 있는지 확인합니다. 처음 팝업에서 '허용 안 함'을 눌렀다면 여기서 다시 켜줍니다.
'시스템 설정 → 일반 → 로그인 항목 및 확장 프로그램 → 네트워크 확장 프로그램': 클라이언트 확장 프로그램이 활성화되어 있는지 확인합니다.
'시스템 설정 → 개인정보 보호 및 보안 → 보안': '차단됨' 안내가 뜨면 '허용'을 클릭합니다. 일부 macOS 버전은 Mac을 재시작해야 적용됩니다.

허용을 마쳤는데도 작동하지 않으면 다음 순서로 확인하세요. 메뉴바 아이콘에서 클라이언트를 완전히 종료한 뒤 다시 실행, 클라이언트 설정에서 향상 모드나 TUN 스위치를 껐다가 다시 켜기, 다른 프록시 도구의 네트워크 확장 프로그램과 동시에 실행 중인지 확인(동시에 활성화 가능한 TUN 디바이스는 하나뿐이며, 충돌 시 나중에 실행된 쪽이 실패합니다).

TUN 모드의 장점은 시스템 프록시 설정에 의존하지 않아, 시스템 프록시를 따르지 않는 앱(일부 커맨드라인 도구, 게임 클라이언트, 샌드박스 앱)의 트래픽까지 처리할 수 있다는 것입니다. 일반적인 웹 브라우징에는 시스템 프록시만 켜면 충분하며, 기기 전체 트래픽을 제어해야 할 때만 향상 모드나 TUN을 켜면 됩니다.

키체인 팝업이 계속 뜰 때: 권한 저장 및 로그인 키체인 복구

클라이언트가 시스템 프록시를 설정하거나, 권한이 필요한 도우미 프로그램을 설치하거나, 구독의 노드 인증 정보를 읽을 때는 로그인 키체인 접근이 필요합니다. 'xxx가 키체인에 저장된 정보를 사용하려고 합니다'라는 팝업은 정상적인 절차이며, '항상 허용'을 한 번 클릭하면 됩니다. 매번 실행할 때마다 팝업이 뜬다면 허용 정보가 키체인에 저장되지 않았다는 뜻입니다.

팝업에서 로그인 비밀번호를 입력하고 '항상 허용'을 클릭하세요. '허용'만 누르면 해당 실행에서만 적용됩니다.
그래도 팝업이 반복된다면 '키체인 접근'을 열고 왼쪽에서 '로그인' 키체인을 선택한 뒤 클라이언트 이름으로 검색해 해당 항목을 더블클릭합니다. '접근 제어' 탭으로 전환한 뒤 '모든 응용 프로그램이 이 항목에 접근하도록 허용'을 선택하거나, 클라이언트를 '항상 허용' 목록에 추가하세요.
macOS 로그인 비밀번호를 변경한 뒤 시스템 전체에서 키체인 팝업이 연쇄적으로 뜬다면, 로그인 키체인 비밀번호와 계정 비밀번호가 더 이상 일치하지 않는다는 뜻입니다. 키체인 접근을 열고 메뉴바에서 '키체인 접근 → 설정 → 기본 키체인 복원'을 실행하면, 재생성된 키체인 비밀번호가 로그인 비밀번호와 자동으로 맞춰집니다.

실행 전 확인

'기본 키체인 복원'을 실행하면 해당 키체인에 저장된 모든 비밀번호와 인증 정보(웹사이트 비밀번호, Wi-Fi 비밀번호 등)가 초기화됩니다. 실행 전 중요한 인증 정보를 따로 백업했는지 확인하거나, iCloud 키체인에서 복원할 수 있는지 확인하세요.

또한 앱이 업데이트될 때마다 서명 식별자가 바뀔 수 있어, 이전에 '항상 허용'으로 설정한 기록이 무효화됩니다. 업데이트 후 처음 실행할 때 다시 허용 절차를 거치는 것은 정상적인 동작이며 오류가 아닙니다.

아키텍처 선택 오류: Apple 실리콘과 Intel 설치 파일

'손상됨' 오류의 또 다른 흔한 원인은 설치 파일의 아키텍처를 잘못 선택한 경우입니다. 화면 왼쪽 위 메뉴 →'이 Mac에 관하여'를 클릭해 확인하세요. '칩' 항목에 Apple M 시리즈가 표시되면 arm64 기기, Intel이 표시되면 x86_64 기기입니다. Apple 실리콘 기기는 이름에 arm64 또는 universal이 포함된 패키지를, Intel 기기는 x86_64 패키지를 받아야 합니다.

Apple 실리콘 기기에서 Intel용 클라이언트를 꼭 실행해야 한다면, 먼저 Rosetta 2 변환 레이어를 설치하세요.

softwareupdate --install-rosetta --agree-to-license

주요 클라이언트(ClashX Meta, Clash Verge Rev, Clash Nyanpasu)는 모두 두 아키텍처용 패키지를 각각 제공합니다. 변환 레이어에 의존하는 것보다 해당 아키텍처의 네이티브 패키지를 직접 선택하는 것이 더 안정적이고 리소스 사용량도 적습니다.

설치 후 점검 목록

메뉴바에 클라이언트 아이콘이 나타나고, 패널을 열어 노드 목록을 확인할 수 있습니다.
터미널에서 scutil --proxy를 실행해 HTTPEnable이 1인지, HTTPPort가 클라이언트 포트(ClashX 기본 7890, Clash Verge Rev 기본 7897)와 일치하는지 확인합니다.
lsof -nP -iTCP:7890 -sTCP:LISTEN(실제 포트 번호로 변경)을 실행해 클라이언트 프로세스가 정상적으로 리스닝 중인지 확인합니다.
구독 링크를 가져오고 프록시 모드를 '규칙'으로 설정한 뒤, 브라우저로 해외 사이트에 접속해 연결이 되는지 확인합니다.
향상 모드나 TUN을 켠 뒤에는 시스템 프록시를 사용하지 않는 앱으로 다시 한 번 연결을 검증합니다.

위 항목을 모두 통과했다면 세 가지 권한 계층이 모두 정상적으로 설정된 것입니다. 이후 구독 업데이트, 규칙 기반 분기, 로컬 네트워크 공유 등의 문제는 사이트 내 다른 가이드와 용어 설명 페이지를 참고하세요.