VPN과 Incognito 모드에서도 살아남는 추적기
상상해 보세요. 작은 JavaScript 페이지가 브라우저에서 열리고, Incognito 모드에서 다시 열리며, VPN을 활성화한 상태에서도 열립니다. 매번 동일한 고유 식별자가 반환됩니다. 이 간단한 시연은 일반적인 개인정보 보호 도구를 우회하는 추적 방식을 보여줍니다.
많은 사람이 Incognito 모드를 사용하면 온라인에서 투명 인간이 된다고 생각합니다. 하지만 그렇지 않습니다! 이 모드는 주로 브라우징 기록이나 쿠키 유지와 같이 기기에 저장되는 로컬 데이터만 제한합니다. 한편 VPN은 인터넷 트래픽을 재라우팅하고 표시되는 IP 주소를 변경하여 물리적 위치를 숨깁니다. 하지만 둘 다 브라우저 자체의 특성을 근본적으로 바꾸지는 못합니다.
핵심 차이점은 다음과 같습니다. 기존의 추적 방식은 웹사이트가 사용자를 '기억'하기 위해 컴퓨터에 저장하는 작은 파일인 쿠키에 의존하는 경우가 많습니다. 브라우저 핑거프린팅은 다릅니다. 이는 로컬에 아무것도 저장하지 않고도 브라우저가 방문하는 모든 웹사이트에 자발적으로 제공하는 정보를 수집하여 신원을 추론합니다. 즉, 쿠키가 설정되지 않으며 삭제할 로컬 데이터도 없습니다.
무해한 세부 정보 몇 가지가 모여 만드는 서명
컴퓨터를 대상으로 하는 '스무고개' 게임을 상상해 보세요. 브라우저 핑거프린팅은 화면 크기, 선호 언어, 시간대, 브라우저 버전, 프로세서 코어 수와 같이 겉보기에는 무해한 세부 정보를 브라우저에 묻는 것에서 시작합니다. 개별적으로는 흔한 정보들이지만, 결합하면 가능한 기기 범위를 빠르게 좁혀 새로운 데이터 포인트가 추가될 때마다 많은 후보를 제거합니다.
이 제거 원리는 엔트로피(entropy), 즉 집합에서 하나의 항목을 구별하는 데 필요한 정보량과 관련이 있습니다. 이론적으로 약 33비트의 엔트로피만 있으면 86억 개 중 하나를 식별할 수 있습니다. 브라우저의 초기 세부 정보가 그 정도의 고유성에 도달하지 못하더라도, 종종 특정 사용자 집단 내에서 기기를 매우 쉽게 구별할 수 있을 만큼 충분한 엔트로피를 생성합니다.
추적기는 여기서 멈추지 않습니다. 능동적 프로브(active probes)를 사용하여 더 구체적인 세부 정보를 수집합니다. 예를 들어, 캔버스 렌더링은 숨겨진 그래픽과 텍스트를 그릴 수 있습니다. 그래픽 하드웨어, 설치된 폰트, 브라우저가 픽셀을 렌더링하는 방식의 미세한 차이가 고유한 이미지를 만들고, 이는 다시 고유 식별자로 변환될 수 있습니다.
또 다른 기술은 Web Audio API 핑거프린팅입니다. 스크립트가 소리를 생성하고 다양한 오디오 효과를 거쳐 처리한 뒤 출력값을 분석합니다. 특정 하드웨어와 소프트웨어가 이러한 오디오 신호를 처리하는 방식의 미세한 차이가 고유한 '오디오 핑거프린트'를 만듭니다. 이러한 핑거프린트는 확률적이며 소프트웨어 업데이트 후 약간 변경될 수 있지만, 쿠키 없이도 브라우저를 인식할 수 있는 강력한 수단을 제공합니다.
보안과 감시, 같은 기술이 양면성을 띠는 이유
브라우저 핑거프린팅은 흥미로운 이중 용도 딜레마를 보여줍니다. 보안을 위한 강력한 도구가 될 수도 있지만, 은밀한 감시 수단이 될 수도 있습니다. 예를 들어, 사기 방지 팀은 이러한 고유한 브라우저 '서명'을 활용하여 의심스러운 활동을 포착합니다. 봇이 수백 번의 로그인 시도를 하거나 여러 개의 가짜 계정을 생성하려는 상황을 상상해 보세요. 이러한 작업 전반에 걸쳐 일관된 핑거프린트가 나타나면 자동화 시스템에 경고 신호가 발생합니다.
이러한 신호들이 부정행위에 대한 결정적인 증거는 아니지만, 보안 분석가들에게는 중요한 맥락을 제공합니다. 이는 자동화된 공격, 크리덴셜 스터핑(credential stuffing) 및 기타 눈에 띄지 않을 수 있는 악의적인 행동을 식별하는 데 도움이 됩니다. 온라인 뱅킹을 보호하는 데 사용되는 것과 동일한 기본 기술이 정교한 봇을 탐지하는 데에도 기여합니다.
사용자가 쿠키를 차단하거나 삭제하더라도 핑거프린팅을 통해 사용자를 추적하려는 광고 기술(ad-tech) 업계와 비교해 보십시오. 모든 사용자의 핑거프린트가 고유한 것은 아니며 모든 웹사이트가 이를 사용하는 것은 아니지만, 그 목적은 종종 기존의 동의 메커니즘을 우회하여 타겟 광고를 위해 사이트 전반에서 사용자를 재식별하는 데 있습니다.
이는 중요한 개인정보 보호 문제로 이어집니다. 여러 관할 구역의 규제 당국은 브라우저 핑거프린팅을 쿠키와 유사하게 사용자의 기기에 정보를 액세스하거나 저장하는 것으로 간주할 수 있습니다. 따라서 단순히 쿠키를 피한다고 해서 사이트가 자동으로 동의 요구 사항에서 자유로운 것은 아닙니다. Cover Your Tracks - Electronic Frontier Foundation에서 자신의 브라우저 고유성을 테스트해 볼 수 있습니다.
이 글이 마음에 드셨나요? 매일 아침 이런 글을 메일로 받아보세요.
하루 한 통 · 두 번의 클릭으로 구독 취소 · 제3자 추적 없음
핑거프린트 확인 및 동화되는 방법
브라우저의 독특함이 궁금하신가요? EFF의 Cover Your Tracks 또는 AmIUnique를 방문하여 간단한 진단을 실행해 보세요. 이 사이트들은 화면 크기나 설치된 글꼴 등 브라우저의 어떤 속성이 고유한 서명에 기여하는지 보여줍니다. 이러한 테스트는 스냅샷일 뿐이며 브라우저 버전과 설정이 변경됨에 따라 핑거프린트도 변할 수 있다는 점을 기억하세요.
때때로 오히려 눈에 띄게 만들 수 있는 개인정보 보호 확장 프로그램을 쌓아두는 대신, 내장된 보호 기능을 갖춘 브라우저를 찾아보세요. Tor Browser와 Mullvad Browser는 모든 사용자가 거의 동일하게 보이도록 하여 특정인을 식별하기 어렵게 만드는 것을 목표로 합니다. Brave, Firefox, Safari와 같은 다른 브라우저들도 다양한 수준의 fingerprinting 방어 기능을 제공합니다. 예를 들어, Firefox 업데이트는 시크릿 모드(Incognito mode)에서의 고유 사용자 수를 거의 절반으로 줄였습니다.
더 잘 동화되려면 브라우저를 최신 상태로 유지하고 고유한 세부 정보를 노출할 수 있는 불필요한 추가 기능을 피하세요. 변경 후에는 브라우저의 핑거프린트를 다시 테스트하십시오. 어떠한 브라우저 설정이나 VPN도 완전한 익명성을 보장하지 않으며, 더 강력한 보호를 위해서는 호환성이나 편의성 측면에서 타협이 필요한 경우가 많습니다.
자주 묻는 질문
브라우저 핑거프린팅이란 무엇인가요?
브라우저 핑거프린팅은 쿠키를 저장하지 않고도 브라우저를 인식하기 위해 브라우저, 기기 및 설정에 대한 세부 정보를 결합하는 기술입니다.
VPN으로 브라우저 핑거프린팅을 막을 수 있나요?
아니요. VPN은 IP 주소를 마스킹할 수 있지만, 핑거프린트에 기여하는 대부분의 브라우저 및 기기 특성은 변경하지 못합니다.
시크릿 모드(Incognito mode)는 핑거프린팅을 방지하나요?
아니요. 시크릿 모드는 세션 간에 로컬로 저장되는 내용을 제한하지만, 웹사이트는 여전히 브라우저 특성을 읽을 수 있습니다.
브라우저 핑거프린트를 어떻게 테스트할 수 있나요?
EFF의 Cover Your Tracks 또는 AmIUnique를 사용하세요. 이 도구들은 테스트된 브라우저들 사이에서 귀하의 브라우저가 얼마나 독특하게 보이는지 보여줍니다.