VPN이 통과하지 못하는 추적 테스트
동영상 시연을 통해 일반적인 개인정보 보호 도구로는 피할 수 없는 지속적인 디지털 식별자가 드러납니다. 테스트 페이지는 일반 브라우저, Google Chrome 시크릿 모드, 또는 VPN을 사용하더라도 항상 동일한 고유 ID를 반환합니다. 이 변하지 않는 문자열은 심각한 취약점을 보여줍니다.
각 개인정보 보호 도구는 특정 위협을 해결하지만, 이 문제는 그렇지 않습니다. 시크릿 모드는 주로 로컬 브라우징 기록과 저장된 사이트 데이터를 제한하여 웹사이트가 이전에 저장된 쿠키나 세션 정보에 접근하지 못하도록 합니다. 반면 VPN은 IP 주소를 마스킹하고 인터넷 트래픽을 암호화하여 네트워크 위치를 숨기고 다른 지역에서 접속하는 것처럼 보이게 합니다. 하지만 둘 다 핵심 식별 정보는 변경하지 않습니다.
이 지속적인 ID는 Browser fingerprinting에서 비롯됩니다. 이는 수많은 장치 및 브라우저 특성을 결합하여 브라우저를 식별하거나 인식하는 정교한 기술입니다. 중요한 점은 기존의 쿠키나 기타 로컬에 저장된 식별자에 의존하지 않고도 이를 달성한다는 것입니다.
대신, Browser fingerprinting은 다음과 같은 무해해 보이는 데이터 포인트를 집계합니다:
- 장치의 화면 해상도 및 색상 깊이
- 설치된 특정 글꼴
- 운영 체제 및 브라우저 버전
- 하드웨어 동시성(프로세서 코어 수)
- 그래픽 카드가 특정 요소를 렌더링하는 방식의 미세한 차이까지
개별적으로는 이러한 속성들이 무해해 보입니다. 그러나 결합되면 매우 고유한 "지문(fingerprint)"을 생성합니다. 이는 VPN이나 시크릿 모드로 디지털 흔적을 가리려 해도 여러 세션에 걸쳐 브라우저를 안정적으로 식별할 수 있는 디지털 서명입니다.
브라우저가 눈에 띄게 단서를 유출하고 있습니다
웹사이트는 쿠키 없이도 놀라울 정도로 다양한 세부 정보를 브라우저에 요청합니다. 일반적인 브라우저 API에 접근하여 화면의 정확한 크기, 시스템의 시간대, 선호 언어, logical processor cores 수를 확인합니다. 사이트는 장치의 총 메모리까지 대략적으로 파악할 수 있습니다.
이러한 개별 데이터 포인트는 종종 무해해 보입니다. 많은 사용자가 동일한 화면 해상도를 공유하거나 공통 시간대에서 작동합니다. 그러나 “스무 고개” 게임처럼, 각 정보는 그 자체로는 흔할지라도 점진적으로 잠재적 사용자 풀을 좁혀 나갑니다.
이러한 명시적인 쿼리 외에도 브라우저는 더 미묘한 단서를 지속적으로 유출합니다. Canvas, WebGL, Web Audio API용 렌더링 엔진은 특정 하드웨어, 그래픽 드라이버 및 소프트웨어 구성에 따라 약간 다른 출력을 생성합니다. 이러한 작고 종종 보이지 않는 변형이 매우 구별되는 신호를 만듭니다.
결합되면 이러한 다양한 신호가 고유한 browser fingerprint를 형성합니다. 수백만 명이 단일 속성을 공유할 수 있지만, 화면 크기, 시간대, 언어, 프로세서 수 및 특정 설정의 미세한 렌더링 특성을 누적 결합하면 수십억 개의 장치 중에서 귀하의 장치를 정확하게 식별할 수 있습니다.
디지털 ID 뒤에 숨겨진 스무 고개의 수학
Browser fingerprinting을 고위험 20 questions 게임이라고 생각하십시오. 브라우저가 유출하는 각 정보(화면 크기, 시간대, 언어, 프로세서 수)는 “예” 또는 “아니오” 대답 역할을 합니다. 단 하나의 대답만으로는 귀하를 고유하게 식별할 수 없지만, 이러한 단서를 충분히 결합하면 잠재적인 장치 풀이 크게 좁혀집니다.
이러한 가능성의 감소는 비트 단위로 측정되는 entropy(엔트로피)를 통해 정량화할 수 있습니다. 대략 33비트의 식별 정보는 86억 개의 가능성을 구분할 수 있으며, 이론적으로는 지구상의 모든 사람 중에서 특정 기기 하나를 골라내기에 충분합니다. 예를 들어, 일반적인 브라우저는 시간대를 노출하여 전 세계 인터넷 사용자의 90%를 제외할 수 있습니다. 그런 다음 화면 크기로 20%를 추가로 제거하고, 프로세서 코어로 다시 20%를 제거할 수 있습니다.
겉보기에는 무해해 보이는 이러한 세부 정보를 종합하면 매우 고유한 디지털 서명이 생성됩니다. 이 과정은 단순히 명백한 속성에만 의존하지 않습니다. 고급 기술은 그래픽 카드가 글꼴을 렌더링하는 방식이나 오디오 스택이 소리를 처리하는 방식의 미세한 차이를 활용하여 거의 고유한 해시를 생성합니다. 이 기술에 대한 자세한 내용은 Cover Your Tracks - Electronic Frontier Foundation과 같은 리소스를 참조하십시오.
중요한 점은 브라우저 핑거프린트가 개인의 실제 신원을 보장하지는 않는다는 것입니다. 핑거프린트는 단일 기기에서 여러 사용자가 공유할 수 있고, 소프트웨어 업데이트에 따라 시간이 지나면서 변경될 수 있으며, 개인이 아닌 특정 브라우저 인스턴스를 인식하는 데 사용될 수 있습니다. 목표는 종종 이름이나 주소와 연결하는 것이 아니라 지속적인 브라우저 인식에 있습니다.
이 글이 마음에 드셨나요? 매일 아침 이런 글을 메일로 받아보세요.
하루 한 통 · 두 번의 클릭으로 구독 취소 · 제3자 추적 없음
브라우저가 쉽게 식별되지 않도록 만들기
브라우저가 쉽게 식별되지 않도록 하려면 사후 대응적인 차단에서 사전 예방적인 표준화로 전환해야 합니다. 내장된 방어 기능은 노출되는 신호를 줄이거나 무작위화하여 가장 강력한 보호를 제공합니다. Tor Browser, Enhanced Tracking Protection을 갖춘 Firefox, 개인정보 보호를 위해 무작위 읽기 값을 제공하는 Brave, Safari의 Intelligent Tracking Prevention과 같은 브라우저를 고려해 보십시오.
단순히 개별 속성을 차단하거나 스푸핑(spoofing)하는 것은 역설적으로 브라우저를 더 독특하게 만들 수 있습니다. 스푸핑된 화면 크기, 비표준 시간대, 드문 논리 프로세서 수의 비정상적인 조합은 이상치 fingerprint(핑거프린트)를 생성하여 일반적이고 일관된 구성보다 기기를 더 쉽게 식별할 수 있게 만듭니다. 이러한 "혼합 방어(blended defense)" 접근 방식은 보이지 않게 하는 것이 아니라 균일성을 지향합니다.
디지털 발자국을 줄이려면 브라우저 확장 프로그램을 검토하십시오. 불필요한 애드온은 종종 추가 데이터 포인트를 노출합니다. 최신 보안 및 개인정보 보호 패치를 적용하기 위해 브라우저와 운영 체제를 업데이트 상태로 유지하십시오. 브라우저의 고유성을 분석하는 Electronic Frontier Foundation의 Cover Your Tracks 또는 AmIUnique와 같은 도구로 현재 노출 상태를 확인하십시오. 추적 기술은 끊임없이 진화하므로 이러한 결과를 익명성에 대한 보장이 아닌 스냅샷으로 간주하십시오.
자주 묻는 질문(FAQ)
브라우저 핑거프린팅이란 무엇인가요?
브라우저 핑거프린팅은 쿠키를 저장하지 않고도 사용자를 식별하거나 인식할 수 있도록 브라우저, 기기 및 설정에 대한 세부 정보를 결합하는 기술입니다.
VPN으로 브라우저 핑거프린팅을 막을 수 있나요?
아니요. VPN은 IP 주소를 가려주지만, 웹사이트는 여전히 핑거프린트에 기여하는 브라우저 및 기기 신호를 수집할 수 있습니다.
시크릿 모드(Incognito mode)는 핑거프린팅을 방지하나요?
아니요. 시크릿 모드는 세션 종료 후 로컬에 저장되는 내용을 제한할 뿐, 사이트가 관찰할 수 있는 브라우저 및 기기 세부 정보를 자동으로 숨기지는 않습니다.
브라우저 핑거프린팅을 어떻게 줄일 수 있나요?
내장된 보호 기능이 있는 개인정보 보호 중심 브라우저를 사용하고, 최신 상태로 유지하며, 확장 프로그램을 제한하고, 브라우저를 돋보이게 만드는 비정상적인 구성을 피하십시오.
브라우저 핑거프린팅은 항상 악의적인가요?
아니요. 광고주는 이를 추적에 사용할 수 있지만, 은행 및 보안 서비스는 핑거프린트를 사용하여 사기나 자동화된 남용을 식별할 수 있습니다.