보이지 않는 악수: 브라우저 핑거프린팅 이해하기

새로운 웹사이트에 접속할 때, 여러분은 자신이 아무런 정보도 없는 백지 상태로 도착한다고 생각할 수도 있습니다. 로그인을 하지 않았고, 쿠키를 삭제했으며, VPN을 사용하고 있으니까요. 하지만 브라우저가 연결을 시작하는 순간, 정보를 "의도치 않게 제공"하는 과정이 시작됩니다. 이 보이지 않는 악수는 밀리초 단위로 발생하며, 웹사이트에 여러분의 기기, 위치, 그리고 습관에 대한 놀라울 정도로 상세한 프로필을 제공합니다.

최근 "taken" 프로젝트—사용자가 요청하지 않아도 브라우저가 정확히 무엇을 공개하는지 보여주기 위해 설계된 웹 페이지—를 둘러싼 논의는 브라우저 핑거프린팅의 본질과 웹 호환성 및 사용자 개인정보 보호 사이의 긴장 관계에 대한 더 넓은 논쟁을 불러일으켰습니다.

브라우저 정보 공개의 구조

대부분의 사용자는 웹사이트가 자신을 기억하기 위해 쿠키를 사용한다는 것을 알고 있습니다. 하지만 핑거프린팅은 다릅니다. 기기에 아무것도 저장하지 않습니다. 대신, 여러 데이터 포인트를 수집하여 이를 조합함으로써 여러분의 기기에 대한 고유한 식별자를 생성합니다.

기본 사항: 헤더와 IP

모든 HTTP 요청에는 클라이언트가 무엇인지 서버에 알려주는 헤더가 포함되어 있습니다. 여기에는 대략적인 지리적 위치를 제공하고 인터넷 서비스 제공업체(ISP)를 식별하는 IP 주소가 포함됩니다. 또한 기본 언어와, 링크를 클릭하기 전 정확히 어떤 페이지에 있었는지 목적지 사이트에 알려주는 Referer 헤더도 포함됩니다.

하드웨어 프로필

기본 헤더를 넘어, 브라우저는 WebGL과 같은 API를 통해 심층적인 하드웨어 세부 정보를 노출합니다. 이를 통해 사이트는 여러분의 **그래픽 처리 장치(GPU)**를 식별할 수 있습니다. 한 사용자가 언급했듯이, GPU를 알면 제조사, 세대, 그리고 기기의 대략적인 가격을 알 수 있어, 이론적으로는 약탈적 가격 책정이나 인구 통계학적 타겟팅에 사용될 수 있습니다.

미묘한 식별자들

가장 효과적인 핑거프린팅 기술 중의 일부는 겉보기에 무해해 보이는 데이터에 의존합니다:

Timezones: 여러분의 기기는 로컬 시간을 보고하며, 이는 수면 및 업무 패턴을 것을 추론하는 데 사용될 수 있습니다.
Battery Status: Firefox는 추적을 방지하기 위해 2016년에 Battery Status API를 제거했지만, 다른 브라우저들은 여전히 배터리 잔량과 충전 상태를 노출합니다. 연구자들은 배터리 잔량이 짧은 시간 동안 사이트 간 사용자를 추적하는 데 충분히 고유할 수 있음을 보여주었습니다.
Font Lists: 시스템에 설치된 폰트의 특정 조합은 종종 거의 고유합니다. iOS와 같이 보안이 강화된 시스템에서는 효과가 덜하지만, 표준화된 조직 이미지를 사용하는 기업용 기기에서는 기기를 식별하는 강력한 도구로 남아 있습니다.

논쟁: 유용성 vs. 개인정보 보호

"taken" 프로젝트는 기술 커뮤니티의 일부로부터 그 "과장된" 어조에 대해 비판을 받기도 했지만, 근본적인 기술적 현실은 여전히 존재합니다. Hacker News 커뮤니티의 댓글들은 우리가 이 데이터를 어떻게 바라보는지에 대한 근본적인 차이를 보여줍니다.

한편으로는, 어떤 이들은 이 정보가 인터넷이 작동하는 방식의 필연적인 부산물이라고 주장합니다. 한 기여자가 다음과 같이 지적했습니다:

"브라우저는 호환성과 개인정보 보호 사이에서 끼어 있습니다. 환경의 모든 세부 정보는 그것을 필요로 한다고 주장하는 사이트가 있고, 모든 추가적인 정보는 사용자를 더 쉽게 구분할 수 있게 만듭니다."

다른 이들은 이를 동의 없이 이루어지는 침해적인 관행이라고 봅니다. 쿠키나 계정 없이 사용자를 식별별할 수 있는 능력은 "시크릿 모드"가 종종 환상에 불과하다는 것을 의미합니다. 여러분의 GPU, 화면 해상도, 그리고 폰트 목록이 고유하다면, 쿠키가 저장되어 있는지 여부와 관계없이 여러분은 식별될 수 있습니다.

정확도와 한계

핑거프린팅은 정확한 과학이 아닙니다. 많은 사용자가 "taken" 페이지가 자신의 도시나 브라우저를 잘못 식별별할 수 있다고 보고했습니다. IP 기반의 지리적 위치 정보는 특히 모바일 사용자나 VPN을 사용하는 사용자에게는 악명할 만큼 부정확할 수 있습니다.

게다가, 핑거프린팅의 효과는 여러분의 설정이 얼마나 "고유"한지에 달려 있습니다. 주요 도시에서 Chrome을 사용하는 표준 MacBook Air 사용자는 수천 명의 다른 사람들과 구별되지 않을 수 있습니다. 하지만 틈새 Linux 배포판을 사용하고, 고사양 GPU를와 함께 특정 폰트 세트를 설치한 사용자는 "유니콘"이 되어 웹 전체에서 쉽게 추적될 수 있습니다.

자신을 보호하는 방법

디지털 발자국에 대해 우려하는 분들을 위해, 몇 가지 도구구와 전략을 핑거프린팅을 완화화할 수 있습니다:

Privacy-Focused Browsers: Firefox와 Brave와 같은 브라우저들은 핑거프린팅 스크립트가 노출하는 데이터의 양을 제한하기 위한 내장된 보호 기능을 갖추고 있습니다.
EFF Cover Your Tracks: Electronic Frontier Foundation (EFF)는 여러분의 브라우저 핑거프린팅이 얼마나 고유한지 확인하는 도구구를를 제공하며, 그 고유성을 줄이는 방법에 대한 가이드라인을 제공합니다.
VPNs: VPN은 실제 IP 주소를 숨기지만, WebGL이나 폰트 기반의 핑거프린팅을 막지는 못합니다.
Disabling 가장 극단적인 조치는치는 조치는 JavaScript를 비활성화하는 것입니다. 이는 배터리 및 GPU 체크와 같은 더 침해적인 핑거프린팅 API(같은)의 실행을 방지하지만, 종나종 현대적인 웹사이트 기능이 작동하지 않을 수 있습니다.