여러분의 브라우저는 온라인상의 비밀을 누설하고 있지 않을까요? 뻔뻔하게도 여러분의 은밀한 취향까지 아무 미안함 없이 세상에 드러내고 있을지도 모릅니다. 그렇다면 대체 어떻게 알아낼 수 있을까요?
우리는 인터넷 브라우저에 상상 이상으로 많은 신뢰를 보냅니다. 개인적이고 사적인 정보를 열람하면서도, 일부 식별 정보가 저장된다는 사실을 알고 있습니다. 대부분의 사용자는 편리한 검색 환경과 무료 서비스를 유지하기 위해 이러한 저장에 동의하고 있습니다.
하지만 브라우저는 과연 그 약속을 지키고 있을까요? 어떤 브라우저가 여러분의 프라이버시를 끝까지 지켜주고, 어떤 브라우저가 새는 수도꼭지처럼 정보를 흘리고 있는 걸까요? 지금부터 하나씩 살펴보겠습니다.
브라우저가 아는 당신의 모든 것
브라우저는 다른 웹사이트들이 손쉽게 접근할 수 있는 개인 식별 정보를 끊임없이 제공합니다. 대부분의 경우, 우리가 매일 수많은 시간을 보내는 무료 서비스가 더욱 정교한 맞춤형 광고를 제공할 수 있도록 웹 전반에서 추적당하고 있습니다. 브라우저는 별다른 요청 없이도 다음과 같은 정보를 내어줍니다.
- 위치 정보: 위치 제공은 비교적 당연해 보입니다. 대부분의 브라우저에는 지오로케이션 API가 내장되어 있어, 웹사이트와 서비스가 이를 활용해 지역에 맞는 버전의 페이지를 제공합니다. BBC iPlayer나 넷플릭스처럼 해당 지역에서 이용할 수 없는 서비스임을 판단하는 데에도 쓰이죠. 대부분의 서비스는 단순히 어느 국가에서 인터넷에 접속하는지만 파악하면 됩니다. 지오로케이션 API는 위치를 요청할 수는 있지만 항상 정확한 것은 아니며, GPS 추적이 가능한 스마트폰이 제공하는 정보만큼 정밀하지도 않습니다.
- 하드웨어 및 소프트웨어: 브라우저는 시스템 하드웨어와 설치된 소프트웨어에 대한 정보를 제공합니다. 이는 방문하는 웹사이트가 실제로 사용자의 기기에 맞도록 하기 위함입니다. 또한 설치된 확장 프로그램과 애드온까지 노출되어, 사이트나 서비스 제공자가 그에 맞는 방식으로 상호작용할 수 있게 합니다.
- 연결 정보: 일부 웹사이트와 서비스는 연결 정보를 요청합니다. 이 역시 어떤 콘텐츠를 제공할지 결정하기 위해서입니다. 스트리밍 서비스는 이 데이터를 활용해 시청 중인 영상 화질을 동적으로 조정합니다.
- 소셜 미디어: 앞서 언급했듯이, 소셜 미디어 계정은 인터넷 곳곳에서 여러분을 추적합니다. 대부분의 소셜 미디어 사이트가 광고로 운영되는 무료 서비스이기 때문에, 운영사 입장에서는 이러한 관행을 유지하는 것이 이익입니다. 웹에서 추적되는 것 자체를 꺼리지 않을 수도 있지만, 문제가 될 수 있습니다. 예를 들어 페이스북에 로그인한 상태로 불법 물품이나 성인 콘텐츠를 제공하는 사이트에 바로 접속하면, 소셜 미디어 사이트는 이를 기록으로 남깁니다. 자체 광고 규정 때문에 화면에 선정적인 광고가 가득 차지는 않겠지만, 그 로그는 사라지지 않습니다.
- 자이로스코프: 이 항목은 주로 모바일 기기에 해당하지만, 노트북이나 데스크톱을 사용할 때도 브라우저는 이 정보를 전송합니다. 다만 PC 환경에서는 일부 값이 false나 null로 반환될 뿐입니다. 흥미롭게도(그리고 다소 섬뜩하게도!) 브라우저는 기기가 현재 손에 들려 있는지, 탁자 위에 놓여 있는지까지 판단할 수 있습니다.
이러한 정보는 'What Every Browser Knows About You'라는 사이트에서 손쉽게 확인할 수 있으며, 이 사이트는 이런 정보가 얼마나 쉽게 노출되는지 보여주기 위해 만들어졌습니다. 온라인 발자국을 조금 더 가릴 수 있는 유용한 조언들도 함께 제공합니다. 기본 정보 유출 수준을 진단할 수 있는 곳은 이곳뿐이 아닙니다. Panopticlick을 통해 브라우저가 추적으로부터 얼마나 안전한지 확인해 보세요.
캡션에서 말하듯이, 이 사이트가 모든 추적 기법과 변형 방식을 측정할 수는 없습니다. 일부 추적기는 복잡하고 은밀하며, 솔직히 말해 자신이 추적당하고 있다는 사실조차 사용자가 모르기를 바랍니다. 이 사이트가 흥미로운 이유는 브라우저 핑거프린팅 기록 때문입니다. 필자의 브라우저는 '지금까지 테스트된 129,859개 중에서 고유한 것으로 보입니다'라는 결과가 나왔습니다. 129,859는 바다의 한 물방울에 불과합니다. 구글만 해도 크롬 사용자가 10억 명이 넘는다고 추산합니다. 즉, 크롬 사용자의 0.0001%에 해당하는 표본이죠. 하지만 이는 브라우저만으로 개별 사용자를 얼마나 쉽게 식별할 수 있는지를 잘 보여줍니다.
모든 브라우저는 똑같이 만들어졌을까?
한마디로 답은 '아니오'입니다. 하지만 여러분이 생각하는 이유와는 다를 수 있습니다.
인터넷이 그저 '일련의 관(tubes)'에 불과했던 먼 옛날, 인터넷 익스플로러는 브라우저 시장의 절대 강자로 군림하며 인터넷 접속을 꿈꾸는 이들 모두를 휘두르고 있었습니다. 수많은 경쟁과 좌절 끝에 마이크로소프트는 결국 시장을 상당 부분 독점했다는 사실을 인정해야 했습니다. 그 해답으로 등장한 것이 바로 '다른 브라우저도 있다'고 알려주는 친절한 안내 화면이었죠. 인터넷 익스플로러가 세상에 내려온 유일한 선물은 아니었다는 사실 말입니다.
이로써 상황은 달라지기 시작했습니다.
인터넷 익스플로러가 지배하던 시절에는, 사용자의 개인 정보를 빼내려는 악의적인 이들이 대부분 인터넷 익스플로러의 취약점을 찾아 악행을 저질렀습니다. 전 세계 1위 브라우저였기 때문에 인터넷 익스플로러가 최우선 공격 대상이 된 것입니다.
몇 년이 흐르고 구글 크롬, 모질라 파이어폭스, 오페라, 사파리, 코모도 드래곤, 맥스턴을 비롯한 수많은 브라우저(새로운 마이크로소프트 엣지 포함)가 온라인 커뮤니티에서 탄탄한 지지층을 확보했습니다. 실제로 2016년 4월, 구글 크롬은 마침내 인터넷 익스플로러를 제치고 세계에서 가장 많이 사용되는 브라우저가 되었으며, 이는 인터넷 브라우저 역사에서 오랜 시간 군림해 온 거목의 퇴장이 시작되는 순간이었습니다.
참고로 통계 출처에 따라서는 이 전환점이 실제로는 2016년이 아닌 5년 전인 2011년 4월에 이미 일어났다는 견해도 있습니다. 매달 브라우저 통계와 트렌드를 측정하는 W3Schools가 바로 그런 입장입니다.
어쨌든, 화제를 돌아와서.
애드온, 확장 프로그램, 플러그인 그리고 그 이상
새로운 세대의 브라우저들은 반짝이는 애드온, 확장 프로그램, 플러그인, 애플릿 등의 물결을 몰고 왔습니다. 목표는 물론 웹 브라우징 경험을 간편하고 풍부하게 만드는 것이었죠. 추가 기능이 극히 제한적이던 인터넷 익스플로러와 달리, 새로운 브라우저들은 사용자가 몇 번의 클릭만으로 설치할 수 있는 확장 프로그램의 사용을 장려합니다.
하지만 이들의 등장과 폭넓은 보급은 또 다른 잠재적 취약점을 낳았습니다. 많은 확장 프로그램이 앞서 열거한 일반 데이터는 물론, 더욱 민감한 개인 식별 정보에까지 접근 권한을 요구하기 때문에, 보안 관행이 미흡하면 일반 사용자의 개인 데이터가 쉽게 유출될 수 있습니다. 그리고 실제로 그런 일이 벌어졌습니다.
안티 스크래핑 및 IT 보안 전문업체 ScrapeSentry의 연구진은 개인 정보를 미국에 위치한 단일 IP 주소로 전송하는 무료 앱을 발견했습니다. 120만 명 이상이 다운로드한 구글 크롬 확장 프로그램 'Webpage Screenshot'은 회사 측이 '고객 사이트 중 하나로 향하는 비정상적인 트래픽 패턴을 확인하면서 조사관들이 심각한 문제가 있음을 감지했다'며 적발되었습니다.
브라우저에는 다른 구멍도 있다
우리가 방문하는 수많은 웹사이트가 요청하는 '일상적인' 데이터 제공 외에도, 브라우저는 각종 개인 데이터를 유출하는 것으로 알려져 있습니다.
예를 들어 2016년 초, 캐나다 시티즌랩(Citizen Lab)의 보안 연구진은 중국 인터넷 대기업 바이두가 제공하는 웹 브라우저가 어마어마한 양의 정보를 유출하고 있음을 발견했습니다. 연구진은 다음과 같이 결론지었습니다.
'[바이두 브라우저는] 수집돼야 하는 범위를 훨씬 벗어난다고 판단되는 수많은 개인 사용자 데이터를 바이두 서버로 수집·전송하며, 암호화를 아예 하지 않거나 손쉽게 복호화할 수 있는 암호화 방식을 사용한다'
윈도우용으로 개발된 버전은 검색어, 하드 드라이브 시리얼 번호, 네트워크 MAC 주소, 웹페이지 제목, 심지어 GPU 모델 번호까지 유출하는 것으로 밝혀졌습니다. 게다가 브라우저 업데이트에 코드 서명이 없어 악성 코드가 주입되어 실행되도록 탈취당할 위험도 있었습니다. 더 심각한 것은, 이 브라우저 개발 키트가 전 세계 수천 개의 애플리케이션에 사용되고 있어 문제가 중국 사용자에게만 국한되지 않았다는 점입니다.
하지만 바이두만 문제 삼는 것은 공정하지 않습니다.
구글의 크롬 브라우저도 문제에 부딪힌 적이 있습니다. 세션 정보를 분리해 종료 시 삭제하도록 설계된 시크릿 모드가 이미지를 물리적 메모리 캐시에 저장하는 바람에 성인 콘텐츠가 우발적으로 노출된 사례입니다. 당시 성인 이미지가 '디아블로 3' 로딩 화면에 표시되는 사건이 발생했고, 해당 사용자는 물리적 메모리에서 지워지지 않은 정보를 다른 애플리케이션, 특히 엔비디아 GPU를 통해 접근할 수 있다는 사실을 알게 되었습니다.
누구나 좋아하는 브라우저이자 언제나 타격 대상인 인터넷 익스플로러 역시 데이터 유출과는 무관하지 않습니다. 지난 몇 년간 수차례 다양한 형태로 문제가 드러났습니다. 2014년에는 특히 XP 사용자들이 메모리 누수 취약점에 노출되었고, 2012년에는 공격자가 취약한 시스템에서 마우스 움직임을 기록할 수 있는 마우스 트래킹 문제가 있었습니다(마이크로소프트는 이를 계속 부인했습니다). 새롭게 선보인 마이크로소프트 엣지조차도 허술하게 작성된 통합 PDF 리더를 통해 개인 데이터 유출 문제를 겪었습니다.
새는 수도꼭지보다 심각한 현실
우리의 데이터는 끊임없이 노려지고 있는 듯합니다. 펜실베이니아 대학교의 프라이버시 연구원 팀 리버트(Tim Libert)는 세계에서 가장 인기 있는 백만 개 웹사이트에서 마주치는 수많은 프라이버시 침해 요소를 정량화하려는 동료 평가 연구를 발표했습니다.
'조사 결과, 10개 웹사이트 중 거의 9개가 사용자가 인지하지 못할 가능성이 높은 제3자에게 사용자 데이터를 유출하는 것으로 나타났습니다.'
쉽게 말해, 방금 방문한 웹사이트가 90%의 확률로 사용자 데이터를 다른 사이트에 전달했다는 뜻입니다. 이것이 개인 식별 정보 유출과 완전히 동일하지는 않지만, 대규모 추적은 여전히 심각한 문제입니다. 웹사이트 대부분이 사용자의 '추적 금지(Do Not Track)' 요청을 무시하고 있다는 방증이기 때문입니다.
현재 대부분의 인터넷 사용자는 자신의 행동이 추적되고 그 정보가 저장된다는 사실조차 인식하지 못하고 있습니다.
유출, 추적, 쿠키 등을 막고 싶다면 몇 가지 선택지가 있습니다. 고스토리(Ghostery), NoScript, 디스커넥트(Disconnect), uMatrix 같은 브라우저 확장 프로그램은 데이터 추적으로부터 소중한 안식처를 제공할 수 있습니다. 하지만 결국 대규모 취약점이나 치명적인 브라우저 결함이 발생하면, 여러분이 어떤 조치를 취하든 데이터는 유출될 수 있습니다.
브라우저 보안을 위해 어떤 조치를 취하고 계신가요? 안티 트래킹 앱을 사용하시나요? 아니면 아예 Tor까지 활용하시나요? 아래 댓글로 여러분의 데이터 보호 방법을 알려주세요!