NoScript 보안 스위트(NSS)는 정말 훌륭한 도구입니다. Firefox와 다양한 Chromium 기반 브라우저용 확장 프로그램으로 제공되며, 소음이 심한 이른바 '모던' 인터넷을 고요한 공간으로 바꿔줍니다. 웹 페이지의 스크립트와 기타 요소를 차단하는 방식으로 작동하는데, 결과적으로 빠르고 조용한 브라우징 경험을 얻을 수 있습니다. 잔소리도, 불필요한 부담도 없죠. 스크립트가 필요할 때는 선택적으로 활성화하면 됩니다. 문제는 이 방식이 기술에 능숙한 사람에게만 통한다는 점입니다.
안타깝게도 일반 사용자에게는 사이트별 권한을 매번 관리하고, 스크립트가 실행되지 않아 생긴 문제의 원인을 파악하는 일이 너무 번거롭습니다. 그렇다면 제한 없는 브라우징의 유연함을 누리면서도 NoScript의 강력한 기능 일부를 활용하고 싶다면 어떻게 해야 할까요? 좋은 공식이 있습니다. 함께 살펴보겠습니다.
전체 허용하되 예외를 두는 방식
기본적으로 NoScript는 '기본 거부(default-deny)' 도구입니다. 신뢰할 수 있는 특정 도메인만 화이트리스트에 추가하며, 세션별 임시 허용도 가능합니다. 훌륭하지만 엄격함과 규율이 필요합니다. 반대로 '기본 허용(default-allow)'으로 설정하는 것도 답이 아닙니다. 그렇게 하면 NoScript를 쓸 이유가 없어지니까요. 하지만 바로 이 지점에서 이 확장 프로그램의 진가가 드러납니다.
스크립트를 포함한 기본 설정
NoScript의 권한은 세 가지 수준으로 나뉩니다. 바로 기본(Default), 신뢰(Trusted), 비신뢰(Untrusted)입니다. 기본은 스크립트를 차단하되 이미지나 미디어 같은 다른 웹 요소는 허용합니다. 신뢰는 스크립트 실행을 강제하고 (선택에 따라) 나머지 모든 요소를 허용합니다. 비신뢰는 모든 것을 차단합니다. 특히 신뢰와 비신뢰는 잘 함께 작동합니다. 페이지에서 일시적으로 모든 것을 허용하더라도 비신뢰로 지정한 도메인은 계속 차단된 상태를 유지합니다. 이 원칙을 일반 사용자에게 맞게 조정할 수 있습니다.
기본(Default) 영역에서 일상적인 브라우징에 필요한 공통 요소들을 허용하도록 설정하세요. 일반적으로 script, object, media, frame이 여기에 포함됩니다. 나머지 요소들은 선택 사항입니다. 각 항목을 정리하면 다음과 같습니다.
- WebGL: 허용하지 않으면 브라우저에서 하드웨어 가속 2D/3D 그래픽을 사용할 수 없고 소프트웨어 렌더링에만 의존하게 됩니다. 배터리 수명이 줄고 경우에 따라 렌더링이 느려질 수 있지만, 하드웨어 그래픽 스택의 버그나 취약점에 노출되지 않는다는 장점이 있습니다. 대부분의 경우 허용해도 괜찮습니다.
- Fonts: 논쟁이 분분한 항목입니다. 원격 폰트는 보안 논란의 단골 소재이기도 합니다. 웹사이트는 독립적으로 완결되어야 하며, 제3자 출처에서 리소스를 불러오는 것은 무책임한 설계입니다. 폰트를 차단하면 페이지가 다소 '추워' 보일 수 있지만, 그 대신 현대 인터넷이 얼마나 취약하게 만들어졌는지 확인할 수 있다는 부수 효과도 있습니다.
- Fetch: 요청 처리에 사용됩니다. 리디렉션이나 오류 처리를 포함해 사이트가 정상적으로 응답하도록 하려면 허용하는 것이 좋습니다.
- Ping: 사용자에게는 아무 가치가 없고 서버에만 유용한 기능입니다. ping 속성은 사용자가 링크를 클릭했을 때 지정된 URL에 알림을 보냅니다. 쉽게 말해 또 하나의 추적 수단이므로 활성화할 필요가 없습니다.
- Noscript: 스크립트가 비활성화된 경우 HTML의 noscript 요소 안에 숨겨진 콘텐츠가 대신 표시됩니다. 스크립트를 허용하는 환경에서는 크게 중요하지 않지만, 허용해 두어도 해가 되지는 않습니다.
- Other: 그 밖의 나머지 요소입니다. 허용해 두어도 무방합니다.
이 구성을 적용하면 사용자는 마치 방해받지 않는 것처럼 웹사이트를 탐색할 수 있습니다. 모든 것이 기본값으로 작동하고 중대한 문제를 겪을 일이 거의 없습니다. 하지만 NoScript가 할 수 있는 일은 아직 더 남아 있습니다.
XSS 방어와 비신뢰 도메인 활용
NoScript의 또 다른 강점은 교차 사이트 스크립팅(XSS) 공격으로부터의 보호입니다. 기술적인 설명은 복잡하지만, 핵심은 스크립트를 허용하더라도 NoScript의 다른 보호 기능은 계속 작동한다는 점입니다. 즉, 이미 한 겹의 안전장치를 갖추고 있는 셈입니다.
특정 도메인을 비신뢰(Untrusted)로 지정하면, 기본 영역이 상당히 개방적이더라도 성가신 사이트를 차단할 수 있습니다. 특히 광고나 추적 용도로만 사용되는 제3자 도메인에 효과적입니다. 어떤 사이트에서든 NoScript 아이콘 메뉴를 열어 각 도메인별 권한을 설정할 수 있고, 사용자 지정(Custom) 옵션도 활용할 수 있습니다.
예를 들어 폰트는 전부 차단하되 특정 페이지에서만 허용할 수 있습니다. 같은 원리로 특정 도메인을 차단해 웹 활동이 여러 사이트에 걸쳐 추적되고 연관되는 것을 막을 수 있습니다. 브라우저들도 강화된 추적 방지, 제3자 쿠키 제한 등으로 이 문제를 해결하려 하고 있지만, NoScript를 함께 쓰면 훨씬 더 견고한 방어막을 만들 수 있습니다. 광고 차단 확장 프로그램과 병행하면 목록에서 놓친 도메인이 있어도 광고 차단기가 페이지를 한 번 더 정리해 줍니다.
실제로 잘 작동할까?
네, 꽤 잘 작동합니다. 필자는 오랫동안 NoScript와 uBlock Origin을 함께 사용해 왔습니다. 실제로 아무것도 사용하지 않는 경우, 하나만 쓰는 경우, 둘 다 함께 쓰는 경우 등 다양한 조합을 테스트했는데, 놀랍지 않게도 최적의 조합은 NoScript + uBlock Origin이었습니다. uBlock Origin 역시 웹 페이지의 온갖 성가신 요소를 차단하고 정리하는 기능이 있기 때문입니다. 눈에 띄는 변화는 제3자 폰트가 로드되지 않는 것 정도인데, 이는 오히려 바람직한 결과입니다.
스크립트가 비활성화되면 검색 상자나 쿠키 동의 팝업이 보이지 않지만, 여기서는 정상적으로 표시됩니다.
물론 언제든지 도메인 상태를 변경하고 페이지를 새로 고칠 수 있습니다. 사용자 지정 영역을 구성할 수도 있습니다. 대부분의 페이지에서는 폰트를 차단하되, 신뢰 영역에 속하지 않으면서 좋아하는 소수의 도메인에서만 허용하는 식입니다. 이렇게 하면 특정 페이지를 위해 다른 보호 설정을 타협할 필요가 없습니다.
이렇게 운영하다 보면 흥미로운 사실들도 발견하게 됩니다.
- 사이트가 본래 콘텐츠 외에 얼마나 많은 불필요한 리소스를 로드하는지 알 수 있습니다.
- 제3자 콘텐츠(폰트 등)를 끄자 수많은 사이트의 디자인이 얼마나 무너지는지 확인할 수 있습니다.
- 스크립트가 활성화된 상태에서도 불필요한 로딩이 줄어들어 체감 속도가 빨라집니다.
광고 차단과 결합하면 대역폭을 절약하고, 시각적 소음을 줄이고, 브라우징 성능까지 개선할 수 있습니다. 삼중 승리입니다.
결론
그렇다면 일반 사용자를 위해 NoScript를 어떻게 설정할까요? 먼저 자신만의 환경을 만들고 조정한 뒤 설정을 내보내세요(Export). 이후 가족이나 지인의 브라우저를 설정할 때 해당 파일을 가져오기(Import)하면 됩니다. 핵심은 기본(Default) 영역에서 스크립트와 몇 가지 필수 요소를 허용하는 것입니다. 이것만으로 NoScript와 비전문 사용자 사이의 문제 99%가 해결됩니다. 여기에 신뢰, 비신뢰, 사용자 지정 목록을 직접 구성하면 더욱 세련된 환경을 만들 수 있습니다.
완벽한 방법일까요? 물론 아닙니다. 완벽한 기술은 없으니까요. 하지만 NoScript가 의도적으로 만들어내는 '깨진 듯한' 웹 경험과 전문가 수준의 운영 사이 어딘가에서, 이 확장 프로그램을 일반 사용자에게도 유용하게 만드는 것은 충분히 가능합니다. 필자의 테스트가 제한적이긴 하지만, 위에서 소개한 구성은 잘 작동하며 추가 보안과 개인정보 보호를 제공하면서도 브라우징을 망치지 않습니다. 한번 시도해 보고, 잘 모르는 가족에게도 적용해 준 뒤 그 결과를 공유해 보세요.