브라우저 지문은 새로운 쿠키다

브라우저 지문 수집 방지 플러그인이나 설정을 보면, 지문을 수집할 수 없거나 관련 기능을 많이 꺼 둔 탓에 오히려 더 눈에 띄는 것 같음.
브라우저나 플러그인이 지문 수집에 쓰이는 데이터를 무작위 값으로 위장하면 안 되는 이유가 있을까? 페이지나 리소스를 불러올 때마다 다른 값을 내보내는 식임.

무작위 값도 간접적인 식별 단서가 되기 쉬움. 원래 항상 같거나 브라우저 버전별로 일정한 값들이 있기 때문임. 화면 표시 영역 크기처럼 사용자에게 영향을 주지 않고는 무작위화하거나 식별 불가능하게 만들 수 없는 값도 있음. 평범한 환경으로 위장하는 것도 의외로 어려움. 미국에서 최신 Windows 11에 최신 Google Chrome을 갓 설치한 환경이나, 최신 iOS를 사용하는 비교적 최근 iPhone의 Safari가 군중 속에 섞이기에는 이상적이지만, 수상한 흔적을 하나도 남기지 않기가 어려움.

CanvasBlocker가 하는 일이 이 방식인 것 같음.

해법은 제3자 광고 금지 하나뿐임. 나머지는 어차피 효과도 없는 타협에 불과함.

사기와 스팸 같은 플랫폼 악용 방지에는 여전히 지문 수집이 필요함.

이런 기술을 보면 항상 두 감정이 듦. 기술은 멋지지만, 사생활 침해는 끔찍함.
직장에서도 잠깐 fingerprint.com 도입을 검토했지만, 결국 CDN 계층의 JA3/JA4를 쓰기로 했음.

페이지를 새로고침할 때마다 식별 결과가 달라짐. VPN 없이 Windows의 Firefox, uBlock, CanvasBlocker, Pi-hole만 쓰는데, 지속적으로 유지되는 지문이 나오지 않음!

내 환경에서는 Firefox, uBlock, CanvasBlocker만으로 충분한 것 같음. 새로고침할 때마다 새 식별자가 나옴.

Google이 개발한 Privacy Sandbox가 별로이고 반독점 우려도 불러서 아무도 쓰지 않는다는 설명은 인과관계가 뒤집혀 있음. 제3자 쿠키를 없애는 데 따른 반독점 우려 때문에 대안을 개발한 것임.

처음에는 “Gentle Owl”이었는데, VPN에 연결하고 같은 브라우저의 비공개 창을 최대화하지 않은 채 열었더니 “Nosy Toucan”으로 바뀜.
글의 요지는 여전히 유효하지만, 이번에는 식별 기법이 통하지 않았음.

본문에서도 비공개 창은 별개의 개체로 식별된다고 명시함.

브라우저 지문 수집은 사생활에 매우 해롭고, 방어 수단도 제대로 갖춰져 있지 않음. https://fingerprint.com을 보면 됨. Tor Browser는 이를 막지만, Brave처럼 일상적으로 쓰기 편하면서 이런 추적까지 막아 주는 브라우저는 없는 것 같음.

몇 년째 Brave로 지문을 난독화하고 있음. 인기 브라우저 5개를 https://coveryourtracks.eff.org/로 시험했고, 이 기능이 가능해서 Brave를 골랐음.
대신 2단계 인증을 쓰는 사이트, 요즘은 사실상 모든 사이트가 방문할 때마다 새 기기로 판단함. 컴퓨터를 쓰려 할 때마다 휴대전화를 곁에 둬야 해서 꽤 번거로움.
GrapheneOS를 쓰면 Wi-Fi 네트워크에서도 휴대전화 식별 정보를 숨길 수 있음. 웹사이트에서 숨기는 데는 GrapheneOS 없이 Brave만 있으면 됨. 다만 이동통신망에서는 수많은 SIM 카드를 번갈아 쓰지 않는 한 식별을 피할 수 없음.

이 쫓고 쫓기는 싸움의 다음 단계는 뭘까? 지문 식별을 피하려고 일부러 느린 척하는 브라우저를 쓰게 될까? 혁명을 선언하고 모든 광고를 불법화하게 될까?

쿠키 자체는 나쁘지 않음. 다른 도구처럼 악용될 수 있을 뿐인데, 남의 희생으로 돈을 벌려는 이들이 마구 악용하고 있음. 쿠키는 HTTP(S)처럼 상태를 유지하지 않는 프로토콜에서 페이지 요청 사이의 상태 유지라는 정당한 과제를 해결함.
이제는 거의 해결 불가능한 새 과제가 생김. 공개 시스템에서 악용 가능한 온갖 기능을 악의적인 행위자가 남용하지 못하게 하거나, 시도하는 이들을 확실하게 잡아 처벌하려면 어떻게 해야 할까?

브라우저에 쿠키가 없거나, 모든 쿠키를 거부하거나 매번 허용 여부를 묻게 설정할 수 있었을 때는 어떻게 했는지 기억하지 못하는 걸까? 서버 소프트웨어가 모든 링크에 세션 식별자를 담은 PHPSESSID 매개변수를 자동으로 붙였음.

이건 이미 EU에서 불법임. 동의 배너는 애초에 쿠키가 아니라 추적 행위 자체를 위한 것이었음!
반대로 사생활을 침해하는 추적에 쓰지 않는 단순 로그인 쿠키라면 배너가 필요하지 않음.

그런데 Cloudflare가 내 네트워크에서 언젠가 봇이 실행됐다고 판단한 탓에 여러 페이지에서 계속 차단 대상으로 걸림. 고정 IP를 쓰고 있는데도 이러니, EU가 무엇을 하든 효과가 없는 셈임.

정확히는 사용자 단말기에서 정보를 읽거나 쓰는 행위가 대상임. 전자통신망에서 통신을 전달하기 위한 유일한 목적이거나, 사용자가 명시적으로 요청한 정보사회 서비스를 제공하는 데 반드시 필요한 경우가 아니라면 동의를 받아야 함. ePD 제15조에 따라 일부 보안 관련 예외를 둘 수 있지만, 각국 법률에 별도로 반영해야 함. 기능성 쿠키에도 동의가 필요한 이유가 이것임.
물론 그 위에 GDPR도 적용됨.