페이지를 새로고침하고 쿠키를 지우고 VPN에 접속해도 웹사이트가 당신을 같은 사람으로 알아본다면, 그 추적은 더 이상 쿠키에 기대고 있지 않다. 원문은 이 현상을 "지문(fingerprint)이 새로운 쿠키"라는 말로 요약한다. 디바이스 지문 추적은 저장된 식별자를 심는 방식이 아니라, 기기와 브라우저가 드러내는 수많은 특성을 조합해 당신을 구별하는 기법이다. 다른 기기에서 열면 값이 달라지고 시크릿 모드에서 달라지면 그나마 보호가 되는 것이지만, 어떤 조건에서도 값이 동일하다면 그만큼 추적이 촘촘하다는 신호다.
쿠키 폐기 약속은 어디로 갔나
제3자 쿠키 논란은 EU가 동의 배너라는 규제까지 먼저 내놓을 만큼 컸다. 원문은 규제 당국이 기술 기업보다 빠르게 움직였다는 점을 비꼬면서, 브라우저 시장의 3분의 2를 쥔 동시에 세계 최대 광고 회사이기도 한 구글의 행보를 3막 구조로 정리한다. 1막(2019~2020년)에서 구글은 쿠키를 없애고 프라이버시 우선 시대를 열겠다고 선언했다. 2막에서는 5년이 지나도 대안으로 내놓은 프라이버시 샌드박스가 반독점 우려를 사며 외면받자 "그냥 쿠키를 유지하겠다"로 방향을 틀었고, 인증 상태의 시크릿 모드에 한해 IP를 가리겠다던 약속조차 끝내 이행하지 않았다. 그리고 3막에서 구글은 자사 광고 상품에서 디바이스 지문 추적을 허용했다. 쿠키를 둘러싼 규제 압박이 무색하게, 더 끈질긴 식별 수단이 공식적으로 열린 셈이다.
지문은 어떻게 만들어지는가
지문의 재료는 크게 두 갈래다. 하나는 네트워크 요청 자체가 흘리는 정보로, 브라우저 종류와 언어, 운영체제, 그리고 응답을 받기 위해 반드시 노출되는 IP 주소가 여기 속한다. IP는 대략의 위치를 드러낸다. 다만 이런 네트워크 신호는 쉽게 바뀌거나 너무 흔해서 그 자체로는 식별력이 약하다. 더 강력한 쪽은 브라우저가 기기에서 코드를 실행하면서 얻는 하드웨어·소프트웨어 특성이다. 별도 권한 요청 없이도 측정되며 값이 놀라울 만큼 안정적이다. 설치된 글꼴, 확장 프로그램, 시스템 정보 같은 소프트웨어 단서도 더해진다.
개별 특성만 보면 식별력이 약하다. 최신 크롬 사용자도, M4 칩이 든 맥도, 프랑스어 브라우저도 각각 수백만 대다. 그러나 이 조건들을 겹치면 후보군이 급격히 줄고, 여기에 하드웨어 측정값까지 더하면 사실상 유일한 값에 가까워진다. 지문은 전 세계에서 완벽히 유일할 필요가 없다. 주어진 표본 안에서 사람들을 구분할 만큼만 유일하면 충분하다. 원문은 IP로 추정한 우편번호, 어딘가에 입력한 생년월일, 성별 세 가지만으로 미국인의 60% 이상을 특정할 수 있다는 사실을 예로 든다.
아키네이터와 정보 엔트로피
원문은 이 원리를 캐릭터 맞히기 게임 아키네이터에 빗댄다. 질문에 대한 답이 후보를 절반으로 줄이면 그 답은 1비트의 정보를 주며, 드문 답일수록 더 많은 정보(서프라이절)를 담는다. 질문 자체의 가치는 엔트로피로 측정한다. 128명 중 1명만 외눈이라면 그 질문은 평균 약 0.066비트를 준다. 독립적인 특성이라면 비트를 더하거나 비율을 곱해 결합할 수 있어, 콧수염에 외눈인 남성은 11비트, 즉 2048분의 1까지 좁혀진다. 다만 콧수염은 이미 남성을 강하게 시사하듯 특성들은 서로 독립적이지 않아, 현실에서 비트가 그대로 합산되지는 않는다는 베이즈적 단서도 함께 언급된다.
브라우저를 바꾸지 않으면 소용없다
실무적 함의는 분명하다. 원문에 따르면 크롬 사용자는 이마에 신분증을 붙이고 다니는 것과 다름없고, 사파리와 파이어폭스는 어느 정도 보호하지만 고급 추적자에게는 여전히 식별된다. 크롬과 엣지는 사이트 간 격리 수준에서 멈추고, 사파리(iOS·macOS 26 이상)와 파이어폭스는 프라이버시로 범위를 넓히지만 지문 추적을 완전히 막지는 못한다. 엔진 차원에서 고급 방어를 구현한 주요 브라우저는 브레이브, 토르, 그리고 신흥 주자인 멀바드 브라우저뿐이다. 반면 단종된 아크에는 프라이버시 기능이 끝내 들어가지 않는다.
확장 프로그램으로 때우려는 시도에는 역설이 있다. JShelter처럼 브라우저 API 호출을 가로채 지문 스크립트를 교란하는 도구나 파이어폭스의 '지문 저항' 기능은 일부 사이트를 깨뜨릴 뿐 아니라, 쓰는 사람이 적다는 이유로 오히려 사용자를 더 특이하게 만든다. 영리한 추적자는 교란된 신호를 무시하고 멀쩡한 신호에 집중하면 그만이다. 결국 어떤 확장도 엔진 차원의 보호만큼 효과적일 수 없다는 것이 핵심이다. 지문 추적을 피하려면 브라우저 자체를 바꾸는 쪽으로 '확실히 전향'해야 한다는 조언으로 글은 수렴한다.
남는 질문들
원문의 서술이 겨냥하는 더 큰 불편함은 데이터가 익명화됐다는 해명이 무의미해지는 지점에 있다. 글쓴이는 데이터에서 사람이 아니라 패턴을, 경제와 사회와 심리가 만들어내는 '디지털 프랙털'을 본다고 말하며, 그 수집물이 광고주뿐 아니라 경찰이나 정부에도 팔릴 수 있음을 숨기지 않는다. 다만 이 글은 특정 측정 기법(오디오 컴프레서를 거친 미세한 부동소수점 차이, GPU 벤더와 렌더링된 삼각형, 글꼴·이모지·그라데이션을 그린 뒤 픽셀을 읽는 캔버스, 시간대, CPU 코어 수와 메모리 등을 SHA-256으로 해싱)을 개념적으로 소개하는 수준이며, 상업용 추적 시스템이 단일 변수 변화를 넘어 어떻게 식별선을 유지하는지는 "훨씬 복잡하다"고만 짚고 지나간다. 지문 추적이 광고 생태계와 규제의 공백을 파고든 현실은 분명하지만, 그 방어가 개인의 선택을 넘어 제도와 엔진 설계의 몫으로 넘어가 있다는 점이 한국 실무자가 함께 눈여겨볼 대목이다.