쿠키를 지우면 끝? 이제는 아니에요
웹에서 사용자를 알아보는 방법으로 오랫동안 가장 많이 쓰인 게 쿠키예요. 쿠키는 웹사이트가 내 브라우저에 붙여두는 이름표라고 생각하면 돼요. 다시 방문하면 사이트가 그 이름표를 보고 ‘아, 아까 그 사람이구나’ 하고 알아보는 거죠. 그중에서도 광고 회사가 여러 사이트에 걸쳐 심어두는 서드파티 쿠키는 맞춤형 광고를 떠받치는 핵심 인프라였어요. 서드파티 쿠키는 내가 방문한 사이트가 아니라 제3의 도메인이 심는 쿠키를 말해요.
그런데 이 이름표가 몇 년 사이에 힘을 많이 잃었어요. Safari는 ITP라는 기능으로, Firefox는 ETP라는 기능으로 서드파티 쿠키를 기본 차단하고 있어요. 사용자들도 쿠키를 지우거나 시크릿 모드를 쓰는 데 익숙해졌고요. 유럽 규제 이후 사이트마다 뜨게 된 쿠키 동의 배너도 같은 흐름에서 나온 거예요.
‘Fingerprints are the new cookies’라는 글 제목이 바로 이 부분을 말하고 있어요. 이름표를 떼어버리니까 추적하는 쪽은 이름표 없이도 얼굴을 알아보는 방법으로 옮겨가고 있다는 거예요. 그 방법이 브라우저 핑거프린팅(browser fingerprinting)이에요.
핑거프린팅은 어떻게 동작할까요?
핑거프린팅은 브라우저와 기기가 웹사이트에 자연스럽게 내보내는 정보 수십 가지를 모아서 하나의 ‘지문’을 만드는 기술이에요. 재료 하나하나는 평범해요. User-Agent 문자열, 화면 해상도, 시간대, 언어 설정, 설치된 폰트, CPU 코어 수(navigator.hardwareConcurrency) 같은 것들이죠.
더 교묘한 기법도 있어요. 대표적인 게 캔버스 핑거프린팅이에요. 화면에 보이지 않는 canvas에 특정 글자와 도형을 그리게 한 다음 toDataURL()로 픽셀 데이터를 뽑아서 해시를 만들어요. 똑같은 코드를 실행해도 GPU, 그래픽 드라이버, OS의 글꼴 렌더링 방식에 따라 결과가 아주 조금씩 달라지거든요. WebGL로 그래픽 카드 정보를 읽는 방식이나, AudioContext로 소리를 처리시킨 뒤 미세한 오차 패턴을 읽는 방식도 원리는 같아요.
값 하나만 놓고 보면 수많은 사람과 겹쳐요. 그런데 여러 값을 조합하면 얘기가 달라지죠. ‘서울 시간대 + 한국어 + 특정 해상도 + 특정 폰트 조합 + 특정 GPU’를 모두 만족하는 사람은 생각보다 훨씬 적거든요. EFF의 Cover Your Tracks나 AmIUnique 같은 사이트에 가면 내 브라우저가 얼마나 ‘유일한지’ 직접 확인할 수 있는데요, 결과를 보면 꽤 놀라실 거예요.
쿠키와 가장 크게 다른 점은 사용자가 지울 수 없다는 거예요. 어딘가에 저장해두는 게 아니라 접속할 때마다 새로 계산하니까요. 쿠키를 전부 지워도, 시크릿 모드를 써도 같은 기기와 같은 브라우저라면 같은 지문이 나와요. 추적당하고 있다는 걸 알아채기도 어렵고요.
막으려는 쪽과 쓰려는 쪽의 줄다리기
브라우저들은 각자 다른 전략으로 대응하고 있어요. Tor Browser는 모두를 똑같이 보이게 만드는 쪽이에요. 창 크기까지 일정한 단위로 맞춰서 사용자들이 같은 지문을 갖게 하죠. Brave는 반대로 매번 조금씩 다르게 만들어요. 캔버스나 오디오 결과에 사이트와 세션마다 다른 무작위 노이즈를 섞어서 지문이 고정되지 않게 하는 방식이에요. Safari와 Firefox도 노출하는 정보를 줄이거나 뭉뚱그리는 방향으로 가고 있어요.
광고 업계 쪽은 사정이 좀 더 복잡해요. Google은 Chrome에서 서드파티 쿠키를 없애고 Privacy Sandbox라는 대안을 넣겠다고 했다가 결국 그 계획에서 물러났어요. 2025년에는 광고 플랫폼 정책을 바꿔서 핑거프린팅 같은 기법을 허용했는데, 이 때문에 영국 개인정보 감독기관(ICO)에게 공개적으로 비판을 받기도 했죠.
하나 더 알아둘 게 있어요. 핑거프린팅은 광고에만 쓰이는 기술이 아니에요. 부정 로그인 탐지, 봇 차단, 결제 사기 방지 같은 보안 영역에서도 핵심 기술이거든요. 같은 기술이 사기꾼을 막는 도구가 되기도 하고, 사용자를 몰래 따라다니는 도구가 되기도 하는 거예요.
한국 개발자에게 주는 시사점
프론트엔드나 마케팅 쪽 개발자라면 우리 서비스에 붙어 있는 서드파티 스크립트가 무엇을 수집하는지 한 번쯤 점검해보세요. 애널리틱스나 광고 SDK가 안에서 핑거프린팅을 하고 있을 수도 있거든요. 유럽 규제 당국은 핑거프린팅도 쿠키처럼 사용자 동의가 필요한 처리로 봐요. 국내 개인정보보호법에서도 다른 정보와 쉽게 결합해서 개인을 알아볼 수 있다면 개인정보로 다뤄질 수 있어요. 해외 사용자가 있는 서비스라면 더 신경 써야 해요.
보안이나 인증 쪽 개발자에게 핑거프린팅은 꽤 쓸모 있는 신호예요. 다만 유일한 식별자로 믿으면 안 돼요. 브라우저를 한 번 업데이트하면 값이 바뀌기도 하고, 같은 기종의 회사 노트북 수백 대가 거의 똑같은 지문을 가질 수도 있거든요. 위험도를 판단할 때 쓰는 여러 신호 가운데 하나로 보는 게 맞아요.
마무리
쿠키는 지울 수 있지만 지문은 지울 수 없어요. 웹 추적의 무게중심이 ‘저장’에서 ‘계산’으로 옮겨가고 있는 거예요.
여러분 서비스에서는 봇 차단이나 부정 사용 탐지에 핑거프린팅을 쓰고 계신가요? 보안을 위한 핑거프린팅과 추적을 위한 핑거프린팅, 그 경계는 어디쯤 그어야 한다고 보세요?
🔗 출처: Hacker News