무슨 일이 있었나요
깃허브에 cfsolve라는 오픈소스 라이브러리가 공개됐어요. Cloudflare의 봇 방어 도구인 Turnstile 챌린지를 헤드리스 브라우저 없이 풀 수 있다는 라이브러리예요.
헤드리스 브라우저는 화면 없이 백그라운드에서 돌아가는 크롬 같은 브라우저예요. Puppeteer나 Playwright로 웹 자동화를 할 때 주로 쓰죠. 지금까지 Turnstile을 넘으려는 시도는 대부분 이 헤드리스 브라우저를 띄워서 '진짜 사람이 쓰는 브라우저인 척'하는 방식이었어요. 그런데 이 라이브러리는 그 무거운 단계를 통째로 건너뛰어요.
이 글에서 우회 방법을 알려드리지는 않을 거예요. 이 소식이 사이트를 운영하면서 봇을 막아야 하는 개발자에게 어떤 의미인지 정리해볼게요.
Turnstile은 어떻게 동작하나요
Turnstile은 Cloudflare가 2022년에 내놓은 CAPTCHA 대체제예요. 예전 CAPTCHA는 신호등이나 횡단보도 사진을 고르게 했잖아요. Turnstile은 대부분 사용자에게 아무것도 시키지 않아요. 대신 페이지에 심어진 자바스크립트가 브라우저 안에서 조용히 여러 검사를 돌려요. 작업 증명(proof-of-work, 컴퓨터가 일정량의 계산을 실제로 했다는 증거)을 요구하기도 해요. 브라우저 API가 진짜 브라우저처럼 반응하는지, 실행 환경에 자동화 도구의 흔적이 없는지도 살펴요.
검사를 통과하면 토큰이 발급돼요. 사이트 서버는 이 토큰을 Cloudflare의 검증 API(siteverify)로 보내서 진짜인지 확인하고요. 토큰은 한 번만 쓸 수 있고 유효 시간도 짧아요.
비유하자면 Turnstile은 '말 걸지 않고 걸음걸이만 보고 사람인지 알아채는 경비원'이에요. 문제는 이 검사 로직이 결국 상대방 손에 있는 브라우저에서 실행돼야 한다는 거예요. 코드를 아무리 난독화(일부러 읽기 어렵게 꼬아놓은 것)해도 시간과 노력을 들이면 분석할 수 있어요. 이게 클라이언트 쪽 검사의 근본적인 한계예요.
브라우저가 필요 없다는 게 왜 중요할까요
헤드리스 브라우저 방식은 무거워요. 크롬 인스턴스 하나가 수백 MB 메모리를 먹고, 페이지 로딩도 느려요. 대량으로 돌리려면 서버 비용도 꽤 들고요. 사실 이 비용 자체가 일종의 방어막이었거든요. '뚫을 수는 있지만 비싸다'는 거죠.
브라우저 없이 동작한다면 보통은 챌린지 스크립트를 분석해서 필요한 계산과 응답을 직접 재현한다는 뜻이에요. 그러면 가벼운 프로세스 하나로 훨씬 많은 요청을 처리할 수 있으니 자동화 비용이 확 떨어져요. 물론 Cloudflare는 챌린지 내용을 수시로 바꾸기 때문에 이런 도구는 금방 막힐 수도 있어요. 봇 방어는 원래 끝나지 않는 '고양이와 쥐' 게임이에요.
업계 맥락
Google reCAPTCHA, hCaptcha, AWS WAF Bot Control, Akamai, DataDome 같은 다른 봇 방어 솔루션도 같은 숙제를 안고 있어요. 클라이언트 쪽 검사는 언젠가 분석된다는 거죠. 그래서 업계는 '한 번의 관문'에서 '여러 신호를 종합한 점수' 쪽으로 옮겨가고 있어요. IP 평판, 요청 패턴, TLS 지문(접속할 때 클라이언트가 드러내는 고유한 특징), 계정의 행동 이력 같은 걸 함께 보는 식이에요. Apple이 주도한 Private Access Token도 같은 흐름이에요. 기기 스스로 '나는 정상 기기예요'라고 암호학적으로 증명하는 방식이죠.
여기에 AI 크롤러까지 늘면서 싸움은 더 치열해졌어요. 콘텐츠를 지키려는 쪽과 데이터를 긁어가려는 쪽 모두 자동화 수준이 빠르게 올라가고 있거든요.
한국 개발자에게 주는 시사점
Turnstile은 무료이고 붙이기 쉬워서 국내 서비스에서도 많이 써요. 그렇다고 Turnstile을 버릴 필요는 없어요. 다만 Turnstile 하나에만 기대면 안 돼요.
- 서버 검증은 필수예요. 의외로 프론트엔드에 위젯만 붙이고 서버에서 토큰 검증을 빼먹는 경우가 있어요. 검증 응답의 hostname, action 값까지 확인하면 더 좋아요.
- 민감한 엔드포인트엔 별도 속도 제한을 거세요. 로그인, 회원가입, 인증번호 발송, 쿠폰 발급처럼 악용되기 쉬운 곳에는 계정·IP 단위 rate limit을 따로 걸어야 해요.
- 돈이 드는 API는 한도를 두세요. SMS 인증 발송에 일일 한도와 이상 징후 알림이 없으면 하룻밤에 요금 폭탄을 맞을 수 있어요.
- 매크로가 몰리는 서비스는 다층 방어를 고민하세요. 티켓팅이나 한정판 판매라면 대기열, 행동 분석, 사후 이상 거래 탐지까지 함께 설계해야 해요.
마무리
CAPTCHA는 자물쇠라기보다 '시간을 버는 장치'에 가까워요. 결국 중요한 건 뚫렸을 때 피해를 얼마나 줄일 수 있느냐예요.
여러분 서비스에서 Turnstile 같은 CAPTCHA가 무력화된다면 그다음엔 어떤 방어선이 남아 있나요?
🔗 출처: Hacker News