🩷 브라우저 보안을 지켜라

🩷 브라우저 보안을 지켜라

구독자님 안녕하세요.

클릭 한 번으로 개인정보가 유출되고, 로그인 정보가 도난당하는 시대에, 구글은 웹 브라우저를 위협으로부터 지키기 위해 그간 치열한 노력을 해왔어요. 특히 전 세계 웹을 선도하는 구글의 보안 여정은 한 편의 영화와도 같은데요.

지난 몇 년간 웹 프라이버시의 뜨거운 감자였던 서드파티 쿠키와의 기나긴 사투부터, 바로 지난달 발표된 사용자의 인증 정보를 이용한 계정 무단 접근을 방지하는 최신 기술까지! 이번 글에서는 구글이 더 안전한 웹을 만들기 위해 걸어온 길을 함께 따라가 보겠습니다. 🚀

끝나지 않은 전쟁, 서드파티 쿠키와의 사투

웹에서 사용하는 쿠키🍪는 크게 두 종류로 나뉘어요. 바로 우리가 방문 중인 사이트가 직접 발행하는 퍼스트파티 쿠키와, 다른 외부 도메인이 발급하는 서드파티 쿠키가 있는데요.

퍼스트파티 쿠키는 로그인 상태 유지, 장바구니 정보 기억, 사용자가 마지막에 보던 페이지를 열어 주는 등 웹 사용성을 편리하게 해요. 대부분의 웹 경험 뒤에 퍼스트파티 쿠키가 있다고 해도 과언이 아니죠.

하지만 논란의 중심에 서 있는 것은 서드파티 쿠키에요.🫢 퍼스트파티 쿠키와 다르게 서드파티 쿠키는 현재 방문하고 있는 웹사이트의 도메인이 아닌, 제 3의 외부 도메인이 생성한 쿠키를 의미해요. 문제는, 이러한 서드파티 쿠키가 사용자의 웹 활동, 검색 기록, 그리고 민감한 개인정보까지 수집할 수 있고 이렇게 수집한 데이터를 제 3자에게 판매하거나 사용자 동의 없이 광고 타겟팅에 사용할 수 있다는 점이에요. 이런 상황은 개인의 프라이버시를 침해하는 행위라는 목소리가 커지고 있죠.💭

출처: Google

이러한 서드파티 쿠키의 무분별한 추적은 그간 GDPR, DMA와 같은 전 세계적인 개인정보 보호 규제와 충돌했고, 구글은 2020년부터 서드파티 쿠키를 단계적으로 폐지하겠다고 선언했어요. 그리고 대안으로 개인정보를 보호하면서 광고 생태계도 지키는 '프라이버시 샌드박스' 프로젝트를 추진하기도 했죠.

🚀 구글의 서드파티 쿠키 폐지 타임라인

지난 몇 년간, 구글이 바로 이 서드파티 쿠키를 퇴출시키기 위한 거대한 계획을 추진해왔습니다. 프라이버시 보호의 새 시대를 열 것이라는 기대와 함께였죠. 그런데 지난 4월, 구글은 돌연 이 계획을 공식적으로 중단했습니다.🛑 광고 업계와 규제 당국의 거센 반발이라는 현실의 벽에 부딪힌 것인데요. 그동안의 타임라인을 자세하게 확인해볼까요?

2020년 1월 14일, 구글의 서드파티 쿠키 제거 계획 발표

구글은 Chrome 브라우저에서 서드파티 쿠키 지원을 단계적으로 제거할 계획이라고 밝혔어요. 이 발표에서 구글은 향후 2년 안에 서드파티 쿠키 지원을 중단하고, 이를 대체할 새로운 개인정보 보호 중심 웹 표준을 개발하겠다고 밝혔다고 해요.

2023년 5월 18일, 2024년 1월부터 1% 폐지 시작 예고

구글은 “Point of No Return(돌이킬 수 없는 지점에 도달했음)”을 밝히며 2024년 1월부터 Chrome 사용자 중 1%에게 서드파티 쿠키를 차단하는 테스트를 시작하겠다고 선언함과 동시에 구체적인 쿠키의 폐지 테스트 단계를 예고하였어요.

2023년 10월 11일, 서드파티 쿠키 단계적인 제거 계획 발표

구글은 이전에 주장했던 “단계적 확대”에 대한 명확한 로드맵을 제시했어요. 2024년 1월에 1%의 사용자에게 실제 차단을 적용하는 계획에 더하여, 2024년 3분기부터 모든 사용자를 대상으로 서드파티 쿠키 차단을 확대할 예정이라고 밝혔다고 해요.

출처 : The Privacy Sandbox

2024년 1월 4일, 구글의 트래킹 보호 파일럿 론칭

서드파티 쿠키 제거 계획 발표 이후, 구글은 전 세계 Chrome 사용자의 1%를 대상으로 서드파티 쿠키를 기본적으로 차단하는 ‘트래킹 보호(Tracking Protection)’ 기능을 테스트할 것임을 밝히며 본격적인 조짐을 보였어요. 🎯

출처 : SocialMediaToday

2025년 4월 22일, 구글의 쿠키 폐지 계획 중단 공식화

그리고 구글은 결국 Chrome에서 서드파티 쿠키를 단계적으로 제거하려고 했던 계획을 공식적으로 중단했어요. 광고 업계의 반발과 영국 경쟁시장청(CMA) 등 규제 기관의 독점 우려로 결국 계획을 보류하게 됩니다. 😢

🔄 구글의 새로운 전략, 쿠키 추적 대신 쿠키 탈취를 막다

그렇다면 구글은 웹 프라이버시 강화를 포기한 걸까요? 놀랍게도 바로 지난 7월, 구글은 완전히 새로운 차원의 강력한 보안 카드를 꺼내 들었습니다. 서드파티 쿠키 폐지라는 거대한 정책이 벽에 부딪히자, 구글은 더 근본적이고 직접적인 위협으로 눈을 돌렸습니다. 바로 쿠키 '탈취' 악성코드와의 전쟁입니다.

⛓️‍💥 DBSC: 쿠키 탈취 공격의 종식?

출처 : The Hacker News

지난 7월, 구글이 사용자를 세션 쿠키 탈취 공격으로부터 보호하기 위해 DBSC(기기 종속 세션 자격 증명) 보안 기능을 크롬 브라우저에서 공개 베타 버전으로 제공한다고 발표했는데요.💡

2024년 4월 프로토타입으로 처음 소개된 DBSC는, 공격자가 훔친 쿠키를 사용해 다른 기기에서 피해자의 계정에 무단으로 로그인하는 것을 방지하는 기술이에요.이 기능은 하드웨어에 연결된 암호화 키를 활용하여 인증 세션을 사용자가 로그인한 특정 기기에 단단히 묶어둡니다. 결과적으로, 악성코드를 통해 세션 쿠키가 유출되더라도 다른 기기에서는 재사용이 불가능해져 사실상 쓸모없게 되는 것이죠.

구글 워크스페이스의 제품 관리 수석 이사인 앤디 웬(Andy Wen)은 "DBSC는 로그인 후 보안을 강화하고 세션 무결성을 크게 향상시킵니다."라고 언급했습니다.🎙️

DBSC의 핵심 동작 원리

그렇다면 DBSC의 핵심 동작 원리를 알아볼까요? DBSC는 세션 쿠키에 해당 기기에서만 생성 및 증명 가능한 암호화 정보를 결합하는 방식으로 동작합니다.

결과적으로, 공격자가 세션 쿠키 데이터를 탈취하더라도, 요청에 올바르게 서명하는 데 필요한 개인 키가 없기 때문에 서버 인증을 통과할 수 없게 됩니다. 이로써 탈취된 쿠키는 서명 검증을 통과할 수 없으므로, 다른 기기나 환경에서 재사용이 원천적으로 차단되는 것이죠!💥

Project Zero가 제시한 새로운 정책

추가적으로, 구글의 보안팀 프로젝트 제로(Project Zero)는 소프트웨어 공급망의 보안을 강화하기 위한 새로운 투명성 정책(Reporting Transparency)🛡️을 발표했어요. 투명성 정책은 소프트웨어 패치가 사용자에게 늦게 전달되는 ‘업스트림 패치 격차’ 문제를 해결하기 위해 도입되었는데요. 이제 프로젝트 제로는 특정 소프트웨어에서 취약점을 발견하면, 90일 공개 원칙과는 별개로 일주일 내에 기술적 세부 사항을 제외한 발견 사실 자체를 먼저 공개해야 합니다. 😮

이 조기 공지에는 영향을 받는 제품, 보고 날짜 등이 포함되며, 추후 "배포된 패치가 취약점을 완전히 해결했는지"에 대한 분석까지 더해진다고 해요. 결국 이 정책은 취약점을 찾는 것을 넘어, 관련 기업들이 신속하게 업데이트를 배포하도록 압력을 가하고, 소프트웨어 공급망의 가장 약한 고리인 '패치 지연' 문제를 정조준하며 웹 생태계 전반의 방어력을 높이고자 해요.🎯 또한 이 정책의 영향력은 우리가 사용하는 운영체제와 다양한 소프트웨어에 걸쳐 있어 디지털 세계의 안전 기준을 한 단계 끌어올리고 있어요.🌎

마무리

과연 구글의 새로운 전략은 사용자를 더 효과적으로 보호할 수 있을까요? 서드파티 쿠키가 남긴 '웹 프라이버시'라는 거대한 숙제는 앞으로 어떻게 풀려나갈까요? 한 가지 분명한 것은, 더 안전한 웹을 향한 전쟁은 끝나지 않았으며, 구글은 그 최전선에서 계속해서 새로운 무기를 꺼내 들 것이라는 점이에요.🪖 앞으로 펼쳐질 구글의 다음 행보와 그로 인해 변화할 웹 생태계를 계속해서 주목해야 할 필요가 있겠죠?!🔍

구글의 웹 브라우저 보안을 위한 이번 여정은 이만 여기서 마무리하며, 다음 글에서도 유익한 소식 전해드릴 예정이니 기대해주세요!

구독자님, 오늘 뉴스레터는 어떠셨나요?
해킹/보안 관련 콘텐츠를 계속 받아보고 싶으시다면 구독 부탁드려요! 🙌