"웹 환경 무결성"은 자유 인터넷에 대한 공격입니다

• Free Software Foundation은 Google의 Web Environment Integrity(WEI) 가 사용자가 원하는 브라우저와 운영체제로 웹에 접근할 자유를 위협한다고 봄
• WEI는 사이트가 페이지를 제공하기 전에 제3자 검증 서비스로 브라우징 환경의 “변조” 여부를 확인하게 하는 API임
• FSF는 이 검증이 Google이 인정한 브라우저 구성만 허용하는 방향으로 작동해 자유 브라우저와 자유 운영체제 사용자의 접근을 막을 수 있다고 우려함
• 정책 문서의 명목상 사용 사례보다 실제 악용 가능성이 더 크며, 승인 브라우저 강제, DRM 강화, Google 서비스 접근 제한에 쓰일 수 있음
• FSF는 WEI에 정당한 근거가 없으며, Google이 자유 인터넷과 양립하기 어려운 표준 작업을 즉시 중단해야 한다고 요구함

---

WEI가 자유 인터넷과 충돌하는 이유

• FSF는 자유 브라우저 사용이 어느 때보다 중요해졌다고 보며, Google의 Web Environment Integrity를 최근 Google 행보 중 가장 나쁜 사례로 비판함
• WEI는 처음 Microsoft GitHub에 올라온 정책 문서로 시작했고, 이후 Google이 Chromium browser에 빠르게 개발을 반영하고 있음
• 이 API는 개발자가 특정 브라우저 구성은 승인하고 다른 구성은 금지할 수 있게 함
• FSF는 이런 방식이 다양한 기기, 프로그램, 운영체제로 하이퍼링크된 페이지에 접근할 수 있다는 인터넷의 기존 개념과 정면으로 충돌한다고 봄
• WEI는 웹 전체를 더 폐쇄적으로 만드는 DRM에 가깝고, 웹의 “enshittification”으로 가는 큰 단계로 평가됨

작동 방식과 예상되는 악용

• WEI에서는 서버가 웹페이지를 제공하기 전에 제3자 “검증” 서비스에 사용자의 브라우징 환경이 “변조”되지 않았는지 확인하도록 요청함
• FSF는 이 검증 서버가 Google 소유가 될 수 있으며, 브라우저가 Google이 수용하는 구성에서 조금이라도 벗어나지 않았는지 검사하게 된다고 봄
• 그 결과 사용자는 four freedoms를 의미 있게 행사하기 어려워지고, 자유 브라우저나 자유 운영체제로는 일부 사이트에서 페이지 제공을 거부당할 수 있음
• 정책 문서가 내세우는 합법적 사용 사례보다 실제 활용 가능성이 더 큰 문제로 지목됨
  • 정부가 공식 “승인” 브라우저만 인터넷 접근을 허용하는 데 사용할 수 있음
  • Netflix 같은 기업이 Digital Restrictions Management(DRM) 를 강화하는 데 사용할 수 있음
  • Google이 자사 이익에 맞는 브라우저를 쓰지 않으면 Google 서비스 접근을 거부하는 데 사용할 수 있음
• FSF는 WEI에 “정당한 근거가 전혀 없다”고 보며, 실제 핵심 용도는 자유 인터넷을 제한하는 데 있다고 비판함
• Google의 의사결정자들은 웹의 창립 원칙을 고려하고, WEI가 자유 인터넷과 근본적으로 양립할 수 없음을 인정해 표준 작업을 즉시 중단해야 함

[GN⁺]

Hacker News 의견들

• 관련 글들. 더 있으면 알려주면 좋겠음
  Google의 브라우저 보안 계획이 위험하고 끔찍하며 웹사이트용 DRM이라고 비판받음 - https://news.ycombinator.com/item?id=36893071 - 2023년 7월 (댓글 63개)
  Google Web Environment Integrity는 새로운 Microsoft Trusted Computing - https://news.ycombinator.com/item?id=36888156 - 2023년 7월 (댓글 282개)
  Google 직원이 WEI에 대한 부정적 피드백에 답함 - https://news.ycombinator.com/item?id=36881506 - 2023년 7월 (댓글 25개)
  Google이 이미 Chromium에 WEI를 밀어 넣고 있음 - https://news.ycombinator.com/item?id=36876301 - 2023년 7월 (댓글 832개)
  Google의 Web Environment Integrity 명세 뜯어보기 - https://news.ycombinator.com/item?id=36875940 - 2023년 7월 (댓글 431개)
  Google 엔지니어들이 광고 차단을 거의 불가능하게 만들려 함 - https://news.ycombinator.com/item?id=36875226 - 2023년 7월 (댓글 468개)
  Google 대 열린 웹 - https://news.ycombinator.com/item?id=36875164 - 2023년 7월 (댓글 191개)
  Apple은 이미 웹에서 증명을 출시했고, 우리는 거의 알아차리지 못했음 - https://news.ycombinator.com/item?id=36862494 - 2023년 7월 (댓글 421개)
  Google의 악몽 같은 “Web Integrity API”는 웹을 위한 DRM 문지기를 원함 - https://news.ycombinator.com/item?id=36854114 - 2023년 7월 (댓글 456개)
  Web Environment Integrity API 제안 - https://news.ycombinator.com/item?id=36817305 - 2023년 7월 (댓글 441개)
  Web Environment Integrity API - https://news.ycombinator.com/item?id=36808231 - 2023년 7월 (댓글 2개)
  Web Environment Integrity 해설 - https://news.ycombinator.com/item?id=36785516 - 2023년 7월 (댓글 45개)
  Google Chrome 제안 – Web Environment Integrity - https://news.ycombinator.com/item?id=36778999 - 2023년 7월 (댓글 93개)
  Web Environment Integrity – Google이 브라우저를 잠그려 함 - https://news.ycombinator.com/item?id=35864471 - 2023년 5월 (댓글 1개)

• 왜 Google이 이런 말도 안 되는 짓을 그냥 하게 두는지 모르겠음. 처음은 toast component였고, 그다음 알림 제거, Manifest V3, FLoC, 이제는 이거임
  기업이야 기업답게 굴겠지만, 사용자와 미래 사용자에게 남은 선택지는 뭔가? 지금은 관심 없지만 현재 인터넷의 형태를 유용하게 여길 수도 있는 사람들 말임
  Google이 자기 제품들을 수정 불가능한 전용 브라우저로만 접근 가능한 벽 뒤에 숨기는 건 상관없지만, 그걸 여기저기 퍼뜨리지는 않았으면 함. 우리는 아직도 어디서나 풀 수 없는 reCAPTCHA를 “즐기는” 중임

  • CAPTCHA에는 강하게 문제를 느낀다. 사실상 Google의 이미지 인식 엔진을 공짜로 훈련시켜 주는 셈임
  • Apple이 그렇게 해도 그냥 넘어가 줬기 때문 아닌가?
    https://httptoolkit.com/blog/apple-private-access-tokens-att...
  • toast component 관련 링크가 있나?
  • “어디서나 풀 수 없는 reCAPTCHA”라고 하지만, 나는 그런 걸 거의 못 봄
    서버가 트래픽을 수상하다고 볼 때 나오는 질의-응답식 검증의 일부임. 대체로 로그인 상태를 유지하고, 쿠키를 막지 않고, Tor나 다른 경로 은닉 수단을 쓰지 않으면 피할 수 있음

• 그런데 아주 비슷한 API가 2022년부터 Safari에 구현돼 있었던 듯함. 마케팅을 잘하면 효과가 큰가 봄. 이건 거의 논의된 걸 못 봤음
  https://blog.cloudflare.com/eliminating-captchas-on-iphones-...
  흥미로운 부분은 이렇다. “우리는 이 과정에서 수집되는 기저 데이터가 실제로 필요하지도 원하지도 않고, 방문자가 기기나 사용자 에이전트를 속이는지만 확인하고 싶다”는 내용임
  예시에서는 방문자가 iPhone에서 Safari를 열고 example.com을 방문하려 하면, Cloudflare가 브라우저에 토큰을 요청하고, Safari가 PAT를 지원하므로 Apple Attester에 API 호출로 증명을 요청함
  Apple 증명자는 여러 기기 구성요소를 확인해 유효성을 검증한 뒤 Cloudflare Issuer에 API 호출을 하고, Cloudflare Issuer가 토큰을 만들어 브라우저에 보내며, 브라우저는 이를 원본 서버에 전달함
  Cloudflare는 그 토큰을 받아 이 사용자에게 CAPTCHA를 보여줄 필요가 없다고 판단함. 내게는 WAI와 너무 비슷하게 들리지만, 이름이 “Privacy Access Tokens”이니 당연히 좋은 거겠지...?
  수정: 며칠 전에 HN 스레드가 있었는데 내가 놓쳤음: https://news.ycombinator.com/item?id=36862494

  • Google의 홍보 전략은 “걱정할 필요 없다, Apple이 하는 것과 비슷하다”라고 말하는 쪽임. 하지만 Google 자신도 해설 문서¹에서 적었듯이 둘은 꽤 다르고, Google은 PAT가 자기들이 하려는 집행에는 불충분하다고 봄
    예를 들어 PAT는 결국 “봇이 아님”을 증명하는 수준이라 기기와 브라우저 환경 데이터 교환이 필요하지 않음. 반면 WEI는 우리가 읽고 있는 웹용 DRM 같은 용례를 가능하게 하려면 그 데이터가 필요함
    https://github.com/RupertBenWiser/Web-Environment-Integrity/...
  • “방문자가 기기나 사용자 에이전트를 속이는지 확인하고 싶다”는 게 무슨 뜻인가? 아마 어떤 기기나 사용자 에이전트가 자신을 특정한 것으로 말하지만 실제로는 다른 경우를 뜻할 것임
    하지만 브라우저는 수십 년 동안 자신이 누구인지 거짓말해 왔음. 그리고 가짜 기기/사용자 에이전트와 특이한 기기/사용자 에이전트의 차이가 뭔가? 그들 입장에서는 아마 차이가 없을 것임
  • 작년에 Cloudflare 원문 글에서 이걸 읽었음. Cloudflare는 사랑받는 회사지만, 이건 웹에 위험한 것이라고 생각했음
  • 차이는 PAT는 광고 차단기를 허용하지만 WEI는 그렇지 않을 것이라는 데 있다고 봄

• 그래서 gopher를 살펴보기 시작했음. 방금 gemini도 알게 됐는데, 내게는 더 흥미로울 수도 있겠음
  기업들은 Apple의 성공을 보고 벽으로 둘러친 정원을 만들기 위해 할 수 있는 모든 걸 하고 있음. 그리고 그보다 덜하긴 해도 기업들이 Linux 개발 방향에도 영향을 주기 시작한 듯함
  언제쯤 스트리밍 사이트를 검증하는 완전한 내장 DRM이 들어올지 궁금함
  https://www.linuxjournal.com/content/diff-u-kernel-drm-suppo...

  • 우리는 더 난해한 우회로를 계속 찾을 게 아니라 정면으로 맞서야 함. 언젠가 기기가 증명에 성공하지 않으면 인터넷 제공자에 연결조차 못 하는 날이 올 수 있다고 봄
    Android SafetyNet 같은 API가 처음 나왔을 때 이미 “앱을 못 쓰면 브라우저에서 웹사이트를 쓰면 되지”가 방어 논리였음. 기업들은 스택의 모든 계층을 절대적으로 통제할 때까지 멈추지 않을 것임
  • HTTP의 대안에는 찬성하지만, 이 문제와는 별로 관련이 없음. 사이트가 WEI의 영향을 받지 않길 원하면 그냥 WEI API를 쓰지 않으면 됨
    그리고 WEI 같은 건 HTTP 위에서처럼 그런 프로토콜 위에서도 충분히 구현될 수 있음. 완전히 별개의 개념임

• 이런 걸 읽으면 엄청 냉소적으로 됨. “절대 안 돼, 내가 보는 앞에서는 안 돼!”라는 느낌이 들다가도, 내가 할 수 있는 건 청원에 서명하거나 이게 무슨 뜻인지 전혀 모를 정치인에게 이메일을 보내는 정도라는 걸 깨닫게 됨
  내 Z세대 동생과 그 또래 TikToker들에게도 중요하지 않은 이유가 같음. 사람들은 신경 쓰지 않는다. 내일 집세를 뭘로 낼지 같은 더 큰 문제가 있고, 5시간 내내 NPC인 척하는 사람을 보며 돈을 주는 더 재미있는 구경거리가 있음
  함께 일했던 많은 사람들도 비슷했음. 자신이 철저히 당하고 있다는 걸 알아차리는 데 익숙하고, 불평에는 중독돼 있지만, 공통 관심사를 공유하는 아주 좁은 집단 안에서만 그럼
  이건 가장 기운 빠지는 혁명임. DNS, JavaScript 난장판, 망 중립성, 브라우저 세계까지 언제나 난리가 나지만 아무것도 이뤄지지 않고, 늘 책임을 미루다가 나중에 또 다른 스레드에서 좋았던 옛날을 회상함
  그런데 결국 내가 뭘 할 수 있나? PR을 거절해야 하나?

  • 이런 스레드마다 “사람들은 신경 쓰지 않는다”는 부정적 얘기가 왜 계속 나오는지 모르겠음. 길거리의 모든 사람이 신경 쓸 필요는 없음
    업계와 규제 영역 안에서 충분한 영향력을 가진 사람들이 신경 쓰면 됨. 그리고 실제로 그러고 있음. 다들 이 문제에 화가 나 있고 추천하고 있으며, 회사와 조직들이 글을 쓰고 있음
    계속 그렇게 하고, 다른 회사들이 거부하도록 밀거나 규제로 막도록 압박하면 됨. Google이 가장 두려워하는 건 분할임. 이걸 밀어붙이면 의원들에게 조직적으로 연락해 우려를 제기하고, Google의 반경쟁 행위에 대한 규제나 분할을 요구할 수 있음
  • 이미 공개 토론과 반발이 꽤 많았다는 점은 오히려 고무적임. 이 문제가 전면에 나온 지 겨우 일주일 정도밖에 안 됐다는 걸 기억해야 함. 하룻밤 사이에 이길 수는 없음
    사람들은 신경 씀. 다만 여론 압박을 만들려면 단계가 있음. 대중이 문제를 알게 되고, 기술적 측면을 배우고 이해하며, 반대를 조직해야 함. 꼭 빠른 과정은 아님
  • 정치인에게 쓰지 말고 적절한 경쟁 당국에 보내는 게 낫다. 최근 논의[1]가 예시가 됨
    [1] https://news.ycombinator.com/item?id=36877310
  • 할 수 있는 일은 있음. 프라이버시 도구의 고급 사용자가 되면 사람들이 기술을 쓰고 상호작용하는 지형을 바꾸는 데 도움이 됨
    주된 목적이 광고 차단 방지라고 가정하면, 내 pinhole DNS 차단기가 영향을 받을지가 궁금함. 새 표준 때문에 모두가 DNS 차단기로 가게 된다면 사용자에게 작은 비용을 치르게 하더라도 전체 지형은 나아질 수 있음
    시스템이 자유롭고 열려 있다고 믿고 필요성을 느끼지 못할 때는 프라이버시 도구의 채택이나 지원이 거의 없음. 경계가 바뀌기 전까지는 모두가 은박지 모자를 쓴 사람 취급을 받음
    사람들은 개인 데이터 보호, 서비스 통제 같은 걸 전반적으로 더 잘 이해해야 하지만, 다른 선택지가 없어져 통제를 되찾아야 할 때까지는 게으르게 굴게 됨
  • 화가 난 건 이해함. 먼저 공감함. 다만 상황의 압박이 실제로 이 일을 하는 사람들이 아니라, 정확히 그렇지 않은 사람들에게 책임을 돌리게 만드는 면이 있음
    소비자 전자기기 사용자는 콘텐츠에 대해 “투표”하는 사람들이 아님. 계층적이고 사적이며 내부 의사결정으로 움직이는 닫힌 컴퓨터 시스템들이 의사결정 지점에 도달하고 있음

• 이런 걸 아는 데 가치를 두는 사람들이 있어서 다행임. 내가 퍼뜨리려 하면 대체로 무지와 마주치게 됨
  이건 Google만의 일이 아님. 그들은 단지 첫 번째가 되고 싶어 하는 듯함
  내가 디지털 봉쇄라고 부르는 “음모론”이 바로 이런 것임. 그 방향으로 가는 또 하나의 단계이고, 이게 하는 일을 보면 목적지에 너무 가까워지고 있음

• 우리가 모두 Google 브라우저를 쓰는지 검증하면 somehow 더 안전해진다는 듯이 굴고 있음. 마치 그쪽 개발자들이 완벽하기라도 한 것처럼
  이런 빅테크의 오만함은 놀랍고 짜증 남

• “저희 웹사이트에 방문하실 수 있습니다. 먼저 디지털 수갑을 보여 주세요”

• 다섯 살 아이에게 설명하듯 누가 알려줄 수 있나? 무슨 일이 생기는 건가? Firefox가 대부분의 사이트에서 작동을 멈추나? uBlock이 안 되나? 월드 와이드 웹 사이트에 접근하기 전에 망막 스캔을 보내야 하나?
  뭐, 예전에도 인터넷 없이 살았음. Microsoft Flight Simulator를 플로피 디스크로 설치했었음. 이번에는 플로피가 좀 더 많아질 뿐이겠지. 큰일 아님

  • 최종 목표는 Google과 몇몇 기업이 대부분의 웹에 접근할 때 어떤 웹 브라우저를 쓸 수 있는지 통제하는 것일 가능성이 큼. Mozilla가 따라갈 수도 있고 아닐 수도 있지만, EME 때는 따라갔음
    Linux는 Ubuntu와 Red Hat 빌드 정도를 제외하면 작동하지 않을 수 있음. 그것도 지원을 추가한 뒤의 얘기임. 브라우저, 운영체제, 커널, 부팅 환경, TPM을 거치는 긴 검증 사슬이 필요하고, 그 사슬이 해킹될 만큼 약하지 않다고 Google을 설득해야 하기 때문에 오래 걸릴 수 있음
    광고 차단기는 어느 시점에 배제될 것임. 그리고 플로피로 Flight Simulator나 하던 시절로 돌아갈 수도 없음. 은행, 비행기표와 콘서트표, 심지어 아이의 소아과도 이걸 요구하게 될 것임
    의사들이 새 웹 명세를 열심히 읽어서가 아니라, 봇과 DDoS를 줄여 준다는 이유로 보안 담당자들이 좋아하는 Cloudflare 기본값에 의존하는 의료 서비스 플랫폼을 쓰게 될 것이기 때문임
    결국 케이블 TV처럼 끊임없이 감시하고 광고하는 벽으로 둘러친 운영체제를 쓰게 될 것임. 큰 소란이 Google을 조금 후퇴시키거나 지킬 수도 없고 지키지도 않을 약속을 하게 만들 수는 있음
    진짜 해결책은 정부를 이용해 사용자가 통제권을 잃지 않도록 막는 것뿐임

• 그래! 다 같이 Chromium 기반 브라우저를 쓰자!
  뭐가 잘못될 수 있겠어?

  • 소수 브라우저가 Chromium 기반인지는 이 재앙에 어느 쪽으로도 큰 영향을 주지 않는다고 봄. 문제는 Chrome의 사실상 독점임