크롬의 광고 차단 툴 전쟁 다음 전략: 느려지는 확장 프로그램 업데이트

 (arstechnica.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • YouTube가 광고 차단 감지 방식을 자주 바꾸는 상황에서, Chrome의 Manifest V3 전환은 광고 차단기의 대응 속도를 구조적으로 늦출 수 있음
  • Manifest V3에서는 필터 목록 같은 변경도 Chrome Web Store 리뷰를 거쳐야 해, 지금처럼 빠른 규칙 배포가 어려워짐
  • Ghostery와 uBlock Origin 쪽 설명에 따르면 YouTube 대응용 필터는 최소 매일, 때로는 그보다 더 자주 갱신되어야 함
  • Chrome Web Store 리뷰는 사례에 따라 몇 시간에서 최대 3주까지 걸릴 수 있어, 모든 변경이 리뷰 대상이 되면 병목이 커질 수 있음
  • Google은 개인정보 보호·보안·성능 개선을 내세우지만, EFF·Mozilla·Ghostery는 Manifest V3가 광고 차단기 약화에 더 가깝다고 비판함

Manifest V3가 바꾸는 광고 차단 대응 속도

  • Google의 광고 차단 대응은 두 축으로 진행 중임
    • YouTube는 광고 차단기를 감지하고 차단하려 함
    • Chrome은 2024년 6월부터 광고 차단 기능을 제한하는 Manifest V3 확장 플랫폼을 단계적으로 의무화하려 함
  • 광고 차단은 광고 전달 방식 변경과 차단 규칙 업데이트가 반복되는 고양이와 쥐 게임에 가까움
  • Manifest V3가 의무화되면 YouTube는 광고 전달 방식을 즉시 바꿀 수 있지만, 확장 프로그램 개발자는 Chrome Web Store 리뷰 때문에 같은 속도로 대응하기 어려워짐

WebRequest API에서 declarativeNetRequest로

  • 기존 Manifest V2는 10년 넘게 쓰였고, 확장 프로그램이 브라우저 트래픽을 강하게 필터링할 수 있게 해줌
  • 이 구조는 개인정보 보호, 웹 속도 개선, 광고 차단에 유리하지만, 세계 최대 광고 회사의 브라우저에서 광고를 차단할 수 있게 하는 구조이기도 함
  • Manifest V3의 핵심 변화는 광고 차단기가 주로 쓰던 WebRequest API를 약화하고, 더 제한적인 declarativeNetRequest API로 대체하는 것임
    • 확장 프로그램은 네트워크 요청을 직접 처리하기보다 Chrome에 차단을 요청해야 함
    • 필터링 규칙 수에 임의의 제한이 있음
    • 개별 규칙의 효과에도 제한이 있음

필터 목록 업데이트가 느려지는 구조

  • 현재 광고 차단기와 개인정보 보호 확장 프로그램은 대형 오픈소스 커뮤니티 목록을 포함해 필터 목록 업데이트를 직접 배포할 수 있음
  • Manifest V3는 Google이 “원격 호스팅 코드”라고 부르는 항목을 제한하며, 필터 목록 같은 변경도 Chrome Web Store를 통한 전체 확장 프로그램 업데이트로 처리해야 함
  • 모든 업데이트가 Chrome Web Store 리뷰 대상이 되면, 단순한 웹사이트 목록 형태의 필터 변경도 지연될 수 있음
  • Ghostery의 제품·엔지니어링 책임자 Krzysztof Modras에 따르면 YouTube는 광고 전달과 광고 차단 감지 방식을 전보다 더 자주 바꾸고 있으며, 차단 목록은 최소 매일, 때로는 더 자주 업데이트되어야 함
  • uBlock Origin의 YouTube 광고 차단 감지 관련 FAQ도 YouTube가 감지 스크립트를 정기적으로 바꾸며, 스크립트 변경 후 필터가 업데이트되기 전까지 사용자가 잠시 차단될 수 있다고 안내함

Chrome Web Store 리뷰가 만드는 병목

  • Manifest V3가 의무화되면 “최소 매일” 필요한 필터 업데이트를 기존 방식으로 배포하기 어려워짐
  • Chrome Web Store 리뷰 시간은 웹상의 여러 사례에서 몇 시간부터 최대 3주까지 다양함
  • 이 리뷰 시간은 모든 변경 사항이 리뷰 절차를 거치도록 요구되기 전의 기준임
  • 앞으로 YouTube는 광고 차단 대응 업데이트를 원하는 시점에 배포할 수 있지만, 광고 차단기의 대응은 Chrome Web Store 리뷰 절차에 묶일 수 있음
  • Ghostery의 Modras는 Manifest V3가 광고 차단 분야의 혁신을 막고, 새 광고와 온라인 추적 방식에 반응하는 속도를 늦추는 게이트키핑 계층을 추가한다고 봄

Firefox와 외부 비판

  • Firefox는 Chrome의 시장 영향력 때문에 Manifest V3 확장 프로그램을 지원해야 하지만, Manifest V2 지원을 가까운 시일 내에 중단하지는 않음
  • Firefox의 Manifest V3 구현은 Chrome과 같은 필터링 제한을 포함하지 않음
  • Mozilla는 Firefox의 Manifest V3 구현에서도 uBlock Origin 같은 콘텐츠 차단·개인정보 보호 확장 프로그램을 효과적으로 사용할 수 있다고 밝힘
  • Google은 Manifest V3가 브라우저의 개인정보 보호, 보안, 성능을 개선한다고 주장함
  • EFF는 Google의 Manifest V3 커뮤니케이션을 “기만적이고 위협적”이라고 비판함
  • EFF와 Mozilla는 Manifest V3가 보안에 큰 도움이 되지 않는다고 봄
    • 확장 프로그램이 보통 문제를 일으키는 방식은 사용자 브라우저 기록을 염탐하는 것임
    • Manifest V3 확장 프로그램도 이전과 마찬가지로 많은 데이터에 접근할 수 있음
  • Ghostery는 Manifest V3의 현재 상태가 개인정보 보호에 도움이 되지 않으며, 결과적으로 사용자에게 적대적이라고 평가함
  • 현재 Chrome은 기존 방식대로 동작하지만, Manifest V3 의무화는 2024년 6월부터 시작될 예정임

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • Ars가 광고 차단을 옹호하려는 건 좋지만, 준비를 더 잘하고 실제 개발자와 이야기하며 잘못된 비난은 피했으면 함
    Google이 blocking webRequest를 없애는 것처럼 논란이 큰 일을 한다고 비판하는 건 타당하지만, 확장 프로그램에 원격 JS 포함을 금지한다고 비판하는 건 부실한 작업임
    간단히 사실 확인만 해도 Mozilla Addons 스토어에서도 원격 JS는 허용된 적이 없다는 걸 알 수 있고, 조금 더 조사하면 미관 필터 업데이트는 확장 프로그램 업데이트가 필요 없으며, Chrome Web Store가 내년에 도입하려는 무심사 빠른 경로도 확인할 수 있음

    • no-review-fast-track은 DNR 규칙 세트 변경이 차단/허용/allowAllRequests 규칙뿐인 확장 프로그램에만 적용되는 것으로 이해함
      포괄적인 콘텐츠 차단기가 차단/허용/allowAllRequests 규칙 변경만으로 의미 있는 업데이트를 어떻게 밀어 넣을 수 있는지는 잘 모르겠음
    • 기사는 목록이 전혀 자가 업데이트될 수 없다고 주장하는데, 이는 원격 JS 금지를 훨씬 넘어서는 얘기임
      “미관” 필터가 정확히 무엇을 뜻하는지도 불명확함
      Firefox에서 uBlock은 문제없이 보이는데, Mozilla Addons 스토어에서 원격 JS가 금지되어 있었다면 거기서는 무슨 일이 벌어지는 건지 궁금함
      Chrome Web Store의 무심사 빠른 경로라는 것도 광고 차단기 업데이트 승인을 임의로, 그것도 여러 번 멈출 수 있는 장치처럼 들림
    • Manifest V3를 제대로 들여다본 건 처음인데, 원격 JS 금지가 어떻게 강제되는지 헷갈림
      개발자가 확장 프로그램에 내장된 비원격 JS로 현재 웹페이지에 서버의 원격 JS를 가져와 실행하라고 시키는 걸 무엇이 막는지 모르겠음. 웹페이지가 원격 JS를 가져올 수 없다면 인터넷 전체가 깨질 것임
      Google은 그런 확장 프로그램을 Chrome Web Store에서 내릴 수는 있겠지만, Chrome은 Firefox와 달리 확장 프로그램 사이드로드를 허용하니 uBlock Origin이라면 그냥 Web Store는 포기하고 웹사이트에서 받으라고 할 수도 있음
      그렇게 되면 uBlock Origin이 페이지에 튜링 완전한 JavaScript를 무제한 주입할 수 있고, 사실상 할 수 있는 일이 거의 무한해지는 것 아닌가 싶음
    • 이렇게 명확한 의도가 펼쳐지고 있는데 왜 다들 애써 외면하려는지 모르겠음
      지금은 모래에 머리를 박고 있을 때가 아님. Google이 Manifest V3를 밀어붙이면 내게 Google은 끝임

  • MV3에서 차단 목록 업데이트에 왜 Chrome Web Store를 거쳐야 하는지 모르겠음
    declarativeNetRequest 문서(https://developer.chrome.com/docs/extensions/reference/decla...)를 빠르게 보면 확장 프로그램 매니페스트에 선언해야 하는 정적 규칙 세트도 있지만, JavaScript로 업데이트할 수 있는 동적 규칙 세트도 있음. 따라서 동적으로 가져오고 갱신할 수 있을 것 같은데, 동적 규칙 세트와 정적 규칙 세트의 구체적 제한 차이를 찾지 못했음

    • uBOL의 FAQ 항목은 여기임: https://github.com/uBlockOrigin/uBOL-home/wiki/Frequently-as...
      추가로, 관련 제한을 설명하는 Chrome 문서는 여기임: https://developer.chrome.com/docs/extensions/migrating/impro...
    • 나도 이 부분이 불명확했음
      기사는 YouTube 광고 차단처럼 특정 사이트 우회를 위해 스크립트를 내려받아 실행하는 경우를 구체적으로 말하는 것 같음
      다만 YouTube 페이지에 script 태그를 추가해 제3자 리소스를 가져오게 하는 식의 방법까지 기술적으로 막히는지는 모르겠음. 내 인상으로는 브라우저 문맥이 아니라 확장 프로그램 문맥 안에서 임의 스크립트를 막는 것에 가까움
    • 동적 가져오기를 “본진 호출”로 규정하고 사용자 프라이버시 위험이라고 주장할 수 있음
    • MV3에 서명된 코드를 강제하는 장치가 있나? 차단 목록을 직접 가져온 뒤 사이드로드하는 별도 클라이언트가 답이 될 수 있을지도 궁금함

  • Google이 왜 간접적으로 대응하는지 이해가 안 됨
    그냥 Chrome Web Store에서 광고 차단기를 금지하면 안 되나? 그게 불가능하다면 특정 광고 차단기를 하나씩 제거하면 안 되나? 큰 것들만 없애도 대부분의 사용자는 광고 차단기를 쓰지 않게 될 것 같음

    • 대놓고 금지하면 Chrome에서 광고 차단을 못 쓴다는 게 너무 명확해질 것 같음
      Manifest V3로 기능을 제한하되 없애지는 않으면, 일반 사용자는 여전히 광고 차단기가 있다고 느끼고 예전만큼 강력하지 않다는 사실을 잘 모를 가능성이 큼
    • 광고 차단기를 금지하면 반독점 규제를 부를 수 있음
      브라우저를 무료로 제공하면서 광고 사업에 이익이 되도록 기능을 약화시키는 건 이해상충이기 때문임. 법무팀 입장에서는 Microsoft가 운영체제 지배력을 이용해 Internet Explorer를 밀고 Netscape 같은 경쟁자를 해친 역사적 사례와 너무 가까울 것 같음
      광고 차단 저지 전략을 여러 기술적 세부사항 아래 묻어두면 특정 업체를 겨냥한 게 아니라고 그럴듯하게 부인할 수 있음
    • 그렇게 하면 나쁜 보도가 많이 나오고 많은 사람이 떠날 것임
      주 법무장관들의 관심까지 끌 수 있음. 애매하고 짜증나는 조치를 하는 편이 Google에는 더 안전함
    • 차라리 스토어에서 광고 차단기를 금지했으면 좋겠음. 그러면 uBlock Origin이 즉시 Firefox의 킬러 앱이 될 것임
    • Google은 사람들이 광고를 차단해도 이익을 보는데, 단지 Google 광고만 차단되지 않으면 됨
      그리고 브라우저에 다른 회사 광고만 기본 차단하는 기능을 넣을 수도 없는데, 그건 반경쟁적이기 때문임

  • 완전한 클릭베이트임
    기사에는 심사 시간이 늘어난다는 내용이 없고, 원래도 “몇 분에서 며칠”이었음
    또한 필터는 확장 프로그램 업데이트에 전혀 의존하지 않음. 필터는 언제든 업데이트 가능한 일반 텍스트 파일임. 게다가 필터에는 “스크립틀릿”이 들어갈 수 있어서 문자 그대로 “원격 호스팅 코드”에 가깝지만, 원시 JavaScript가 아니라는 이유로 MV3에서도 여전히 허용됨

    • 기사 원문에는 이렇게 되어 있음:
      “이미 다룬 내용이다. 하지만 방정식의 다른 쪽은 이야기하지 않았다. 광고 차단 규칙은 더 이상 빠르게 업데이트될 수 없다. 현재 광고 차단기와 프라이버시 앱은 거대한 오픈소스 커뮤니티 목록을 사용하는 경우가 많고, 필터 목록 업데이트를 자체 배포할 수 있다. Manifest V3는 Google이 ‘원격 호스팅 코드’라고 부르는 것을 제한해 이를 막는다. 필터링 목록처럼 무해한 것까지 포함해 모든 업데이트는 Chrome Web Store를 통한 전체 확장 프로그램 업데이트로 이루어져야 한다. 모두 Chrome Web Store 심사 절차를 거치게 되며, 이는 상당한 시간 지연을 동반한다.”
      이게 사실과 다르다면 기사 수정이 반드시 필요함

  • 다시 Firefox를 쓰고 있는데, 정말 신선한 공기를 마시는 느낌이었음

    • AMO도 플러그인 업데이트에 며칠씩 걸림
      최근 Bitwarden 애드온을 업데이트하려 했는데 AMO에 반영되기까지 2주가 훨씬 넘게 걸렸음
      애드온 사이드로드는 Firefox Developer Edition에서만 가능함. 나는 그걸 쓰고 있어서 큰 문제는 아니었음

  • Google은 확장 프로그램 업데이트 심사에 오래 걸릴 뿐 아니라, Chrome 자체도 확장 프로그램 업데이트를 자주 가져오지 않음
    그래서 24시간 안에 스토어에 업데이트를 올리는 데 성공해도 사용자가 실제로 받기까지 하루 이상 더 걸릴 수 있음
    이 모든 걸 합치면 중요한 일에 Chrome 확장 프로그램을 신뢰하면 안 됨. 비밀번호 관리자 같은 것에 보안 취약점이 있으면 업데이트가 시스템에 도달하는 데 며칠이 걸릴 것임

  • 이상하게도 오늘 earlier Firefox에서 Google 웹 서비스 로딩 문제가 여럿 있었음
    GMail은 완전히 멈췄고 끝까지 로드되지도 않았으며, 더 이상 기본 HTML 옵션도 없었음. Sheets는 여러 번 새로고침해도 문서가 반쯤만 렌더링됐음
    다른 사이트들은 모두 괜찮았으니 아마 그냥 우연일 것임

    • 이런 일은 주기적으로 생김. Google 서비스가 Firefox 사용자 에이전트에서 이상하게 동작함
      Edge나 Chrome 사용자 에이전트 문자열을 쓰면 Google 사이트가 다시 작동함
    • Gmail은 모바일 Safari에서 거의 항상 못 쓸 수준임
      주로 사용자 적대적인 커스텀 스크롤 결정 때문인데, 스크롤하려다 터치 이벤트가 계속 잘못 발생하고, 이상한 방식으로 깨져서 새로고침해야 고쳐짐. 애초에 스크롤 자체도 잘 동작하지 않음
      iOS Chrome에서는 더 나은지 모르겠지만, 그 플랫폼에서는 반드시 같은 엔진을 쓰므로 만약 더 낫다면 꽤 심각한 신호임
    • Google 웹사이트는 Chrome으로 쓰고, 나머지는 Firefox로 씀
      Google 계정과 다른 모든 것을 분리해두는 게 마음에 듦

  • Google은 이런 빙빙 돌려 말하기를 그만두고 그냥 Chrome에 광고를 직접 내장해도 될 듯함
    매시간 비디오 광고를 봐야 하고, 모든 페이지의 브라우저 “크롬” 영역에 말 그대로 광고가 붙은 상태에서 일해 보라니 행운을 빔

  • 광고로 유포되는 악성코드, 피싱, 사기 피해에 대해 Google에 책임을 물을 때가 됐음

    • 평판 좋은 웹사이트의 광고에서 악성코드를 두 번 받은 적이 있음
      불법 다운로드나 광고 차단기를 쓰는 동안에는 악성코드를 받은 적이 없음

  • 이 정도로도 사람들이 Chrome을 버리지 않는다면, 앞으로도 아무것도 Chrome을 버리게 만들지 못할까 봐 걱정됨

    • 그렇게 되지 않을 것임. 하지만 이 조치가 바람직해서가 아님
      이런 반사용자적 조치는 모두 작고 점진적인 단계라 일반인은 즉시 알아차리지 못함. 개구리와 끓는 물 같은 얘기임
답변달기