봇 시대에도 개방성과 프라이버시를 지키려는 Mozilla의 웹 자격 증명 구상

 (blog.mozilla.org)
1P by GN⁺ | ★ favorite | 댓글 1개
  • 봇 남용이 늘면서 웹사이트가 CAPTCHA와 로그인 요구를 강화하고, 정상 사용자도 접근 마찰과 프라이버시 저하를 함께 겪고 있음
  • 브라우저의 추적 방지 강화는 사용자 보호에 필요하지만, 기존 사이트들이 남용 방지에 쓰던 IP 주소·브라우저 지문 신호도 약화시킴
  • Mozilla는 Web Environment Integrity 같은 기기 신뢰 증명이 웹 접근 통제권을 소수 OS·하드웨어 업체로 넘길 위험이 있다고 봄
  • 대안은 사용자의 신원이나 발급 출처를 드러내지 않고도 합리적 이용 한도 안에 있는지 확인하는 익명 자격 증명 방식임
  • Cloudflare와 다른 브라우저·웹 이해관계자들이 함께 설계를 시작했으며, 목표는 CAPTCHA와 불필요한 차단, 자기 식별 요구를 줄이는 것임

프라이버시 보호가 남용 방지와 충돌하는 지점

  • 웹 프라이버시 보호는 계속 강화되고 있음
    • 프라이버시 우선 브라우저는 서드파티 쿠키를 제거하고 있음
    • 브라우저 지문 추적을 제한하고 IP 주소를 숨기는 방식으로 추적자에 대응함
  • 이 변화는 사용자 경험에 새로운 비용을 만듦
    • 사용자는 더 많은 CAPTCHA, 로그인 요구, 차단 페이지를 마주함
    • IP 주소와 브라우저 지문은 사용자 프로파일링에 쓰였지만, 동시에 사이트의 남용 방지 신호로도 활용돼 왔음
  • 봇 트래픽 증가는 사이트 운영에도 직접적인 부담이 됨
    • credential stuffing과 스팸 같은 대규모 남용은 실제 피해를 만들 수 있음
    • 정상 방문자도 더 많은 마찰과 낮아진 프라이버시를 감수하게 되고, 사이트는 원래 서비스하려던 사용자를 밀어낼 수 있음
  • 변화가 없다면 사용자는 프라이버시와 웹 접근 중 하나를 선택하도록 압박받게 됨
  • Web Environment Integrity(WEI) 같은 제안은 사용자의 기기와 소프트웨어가 “신뢰할 수 있음”을 사이트에 증명하게 하는 방식임
    • Mozilla는 이런 접근이 기기 통제권을 사용자에게서 소수 OS·하드웨어 업체로 옮긴다고 봄
    • 해당 업체들이 어떤 기기와 소프트웨어가 웹에 접근할 수 있는지 결정하게 되어 오픈 웹과 반대 방향으로 감

익명 자격 증명으로 속도 제한을 증명하는 방식

  • 봇 피해의 핵심은 대규모 실행에 있음
    • 사이트가 사용자의 신원을 알 필요는 없음
    • 사용자의 기기가 승인된 소프트웨어만 실행하는지 확인할 필요도 없음
    • 합리적인 속도 제한 안에 머무는지만 알 수 있으면 됨
  • 속도 제한이 효과를 내려면 공격자가 새 신원을 만들어 한도를 초기화하기 어려워야 함
    • 사이트가 이메일 주소, 연합 로그인, 기기 지문을 요구하는 이유도 새 식별자를 얻는 데 비용이 들게 만들기 위해서임
    • 문제는 이런 식별자가 추적에도 쓰일 수 있다는 점임
  • 기존 사용자 관계가 다른 사이트에서 조용한 보증 역할을 할 수 있음
    • 예를 들어 구독이나 오래된 계정 같은 관계가 있는 사이트가 사용자를 보증할 수 있음
    • 처음 방문한 사이트는 사용자가 한도 내의 실제 사용자임을 신뢰할 수 있지만, 사용자의 신원이나 보증 출처는 알지 못해야 함
  • VPN 사례는 이 접근이 필요한 이유를 잘 보여줌
    • 많은 웹사이트는 정상 트래픽과 남용 트래픽이 섞여 있다는 이유로 VPN 트래픽을 통째로 차단함
    • VPN 서비스가 가입자별로 보증할 수 있다면 사이트는 가입자 단위 속도 제한을 관리할 수 있음
    • 다만 보증 시스템이 VPN 사용자를 추적하게 만들면 VPN을 쓰는 목적이 훼손됨
  • Apple의 Private Access Tokens는 Privacy Pass 기반으로 단회용 토큰을 제공해 방문 간 연결을 막을 수 있음
    • Mozilla는 이 방식에도 중요한 한계가 있다고 봄
    • WEI처럼 기기 증명에 의존해 하드웨어 게이트키핑을 피하지 못함
    • 더 많은 주체가 사용자를 보증하도록 시스템을 열면서도 프라이버시를 유지하기 어렵고, 통제권이 소수에게 집중될 수 있음
  • Mozilla가 지향하는 구조는 누구나 사용자를 보증할 수 있고, 각 사이트가 신뢰할 보증자를 스스로 선택할 수 있는 시스템임
  • Anonymous credentials는 한 주체가 발급한 자격 증명을 사용자가 나중에 제한된 횟수만 사이트에 제시하게 하면서, 사이트와 발급자가 사용을 추적하지 못하게 할 수 있음
    • 자격 증명을 누가 발급했는지도 숨기고, 신뢰된 발급자 집합 중 하나에서 나왔다는 점만 증명할 수 있음
  • Mozilla는 Cloudflare와 다른 브라우저를 포함한 웹 이해관계자들과 이런 시스템 설계를 시작함
  • 최종 목표는 CAPTCHA 감소, 불필요한 차단 감소, 자기 식별 요구 감소를 프라이버시 훼손 없이 달성하는 것임

함께 보면 좋은 글 β

GN⁺   [-]
Lobste.rs 의견들

  • “Cloudflare와 함께” = 바로 거절하게 됨
    기술 개요의 technical overview를 보면 Privacy Pass가 Apple, Chrome, Kagi에서 쓰인다고 하지만, Kagi의 사용 방식은 의미 있게 비공개 검색을 제공하지 않음
    Kagi가 Origin, Attester, Issuer를 모두 한꺼번에 운영해서 Privacy Pass 아키텍처의 핵심 원칙을 어긴다고 봄

    • 그건 정확하지 않음. Privacy Pass 아키텍처는 한 주체가 세 역할을 모두 맡는 방식을 지원함(RFC 9576 §4.6)
      다만 타이밍 부채널은 우려할 수 있음. 다중 제시 익명 자격 증명은 현재 Privacy Pass에 배포된 일회용 토큰보다 이런 부채널을 줄이는 데 꽤 도움이 됨
  • 기술 글은 끝에 링크되어 있음: https://hacks.mozilla.org/2026/06/…
  • 여기서 진전이 보여서 반갑다. 예전 직장에서 이전 시도들을 따라가며 약간 관여한 적이 있음
    다만 “사용자가 적절한 Anchor로부터 Endorsement를 전혀 갖고 있지 않으면 CAPTCHA, 계정 생성, 연합 로그인 같은 기존 메커니즘으로 Credential을 부트스트랩할 수 있다”는 부분은 의문임
    CAPTCHA는 사용자가 지문 채집될 만큼 오래 머물게 하는 수단 말고는 잘 작동하지 않고, 계정 생성과 연합 로그인도 결국 다른 메커니즘으로 관문을 세워야 해서 문제를 한 단계 위로 미룰 뿐임
    게다가 도서관 컴퓨터에서 은행에 로그인하려고 다른 웹사이트에 새 계정을 만들라고 요구할 수도 없음. 오늘날 “기존 메커니즘”은 브라우저 지문 채집에 매우 크게 의존하거나, Apple처럼 하드웨어 증명에 기대는데, Mozilla 등의 목표가 지문 채집을 불가능하게 만드는 것이라면 이게 어떻게 작동할지 모르겠음
  • 일반 브라우저가 웹페이지를 공격적으로 캐시하게 하는 편이 더 유익하지 않을까 싶음. 그게 사용자 지문 채집을 쉽게 만들거나 봇들이 캐시를 공유할 수 있게 할 수 있다는 건 이해함
    하지만 인터넷의 주된 문제는 Shopify가 사기로 돈을 잃는 게 아니라, 우리가 방문했던 콘텐츠가 사라지고 있다는 것임
  • 잘 모르겠음. 웹을 열린 상태로 유지하는 훨씬 효율적인 방법은 우회책을 찾기보다 크롤러라는 원인을 다루는 것 같음
    예를 들면 모든 것에 AI를 집어넣지 않고, 애초에 이 난장판을 일으킨 회사를 지원하거나 가능하게 만들지 않는 것 말임. 크롤러들이 그냥 꺼져 준다면 이런 우회책이 필요 없을 텐데
    • 관련된 회사들은 모두 어떤 형태로든 AI에 깊이 관여하고 있음. 직접 팔고 있거나, 사업 모델과 브랜드 정체성을 전부 그쪽으로 피벗했음
    • “어떤 문제의 해법이 ‘모두가 그냥 …하면’에 의존한다면 그건 해법이 아니다. 모두가 그냥 그렇게 하지는 않는다. 우주의 역사상 모두가 그냥 그렇게 한 적은 없고, 이제 와서 시작하지도 않을 것이다”라는 말이 있음(source)
      그래도 AI가 트래픽 급증을 만든 건 맞지만, 이 문제는 AI보다 훨씬 오래됐고 크롤러가 가장 심각한 문제도 아님. 예컨대 유출된 인증정보 덤프를 은행 로그인에 대입하거나, 기프트카드·신용카드를 무차별 대입하는 문제가 더 큼
      AI가 사라져도 우리는 2021년 수준의 세계로 돌아갈 뿐이고, 그때도 이미 이 문제는 오래전부터 매우 심각했음
답변달기