브라우저 핑거프린팅이란

브라우저 핑거프린트는 실행 중인 JavaScript에 브라우저가 노출하는 속성으로부터 구축된 높은 엔트로피의 식별자입니다. 기본 기술은 여러 계열로 나뉘며, 각각은 결합된 핑거프린트의 엔트로피에 기여합니다.

Canvas 핑거프린팅

HTML5 canvas 요소는 기본 GPU, 드라이버, 운영 체제, 폰트 서브시스템에 따라 그래픽을 약간씩 다르게 렌더링합니다. 특정 폰트로 고정된 문자열을 그린 다음 결과 픽셀 데이터를 해시하면 기기마다 다르지만 같은 기기의 세션 간에는 안정적인 식별자가 생성됩니다. Canvas 핑거프린팅은 표준 사례이자 집행 조치에서 가장 많이 인용되는 기술입니다.

오디오 핑거프린팅

AudioContext API는 그래픽과 동일한 유형의 하드웨어-소프트웨어 파이프라인을 통해 오디오 신호를 처리하며, 결과 출력은 엔트로피를 생성하는 방식으로 달라집니다. 알려진 오실레이터를 컴프레서를 통해 실행하고 결과를 해시하면 기기별 안정적인 식별자가 생성됩니다.

폰트 열거

운영 체제와 사용자 프로필마다 설치된 폰트 세트가 다릅니다. 후보 폰트 목록의 텍스트 지표를 측정하여 폰트의 유무를 조사하면 폰트 세트를 맞춤화한 사용자를 특히 잘 구별하는 식별자가 생성됩니다.

WebGL 핑거프린팅

WebGL은 GPU 기능과 렌더링 동작을 노출합니다. 벤더 문자열, 렌더러 문자열, 고정 장면의 렌더링 조합이 또 다른 높은 엔트로피의 식별자를 생성합니다.

네트워크 및 기기 메타데이터

능동적 조사 기술 외에도 핑거프린트는 일반적으로 수동 메타데이터를 포함합니다. User-Agent 문자열, 언어 기본 설정, 시간대, 화면 해상도, 색 깊이, 사용 가능한 메모리, 사용 가능한 프로세서, 배터리 상태, 연결 계층의 TLS 핑거프린트가 그것입니다. 각 항목은 독자적으로 엔트로피를 추가하고 다른 항목들과 곱셈적으로 결합됩니다.

규제 기관의 핑거프린팅 처리 방식

법적 분석은 개요상 간단하지만 실무에서는 더 어렵습니다. 사용자를 식별하는 핑거프린팅은 GDPR의 정의에 따라 개인 데이터를 생성하며, 기기에 이미 저장된 정보를 읽거나 접근하는 것은 쿠키를 규율하는 동일 조항인 ePrivacy 지침의 Article 5(3)에 해당합니다. Article 5(3)과 GDPR 모두 비필수 추적에 대해 사전 동의를 요구합니다. 법이 쿠키를 넘어서는 부분은 ePrivacy 5(3)이 "가입자 또는 사용자의 단말 장비에 이미 저장된 정보의 저장 또는 접근 획득"을 포함한다는 점이며, 이는 핑거프린팅이 의존하는 기기 상태 조사를 포함하기에 충분히 넓은 언어입니다.

EDPB는 쿠키가 아닌 추적에 대한 Article 5(3) 적용에 관한 2023년 지침에서 이 해석을 확인했고, CNIL은 가장 공격적인 집행자였습니다. 2024년의 여러 벌금은 동의 전에 작동하는 핑거프린팅 라이브러리를 주요 위반으로 지적했습니다. 영국 ICO의 2024년 추적 관련 성명은 canvas, 오디오 및 유사한 핑거프린트가 쿠키와 동등한 수준에서 옵트인 동의를 요구한다는 점을 더욱 직접적으로 언급하고 있습니다.

회색 지대: 사기 방지 대 추적

핑거프린팅에서 가장 논쟁적인 사용 사례는 사기 방지입니다. 봇 감지, 계정 탈취 방어, 결제 사기 검사 모두 기기 핑거프린팅을 핵심 신호로 사용합니다. 규제 기관은 이 처리의 일부가 동의보다는 정당한 이익 아래 정당화될 수 있다고 인정했지만, 기준은 높고 범위는 좁습니다. CNIL의 입장, 다른 DPA들이 반향하는 것은 다음과 같습니다.

• 퍼스트파티 속성에서 엄격히 필요한 사기 방지는 정당한 이익 평가(LIA)에서 적절한 문서화를 통해 정당한 이익 하에 진행될 수 있습니다.
• 동일한 핑거프린트의 행동적 또는 광고 목적 사용은 동의가 필요하며 사기 방지 근거에 의존할 수 없습니다.
• 어떤 목적으로든 제3자와 핑거프린트 공유는 일반적으로 정당한 이익 범위를 벗어나며 동의가 필요합니다.
• 즉각적인 사기 확인 이후 핑거프린트의 지속적 저장은 일반적으로 동의 또는 매우 엄격하게 작성된 정당한 이익 입장이 필요합니다.

실용적인 시사점은 사기 방지 핑거프린팅과 광고 기술 핑거프린팅을 모두 실행하는 퍼블리셔는 둘 다 커버하기 위해 사기 근거에 의존할 수 없다는 것입니다. 두 흐름은 아키텍처적으로 분리되어야 하며, 광고 기술 흐름은 동의 뒤에 게이팅되고 사기 방지 흐름은 문서화된 목적으로 제한되어야 합니다.

CMP에서 핑거프린팅 처리 방법

핑거프린팅의 통합 패턴은 다른 추적 기술과 유사하지만 명백한 저장 부재로 인해 동의 경계를 놓치기 쉽기 때문에 추가 주의가 필요합니다.

1. 핑거프린팅 표면 인벤토리 파악

canvas toDataURL()을 호출하거나, AudioContext 기반 처리, 텍스트 지표 측정을 통한 폰트 조사, 또는 WebGL 렌더러 쿼리를 실행하는 스크립트를 사이트에서 감사합니다. 이러한 호출은 종종 서드파티 라이브러리, 즉 광고 기술 SDK, 사기 방지 벤더, A/B 테스팅 도구에 묻혀 있으며 즉시 보이지 않습니다.

2. 각 핑거프린팅 사용 분류

핑거프린팅을 수행하는 각 라이브러리에 대해 (a) 사이트 기능에 엄격히 필요한지, (b) 정당한 이익 하에 사기 방지 조치인지, (c) 추적, 분석 또는 광고용인지 문서화합니다. (a)와 (b) 카테고리는 문서화된 근거에 따라 명시적 동의 없이 진행될 수 있습니다. (c) 카테고리는 옵트인이 필요합니다.

3. 추적 목적 핑거프린팅 게이팅

(c) 카테고리에 해당하는 라이브러리의 경우, CMP는 마케팅 쿠키와 동일하게 처리해야 합니다. 스크립트는 DOM에 있지만 방문자가 마케팅 카테고리를 수락할 때까지 비활성 상태입니다. 대부분의 현대 CMP는 이미 표준 type="text/plain" + 카테고리 속성 패턴을 통해 이를 지원합니다.

4. 사기 방지 핑거프린팅의 정당한 이익 근거 문서화

핑거프린팅이 정당한 이익 하에 진행되는 경우, LIA는 구체적이고 현재적이어야 하며 실제 처리 범위를 반영해야 합니다. 일반적인 "사기 방지"는 충분하지 않습니다. LIA는 어떤 데이터가 처리되는지, 얼마나 오래 보관되는지, 어떤 보호가 적용되는지, 사용자의 현실적인 기대가 무엇인지 식별해야 합니다.

5. 정당한 이익 흐름에 대한 의미 있는 옵트아웃 제공

사기 방지 핑거프린팅이 동의 없이 진행되는 경우에도 GDPR의 Article 21은 사용자에게 정당한 이익 처리에 반대할 권리를 부여합니다. CMP는 이 권리를 표면화해야 하며, 기술적 구현은 권리가 행사될 때 실제로 핑거프린팅을 중지해야 합니다. 핑거프린팅을 계속하면서 반대 의사만 기록하는 것이 아니라 실제로 멈춰야 합니다.

감사 체크리스트

핑거프린팅 표면을 잠재적으로 노출할 수 있는 모든 사이트에 답해야 할 6가지 구체적 질문.

1. 인벤토리 완전성

보안 팀이 canvas, 오디오, 폰트, WebGL 또는 기기 메타데이터 조사를 수행하는 모든 라이브러리의 현재 목록을 작성했습니까? 답이 "확실하지 않다"면 감사를 진행할 수 없습니다.

2. 근거 분류

각 라이브러리에 대해 문서화된 적법한 근거(동의, LIA가 있는 정당한 이익, 계약상 필요)가 있습니까? 문서화되지 않은 근거는 책임 원칙상 사실상 부재합니다.

3. 동의 게이팅

추적 목적 핑거프린팅 라이브러리가 마케팅 동의 카테고리 뒤에 게이팅되어 있으며 수락 전에 스크립트가 실행될 수 없습니까?

4. LIA 최신성

정당한 이익 평가가 지난 12개월 이내에 날짜가 기재되어 있으며 레거시 설명이 아닌 실제 현재 처리 범위를 반영합니까?

5. 옵트아웃 집행

사용자가 Article 21을 행사할 때 시스템이 실제로 정당한 이익 핑거프린팅을 중지합니까, 아니면 반대 의사만 기록합니까?

6. 크로스 벤더 정리

핑거프린트가 제3자(광고 네트워크, 어트리뷰션 제공업체, ID 벤더)와 공유되는 경우, 그 공유가 별도의 동의로 커버되고 개인정보 처리방침에 공개되어 있습니까?

추적의 미래에서 핑거프린팅의 위치

브라우저 벤더들은 핑거프린팅 라이브러리에 제공되는 엔트로피를 줄이기 위해 적극적으로 작업하고 있습니다. Apple의 ITP, Firefox의 내장 보호, Google Privacy Sandbox 제안 모두 기본 표면을 잠식하고 있습니다. 그러나 이러한 개입 중 어느 것도 규제 문제를 제거하지는 않습니다. 줄어든 엔트로피를 가진 핑거프린트도 사용자를 성공적으로 식별할 때는 여전히 개인 데이터이며, 성공률을 낮추는 것이 작동할 때의 법적 분석을 바꾸지는 않습니다. 퍼블리셔에게 더 안전한 가정은 핑거프린팅이 향후 24개월 동안 실제적이고 감사 관련 기술로 계속될 것이며, 규제 기관이 동의 목적으로 쿠키와 동등하게 보는 것을 계속할 것이고, 올바른 운영 답변은 핑거프린팅을 다른 추적 표면처럼 취급하는 것입니다. 즉 인벤토리화하고, 목적에 따라 분류하고, 필요한 경우 동의로 게이팅하고, 다른 근거에 따라 진행되는 경우 철저히 문서화하는 것입니다.