.jpg)
원래는 사람들 돕기 위해 마련된 추적 기능...점점 교묘해져
모바일 기기의 추적 행위 또한 조심해야...초연결사회의 필수 습관
[보안뉴스 문가용 기자] 기술 분야에 종사하고 있는 사람들에게 있어 웹과 모바일 광고들이 이상하게 사용자들을 친밀하게 알고 있는 것 같다는 느낌이 낯선 것은 아닐 테다. 아마 곧 있으면 가정이나 사무실에서 사용하는 기기들에서도 비슷한 느낌이 날 것이다. 즉 누군가 나를 알기 위해 관찰하고 있다는 것이다.
인간은 개인의 삶을 영위하고 일을 하는 데 있어서 기술에 대한 의존도를 크게 높여왔다. 모르는 것이 있으면 망설이지 않고 인터넷에 접속해 검색한다. 또한 꼭 필요한 기능을 가진 모바일 앱을 쉽게 찾아내 설치한다. 이러한 행위들이 너무나 쉽고 간단해, 우리는 특별히 주의를 기울이지 않는다. 이런 우리의 부주의한 태도는 ‘보안에 대한 무시’와 동일한 의미를 갖는다. 사용자는 자연스럽게 위험에 노출된다. 오늘날처럼 모두가 모두와 연결된 때, 내가 그냥 하는 인터넷 검색과 모바일 사용이 어떤 위험을 야기할 수 있는지 이해하는 건 필수다. 이를 정리하면 다음과 같다.
1. 웹 서치
다들 알고 있겠지만 웹 사이트들은 대부분 방문자를 추적한다. 이러한 추적 행위는 그리 나쁜 의도로 시작한 것은 아니다. 오히려 일반 인터넷 사용자들을 돕기 위해 개발된 것이다. 사용자에게 필요한 제품이나 서비스를, 그러나 그런 것들이 있는지도 모르고 있을 때 소개하는 것이 그 목적이었다. 사용자들이 최근 방문한 페이지들이 무엇인지를 파악하고(추적), 이를 바탕으로 광고 네트워크가 어떤 내용물을 페이지에 주입할 것인지를 결정하는 식이었다. 현대에는 이러한 추적의 기법들이 다양해지고 정교해졌다. 쿠키라는 게 등장했고, 최근에는 고유 식별자라는 것을 저장된 콘텐츠와 웹 스토리지 내에서 활용하는 방법도 존재한다.
또한 굉장히 은밀하고 교묘한 방법들도 등장했다. 브라우저 핑거프린팅(browser fingerprinting)이 대표적이다. 이 기법은 웹사이트가 사용자 기기에 데이터를 저장하는 기존 방식에 의존하지 않고, 고유 식별자 기능을 할 수 있는 정보를 브라우저로부터 수집한다. 웹사이트가 접근하도록 브라우저가 허용하는 정보들이 있는데, 여기에는 브라우저 종류와 버전, 화면 크기, 해상도, 설치된 플러그인, 설치된 폰트, 시간대, 언어 등이 포함된다. 이런 정보들을 종합하면 브라우저를 특정할 수 있게 된다. 즉 고유 식별자와 같은 기능을 하게 된다는 것이다.
이런 추적 행위를 원치 않는다면 어떻게 해야 할까? 가장 확실한 방법은 인터넷을 사용하지 않는 것이다. 그러나 이는 불가능하고 비현실적인 답이다. 100% 확실하지는 않지만 어느 정도 안전하면서도 현실적인 답은, 비밀 브라우징 창(private browding window)을 여는 것이다. 크롬에서는 인코그니토(Incognito) 창, 파이어폭스에서는 프라이빗(Private) 창이 바로 그 예다. 그리고 추적을 원치 않은 검색이나 서핑을 할 땐 이 창을 활용하면 된다. 비밀 브라우징 창을 사용할 때는 로그인이나 회원가입을 하지 말고, 주기적으로 창을 닫고 다시 여는 걸 추천한다. 그러면 추적에 사용될만한 정보들이 전부 삭제된다.
2. 모바일 앱 추적
모바일 앱들도 사용자를 추적한다. 물론 브라우저의 추적 기술과는 다른 기술이 사용된다. 사용자가 모바일 앱을 설치하면, 보통은 OS가 고유한 광고용 식별자를 생성하고, 이를 설치된 앱들과 공유한다. 앱들은 이 식별자를 광고 네트워크로 전송해 사용자에 대한 추적을 실시하고, 가장 적절하다고 판단되는 광고를 노출시킨다.
이러한 추적 행위를 막으려면 기기의 설정을 바꿔야 한다. 각 애플리케이션마다 생성하는 고유 식별자가 똑같이 않도록 해야 하는 것이다. 그러나 이 설정 변경은 기계와 플랫폼마다 달라서 한 가지 공통된 조언을 할 수가 없다. 다만 구글은 최근 구글의 광고 네트워크를 사용하는 웹 사이트와 모바일 앱에서의 광고 개인화를 비활성화시킬 수 있는 옵션을 도입했다. 이 옵션만 켜두어도 추적을 막을 수 있다(안드로이드 생태계에 한해서). 물론 각각의 애플리케이션들이 추적 행위 하는 것을 막을 수는 없지만, 이를 조합해서 사용자를 보다 더 깊이 이해하는 걸 막을 수 있다.
모바일 기기에서의 또 다른 추적 기능은 ‘위치 추적’이다. 사용자가 이를 허용할 때, 모바일 애플리케이션들은 기기의 현재 위치를 파악해낼 수 있게 된다. GPS, 와이파이의 위치정보, 셀룰라 네트워크의 위치정보, IP 주소의 위치정보 등, 기기의 위치를 알려주는 많은 장치들이 존재하기에 이는 손쉽게 달성된다. 이를 막기 위한 가장 좋은 방법은 애플리케이션들 하나하나의 설정을 변경해 위치정보를 파악할 수 없게 하는 것이다. iOS의 모든 버전과 안드로이드 6.0 이후 버전들에서는 이러한 조정이 가능하다. 다만 IP 주소를 기반으로 한 위치정보 수집과 관련된 옵션 변경은 조금 더 복잡하다.
3. 음성 기동과 키워드 스폿팅
많은 모바일 기기들에서 키워드 스폿팅(keyword spotting)이란 기능이 지원된다. 이 때문에 마이크를 통해 소리가 녹음되고, 이 오디오 파일이 인터넷에 업로드 된다. 예를 들어 시리(Siri)와 같은 음성 어시스턴트들의 경우 키워드를 듣고 발동되기 시작한다. 이 키워드가 접수되고 나서부터는 소리들을 기록하고, 이를 서버사이드 요소들로 전송한다. 사용자의 대화를 전부 녹음하고 업로드 하도록 설계되진 않았지만, 사용자가 실수를 하거나 기기가 오작동을 할 때 그런 일이 발생하기도 한다. 아마존 에코에서 이런 사례가 실제로 등장하기도 했다.
그렇기 때문에 이러한 음성 인식 기능 및 키워드 스폿팅 기능으로부터도 프라이버시를 보호해야 할 필요가 생긴다. 가장 좋은 건 구매 전에 이와 관련된 기능 정보와 사건사고 소식을 꼼꼼하게 살피는 것이다. 사용자 프라이버시를 보호하기 위한 기능에 뭐가 있는지, 어떤 옵션이 존재하고 사용자가 어느 선까지 조정할 수 있는지를 이해하고 구매를 결정해야 한다. 구매를 결정했다면 기기를 사고 나서 네트워크에 곧바로 연결시키지 말고 프라이버시 보호를 위한 옵션을 전부 설정한 후에 하도록 하자.
4. 영상과 사진 공유
애플리케이션들 중 사진첩(갤러리)이나 카메라에 접근할 수 있도록 허용해달라고 묻는 것들이 있다. 사용자가 허락할 경우 애플리케이션들은 기기 카메라와 사진첩을 아무 때나 사용할 수 있게 된다. 운영 체제에 따라 조금씩 다르지만, 카메라에 대한 접근권을 가진 애플리케이션이 배경에서 실행되고 있을 때에조차 카메라에 접근할 수 있게 되는 경우도 있다. (물론 그렇지 않은 경우도 많다.)
애플리케이션들이 카메라나 사진첩에 접근하려는 건 왜일까? 정상적인 경우, 다양한 기능을 수행하기 위해서인데, 대부분은 공유와 백업을 주요 목적으로 하고 있다. 그런 목적이 분명한 경우 허용해도 되지만, 그렇지 않을 때는 한 번쯤 의심해야 한다. 악성 앱의 경우, 사용자를 염탐하기 위해서인 경우가 대부분이다. 물론 악성 앱이 스스로를 악성 앱이라고 부르지 않는다.
악성 공격자들은 다음 네 가지 시나리오 중 하나를 활용한다.
1) 정상 앱처럼 멀웨어를 위장시켜 사용자가 의심 없이 설치하고 카메라 접근을 허용하게 한다.
2) 루트 접근 혹은 탈옥 관련 취약점을 익스플로잇 해서 기기에 대한 통제권을 가져간다.
3) 사진을 다른 백업 장치에서 훔쳐낸다(아이클라우드나 구글 포토스 등).
4) 기기를 물리적으로 훔쳐서 사진을 훔쳐낸다.
모두가 연결된 시대에 스스로를 보호하려면 위 네 가지 사항을 이해하고 있는 것이 중요하다. 또한 몇 가지 기본적인 사항이 있다. 기기의 잠금 장치를 최대한 많이 활용하고, 공식 앱 스토어가 아닌 곳에서는 앱을 다운로드 받지 말며, 어려운 비밀번호를 사용해 계정들을 보호하는 것이다. 이런 기본적인 실천 사항들은 요즘 시대의 필수 습관이다.
글 : 아밋 세시(Amit Sethi), Synopsis
3줄 요약
1. 요즘 시대 알아야 할 상식 : 당신을 추적하는 눈이 곳곳에 존재한다.
2. 브라우저와 모바일에 장착된 프라이버시 보호 옵션을 이해하고 설정할 줄 알아야 한다.
3. 세수하고 양치하듯, 비밀번호 설정하고 공식 루트 통해서만 앱 설치하는 습관 필요하다.
[국제부 문가용 기자(globoan@boannews.com)]
모바일 기기의 추적 행위 또한 조심해야...초연결사회의 필수 습관
[보안뉴스 문가용 기자] 기술 분야에 종사하고 있는 사람들에게 있어 웹과 모바일 광고들이 이상하게 사용자들을 친밀하게 알고 있는 것 같다는 느낌이 낯선 것은 아닐 테다. 아마 곧 있으면 가정이나 사무실에서 사용하는 기기들에서도 비슷한 느낌이 날 것이다. 즉 누군가 나를 알기 위해 관찰하고 있다는 것이다.
[이미지 = iclickart]
인간은 개인의 삶을 영위하고 일을 하는 데 있어서 기술에 대한 의존도를 크게 높여왔다. 모르는 것이 있으면 망설이지 않고 인터넷에 접속해 검색한다. 또한 꼭 필요한 기능을 가진 모바일 앱을 쉽게 찾아내 설치한다. 이러한 행위들이 너무나 쉽고 간단해, 우리는 특별히 주의를 기울이지 않는다. 이런 우리의 부주의한 태도는 ‘보안에 대한 무시’와 동일한 의미를 갖는다. 사용자는 자연스럽게 위험에 노출된다. 오늘날처럼 모두가 모두와 연결된 때, 내가 그냥 하는 인터넷 검색과 모바일 사용이 어떤 위험을 야기할 수 있는지 이해하는 건 필수다. 이를 정리하면 다음과 같다.
1. 웹 서치
다들 알고 있겠지만 웹 사이트들은 대부분 방문자를 추적한다. 이러한 추적 행위는 그리 나쁜 의도로 시작한 것은 아니다. 오히려 일반 인터넷 사용자들을 돕기 위해 개발된 것이다. 사용자에게 필요한 제품이나 서비스를, 그러나 그런 것들이 있는지도 모르고 있을 때 소개하는 것이 그 목적이었다. 사용자들이 최근 방문한 페이지들이 무엇인지를 파악하고(추적), 이를 바탕으로 광고 네트워크가 어떤 내용물을 페이지에 주입할 것인지를 결정하는 식이었다. 현대에는 이러한 추적의 기법들이 다양해지고 정교해졌다. 쿠키라는 게 등장했고, 최근에는 고유 식별자라는 것을 저장된 콘텐츠와 웹 스토리지 내에서 활용하는 방법도 존재한다.
또한 굉장히 은밀하고 교묘한 방법들도 등장했다. 브라우저 핑거프린팅(browser fingerprinting)이 대표적이다. 이 기법은 웹사이트가 사용자 기기에 데이터를 저장하는 기존 방식에 의존하지 않고, 고유 식별자 기능을 할 수 있는 정보를 브라우저로부터 수집한다. 웹사이트가 접근하도록 브라우저가 허용하는 정보들이 있는데, 여기에는 브라우저 종류와 버전, 화면 크기, 해상도, 설치된 플러그인, 설치된 폰트, 시간대, 언어 등이 포함된다. 이런 정보들을 종합하면 브라우저를 특정할 수 있게 된다. 즉 고유 식별자와 같은 기능을 하게 된다는 것이다.
이런 추적 행위를 원치 않는다면 어떻게 해야 할까? 가장 확실한 방법은 인터넷을 사용하지 않는 것이다. 그러나 이는 불가능하고 비현실적인 답이다. 100% 확실하지는 않지만 어느 정도 안전하면서도 현실적인 답은, 비밀 브라우징 창(private browding window)을 여는 것이다. 크롬에서는 인코그니토(Incognito) 창, 파이어폭스에서는 프라이빗(Private) 창이 바로 그 예다. 그리고 추적을 원치 않은 검색이나 서핑을 할 땐 이 창을 활용하면 된다. 비밀 브라우징 창을 사용할 때는 로그인이나 회원가입을 하지 말고, 주기적으로 창을 닫고 다시 여는 걸 추천한다. 그러면 추적에 사용될만한 정보들이 전부 삭제된다.
2. 모바일 앱 추적
모바일 앱들도 사용자를 추적한다. 물론 브라우저의 추적 기술과는 다른 기술이 사용된다. 사용자가 모바일 앱을 설치하면, 보통은 OS가 고유한 광고용 식별자를 생성하고, 이를 설치된 앱들과 공유한다. 앱들은 이 식별자를 광고 네트워크로 전송해 사용자에 대한 추적을 실시하고, 가장 적절하다고 판단되는 광고를 노출시킨다.
이러한 추적 행위를 막으려면 기기의 설정을 바꿔야 한다. 각 애플리케이션마다 생성하는 고유 식별자가 똑같이 않도록 해야 하는 것이다. 그러나 이 설정 변경은 기계와 플랫폼마다 달라서 한 가지 공통된 조언을 할 수가 없다. 다만 구글은 최근 구글의 광고 네트워크를 사용하는 웹 사이트와 모바일 앱에서의 광고 개인화를 비활성화시킬 수 있는 옵션을 도입했다. 이 옵션만 켜두어도 추적을 막을 수 있다(안드로이드 생태계에 한해서). 물론 각각의 애플리케이션들이 추적 행위 하는 것을 막을 수는 없지만, 이를 조합해서 사용자를 보다 더 깊이 이해하는 걸 막을 수 있다.
모바일 기기에서의 또 다른 추적 기능은 ‘위치 추적’이다. 사용자가 이를 허용할 때, 모바일 애플리케이션들은 기기의 현재 위치를 파악해낼 수 있게 된다. GPS, 와이파이의 위치정보, 셀룰라 네트워크의 위치정보, IP 주소의 위치정보 등, 기기의 위치를 알려주는 많은 장치들이 존재하기에 이는 손쉽게 달성된다. 이를 막기 위한 가장 좋은 방법은 애플리케이션들 하나하나의 설정을 변경해 위치정보를 파악할 수 없게 하는 것이다. iOS의 모든 버전과 안드로이드 6.0 이후 버전들에서는 이러한 조정이 가능하다. 다만 IP 주소를 기반으로 한 위치정보 수집과 관련된 옵션 변경은 조금 더 복잡하다.
3. 음성 기동과 키워드 스폿팅
많은 모바일 기기들에서 키워드 스폿팅(keyword spotting)이란 기능이 지원된다. 이 때문에 마이크를 통해 소리가 녹음되고, 이 오디오 파일이 인터넷에 업로드 된다. 예를 들어 시리(Siri)와 같은 음성 어시스턴트들의 경우 키워드를 듣고 발동되기 시작한다. 이 키워드가 접수되고 나서부터는 소리들을 기록하고, 이를 서버사이드 요소들로 전송한다. 사용자의 대화를 전부 녹음하고 업로드 하도록 설계되진 않았지만, 사용자가 실수를 하거나 기기가 오작동을 할 때 그런 일이 발생하기도 한다. 아마존 에코에서 이런 사례가 실제로 등장하기도 했다.
그렇기 때문에 이러한 음성 인식 기능 및 키워드 스폿팅 기능으로부터도 프라이버시를 보호해야 할 필요가 생긴다. 가장 좋은 건 구매 전에 이와 관련된 기능 정보와 사건사고 소식을 꼼꼼하게 살피는 것이다. 사용자 프라이버시를 보호하기 위한 기능에 뭐가 있는지, 어떤 옵션이 존재하고 사용자가 어느 선까지 조정할 수 있는지를 이해하고 구매를 결정해야 한다. 구매를 결정했다면 기기를 사고 나서 네트워크에 곧바로 연결시키지 말고 프라이버시 보호를 위한 옵션을 전부 설정한 후에 하도록 하자.
4. 영상과 사진 공유
애플리케이션들 중 사진첩(갤러리)이나 카메라에 접근할 수 있도록 허용해달라고 묻는 것들이 있다. 사용자가 허락할 경우 애플리케이션들은 기기 카메라와 사진첩을 아무 때나 사용할 수 있게 된다. 운영 체제에 따라 조금씩 다르지만, 카메라에 대한 접근권을 가진 애플리케이션이 배경에서 실행되고 있을 때에조차 카메라에 접근할 수 있게 되는 경우도 있다. (물론 그렇지 않은 경우도 많다.)
애플리케이션들이 카메라나 사진첩에 접근하려는 건 왜일까? 정상적인 경우, 다양한 기능을 수행하기 위해서인데, 대부분은 공유와 백업을 주요 목적으로 하고 있다. 그런 목적이 분명한 경우 허용해도 되지만, 그렇지 않을 때는 한 번쯤 의심해야 한다. 악성 앱의 경우, 사용자를 염탐하기 위해서인 경우가 대부분이다. 물론 악성 앱이 스스로를 악성 앱이라고 부르지 않는다.
악성 공격자들은 다음 네 가지 시나리오 중 하나를 활용한다.
1) 정상 앱처럼 멀웨어를 위장시켜 사용자가 의심 없이 설치하고 카메라 접근을 허용하게 한다.
2) 루트 접근 혹은 탈옥 관련 취약점을 익스플로잇 해서 기기에 대한 통제권을 가져간다.
3) 사진을 다른 백업 장치에서 훔쳐낸다(아이클라우드나 구글 포토스 등).
4) 기기를 물리적으로 훔쳐서 사진을 훔쳐낸다.
모두가 연결된 시대에 스스로를 보호하려면 위 네 가지 사항을 이해하고 있는 것이 중요하다. 또한 몇 가지 기본적인 사항이 있다. 기기의 잠금 장치를 최대한 많이 활용하고, 공식 앱 스토어가 아닌 곳에서는 앱을 다운로드 받지 말며, 어려운 비밀번호를 사용해 계정들을 보호하는 것이다. 이런 기본적인 실천 사항들은 요즘 시대의 필수 습관이다.
글 : 아밋 세시(Amit Sethi), Synopsis
3줄 요약
1. 요즘 시대 알아야 할 상식 : 당신을 추적하는 눈이 곳곳에 존재한다.
2. 브라우저와 모바일에 장착된 프라이버시 보호 옵션을 이해하고 설정할 줄 알아야 한다.
3. 세수하고 양치하듯, 비밀번호 설정하고 공식 루트 통해서만 앱 설치하는 습관 필요하다.
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-16] .jpg)
.jpg)
