웹사이트는 내가 생각한 것보다 많은 걸 알고 있다

얼마 전 어떤 사이트를 보다가 갑자기 궁금해졌다.

내가 이 사이트에 들어오는 순간, 이 사이트는 나에 대해 어디까지 알 수 있을까?

IP 주소 정도는 알고 있었다.

개발하면서 로그를 보다 보면 IP라는 게 그렇게 낯선 정보는 아니다.

그런데 막상 하나씩 찾아보기 시작하니까 생각보다 내가 브라우저를 통해 넘기고 있는 정보가 많았다.

그리고 또 이런 생각이 들었다.

역시 기술은 조금 무섭다.

---

접속만 했는데 이것까지 안다고?

웹사이트에 접속하면 서버는 요청을 받는다.

그 요청에는 단순히

이 페이지 보여주세요.

라는 내용만 들어가는 게 아니다.

브라우저와 웹사이트의 구성에 따라 차이는 있지만, 사용자가 어떤 환경에서 접속하고 있는지 판단할 수 있는 여러 정보가 함께 전달되거나 브라우저에서 확인될 수 있다.

예를 들면 이런 것들이다.

IP 주소
브라우저 종류
운영체제
화면 크기
언어 설정
시간대
접속한 페이지
이전에 방문한 페이지에 관한 일부 정보

 

하나씩 보면 별거 없어 보인다.

내가 Chrome을 쓰는 게 뭐가 그렇게 중요한가 싶다.

화면 해상도를 안다고 해서 나를 찾을 수 있는 것도 아니다.

그런데 문제는 이런 정보가 하나씩 모이기 시작했을 때다.

---

IP 주소는 내 집 주소일까?

IP 이야기부터 보면 생각보다 오해가 많다.

IP 주소를 알면 바로 집 주소까지 알 수 있다고 생각하기도 한다.

그 정도로 단순하지는 않다.

IP만 가지고 일반 웹사이트가

서울시 어디 아파트 몇 동 몇 호

같은 정보를 바로 알 수 있는 건 아니다.

보통은 인터넷 사업자나 대략적인 지역 수준의 정보와 연결해서 보는 정도다.

게다가 모바일 네트워크나 회사 네트워크, VPN 같은 환경에서는 실제 위치와 다르게 보일 수도 있다.

그러니까

IP 주소 = 내 정확한 집 주소

라고 생각할 필요는 없다.

그렇다고 아무 정보도 아닌 것도 아니다.

접속 기록을 구분하거나,

비정상적인 요청을 막거나,

대략적인 접속 지역을 판단하는 데는 충분히 사용할 수 있다.

개발자 입장에서는 꽤 유용한 정보다.

사용자 입장에서는 조금 묘하다.

나는 그냥 페이지 하나를 열었을 뿐인데 서버에는 접속 흔적 하나가 남을 수 있으니까.

---

브라우저도 생각보다 말을 많이 한다

웹사이트는 내가 사용하는 브라우저나 기기 환경도 어느 정도 알 수 있다.

예전에는 User-Agent라는 문자열을 많이 활용했다.

대략 이런 식이다.

Chrome
Windows
64bit
...

 

웹사이트 입장에서는 이런 정보가 필요하다.

모바일인지 PC인지에 따라 화면을 다르게 보여줘야 할 수도 있고,

특정 브라우저에서만 발생하는 오류를 찾아야 할 수도 있다.

웹 서비스를 만드는 개발자라면 오히려 이런 정보가 없으면 불편하다.

문제는 여기서 끝이 아니다.

웹페이지에서 JavaScript를 사용하면 화면 크기나 언어, 시간대 등 브라우저가 제공하는 여러 환경 정보도 확인할 수 있다.

다시 말해,

IP만 숨기면 나는 아무것도 안 보이겠지.

정도로 끝나는 문제는 아니다.

---

하나씩은 평범한데, 합쳐지면 조금 달라진다

여기서 브라우저 핑거프린팅이라는 개념이 나온다.

처음 이름을 봤을 때는 조금 무서웠다.

지문이라니.

그런데 실제 개념은 물리적인 지문을 가져간다는 이야기는 아니다.

브라우저가 가진 여러 특징을 조합해 같은 환경을 구별하려는 방식에 가깝다.

예를 들어

운영체제
브라우저 버전
화면 크기
언어
시간대
그래픽 환경
지원하는 기능

 

같은 정보가 있다고 해보자.

각각만 보면 수많은 사람이 같은 값을 가지고 있다.

하지만 여러 조건을 조합하면 상대적으로 드문 조합이 만들어질 수도 있다.

그래서 쿠키만 지운다고 해서 모든 추적 가능성이 완전히 사라진다고 말하기는 어렵다.

이 부분을 보면서 조금 재미있었던 게 있다.

나는 예전에는 개인정보라고 하면

이름
전화번호
주민등록번호
주소

 

같은 걸 먼저 생각했다.

그런데 인터넷에서는 직접적인 개인정보가 아니더라도 여러 정보가 조합되면서 의미가 생길 수 있다.

---

시크릿 모드면 괜찮지 않을까?

나도 한때 시크릿 모드를 켜면 꽤 익명에 가까워지는 줄 알았다.

그런데 시크릿 모드의 역할은 조금 다르다.

브라우저가 방문 기록이나 쿠키 같은 데이터를 내 컴퓨터에 계속 남겨두지 않도록 하는 기능에 더 가깝다.

시크릿 모드로 접속한다고 해서 인터넷 사업자에게 내 접속이 갑자기 사라지는 것도 아니고,

접속한 웹사이트가 요청 자체를 받지 못하는 것도 아니다.

서버 입장에서는 여전히 접속한 사용자가 있다.

결국

시크릿 모드 = 인터넷에서 보이지 않는 모드

는 아니다.

이걸 처음 제대로 이해했을 때도 조금 당황했다.

이름 때문에 나도 모르게 기대를 너무 많이 했던 것 같다.

---

그렇다고 웹사이트가 몰래 나를 감시한다는 이야기는 아니다

여기까지 쓰면 인터넷이 꽤 무서운 공간처럼 보인다.

그런데 나는 그렇게 생각하지는 않는다.

개발자 입장에서 보면 이런 정보가 왜 필요한지 이해되는 부분도 많다.

예를 들어 사용자가

페이지가 이상하게 보여요.

라고 문의했다고 해보자.

개발자는 궁금하다.

Chrome에서만 발생하는 건지,

모바일에서만 발생하는 건지,

특정 운영체제 문제인지,

특정 버전의 문제인지.

이런 정보가 있으면 문제를 훨씬 빨리 찾을 수 있다.

서비스 이용 통계를 보거나,

해킹이나 비정상적인 요청을 막기 위해서도 일부 정보는 필요하다.

그러니까

정보를 수집한다 = 나쁜 사이트

라고 단순하게 볼 수는 없다.

중요한 건 결국 어떤 정보를 왜 수집하고, 어떻게 사용하는가에 더 가깝다고 생각한다.

---

내가 조금 무섭다고 느낀 건 다른 부분이었다

웹사이트가 내 화면 크기를 안다는 사실 자체가 무서운 건 아니다.

IP를 안다는 것도 인터넷 구조를 생각하면 이상한 일은 아니다.

내가 조금 무섭다고 느꼈던 건

나는 이런 정보가 오가는지도 모르고 인터넷을 사용하고 있었다는 것이었다.

그냥 사이트를 열고,

로그인하고,

사진을 올리고,

버튼을 누른다.

사용자 입장에서는 그게 전부다.

그 뒤에서 어떤 정보가 전달되고 어떤 기술이 동작하는지는 대부분 보이지 않는다.

개발을 다시 공부하면서 이런 부분을 하나씩 들여다보게 되니까 예전에는 그냥 지나쳤던 것들이 계속 눈에 들어온다.

사진 한 장에도 내가 생각하지 못한 정보가 들어 있었고,

이번에는 브라우저도 생각보다 많은 말을 하고 있었다.

---

그래도 인터넷은 계속 쓸 거다

이런 걸 알았다고 갑자기 인터넷을 끊을 생각은 없다.

VPN을 항상 켜고 모든 쿠키를 차단하면서 살아갈 생각도 아직은 없다.

그렇게 하면 불편한 것도 많다.

다만 예전과 조금 달라진 건 있다.

사이트에서 이상하게 많은 권한을 요구하면 한 번 더 생각해보고,

사용하지 않는 계정은 정리하고,

중요한 서비스의 비밀번호는 따로 관리하고,

무심코 넘겼던 개인정보 관련 설정도 가끔 들여다보게 됐다.

완벽하게 숨는 방법을 찾는 것보다,

내가 어떤 정보를 넘기고 있는지는 알고 쓰는 것.

지금은 그 정도면 충분하지 않을까 생각한다.

기술은 정말 편하다.

그리고 알면 알수록 신기하다.

그런데 가끔,

조금 무섭다.