브라우저 핑거프린트：플러그인 (Plugin)

플러그인(Plug-in)과 브라우저 애드온(Add-on, 확장 프로그램)을 혼동해서는 안 됩니다. 애드온은 일반적으로 크롬 웹 스토어와 같은 곳에서 다운로드할 수 있는 브라우저 확장 프로그램입니다. 애드온은 브라우저 프로세스 내에서 실행됩니다. 대표적인 예로 AdBlock이나 Ghostery가 있습니다.

반면 플러그인은 일반적으로 브라우저에 사전 설치되어 있거나 제3자 웹사이트에서 다운로드됩니다. 대표적인 예로 Flash나 Widevine이 있습니다. 플러그인은 보통 현재 활성 사용자의 모든 권한을 가진 별도의 프로세스에서 실행되므로 다양한 보안 취약점을 유발할 수 있습니다.

플러그인 활성화의 위험성

Flash나 Widevine과 같은 일부 플러그인은 모체 기기(Mother machine)로부터 고유하게 식별 가능한 다양한 데이터 포인트를 가져올 수 있는 문서화된 API를 가지고 있습니다. 다른 플러그인들도 공개 또는 비공개 API를 통해 온라인 개인 정보에 위협이 될 수 있는 유사한 기능을 가질 수 있습니다. 플러그인은 본질적으로 소스코드가 공개되지 않은 바이너리 파일이므로, 어떤 보안 취약점이 있는지 신뢰성 있게 평가할 방법이 없습니다.

열거(Enumeration)를 통한 핑거프린트 생성

또 다른 위험은 브라우저 플러그인 열거에서 발생합니다. 웹사이트가 플러그인 API를 통해 고유 식별 데이터를 직접 가져오지 못하더라도, 설치된 플러그인 목록의 형태로 데이터를 수집할 수 있습니다. 각 버전이 포함된 플러그인 목록은 사용자가 속한 세그먼트를 상당히 좁힐 수 있습니다. 이 데이터를 기반으로 여러 브라우징 세션을 하나로 연결하거나 다른 데이터 포인트와 결합할 수 있습니다. 이것이 후니오(Migratory Bird) 브라우저가 플러그인 핑거프린트를 시뮬레이션하는 방식입니다.

Firefox 및 Chrome의 기본 플러그인

기본적으로 Firefox에는 설치된 플러그인이 없습니다. Chrome에는 다음 네 가지가 번들로 포함되어 있습니다.

• Chrome PDF
• Chrome PDF viewer
• Native Client
• Widevine Content Decryption Module