Anderson의 관점

새로운 공격 ‘클론’과 브라우저 지문 인식 통해 고유한 온라인 ID 남용

게시일 2021년 10월 20일

업데이트일 2026년 5월 24일

작성자

Martin Anderson

Unite.AI를 Google의 선호 소스에 추가

연구자들은 브라우저 지문 인식 기술을 사용하여 피해자의 웹 브라우저 특성을 복사하고, 이후 피해자를 가장하는 방법을 개발했습니다.

이 기술은 여러 보안 관련 문제를 가지고 있습니다. 공격자는 피해자의 브라우저 지문을 사용하여 유해하거나 불법적인 온라인 활동을 할 수 있으며, 2요소 인증 방어를 무력화할 수 있습니다. 또한 공격자는 피해자의 브라우저 프로필을 사용하여 광고를 전달할 수 있으며, 다른 웹사이트의 반응을 분석하여 피해자에 대한 정보를 추출할 수 있습니다.

또한, 공격자는 피해자의 브라우저 프로필을 사용하여 2요소 인증을 우회할 수 있습니다. 많은 인증 프레임워크에서 브라우저 지문을 사용하여 사용자를 식별하며, 이전에 성공적으로 로그인한 디바이스에서 접근하는 경우 2요소 인증을 요구하지 않을 수 있습니다.

연구자들은 브라우저 지문 인식 기술을 사용하여 사용자의 브라우저 특성을 추출하고, 이후 공격을 수행할 수 있습니다. 이 기술은 사용자의 브라우저 설정, 확장 프로그램, 화면 해상도, 하드웨어, 색상 깊이, 시간대, 타임스탬프, 설치된 글꼴, 캔버스 특성, 사용자 에이전트 문자열, HTTP 요청 헤더, IP 주소, 디바이스 언어 설정 등 다양한 정보를 추출할 수 있습니다.

연구자들은 이 기술을 사용하여 사용자의 브라우저 프로필을 클론할 수 있으며, 이후 공격을 수행할 수 있습니다. 이 기술은 사용자의 브라우저 지문을 사용하여 광고를 전달할 수 있으며, 다른 웹사이트의 반응을 분석하여 사용자에 대한 정보를 추출할 수 있습니다.

검은 브라우저

검은 브라우저는 피해자의 브라우저 프로필을 클론한 복제본입니다. 연구자들은 이 기술을 사용하여 사용자의 브라우저 특성을 추출하고, 이후 공격을 수행할 수 있습니다.

방법론

브라우저 지문 인식은 사용자의 브라우저 설정, 확장 프로그램, 화면 해상도, 하드웨어, 색상 깊이, 시간대, 타임스탬프, 설치된 글꼴, 캔버스 특성, 사용자 에이전트 문자열, HTTP 요청 헤더, IP 주소, 디바이스 언어 설정 등 다양한 정보를 추출하여 생성됩니다.

브라우저 지문 인식은 쿠키나 세션 데이터에 의존하지 않으며, 사용자의 브라우저 설정을 스냅샷으로 캡처하여 도메인에 제공합니다. 이 기술은 사용자의 브라우저 프로필을 추출하여 광고를 전달하거나, 사용자 인증을 수행할 수 있습니다.

광고 네트워크 응답을 통해 정보 추출

연구자들은 광고 데이터를 사용하여 사용자의 브라우저 프로필을 추출할 수 있으며, 이후 공격을 수행할 수 있습니다.

사용자 인증 스푸핑

사용자 인증 스푸핑은 공격자가 사용자의 브라우저 프로필을 사용하여 2요소 인증을 우회할 수 있습니다. 많은 인증 프레임워크에서 브라우저 지문을 사용하여 사용자를 식별하며, 이전에 성공적으로 로그인한 디바이스에서 접근하는 경우 2요소 인증을 요구하지 않을 수 있습니다.

사기 탐지

사기 탐지는 사용자의 브라우저 프로필을 사용하여 사기 활동을 탐지할 수 있습니다. 연구자들은 이 기술을 사용하여 사용자의 브라우저 프로필을 클론할 수 있으며, 이후 공격을 수행할 수 있습니다.

세 가지 공격 표면

연구자들은 세 가지 공격 표면을 제안합니다. 첫 번째 공격 표면은 사용자의 브라우저 프로필을 클론하여 한 번에 공격을 수행하는 것입니다. 두 번째 공격 표면은 사용자의 브라우저 프로필을 클론하여 여러 번 공격을 수행하는 것입니다. 세 번째 공격 표면은 사용자의 브라우저 프로필을 클론하여 장기간 공격을 수행하는 것입니다.

추출 및 결과