봇 시대에도 개방성과 프라이버시를 지키려는 Mozilla의 웹 자격 증명 구상

• 봇 남용이 늘면서 웹사이트가 CAPTCHA와 로그인 요구를 강화하고, 정상 사용자도 접근 마찰과 프라이버시 저하를 함께 겪고 있음
• 브라우저의 추적 방지 강화는 사용자 보호에 필요하지만, 기존 사이트들이 남용 방지에 쓰던 IP 주소·브라우저 지문 신호도 약화시킴
• Mozilla는 Web Environment Integrity 같은 기기 신뢰 증명이 웹 접근 통제권을 소수 OS·하드웨어 업체로 넘길 위험이 있다고 봄
• 대안은 사용자의 신원이나 발급 출처를 드러내지 않고도 합리적 이용 한도 안에 있는지 확인하는 익명 자격 증명 방식임
• Cloudflare와 다른 브라우저·웹 이해관계자들이 함께 설계를 시작했으며, 목표는 CAPTCHA와 불필요한 차단, 자기 식별 요구를 줄이는 것임

프라이버시 보호가 남용 방지와 충돌하는 지점

• 웹 프라이버시 보호는 계속 강화되고 있음
  • 프라이버시 우선 브라우저는 서드파티 쿠키를 제거하고 있음
  • 브라우저 지문 추적을 제한하고 IP 주소를 숨기는 방식으로 추적자에 대응함
• 이 변화는 사용자 경험에 새로운 비용을 만듦
  • 사용자는 더 많은 CAPTCHA, 로그인 요구, 차단 페이지를 마주함
  • IP 주소와 브라우저 지문은 사용자 프로파일링에 쓰였지만, 동시에 사이트의 남용 방지 신호로도 활용돼 왔음
• 봇 트래픽 증가는 사이트 운영에도 직접적인 부담이 됨
  • credential stuffing과 스팸 같은 대규모 남용은 실제 피해를 만들 수 있음
  • 정상 방문자도 더 많은 마찰과 낮아진 프라이버시를 감수하게 되고, 사이트는 원래 서비스하려던 사용자를 밀어낼 수 있음
• 변화가 없다면 사용자는 프라이버시와 웹 접근 중 하나를 선택하도록 압박받게 됨
• Web Environment Integrity(WEI) 같은 제안은 사용자의 기기와 소프트웨어가 “신뢰할 수 있음”을 사이트에 증명하게 하는 방식임
  • Mozilla는 이런 접근이 기기 통제권을 사용자에게서 소수 OS·하드웨어 업체로 옮긴다고 봄
  • 해당 업체들이 어떤 기기와 소프트웨어가 웹에 접근할 수 있는지 결정하게 되어 오픈 웹과 반대 방향으로 감

익명 자격 증명으로 속도 제한을 증명하는 방식

• 봇 피해의 핵심은 대규모 실행에 있음
  • 사이트가 사용자의 신원을 알 필요는 없음
  • 사용자의 기기가 승인된 소프트웨어만 실행하는지 확인할 필요도 없음
  • 합리적인 속도 제한 안에 머무는지만 알 수 있으면 됨
• 속도 제한이 효과를 내려면 공격자가 새 신원을 만들어 한도를 초기화하기 어려워야 함
  • 사이트가 이메일 주소, 연합 로그인, 기기 지문을 요구하는 이유도 새 식별자를 얻는 데 비용이 들게 만들기 위해서임
  • 문제는 이런 식별자가 추적에도 쓰일 수 있다는 점임
• 기존 사용자 관계가 다른 사이트에서 조용한 보증 역할을 할 수 있음
  • 예를 들어 구독이나 오래된 계정 같은 관계가 있는 사이트가 사용자를 보증할 수 있음
  • 처음 방문한 사이트는 사용자가 한도 내의 실제 사용자임을 신뢰할 수 있지만, 사용자의 신원이나 보증 출처는 알지 못해야 함
• VPN 사례는 이 접근이 필요한 이유를 잘 보여줌
  • 많은 웹사이트는 정상 트래픽과 남용 트래픽이 섞여 있다는 이유로 VPN 트래픽을 통째로 차단함
  • VPN 서비스가 가입자별로 보증할 수 있다면 사이트는 가입자 단위 속도 제한을 관리할 수 있음
  • 다만 보증 시스템이 VPN 사용자를 추적하게 만들면 VPN을 쓰는 목적이 훼손됨
• Apple의 Private Access Tokens는 Privacy Pass 기반으로 단회용 토큰을 제공해 방문 간 연결을 막을 수 있음
  • Mozilla는 이 방식에도 중요한 한계가 있다고 봄
  • WEI처럼 기기 증명에 의존해 하드웨어 게이트키핑을 피하지 못함
  • 더 많은 주체가 사용자를 보증하도록 시스템을 열면서도 프라이버시를 유지하기 어렵고, 통제권이 소수에게 집중될 수 있음
• Mozilla가 지향하는 구조는 누구나 사용자를 보증할 수 있고, 각 사이트가 신뢰할 보증자를 스스로 선택할 수 있는 시스템임
• Anonymous credentials는 한 주체가 발급한 자격 증명을 사용자가 나중에 제한된 횟수만 사이트에 제시하게 하면서, 사이트와 발급자가 사용을 추적하지 못하게 할 수 있음
  • 자격 증명을 누가 발급했는지도 숨기고, 신뢰된 발급자 집합 중 하나에서 나왔다는 점만 증명할 수 있음
• Mozilla는 Cloudflare와 다른 브라우저를 포함한 웹 이해관계자들과 이런 시스템 설계를 시작함
  • 더 자세한 접근은 Mozilla Hacks의 PACT: Anonymous Credentials for the Web에서 볼 수 있음
• 최종 목표는 CAPTCHA 감소, 불필요한 차단 감소, 자기 식별 요구 감소를 프라이버시 훼손 없이 달성하는 것임