브라우저 비밀번호 관리 기능을 악용하는 웹 추적 스크립트

미국 프린스턴 대학 정보기술정책센터에서 브라우저에 내장된 비밀번호 관리 기능의 허점을 악용해 이용자를 추적하는 AdThink, OnAudience라고 하는 두 종류의 웹 스크립트를 발견했다고 합니다. 설명에 따르면 원리는 이렇습니다:

1. 이용자가 사이트를 방문해 계정을 만들고 브라우저 비밀번호 관리자에 계정을 저장함

2. 이용자가 추적 스크립트가 삽입된 사이트를 방문했을 때, 추적 스크립트가 보이지 않는 로그인 입력란을 사이트에 삽입

3. 브라우저 비밀번호 관리자는 저장된 데이터와 일치하는 사이트를 발견하면 자동으로 정보를 입력하는 특성이 있음

4. 이 때 스크립트가 사용자 계정 이름을 감지해 hash 과정을 거친 다음 서버로 전송, 이용자를 추적하게 됨

유저 트래킹(user tracking)은 온라인 광고에서 중요하게 여기는 요소입니다. 이런 스크립트를 통해 쿠키 등 다른 방법을 사용하지 않고도 이용자를 추적할 수 있게 되며 여기서 얻은 데이터를 바탕으로 회사가 방문한 사이트(스포츠, 엔터테인먼트, 정치, 과학 등...)나 인터넷 접속 위치 등 여러 요인에 따라 유저의 관심사를 기록하는 프로필을 만들 수 있다고 합니다.

이번에 분석한 스크립트들은 계정 이름만 수집하고 있었지만, 만약 어떤 스크립트가 비밀번호를 가져가는 경우에도 막을 방법은 없으며, 과거 악성 스크립트의 사례도 있었다고 합니다. 연구원들은 실제 5만 개 웹사이트를 분석했으나 비밀번호를 가져가는 내용은 발견하지 못 했다고 합니다. 알렉사 랭킹 상위 1백만 사이트 중 1,100곳에서 이런 추적 스크립트를 발견했다고 합니다.

EasyPrivacy  필터에서는 이 스크립트를 차단 목록에 등재했고, 파이어폭스 유저는 about:config?filter=signon.autofillForms 에서 false 값으로 설정하면 자동으로 입력하는 것을 막을 수 있다고 합니다.

* 출처 :  gHacks Technology News  요약