브라우저 핑거프린팅이란? 무작위성보다 일관성이 중요한 이유

예전에는 쿠키만 지우면 웹사이트에서 새로 시작할 수 있었습니다. 이제는 그렇지 않습니다. 요즘 웹사이트는 브라우저의 모습과 동작 방식, 즉 핑거프린트만으로 브라우저를 알아볼 수 있습니다. 시크릿 창에서도 마찬가지이고, IP 주소를 바꾼 뒤에도 알아보는 경우가 많습니다.

이 글에서는 브라우저 핑거프린트가 무엇인지, 어떤 신호로 만들어지는지, 연구 결과로 보면 실제로 얼마나 고유한지, 그리고 핑거프린트에서 가장 중요한 속성이 고유함이 아니라 일관성인 이유를 설명합니다.

핵심 요약

• 브라우저 핑거프린트는 웹사이트가 내 브라우저와 기기에 관해 읽어 낼 수 있는 정보의 조합입니다. 화면, 그래픽 카드, 폰트, 언어, 시간대 등이 여기에 포함됩니다.
• 권한이 필요 없고 기기에 아무것도 저장하지 않으므로, 쿠키를 삭제하거나 시크릿 창을 열어도 바뀌지 않습니다.
• 대규모 연구들에 따르면, 표본 속 다른 어떤 브라우저와도 겹치지 않는 핑거프린트를 가진 브라우저는 전체의 3분의 1에서 90% 가까이에 이릅니다.
• 몸을 숨기려고 값을 무작위로 바꾸는 방법은 위험합니다. 무작위 값은 서로 모순되고, 모순은 쉽게 탐지됩니다.
• 좋은 핑거프린트는 일관되고, 안정적이며, 평범합니다. 수백만 대의 평범한 기기와 다를 바 없어 보입니다.

브라우저 핑거프린팅이란?

브라우저 핑거프린팅은 브라우저에 관한 작은 정보를 많이 모은 뒤 이를 하나의 식별자로 합쳐 브라우저를 알아보는 방법입니다. 일부 정보는 모든 요청과 함께 HTTP 헤더로 전달되고, 그보다 훨씬 많은 정보는 JavaScript 몇 줄로 읽어 낼 수 있습니다. 하나하나만 보면 수백만 명이 공유하는 정보지만, 모두 합치면 단 하나의 브라우저를 가리키는 경우가 많습니다.

신호	드러나는 정보	예시
사용자 에이전트와 Client Hints	브라우저, 버전, 운영체제	Windows 11의 Chrome 141
화면	해상도, 픽셀 비율, 색 심도	2560 × 1440, 2배율
하드웨어	CPU 코어 수와 대략적인 메모리 용량	10코어, 8GB
그래픽(WebGL)	GPU 모델과 드라이버	Apple M2 Pro
Canvas와 오디오	하드웨어, 드라이버, 폰트 때문에 생기는 미세한 렌더링 차이	9f3a…e21c 같은 고정된 해시
폰트	설치된 폰트	214개 감지
언어와 시간대	선호 언어와 시계 설정	en-US, America/Vancouver
네트워크	IP 주소, 그리고 WebRTC가 노출하는 추가 주소	198.51.100.24

이 중 어느 것도 권한 요청이 필요하지 않으며, 컴퓨터에 저장되지도 않습니다. 그래서 쿠키를 삭제하거나 시크릿 모드를 사용해도 핑거프린팅은 그대로 작동합니다. 애초에 지울 것이 없기 때문입니다.

핑거프린팅의 작동 방식: 단계별 설명

1. 수집. 스크립트가 몇 밀리초 만에 수십 가지 값을 읽습니다. 보통 페이지가 로드되는 동안 이루어집니다.
2. 결합. 이 값들을 해시하여 F2F8-E777-B20B 같은 짧은 식별자로 만듭니다.
3. 대조. 이 식별자를 이전에 본 식별자들과 비교합니다. 실제 시스템에서는 정확히 일치하지 않아도 됩니다. 연구자들은 FP-Stalker를 통해 브라우저 업데이트로 핑거프린트가 바뀌더라도 서로 연결할 수 있음을 보여 주었으며, 이들의 데이터 세트에서는 브라우저를 평균 54일 동안 추적할 수 있었습니다.

내 브라우저 핑거프린트는 얼마나 고유할까요?

고유성은 식별 정보의 비트 수로 측정합니다. 비트가 하나 늘어날 때마다 내 것일 수 있는 브라우저의 수가 절반으로 줄어듭니다. 1비트면 전체를 둘로 나누고, 10비트면 약 1,000개 중 1개로, 20비트면 약 100만 개 중 1개로 좁혀집니다. 약 33비트면 지구상의 모든 사람을 구별할 수 있습니다. 2³³은 약 86억이기 때문입니다.

실제 핑거프린트가 얼마나 자주 고유한지는 세 건의 대규모 연구에서 측정되었습니다.

연구	핑거프린트 수	고유 비율
Panopticlick, EFF (2010)	470,161	83.6% (Flash 또는 Java 활성화 시 94.2%)
AmIUnique (2016)	118,934	89.4% (모바일 핑거프린트는 81%)
Hiding in the Crowd (2018)	2,067,942	33.6% (모바일 핑거프린트는 18.5%)

연구마다 결과가 크게 다르다는 점에 주목할 필요가 있습니다. 앞의 두 연구는 사람들이 자신의 개인정보 보호 수준을 확인하려고 찾아오는 사이트에서 데이터를 수집했기 때문에 특이한 설정을 가진 사용자가 많이 모였습니다. 2018년 연구는 프랑스에서 가장 인기 있는 웹사이트 중 하나의 방문자, 즉 더 평범한 사용자 집단을 대상으로 했고, 그사이 브라우저들도 많은 정보를 유출하던 Flash 같은 플러그인을 더 이상 지원하지 않게 되었습니다. 가장 구별하기 어려운 것은 휴대폰이었습니다. 같은 모델의 iPhone 수백만 대는 거의 모든 것이 똑같기 때문입니다.

그렇다고 이 낮은 수치에 안심할 수는 없습니다. 이유는 두 가지입니다. 첫째, 고유하지 않은 핑거프린트라도 여전히 나를 작은 집단으로 좁혀 주며, IP 주소와 결합하면 그것만으로 충분한 경우가 많습니다. 둘째, 같은 연구에 따르면 고유하지 않은 핑거프린트는 쉽게 무너집니다. 속성 몇 가지만 바뀌어도 상당수가 고유해집니다.

30초면 끝나는 브라우저 성격 테스트에서는 내 브라우저의 신호 18가지 조합이 얼마나 드문지 추정해 주므로, 내가 어디쯤에 있는지 확인할 수 있습니다.

브라우저 핑거프린팅은 누가 사용할까요?

• 사기 방지와 계정 보안. 은행, 결제 서비스 업체, 마켓플레이스는 한 번도 본 적 없는 기기에서 로그인하거나, 같은 기기에서 계정이 계속 새로 만들어지는 상황을 알아차리기 위해 핑거프린트를 사용합니다.
• 봇 탐지. 봇 차단 서비스는 브라우저의 정보가 실제 기기와 맞아떨어지는지, 아니면 사람인 척하는 자동화 도구인지 확인합니다.
• 광고와 추적. 핑거프린팅을 이용하면 광고 네트워크가 쿠키 없이도 여러 사이트에 걸쳐 브라우저를 따라다닐 수 있습니다. 2025년 2월 Google은 자사 광고 상품을 사용하는 광고주의 핑거프린팅을 더 이상 금지하지 않기로 했고, 영국의 개인정보 보호 감독 기관인 ICO는 이 변경을 “무책임하다”고 비판했습니다.
• 계정 연결. 플랫폼은 같은 핑거프린트에서 반복해서 나타나는 계정들을 서로 연결합니다. 바로 이 점이 정당하게 여러 계정을 운영하는 팀에 영향을 줍니다. 20개 클라이언트의 광고를 관리하는 대행사나, 지역별로 별도의 스토어를 운영하는 셀러가 그 예입니다. 플랫폼 입장에서는 이 모든 계정이 하나의 기기로 보입니다.

EU와 영국에서 추적을 위한 핑거프린팅은 쿠키와 똑같은 ePrivacy 규정의 적용을 받습니다. 유럽 규제 기관들은 2014년부터 핑거프린팅이 ePrivacy 지침 제5조 제3항의 적용 대상이라고 밝혀 왔습니다. 이 조항에 따르면 사용자가 요청한 서비스에 꼭 필요한 접근이 아닌 한 일반적으로 동의를 받아야 합니다.

단순한 해결책: 모든 값을 무작위로

가장 먼저 떠오르는 방법은 모든 값을 무작위로 만드는 것입니다. 간단한 개인정보 보호 확장 프로그램 상당수가 바로 그렇게 합니다. 여기서는 사용자 에이전트를 무작위로 바꾸고, 저기서는 Canvas에 노이즈를 더하는 식입니다.

문제는 무작위성이 모순을 만들고, 모순은 어떤 단일 값보다 훨씬 쉽게 탐지된다는 점입니다.

• 사용자 에이전트는 Windows인데, 그래픽 카드는 Mac에만 있는 모델인 경우.
• 시계는 상파울루에 맞춰져 있는데, IP 주소는 프랑크푸르트인 경우.
• navigator.platform이 가리키는 운영체제와 Client Hints가 가리키는 운영체제가 다른 경우.
• 사용자 에이전트와 Client Hints에서 주장하는 브라우저 버전이 서로 다른 경우.
• 페이지를 불러올 때마다 Canvas 출력이 달라지는 경우. 실제 기기에서는 일어나지 않는 일입니다.

이는 단순한 이론이 아닙니다. 2018년 연구자들은 바로 이런 모순을 찾아내는 테스트 도구 모음인 FP-Scanner를 만들었습니다. FP-Scanner는 연구진이 시험한 핑거프린트 변조 도구들을 그 도구가 만들어 낸 불일치를 근거로 탐지해 냈고, 일부 경우에는 도구가 숨기려던 실제 브라우저와 운영체제까지 알아냈습니다.

실제 기기는 지루합니다. 값들이 서로 잘 맞아떨어지고, 방문할 때마다 그대로입니다. 고유하지만 현실에 존재할 수 없는 핑거프린트는 수백만 대의 평범한 컴퓨터처럼 보이는 핑거프린트보다 훨씬 눈에 띕니다.

무작위화도 신중하게 하면 효과를 볼 수 있습니다. Brave의 “farbling”은 사이트별, 세션별 시드를 사용해 작은 무작위 변화를 더합니다. 그래서 한 사이트는 세션 내내 같은 값을 보게 되고, 서로 다른 사이트끼리는 그 값을 연결할 수 없습니다. 페이지를 불러올 때마다 새로운 노이즈를 더하는 방식과는 전혀 다릅니다.

오늘날 브라우저의 보호 방식

• Tor Browser는 무작위화와 정반대의 방식을 택합니다. 표준 창 크기까지 맞춰 모든 사용자가 최대한 똑같아 보이게 만들어, 누구도 눈에 띄지 않게 합니다.
• Brave는 앞에서 설명한 대로 일부 값을 사이트별, 세션별로 무작위화합니다. 자매 사이트인 WebTraceCheck의 임시 클라우드 브라우저에서 설치 없이 체험해 볼 수 있습니다.
• Firefox 145(2025년 11월)는 핑거프린팅 보호 기능을 확대했습니다. Mozilla에 따르면 이를 통해 고유하게 식별되는 사용자의 비율이 거의 절반으로 줄었습니다. 이 기능은 사생활 보호 창과 엄격한 추적 방지 모드에서 먼저 도입되었습니다.
• Safari 26(2025년 9월)은 알려진 핑거프린팅 스크립트가 화면 크기, CPU 코어 수, 2D Canvas처럼 기기 특성을 드러내는 API를 안정적으로 읽지 못하도록 막습니다.

어떤 브라우저를 쓰든 몇 가지 습관이 도움이 됩니다. 브라우저를 최신 상태로 유지하고, 기본 설정에서 크게 벗어나지 않게 사용하세요. 특이한 폰트나 많은 확장 프로그램은 나를 더 드문 존재로 만드므로 주의하세요. 앞에서 설명한 이유로 “무작위 사용자 에이전트” 확장 프로그램은 피하는 것이 좋습니다.

좋은 핑거프린트의 조건

그럴듯한 브라우저 아이덴티티에는 세 가지 특성이 있습니다.

1. 일관성: 운영체제, 사용자 에이전트, Client Hints, GPU, 폰트, 화면, 언어, 시간대, IP 위치까지 모든 신호가 서로 맞아떨어집니다.
2. 안정성: 실제 기기처럼 프로필을 사용할 때마다 같은 값이 나타납니다.
3. 평범함: 실제 하드웨어에서 가져온 값을 사용하므로 프로필이 눈에 띄지 않고 자연스럽게 섞여 듭니다.

안티디텍트 브라우저가 여러 계정을 관리하는 팀에 약속하는 것도 바로 이것입니다. 계정마다 분리된, 일관된 프로필을 제공하는 것이죠. 여러 제품을 비교하고 있다면 안티디텍트 브라우저 모음을 참고하세요. 각 브라우저에 대한 사용자 반응을 요약하고 모든 출처를 링크해 두었습니다.

내 브라우저 검사하기

지금 웹사이트가 나에 대해 무엇을 보고 있는지 궁금하신가요? 무료 브라우저 핑거프린트 검사는 탐지 시스템이 사용하는 것과 같은 신호를 읽고, WebRTC 유출과 시간대 불일치를 포함해 어떤 신호들이 서로 모순되는지 보여 줍니다. 검사는 전적으로 브라우저 안에서 실행되며, 결과는 저장하지 않습니다.

좀 더 빠르고 재미있게 알아보고 싶다면 30초면 끝나는 브라우저 성격 테스트를 해 보세요. 내 브라우저가 8가지 유형 중 어디에 해당하는지, 그리고 나와 같은 설정을 가진 브라우저가 대략 얼마나 되는지 알려 줍니다.

자주 묻는 질문

시크릿 모드를 쓰면 핑거프린팅을 막을 수 있나요?

아니요. 시크릿 창은 쿠키나 방문 기록을 남기지 않지만, 화면, 그래픽 카드, 폰트, 언어, 시간대는 그대로이므로 핑거프린트는 거의 바뀌지 않습니다.

VPN을 쓰면 핑거프린팅을 막을 수 있나요?

VPN은 IP 주소만 바꿀 뿐 다른 것은 바꾸지 않습니다. 핑거프린트의 나머지 부분은 그대로이며, VPN 위치와 맞지 않는 시간대는 그 자체로 눈에 띌 수 있습니다.

브라우저 핑거프린팅은 합법인가요?

목적과 지역에 따라 다릅니다. 사기 방지와 보안은 널리 인정되는 용도입니다. EU와 영국에서는 광고나 추적을 위한 핑거프린팅이 쿠키와 같이 취급되며, 일반적으로 사용자의 동의가 필요합니다.

브라우저 핑거프린트를 바꿀 수 있나요?

브라우저나 기기, 설정을 바꾸면 일부는 바꿀 수 있습니다. 하지만 무작위로 바꾸면 오히려 역효과가 나기 쉽습니다. 목표는 방문할 때마다 다른 핑거프린트가 아니라, 평범한 기기처럼 보이는 핑거프린트입니다.

출처

• Peter Eckersley, How Unique Is Your Web Browser?, Privacy Enhancing Technologies Symposium, 2010.
• Pierre Laperdrix, Walter Rudametkin, Benoit Baudry, Beauty and the Beast: Diverting modern web browsers to build unique browser fingerprints, IEEE Symposium on Security and Privacy, 2016.
• Alejandro Gómez-Boix, Pierre Laperdrix, Benoit Baudry, Hiding in the Crowd: an Analysis of the Effectiveness of Browser Fingerprinting at Large Scale, The Web Conference, 2018.
• Antoine Vastel, Pierre Laperdrix, Walter Rudametkin, Romain Rouvoy, FP-Scanner: The Privacy Implications of Browser Fingerprint Inconsistencies, USENIX Security Symposium, 2018.
• Antoine Vastel, Pierre Laperdrix, Walter Rudametkin, Romain Rouvoy, FP-STALKER: Tracking Browser Fingerprint Evolutions, IEEE Symposium on Security and Privacy, 2018.
• Pierre Laperdrix, Nataliia Bielova, Benoit Baudry, Gildas Avoine, Browser Fingerprinting: A survey, ACM Transactions on the Web, 2020.
• European Data Protection Board, Guidelines 2/2023 on the technical scope of Art. 5(3) of the ePrivacy Directive, 2024.
• Information Commissioner’s Office, Our response to Google’s policy change on fingerprinting, 2024.
• Mozilla, Firefox expands fingerprint protections, 2025.
• WebKit, News from WWDC25: Web technology coming this fall in Safari 26 beta, 2025.
• Brave, Fingerprinting defenses 2.0.