모든 추적기를 찾겠습니다! AdGuard가 숨겨진 추적기를 찾기 위해 전체 웹을 검색한 방법에 대한 이야기

3월 9일 업데이트: 다른 콘텐츠 차단기가 우리 리스트를 사용하여 CNAME 클로킹 추적기를 차단하기 시작했기 때문에 우리의 노력이 가치가 있다는 것을 알게 되었습니다. 예를 들어, EasyPrivacy는 저희 차단 리스트를 사용하고 있습니다.

콘텐츠 차단이 널리 보급됨에 따라 과도한 추적을 위한 대부분의 도구는 쓸모가 없다고 증명되었습니다. 하지만 시장이 대용량 데이터 수집하는 방향에 더 치우치면서, 추적기 개선을 최대한 극대화하는게 최근 경향이였습니다. 몇 회사들은 조금 더 직접적인 접근 방법을 찾지만, 몇 회사들은 더욱 창의적인 방법을 찾고 있습니다.

이러한 방법 중 하나는 CNAME의 사용을 포함합니다. CNAME 레코드(Canonical Name record)는 도메인을 IP 주소에 직접 매핑하는 대신 한 도메인 이름(별칭)을 다른 도메인 이름(표준 이름)으로 매핑하는 DNS 레코드 유형입니다. 수백만 개의 웹 사이트에서 메일, 검색 등과 같은 다양한 서비스에 대한 고유한 하위 도메인을 만드는 데 사용되어지는 기본 기능입니다. 원활한 상호 작용을 위해 하위 도메인은 기본 도메인처럼 신뢰됩니다.

CNAME 클로킹 추적은 이 근본적인 메커니즘을 남용하고 원치 않는 데이터 수집보다 더 많은 문제를 야기합니다.

CNAME 레코드를 사용하시면 외부 추적 서버는 브라우저가 신뢰하는 웹 사이트의 하위 도메인으로 위장할 수 있으며 추적 쿠키는 ‘자사’로 허용됩니다. 기본 도메인의 쿠키는 숨겨진 추적기로 전달될 수 있습니다. 제3자는 사용자의 이름과 연락처 정보에서 세션을 식별하고 웹 사이트에 로그인 상태를 유지하는 데 사용되는 인증 쿠키에 이르기까지 모든 종류의 데이터를 수신할 수 있습니다.

야나 디모바(Yana Dimova), 구네스 아카(Gunes Acar), 워우터 주슨(Wouter Joosen), 톰 반 괴테(Tom Van Goethem) 및 루카스 올레즈니크(Lukasz Olejnik)의 최근 연구 논문에 따르면 쿠키 유출은 95%의 이러한 추적기를 사용하는 웹 사이트에서 발생합니다. 이 연구는 CNAME 클로킹 추적이 기본 웹 보안 도구를 우회하고 주요 보안 및 개인 정보 침해로 이어질 수 있음을 강조합니다.

보통 브라우저는 CNAME 클로킹 추적으로부터 사용자를 보호할 수 없지만 광고 차단기는 할 수 있습니다. Mozilla Firefox의 uBO, AdGuard 및 AdGuard DNS는 이미 이 ‘숨겨진 추적기’를 차단합니다.
하지만 Chrome, Chromium 및 Safari의 제한으로 인해 일반 확장 프로그램이 호스트 이름을 동적으로 확인하고 추적기를 제거할 수 없습니다. 확장 프로그램은 필터 리스트으로 인해 제한되어 있으며 누군가가 '완벽한' 필터 목록을 만들기 위해 전체 웹에 CNAME 클로킹 추적기를 찾는 것을 상상하기 어렵습니다.

그러나 AdGuard는 CNAME 클로킹 추적기를 찾기 위해 전체 웹을 확인했습니다! 자체 DNS 서버와 독립 실행형 및 브라우저 기반 콘텐츠 차단 도구 덕분에 추적기를 추적하고 차단 목록에서 추가하고 차단할 수 있었습니다. 이제 알려진 모든 CNAME 클로킹 추적기의 전체 목록을 AdGuard 추적 보호 필터의 일부로 공개적으로 사용할 수 있게 되었습니다. 또한 다른 콘텐츠 차단기들이 사용할 수 있도록 GitHub에 목록을 게시했습니다. 이 목록은 6천 개 이상의 항목으로 구성되어 현재까지 활발하게 사용되는 숨겨진 추적기 자동 업데이트 저장소입니다. 이 목록은 탐지되는 숨겨진 추적기를 추가하기 위해 정기적으로 업데이트됩니다.

CNAME 클로킹 추적이 완전히 처리된다는 뜻인가요? 아쉽지만 아닙니다. 필터 목록을 최신 상태로 유지할 계획이지만 숨겨진 추적기의 수가 증가하여 차단 규칙의 수도 늘어날 것입니다. 문제는 콘텐츠 차단을 제어하기 위해 Safari와 Chrome이 차단 규칙 수를 각각 5만 개와 15만 개 (Manifest V3에서 계획 한대로)로 제한한다는 것입니다. 오늘날에도 Safari의 5만 개의 규칙은 광고, 추적기 및 웹에 숨어 있는 위험 요소로부터 자신을 보호하기에 충분하지 않습니다. 실제 위협으로부터 사용자를 보호하기 위해 규칙이 부족해질 날은 생각보다 더 가깝습니다.