디바이스 추적 vs 쿠키 추적: 기술적 비교

쿠키 기반 추적의 시대는 저물고 있다. Safari는 기본적으로 서드파티 쿠키를 차단한다. Chrome은 이를 단계적으로 폐지하고 있다. Firefox에는 향상된 추적 방지(Enhanced Tracking Protection) 기능이 있다. 심지어 퍼스트파티 쿠키조차 ITP와 유사한 메커니즘으로부터 점점 더 많은 제약을 받고 있다. 재방문자를 식별하는 데 의존하는 애플리케이션, 즉 사기 방지, 개인화, 분석에는 디바이스 핑거프린팅이 근본적으로 더 견고한 접근법을 제공한다.

쿠키 추적의 작동 방식

쿠키 추적은 개념적으로 단순하다. 방문자가 처음 방문하면 서버가 고유 식별자를 생성해 쿠키에 저장한다. 이후 방문 때 브라우저가 그 쿠키를 되돌려 보내면, 서버는 방문자를 인식할 수 있다. 퍼스트파티 쿠키(사용자가 방문 중인 도메인이 설정한 쿠키)는 세션 사이에도 유지된다. 서드파티 쿠키(다른 도메인이 설정한 쿠키)는 사이트 간 추적을 가능하게 한다.

쿠키의 단순함은 곧 약점이기도 하다. 사용자는 언제든 쿠키를 삭제할 수 있다. 사생활 보호 모드에서는 쿠키가 유지되지 않는다. 브라우저 업데이트는 쿠키의 수명을 갈수록 제한하고 있다. Safari의 ITP는 JavaScript로 설정한 퍼스트파티 쿠키를 7일로 제한한다. 그리고 곧 있을 Chrome의 서드파티 쿠키 폐지는 사이트 간 식별의 주된 메커니즘을 없앤다.

디바이스 핑거프린팅의 작동 방식

디바이스 핑거프린팅은 방문자의 기기와 브라우저의 기술적 속성, 즉 canvas 렌더링 결과, WebGL 파라미터, 오디오 처리 특성, 설치된 폰트, 화면 속성 그리고 수십 가지 다른 신호를 수집해 방문자를 식별한다. 이 신호들은 결합되어 디바이스 식별자 역할을 하는 해시가 된다. 식별자가 저장된 데이터가 아니라 디바이스 고유의 특성에서 도출되기 때문에, 쿠키 삭제, 사생활 보호 모드, 브라우저 재설치에도 살아남는다.

핑거프린팅의 정확도는 수집하는 신호의 수와 품질에 달려 있다. tracio.ai가 수집하는 130개 이상의 신호와 같은 포괄적인 신호 집합을 사용하면, 서로 다른 두 기기가 동일한 핑거프린트를 생성할 확률은 극히 미미하다. 당사의 다층(multi-tier) 식별 방식은 소프트웨어 수준 신호의 자연스러운 변화(drift)를 처리하면서도 하드웨어 수준 신호를 통해 안정적인 식별을 유지한다.

나란히 놓고 비교하기

지속성이 가장 큰 차이다. 쿠키는 삭제되거나 만료될 때까지 유지된다. 디바이스 핑거프린트는 하드웨어가 동일하게 유지되는 한, 소비자용 기기의 경우 통상 3~5년 동안 지속된다. 브라우저 간 식별은 쿠키로는 불가능하지만(브라우저마다 별도의 쿠키 저장소를 갖는다) 기기가 동일한 하드웨어 신호를 공유할 때 핑거프린팅으로는 달성할 수 있다.

프라이버시 영향은 흔히 오해된다. 쿠키는 개인정보를 포함해 임의의 데이터를 저장할 수 있다. 디바이스 핑거프린팅은 기술적 속성만 수집한다. 개인 콘텐츠도, 방문 기록도, 입력 폼 데이터도 수집하지 않는다. GDPR 관점에서 쿠키와 핑거프린트 모두 식별에 사용될 경우 개인정보에 해당할 수 있지만, 수집되는 데이터의 범위는 핑거프린팅 쪽이 더 좁다.

구현 복잡도는 단순한 경우에는 쿠키가 유리하다. 쿠키 설정은 코드 한 줄이면 된다. 그러나 공격자가 적극적으로 쿠키를 삭제하고 사생활 보호 모드를 사용해 탐지를 회피하는 사기 방지 영역에서는 디바이스 핑거프린팅이 더 완전한 해법을 제공한다. tracio.ai의 JavaScript 에이전트는 모든 신호 수집, 전송, 식별을 자동으로 처리한다.

각각 언제 사용할까

쿠키는 세션 관리와 사용자 설정, 즉 사용자가 제어하고 삭제하리라 기대하는 데이터에는 여전히 올바른 선택이다. 디바이스 핑거프린팅은 적극적인 회피에도 식별이 유지되어야 하는 보안 및 사기 방지에 올바른 선택이다. 실제로 대부분의 애플리케이션은 둘 다 사용할 때 이점을 얻는다. 세션 상태에는 쿠키를, 보안 신호에는 디바이스 핑거프린팅을 쓰는 것이다.

식별의 미래

브라우저가 추적 메커니즘을 계속 제한함에 따라, 업계는 프라이버시를 보호하는 식별 방식으로 이동하고 있다. 디바이스 핑거프린팅은 데이터 최소화와 목적 제한을 지키며 구현될 때 이 방향과 잘 부합한다. tracio.ai는 기술적 속성만 수집하고 이를 고객의 인프라에서 처리함으로써, 사용자 프라이버시를 존중하는 지속적인 식별을 제공한다.