헤드리스 브라우저

헤드리스 브라우저는 Chromium이나 WebKit 같은 일반 브라우저와 동일한 렌더링 엔진을 사용하되, 화면 상의 창을 생략합니다. 스크립트가 이를 프로그램적으로 제어하여 페이지를 로드하고, JavaScript를 실행하고, 요소를 클릭하고, 결과 DOM을 읽습니다. 완전한 엔진을 실행하기 때문에, 단순한 HTTP 클라이언트로는 처리할 수 없는 싱글 페이지 애플리케이션과 동적 콘텐츠를 다룰 수 있습니다.

이 능력이 바로 헤드리스 브라우저를 공격자에게 매력적으로 만드는 요소입니다. 이들은 지문 수집과 챌린지 스크립트가 의존하는 JavaScript를 실행할 수 있어, 스크립트로 제어되는 클라이언트가 페이지 내 코드를 실행할 수 없다고 가정하는 방어를 무력화합니다. 대규모에서는 한 대의 머신이 다수의 헤드리스 인스턴스를 병렬로 제어하며, 각각이 독립적인 방문자인 척할 수 있습니다.

그러나 헤드리스 환경은 탐지 가능한 흔적을 남깁니다. 역사적으로는 user agent의 HeadlessChrome 토큰이나 navigator.webdriver 플래그 같은 명백한 표식을 노출했습니다. 이러한 것들이 패치되더라도 더 미묘한 불일치가 남습니다. 누락되거나 흉내만 낸 브라우저 API, 없는 플러그인, 비정상적인 그래픽과 폰트 렌더링, 없는 하드웨어 센서, 그리고 상호작용 세션과는 다른 타이밍 동작 등입니다.

악성 헤드리스 트래픽 운영자는 속성을 패치하고, 값을 위조하고, 가짜 사람 입력을 추가하여 이러한 흔적을 지우려 합니다. 그래서 탐지는 내부 일관성에 초점을 맞추어, 브라우저가 노출하는 다수의 독립적인 신호가 실제로 서로 일치하는지 확인합니다. 완전히 자기 일관적인 위조를 모든 표면에 걸쳐 유지하기는 어렵기 때문입니다.