기존 프라이빗 브라우징 옵션 강화시킨 시스템 등장
블라인딩 서버 활용해 진짜처럼 보이는 페이지 로딩...암호화도 적용

[보안뉴스 문가용 기자] MIT와 하버드 대학의 보안 연구원들이 기존의 프라이빗 브라우징(private browsing)을 한층 더 강화할 수 있는 새로운 시스템을 개발했다. 이 시스템의 이름은 베일(Veil)로 특별히 한 공간에서 한 개의 컴퓨터를 공유해야만 하는 사람들을 위해 고안됐다고 한다. 기존 프라이빗 브라우징 기능 및 익명성 네트워크와 연동해 사용이 가능하다고 한다.


이 연구에 참여한 건 프랭크 왕(Frank Wang), 니콜라이 젤도비치(Nickolai Zeldovich), 제임스 미큰스(James Mickens)로 “파일 시스템, 브라우저 캐시, DNS 캐시, 디스크 내 RAM 리플렉션 등을 통한 정보 유출을 막는 시스템”이라고 베일을 요약한다. 해당 연구 자료는 PDF로 발행됐으며, 여기(https://frankwang.org/files/papers/wang-veil.pdf)에서 다운로드가 가능하다.

이들에 의하면 현존하는 프라이빗 브라우징 세션들은 “데이터를 검색해 메모리 내로 로딩시키고, 세션이 끝나면 지우는 방식으로 구성되어 있다”고 설명한다. 하지만 “메모리 관리 프로세스가 매우 복잡하기 때문에 특정 데이터는 하드 드라이브에 그대로 남게 되며, 이게 며칠이 지나도 그대로 저장되는 경우도 있다.” 브라우저는 이러한 데이터를 추적하지 않는다.

왕 등이 개발한 이번 시스템은 “메모리에서 로딩된 모든 데이터가 화면에 출력되기 전까지 암호화시킨다.” 사용자들은 “브라우저에 URL을 직접 입력하지 않고, 베일 웹사이트에 접속해 거기서 URL을 입력하면 된다”고 한다. “블라인딩 서버(blinding server)의 도움이 있어, 요청된 페이지의 ‘베일식’ 형태가 전송됩니다.”

베일 페이지는 모든 브라우저를 통해 열람이 가능하다. 그러나 복호화 알고리즘이 실행되어야만 볼 수 있게 된다. 또한 모든 페이지에 아무런 의미가 없는 ‘미끼’ 코드를 심어둔다. 그러므로 같은 페이지가 하나도 없게 되고, 복호화된 코드의 스니펫을 가져갈 능력이 되는 공격자라고 할지라도 사용자가 어떤 페이지를 방문했는지 정확히 파악할 수가 없다. 이렇게 비슷하지만 다른 페이지를 저장하고 있는 게 바로 위에서 언급된 블라인딩 서버라고 한다.

“블라인딩 서버는 콘텐츠를 변형시키고 객체를 알아보기 힘들게 만듭니다. 암호화 기능을 어떻게 해서든 뚫어낸다 하더라도, 또 다른 관문을 통과해야 하는 것이죠. 메모리 내에 있는 RAM의 아티팩트(artifact)들이 평문으로 디스크에 저장될 확률도 크게 줄어듭니다. 결국 베일은 웹 페이지를 아주 얇은 클라이언트로 변형시키는 것과 같습니다. 특정 페이지와 연관 지을 수 있는 RAM의 흔적이 하나도 없어 얇아진 클라이언트죠.”

블라인딩 서버가 직접 요청된 페이지를 열도록 하는 방법도 있다. 이 때 블라인딩 서버는 실제 페이지를 열고, 사진을 찍은 후, 그 그림을 사용자의 컴퓨터로 보낸다. 그래서 사용자가 해당 ‘이미지’의 어딘가를 클릭하게 되면 그 위치를 브라우저가 기록해 해당하는 데이터를 전송한다.

베일은 옵트인 모델을 사용하고 있다. 무슨 뜻이냐면, 사이트의 ‘베일 버전’을 개발자들이 만들어야 한다는 것이다. 물론 베일 프로젝트 좋자고 개발을 추가로 한 번 더 할 개발자들은 찾기 힘들 것이다. 그래서 베일 연구원들은 컴파일러를 만들었다. 자동으로 기존 웹사이트를 베일용으로 전환시켜 주는 것이다.

“새로운 페이지를 게재하려면 개발자들이 HTML, CSS, 자비스크립트 파일들을 베일 컴파일러로 재작업해야 합니다. 컴파일러는 URL에 해당되는 콘텐츠를 변형시켜 페이지가 제대로 로딩되도록 하고요. 또한 블라인딩 서버와 베일 페이지가 암호화된 데이터를 교환하도록 하고, 이 암호화된 데이터는 사용자의 키로 보호를 받게 되죠. 즉 베일 페이지가 암호화된 형태로 브라우저 캐시 내에 안전하게 저장된다는 겁니다.”

다만 블라인딩 서버의 경우 유지보수가 필요하다. 웹사이트 관리자의 경우 베일로 활성화된 버전을 직접 호스팅할 수도 있다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>