2010.04.20

구글의 데이터 수집 방지하는 브라우저 애드온 ‘구글 쉐어링’

Jeremy Kirk | IDG News Service

구글이 사용자에 대해서 수집하는 데이터의 범위가 확대됨에 따라, 한 컴퓨터 보안 연구원이 구글 사용시 더욱 강력히 사생활을 보호할 수 있도록 설계된 프로젝트를 공개했다.

 

구글쉐어링(GoogleSharing)이라고 불리는 이 프로젝트는 파이어폭스 애드온으로 사용자가 검색, 뉴스, 이미지 서비스 등 로그인이 필요 없는 구글 서비스를 이용할 때 구글에 가짜 정보를 주는 익명의 프록시 서비스를 이용하는 것이다.

 

지난 주 블랙 햇 컨퍼런스에서 발표한 보안 컨설턴트이자 침투 테스터인 목시 마린스파이크는 구글이 사용자의 IP 주소, 검색 요청, 브라우저 형식 등 다양한 정보를 수집한다고 지적했다.

 

구글 뿐만 아니라 주요 검색 업체들은 데이터 수집과 관련된 우려를 불식시키기 위해서 특정 시간이 지나면 저장된 IP 주소를 익명화 하는 등의 조치를 취하고 있다. 그러나 마린스파이크에 따르면, 구글이 설명하는 정보 암호화는 잠재적으로 추후에 사용자 프로파일이 될 수 있다.

 

예를 들어, IP 주소의 경우 구글은 수집된 지 9개월이 지나면 마지막 8자리를 익명화 시키는데, 일부 사생활 보호론자들은 이것이 충분하지 않다고 주장하고 있다. 또한 구글은 컴퓨터에 설치된 특정 브라우저와 함께 검색 쿼리를 구성하기 위해서 쿠키나 브라우저에 저장된 데이터 파일 등을 이용한다.

 

마린스파이크는 “가장 큰 문제는 구글이 상당히 많은 데이터를 가지고 있다는 것이다”라면서, “그들은 모든 것을 기록한다. 영원히. 많은 방법으로 이런 정보들은 당신의 가장 친한 친구가 당신에 대해서 아는 것 보다 더 완벽한 그림을 그리는데 이용될 수 있다”라고 말했다.

 

그래서 마린스파이크는 파이어폭스 애드온인 구글쉐어링을 개발하게 됐다. 구글쉐어링을 활성화 시키면, 누군가가 로그인이 필요 없는 서비스를 이용하는지 추적한다.

 

예를 들어, 만일 검색 요청이 있을 시, 구글쉐어링은 쿠키 요청을 제거한다. 이 검색 요청은 암호화되어 맞춤화된 프록시 서버로 전송된다.

 

마린스파이크는 “일반적으로 http:// 접속을 제공하지 않는 구글 서비스 이용시 사용자의 로컬 네트워크에서 SSL 보호를 받게 되는 것”이라고 설명했다.

 

그러면 프록시 서버는 다르지만 유효한 구글 쿠키를 요청에 할당하고 원래 HTTP 헤더에 있던 요청은 없애버린다. 이 요청이 구글로 보내져서 구글은 프록시 서버에 답을 주고, 클라이언트에게 전달된다.

 

이 밖에 TOR(The Onion Router) 같은 여러 단계의 사생활 보호 기능을 제공하는 익명화 서비스들이 있다. 하지만 마린스파이크는 TOR 역시 HTTP 헤더를 없애지만, 이 방법을 구글이 서비스 오용으로 인식해서 검색결과를 보여주기 전에 CAPTCHA(Completely Automated Public Turing test to tell Computers and Humans Apart)를 입력하도록 하기 때문에 속도가 매우 느리고, 생산성이 떨어진다고 주장했다.

 

하지만 구글쉐어링은 빠르고, 투명하며, 업무 흐름을 방해하지 않는다는 설명이다.

 

마린스파이크는 “구글쉐어링으로 보호하려는 것은 검색이다. 이 검색은 사용자가 누군지에 대한 큰 그림에 통합되어야만 가치가 있는 것이다”라고 전했다.

 

누구나 구글쉐어링 프록시 서버를 구동할 수 있다. 마린스파이크는 비록 이것을 사용하면 구글이 받는 것과 똑 같은 정보에 대해 접근할 수 있지만, 이런 정보를 사용하기에는 구글쉐어링 프록시 서버를 구동하는 것이 구글 보다 불리한 위치에 있기 때문에 더 낫다고 주장했다.

 

만일 충분히 많은 사람들이 구글쉐어링 프록시를 구동하면, 쿼리가 모든 프록시로 배포될 것이고 정보 풀이 더욱 많이 희석될 것이다. 또한 애드온은 특정 프록시 이용을 형성할 수도 있다.

 

마린스파이크는 “사용자가 구글을 이용하는 것은 정보를 그들과 공유하고자 하는 것이 아니다”라면서, “구글을 이용할 때에도 개인 정보를 주지 않고, 단순히 그들의 서비스만 이용하도록 해야 한다”라고 덧붙였다.

 

한편, 구글은 이와 같은 발표에 대해 공식적인 입장을 밝히지 않았으나, 사생활 보호 페이지에는 서비스와 보안 시스템 향상을 위해서 쿼리와 같은 검색엔진 데이터를 유지한다고만 설명되어 있다.

 

구글은 2009년 11월 사용자들이 구글이 가지고 있는 데이터를 보고 관리할 수 있는 대시보드를 공개했는데, 구글 계정을 가지고 있어야지만 정보를 볼 수 있으며, 회사가 수집한 다른 정보들에 대해서는 보여주지 않는다. jeremy_kirk@idg.com

 



2010.04.20

구글의 데이터 수집 방지하는 브라우저 애드온 ‘구글 쉐어링’

Jeremy Kirk | IDG News Service

구글이 사용자에 대해서 수집하는 데이터의 범위가 확대됨에 따라, 한 컴퓨터 보안 연구원이 구글 사용시 더욱 강력히 사생활을 보호할 수 있도록 설계된 프로젝트를 공개했다.

 

구글쉐어링(GoogleSharing)이라고 불리는 이 프로젝트는 파이어폭스 애드온으로 사용자가 검색, 뉴스, 이미지 서비스 등 로그인이 필요 없는 구글 서비스를 이용할 때 구글에 가짜 정보를 주는 익명의 프록시 서비스를 이용하는 것이다.

 

지난 주 블랙 햇 컨퍼런스에서 발표한 보안 컨설턴트이자 침투 테스터인 목시 마린스파이크는 구글이 사용자의 IP 주소, 검색 요청, 브라우저 형식 등 다양한 정보를 수집한다고 지적했다.

 

구글 뿐만 아니라 주요 검색 업체들은 데이터 수집과 관련된 우려를 불식시키기 위해서 특정 시간이 지나면 저장된 IP 주소를 익명화 하는 등의 조치를 취하고 있다. 그러나 마린스파이크에 따르면, 구글이 설명하는 정보 암호화는 잠재적으로 추후에 사용자 프로파일이 될 수 있다.

 

예를 들어, IP 주소의 경우 구글은 수집된 지 9개월이 지나면 마지막 8자리를 익명화 시키는데, 일부 사생활 보호론자들은 이것이 충분하지 않다고 주장하고 있다. 또한 구글은 컴퓨터에 설치된 특정 브라우저와 함께 검색 쿼리를 구성하기 위해서 쿠키나 브라우저에 저장된 데이터 파일 등을 이용한다.

 

마린스파이크는 “가장 큰 문제는 구글이 상당히 많은 데이터를 가지고 있다는 것이다”라면서, “그들은 모든 것을 기록한다. 영원히. 많은 방법으로 이런 정보들은 당신의 가장 친한 친구가 당신에 대해서 아는 것 보다 더 완벽한 그림을 그리는데 이용될 수 있다”라고 말했다.

 

그래서 마린스파이크는 파이어폭스 애드온인 구글쉐어링을 개발하게 됐다. 구글쉐어링을 활성화 시키면, 누군가가 로그인이 필요 없는 서비스를 이용하는지 추적한다.

 

예를 들어, 만일 검색 요청이 있을 시, 구글쉐어링은 쿠키 요청을 제거한다. 이 검색 요청은 암호화되어 맞춤화된 프록시 서버로 전송된다.

 

마린스파이크는 “일반적으로 http:// 접속을 제공하지 않는 구글 서비스 이용시 사용자의 로컬 네트워크에서 SSL 보호를 받게 되는 것”이라고 설명했다.

 

그러면 프록시 서버는 다르지만 유효한 구글 쿠키를 요청에 할당하고 원래 HTTP 헤더에 있던 요청은 없애버린다. 이 요청이 구글로 보내져서 구글은 프록시 서버에 답을 주고, 클라이언트에게 전달된다.

 

이 밖에 TOR(The Onion Router) 같은 여러 단계의 사생활 보호 기능을 제공하는 익명화 서비스들이 있다. 하지만 마린스파이크는 TOR 역시 HTTP 헤더를 없애지만, 이 방법을 구글이 서비스 오용으로 인식해서 검색결과를 보여주기 전에 CAPTCHA(Completely Automated Public Turing test to tell Computers and Humans Apart)를 입력하도록 하기 때문에 속도가 매우 느리고, 생산성이 떨어진다고 주장했다.

 

하지만 구글쉐어링은 빠르고, 투명하며, 업무 흐름을 방해하지 않는다는 설명이다.

 

마린스파이크는 “구글쉐어링으로 보호하려는 것은 검색이다. 이 검색은 사용자가 누군지에 대한 큰 그림에 통합되어야만 가치가 있는 것이다”라고 전했다.

 

누구나 구글쉐어링 프록시 서버를 구동할 수 있다. 마린스파이크는 비록 이것을 사용하면 구글이 받는 것과 똑 같은 정보에 대해 접근할 수 있지만, 이런 정보를 사용하기에는 구글쉐어링 프록시 서버를 구동하는 것이 구글 보다 불리한 위치에 있기 때문에 더 낫다고 주장했다.

 

만일 충분히 많은 사람들이 구글쉐어링 프록시를 구동하면, 쿼리가 모든 프록시로 배포될 것이고 정보 풀이 더욱 많이 희석될 것이다. 또한 애드온은 특정 프록시 이용을 형성할 수도 있다.

 

마린스파이크는 “사용자가 구글을 이용하는 것은 정보를 그들과 공유하고자 하는 것이 아니다”라면서, “구글을 이용할 때에도 개인 정보를 주지 않고, 단순히 그들의 서비스만 이용하도록 해야 한다”라고 덧붙였다.

 

한편, 구글은 이와 같은 발표에 대해 공식적인 입장을 밝히지 않았으나, 사생활 보호 페이지에는 서비스와 보안 시스템 향상을 위해서 쿼리와 같은 검색엔진 데이터를 유지한다고만 설명되어 있다.

 

구글은 2009년 11월 사용자들이 구글이 가지고 있는 데이터를 보고 관리할 수 있는 대시보드를 공개했는데, 구글 계정을 가지고 있어야지만 정보를 볼 수 있으며, 회사가 수집한 다른 정보들에 대해서는 보여주지 않는다. jeremy_kirk@idg.com

 



X