브라우저의 프라이버시 기능을 역이용해 사용자를 추적하는 '풀파티 공격'

브라우저는 웹사이트가 열거나 소비할 수 있는 리소스의 양을 제한하고 있으며, 다른 브라우징 컨텍스트는 동일한 풀에서 리소스를 소비합니다. 따라서 브라우저는 각 사이트에 개별 리소스 세트를 제공하여 트래커가 사이트간에 사용자를 추적하는 것을 방지하는 '파티셔닝'이라는 기능을 도입했는데 이것을 악용하는 '풀파티 공격'에 대해서 웹브라우저 Brave의 개발팀이 설명했습니다.

[2112.06324] Pool-Party: Exploiting Browser Resource Pools as Side-Channels for Web Tracking
https://arxiv.org/abs/2112.06324

Pool-Party: Exploiting Browser Resource Pools as Side-Channels for Web Tracking

Preventing Pool-Party Attacks | Brave Browser
https://brave.com/privacy-updates/13-pool-party-side-channels/

파티셔닝은 한 사이트의 트래커가 다른 사이트의 사용자와 동일하다는 것을 알지 못하도록 크로스사이트 추적으로부터 사용자를 보호합니다. 예를 들어 'site-a.example'과 'site-b.example'이 모두 'tracker.example'의 추적 스크립트를 포함하더라도 파티셔닝을 통해 '각 사이트를 같은 사람이 방문한 것'을 tracker.example이 눈치채는 것을 방지하고 트래커가 여러 사이트간에 이루어지는 사용자의 움직임을 연결하는 것을 방지합니다.

브라우저가 관리하는 리소스는 웹스토리지와 네트워크, CSS 캐시, 폰트 캐시 등 여럿 존재합니다. 파티셔닝 가능한 리소스는 브라우저마다 다르며 다음 페이지에서 확인할 수 있습니다.

PrivacyTests.org: open-source tests of web browser privacy
https://privacytests.org/

Which browsers are best for privacy?

풀파티 공격이란 사이트측이 이 리소스 풀의 파티셔닝을 악용해 공격자가 사이트간에 공유되는 리소스를 조작하는 방식으로 사이트간 통신을 하고 트래킹을 한다는 것입니다.

Brave는 “이 풀파티 공격은 모든 일반적인 브라우저에 대해 다양한 방법으로 악용할 수 있고 사이트 경계를 넘어 공유되는 모든 리소스 풀은 사이트 간 추적에 활용될 가능성이 있다”고 말합니다.

Brave는 광대역폭의 리소스 풀 제한을 해제하여 공격을 사용자에게 알리는 등 풀파티 공격으로부터 사용자를 보호하는 기능을 데스크톱 및 Android용으로 배포할 계획입니다. 또 Apple, Google, Mozilla 등 다른 브라우저를 개발하는 기업과도 연계하여 웹브라우저 전체가 풀파티 공격에 대처할 수 있도록 했다고 합니다.

다만 소셜 뉴스사이트인 Hacker News에서는 “Brave의 기사를 읽은 것만으로는 풀파티 공격의 영향과 대책이 불분명하고 내용도 과거에 지적되었던 크로스사이트 스크립팅을 재분류한 것"이라고 지적하는 댓글도 달리고 있습니다.

I did some digging. To me it was rather unclear about the impact of this. Furthe... | Hacker News
https://news.ycombinator.com/item?id=29571633