클라우드플레어 턴스타일, 웹지엘 지문 채집 요구로 웹킷지티케이 브라우저 차단 논란

• 클라우드플레어 턴스타일이 일부 브라우저에서 사람 인증을 끝없이 반복시키고 있다는 보고가 나옴

  • 대상은 웹킷지티케이 기반 브라우저였고, 작성자는 최근 약 일주일 사이에 문제가 심해졌다고 말함
  • 결과적으로 턴스타일을 쓰는 여러 웹사이트에 접근하지 못하는 상황이 됐다는 얘기임

• 원인으로 지목된 건 웹지엘(WebGL)을 통한 디바이스 지문 채집임

  • 턴스타일은 사용자가 사람인지 확인하기 위해 브라우저 지문을 사용한다고 안내함
  • 프라이버시 도구가 지문을 막거나 무작위화하면, 오히려 ‘정체를 숨기려는 봇’처럼 보인다는 논리임
  • 작성자는 이걸 두고 “추적 말고는 설명하기 어렵다”는 식으로 강하게 비판함

• 웹킷 쪽은 이런 종류의 지문 채집을 오래전부터 막아온 쪽에 가까움

  • 기사 표현을 빌리면 “애플조차 막을 정도로 심한 추적”이라는 뉘앙스임
  • 웹킷지티케이에서는 이 보호를 쉽게 끄는 옵션도 잘 보이지 않는다고 함
  • 그래서 작성자는 클라우드플레어가 사파리에는 예외를 두고, 나머지 웹킷지티케이 브라우저를 사실상 차단한 것 아니냐고 의심함

• 흥미로운 건 브라우저별 웹지엘 지문 보호 방식도 완전히 같지 않다는 점임

  • 작성자는 모질라 파이어폭스도 웹지엘 지문 보호에서 실수가 있었다고 언급함
  • 관련 버그에서는 게코(Gecko)가 정제된 그래픽 처리 장치(GPU) 특성을 노출하는 반면, 웹킷과 블링크(Blink)는 모든 사용자에게 하드코딩된 문자열을 반환한다고 설명함
  • 즉 “지문을 얼마나 숨길 것인가”가 브라우저 엔진마다 다르게 구현되고 있고, 그 차이가 봇 방어 시스템과 충돌하는 셈임

• 개발자 입장에서는 이게 단순한 브라우저 취향 문제가 아님

  • 클라우드플레어 같은 보안 계층을 붙이면 봇 트래픽은 줄일 수 있지만, 특정 엔진·프라이버시 설정·리눅스 데스크톱 사용자에게 접근성 문제가 생길 수 있음
  • 특히 로그인, 결제, 문서 접근 같은 핵심 플로우 앞에 턴스타일을 걸어둔 서비스라면 “일부 사용자는 영원히 인증 통과 못 함”이 실제 장애가 될 수 있음

---

기술 맥락

• 여기서 핵심 선택은 클라우드플레어가 사람 인증 신호로 브라우저 지문, 그중에서도 웹지엘 정보를 쓰는 쪽에 기대고 있다는 점이에요. 봇은 헤드리스 브라우저나 자동화 환경에서 티가 나는 경우가 많으니, 그래픽스 스택까지 보면 탐지 정확도를 올릴 수 있거든요.

• 문제는 웹지엘 지문이 보안 신호이면서 동시에 추적 신호라는 데 있어요. 같은 그래픽 카드라도 드라이버, 렌더러, 브라우저 엔진 차이가 섞이면 꽤 식별력 있는 값이 나오고, 사용자는 쿠키처럼 간단히 지우기도 어려워요.

• 웹킷지티케이는 이런 지문 채집을 막는 쪽으로 동작하는데, 턴스타일은 그 차단을 ‘수상한 사용자’로 볼 수 있어요. 그러면 프라이버시 보호가 강한 브라우저일수록 오히려 봇처럼 취급되는 역전이 생겨요.

• 서비스 운영자 입장에서는 봇 방어를 켤 때 인증 성공률도 같이 봐야 해요. 보안 지표만 보면 좋아 보여도, 특정 브라우저나 운영체제 조합에서 인증 루프가 생기면 그건 사용자 입장에선 그냥 접속 장애예요.