SPARE - STARE: Securing Progressive Web Apps - Trusted Web Activity Against Unauthorized Replications

인터넷을 거대하고 북적이는 도시라고 상상해 보세요. 여기에서 웹사이트는 인기 있는 상점과 같습니다. 이 도시에는 **프로그레시브 웹 앱(Progressive Web App, PWA)**이라고 불리는 특별한 종류의 상점이 있습니다. PWA를 여러분이 앱 스토어에서 다운로드하는 전용 앱과 똑같이 보이고 느껴지지만, 브라우저 내에 완전히 존재하는 마법 같은 상점이라고 생각해보세요. 별도로 설치할 필요 없이, 웹사이트를 방문하기만 하면 오프라인 상태에서도 작동하거나 알림을 보내주는 실제 앱처럼 작동합니다. 이러한 웹 상점들이 실제 건물처럼 느껴지게 만들기 위해, 개발자들은 **신뢰할 수 있는 웹 활동(Trusted Web Activity, TWA)**이라는 도구를 사용합니다. 이것은 마치 스마트폰의 홈 화면에서 브라우저의 주소창을 거치지 않고 곧바로 PWA로 걸어 들어갈 수 있게 해주는 특별한 "유리 터널"과 같아서, 경험을 매끄럽고 안전하게 만들어 줍니다.

하지만 실제 도시와 마찬가지로, 모든 시민이 선량한 것은 아닙니다. 어떤 문제아들은 이 인기 있는 상점들의 가짜 버전을 만들고 싶어 합니다. 그들은 실제 PWA의 주소를 가져와서 가짜 앱 안에 담아 사용자에게 판매할 수 있습니다. 일단 그 안에 들어가면, 나쁜 녀리들은 돈을 벌기 위해 자신들만의 광고를 몰래 집어넣거나, 개인 정보를 훔치거나, 심지어 위험한 곳으로 방문하도록 속일 수도 있습니다. 이것이 바로 "무단 복제(unauthorized replication)" 문제입니다. 연구자들이 던지는 큰 질문은 이것입니다. 어떻게 하면 실제 소유자들에게 너무 복잡하지 않게 만들면서도, 이 복제범들이 우리가 좋아하는 웹 상점을 훔치는 것을 막을 수 있을까요?

여기서 **"SPARE - STARE"**라는 논문이 등장합니다. 조지 워싱턴 대학교와 노던 일리노이 대학교의 연구진인 저자들은 이 프로그레시브 웹 앱을 보호하기 위한 영리한 보안 요원 시스템을 제안합니다. 그들은 기존의 방식들(예를 들어 PostMessage라는 양방향 무전기 같은 방식)이 너무 무겁고, 복잡하며, 쉽게 깨지기 쉽다는 점에 주목했습니다. 대신, 그들은 일방향 메시지 시스템을 사용하는 더 가볍고 단순한 접근 방식을 시도하기로 했습니다.

그들의 해결책인 SPARE-STARE는 동적이고 암호화된 티켓처럼 작동합니다. 시뮬레이션에서 이 시스템이 작동하는 방식은 다음과 같습니다:

1. 티켓: 사용자가 정당한 앱을 열 때, 휴대폰은 단순히 링크만 보내는 것이 아닙니다. 끝에 비밀스럽고 암호화된 "티켓"이 포함된 특별한 URL(웹 주소)을 생성합니다. 이 티켓에는 두 가지 매우 중요한 정보가 들어 있습니다: 타임스탬프(링크가 생성된 정확한 시간)와 기기 ID(특정 휴대폰의 고유한 지문).
2. 경비원: 웹사이트는 문지기 역할을 합니다. 요청이 들어오면 문지기는 티켓을 확인합니다. 먼저 시간을 확인합니다. 만약 티켓이 너무 오래되었다면(사례 연구에서 테스트한 제한 시간인 1시간보다 오래되었다면), 문지기는 "안 됩니다, 이 티켓은 만료되었습니다!"라고 말합니다. 이는 나쁜 놈들이 링크를 단순히 복사해서 나중에 사용하는 것을 막아줍니다.
3. 지문: 다음으로 문지기는 기기 ID를 확인합니다. 만약 동일한 휴대폰이 동일한 티켓을 너무 많이 사용하려고 하거나, 문지기가 동일한 기기 ID로부터 한꺼번에 많은 요청이 쏟아지는 것을 발견하면, 무언가 수상하다고 판단하여 차단합니다.

연구진은 이 아이디어를 테스트하기 위해 시뮬레이션된 도시를 구축했습니다. 그들은 사용자들이 하루에 25회에서 45회의 요청을 만드는 실제 사람들의 앱 사용 방식을 모방한 데이터셋을 만들었습니다. 그런 다음 컴퓨터 시뮬레이션에서 이 보안 시스템을 다양한 유형의 "나쁜 놈들"과 맞붙게 했습니다:

• 아마추어: 단순히 웹사이트 주소를 복사하려고 시었습니다. 이 방식은 비밀 티켓이 누락되었기 때문에 즉시 실패했습니다.
• 표준형: 브라우저 기록에서 훔친 티켓을 사용하려고 시도했습니다. 이 방식은 티켓이 빠르게 만료되거나(위의 1시간 범위 내), 서버가 동일한 기기 ID가 동일한 링크를 여러 번 사용하는 것을 감지했기 때문에 실패했습니다.
• 정교한 공격자: 이들은 까다로운 유형이었습니다. 나쁜 놈들은 끊임없이 새로운 티켓을 생성하기 위해 최대 30개의 다양한 기기를 사용했으며, "라운드 로빈(round-robin)" 방식으로 티киet을 배분하여 가짜 앱 사용자들에게 전달했습니다(단일 기기가 의심스러워 보이지 않도록 티켓을 돌려가며 사용하는 방식).

이러한 영리한 공격자들에 맞서서도 SPARE-STARE 시스템은 강력하게 버텼습니다. 시뮬레이션 결과, 나쁜 놈들이 시스템을 우회하기 위해 많은 수의 기기를 사용했을 때도 보안 요원은 여전히 엄청난 양의 악성 트래픽을 거부해냈습니다. 예를 들어, 300명의 사용자와 30개의 공격용 기기가 있는 시나리오에서, 규칙을 얼마나 엄격하게 설정하느냐에 따라 시스템은 악성 요청의 88%에서 97% 사이를 성공적으로 차단했습니다.

이 논문은 이 방법이 PWA를 보호하는 유망하고 가벼운 방법임을 시사합니다. 이는 다른 방식들처럼 무겁고 복잡한 설정이 필요하지 않으며, 공격자가 여러 기기를 사용하여 영리하게 행동할 때도 잘 작동합니다. 다만, 저자들은 이것이 아직 전 세계 수백만 대의 휴대폰에 실제로 배포된 것이 아니라 시뮬레이션과 프로토타입에 기반한 것임을 주의 깊게 언급했습니다. 또한, 공격자가 거대한 물리적 기기 군단을 보유하고 있다면 여전히 틈을 탈 수 있는 방법이 있을 수 있으며, 시스템이 앱을 아주 많이 사용하는 정직한 실제 사용자를 실수로 차단하지 않도록 세심하게 조정되어야 한다고 지적했습니다.

요약하자면, SPARE-STARE는 모든 웹 링크에 고유하고, 시간 민감하며, 기기별로 특화된 "ID 카드"를 부여함으로써, 복제범들이 우리의 앱을 훔치는 것을 훨씬 어렵게 만들어 디지털 도시를 모두를 위해 안전하게 지킬 수 있다는 것을 보여줍니다.