RSS 크로미움 블로그 노트

RSS 크로미움 블로그

Blog.chromium.org은 Chromium 프로젝트의 공식 웹사이트입니다. 이 사이트는 브라우저 기술 세계에 대한 최신 업데이트, 발표, 통찰을 독자들에게 제공합니다. 사이트는 주요 블로그, 팀 멤버 프로필, 프로젝트 정보, Chromium 개발 관련 리소스 등 다양한 섹션으로 구성되어 있습니다.

노트 스레드

새로운 브라우저 벤치마크인 "JetStream 3"가 Apple, Mozilla 및 기타 파트너와의 협력을 통해 출시되었습니다. 벤치마크는 성능 저하를 감지하고 브라우저 엔지니어가 작업을 최적화하도록 동기를 부여하는 데 매우 중요합니다. 이 새로운 버전은 오픈 거버넌스를 기반으로 구축되었으며, 모든 주요 브라우저 엔진이 새로운 워크로드 추가에 동의했습니다. JetStream 3는 6년 만에 기존 벤치마크를 업데이트하여, 측정치가 목표가 되는 Goodhart의 법칙을 해결합니다. UI에 초점을 맞춘 Speedometer와 달리, JetStream은 계산 집약적인 웹 애플리케이션을 대상으로 합니다. 이는 엔진 셸을 위해 설계되어 개발자가 더 빠르게 반복할 수 있도록 합니다. 워크로드는 과적합을 방지하기 위해 마이크로 벤치마크가 아닌 실제 사용 사례를 나타냅니다. 이 벤치마크는 프레임워크, 라이브러리 및 언어 전반의 다양성을 우선시합니다. 실용적인 제약 조건으로는 짧은 실행 시간, 관리 가능한 메모리 및 네트워크 사용량, 그리고 결정적인 결과가 있습니다. 중요한 변화는 WebAssembly에 대한 초점이 증가한 것으로, 현대 웹에서의 중요성을 반영합니다. 새로운 WebAssembly 워크로드는 Java, Dart, Kotlin, Rust, C#과 같은 다양한 툴체인을 다룹니다. JavaScript 워크로드도 새로운 시작 및 실행 테스트로 확장되었습니다. 이러한 업데이트는 사용자 경험을 개선하고 더 나은 웹 성능을 이끌어내는 것을 목표로 합니다.
구글은 사용자들의 알림 과부하를 줄이기 위해, 사용자가 최근에 상호작용한 적 없는 웹사이트의 알림 권한을 자동으로 제거하는 새로운 기능을 도입할 예정입니다. 이 기능은 안드로이드 및 데스크톱의 Chrome에서 출시될 예정이며, 사용자 참여도가 매우 낮고 알림 빈도가 높은 사이트에 대해서만 권한을 회수합니다. 목표는 사용자들이 불필요한 알림을 걸러내고 과도한 알림으로 인한 방해를 최소화하는 것입니다. 데이터에 따르면 전체 알림의 1% 미만이 사용자 상호 작용을 받는데, 이는 알림 과부하의 심각성을 보여줍니다. 하지만 알림은 유용하고 도움이 될 수 있으므로, 설치된 웹 앱에 대한 권한은 회수되지 않습니다. 사용자들은 알림 권한이 제거될 때 알림을 받게 되며, 언제든지 쉽게 권한을 다시 부여할 수 있습니다. 또한, 원할 경우 이 기능을 완전히 끌 수도 있습니다. 구글은 이 기능을 테스트해 왔으며, 총 알림 클릭 수에 미치는 영향은 최소화하면서 알림 과부하를 크게 줄이는 것을 확인했습니다. 이번 출시는 사용자 안전, 개인 정보 보호, 그리고 제어에 대한 구글의 약속의 일환으로, 더욱 깨끗하고 집중된 브라우징 경험을 제공하는 것을 목표로 합니다. 구글은 방해 요소를 줄이고 사용자들이 온라인 상호 작용을 관리하도록 돕는 것을 통해, 사용자들이 온라인에서 시간을 최대한 활용할 수 있도록 지원하고자 합니다.
"The Fast and the Curious" 게시글에서는 Chrome이 Apple Silicon Mac에서 Skia의 새로운 래스터화 백엔드인 Graphite를 출시한 내용을 다룹니다. Graphite는 Chrome이 Motionmark 1.3에서 뛰어난 점수를 달성하도록 돕고 Chrome Graphics의 향후 개선을 가능하게 합니다. Skia는 Blink와 브라우저 UI의 페인트 명령을 화면의 픽셀로 렌더링하는 데 사용되며, 이 과정을 래스터화라고 합니다. Skia는 Chrome Graphics의 시작부터 함께했지만, 웹이 발전하고 더 복잡해짐에 따라 성능 문제가 발생했습니다. 이로 인해 처음부터 원칙적으로 설계되고 최신 그래픽 API를 활용하도록 개발된 새로운 래스터화 백엔드인 Graphite가 개발되었습니다. Graphite를 통해 Chrome은 Macbook Pro M3에서 Motionmark 1.3 점수를 거의 15% 향상시키고, 상호작용에서 다음 페인트까지의 시간 및 그래픽 부드러움과 같은 실제 지표를 개선했습니다. Graphite는 이전 래스터화 백엔드인 Ganesh와 달리 Metal, Vulkan, D3D12와 같은 최신 그래픽 API를 활용할 수 있고 멀티스레드 설계가 가능하다는 점에서 차이가 있습니다. Graphite는 또한 Skia의 GPU 렌더링을 확장하여 깊이 테스트를 활용하도록 하여 오버드로를 줄이고 성능을 향상시킵니다. Chrome Graphics 팀은 멀티스레드 래스터화 구현, 간단한 콘텐츠에 대한 GPU 메모리 감소, GPU 컴포트 경로 래스터화 탐색을 통해 Graphite를 더욱 개선할 계획입니다.
구글은 2008년 크로미엄 프로젝트를 발표했으며, 이후 크롬과 같은 주요 브라우저와 맞춤형 애플리케이션을 포함하여 전 세계 수백 개의 프로젝트에서 사용되고 있습니다. 2024년 구글은 크로미엄에 10만 건 이상의 커밋을 기여하여 전체 기여의 94%를 차지했습니다. 이러한 투자에도 불구하고 구글은 다른 기여자들의 참여를 환영합니다. 구글은 또한 수천 대의 서버 유지 관리와 매일 수백 건의 버그 보고에 대한 대응을 포함하여 오픈소스 프로젝트의 공유 인프라에 상당한 투자를 하고 있습니다. 이러한 작업에는 유지 관리 비용만으로도 연간 수억 달러의 투자가 필요합니다. 중요한 오픈소스 인프라의 지속 가능한 자금 조달은 업계 전반에서 활발하게 논의되는 주제입니다. 구글은 리눅스 재단과 파트너십을 맺고 크로미엄 기반 브라우저 지원자(Supporters of Chromium-based Browsers) 이니셔티브를 시작하여 크로미엄 생태계에 대한 오픈소스 기여의 지속 가능한 환경을 조성하고 있습니다. 이 기금은 리눅스 재단이 관리하며 투명성, 포용성 및 커뮤니티 중심 개발을 우선시합니다. 초기 회원으로는 메타, 마이크로소프트, 오페라가 있으며, 구글은 크로미엄 공유 자원에 대한 추가 투자를 환영합니다. 구글은 크로미엄 프로젝트의 책임 있는 관리자 역할과 전체 웹 산업을 위해 크로미엄이 잘 작동하도록 유지하는 데 필요한 막대한 투자에 대한 약속을 지속하고 있습니다.
크롬은 모바일 기기에서 최고 수준의 스피도미터 점수를 달성하여 Android 사용자에게 빠르고 매끄러운 웹 경험을 제공했습니다. 스피도미터 벤치마크는 HTML이나 CSS 파싱/렌더링 및 자바스크립트 실행을 포함한 웹 페이지 상호 작용을 얼마나 신속히 완료할 수 있는지 측정합니다. Chrome M112가 출시된 이후로, 많은 Android 기기에서 스피도미터 2.1 점수가 두 배 이상 증가했습니다. 이러한 개선 사항은 빌드 최적화, V8 및 Blink 개선, 일정, OS 및 SoC 최적화를 포함한 여러 가지 변경 사항으로 인한 결과입니다. 빌드 최적화에는 64비트 Arm 대응, 속도에 최적화된 C++ 코드 컴파일, 프로필 가이드 최적화 기술 적용이 포함됩니다. V8 및 Blink 개선에는 최적화된 빠른 경로 HTML 파서 활용 및 새로운 컴파일 계층 시작이 포함됩니다. 일정 및 OS 최적화에는 스레드 일정 및 주파수 스케일링 정책을 최적화하기 위해 Android 파트너와의 긴밀한 협력이 필요했습니다. 이러한 개선으로 인해 페이지 로드 및 상호 작용이 더욱 빠르워졌으며, 이제 Pixel 태블릿에서 Google Docs 문서를 로드하는 데 드는 시간이 이전보다 50% 이상 단축되었습니다. Qualcomm을 포함한 Android 파트너와의 협력은 이러한 개선 사항을 달성하는 데 핵심적인 역할을 했습니다. 전반적으로 이러한 개선 사항은 Android 기기에서 크롬의 성능을 크게 향상시켰습니다.
Chrome의 Manifest V2 확장 프로그램은 보안, 개인 정보, 성능 및 신뢰성을 향상시키는 목적으로 계획된 대로 단계적으로 폐지됩니다.Chrome 웹스토어에서 현재 활발하게 관리 중인 확장 프로그램의 85% 이상이 현재 Manifest V3에서 실행되고 있으며, 주요 콘텐츠 필터링 확장 프로그램에는 Manifest V3 버전이 있습니다.커뮤니티 피드백을 기반으로 Manifest V3는 사용자 스크립트 및 오프스크린 문서를 지원하도록 개선되었으며, declarativeNetRequest의 룰셋 수도 늘어났습니다.안전한 규칙 업데이트 및 버전 롤백에 대해 건너뛰기 검토를 수행하여 개발자의 제어력을 향상시킵니다.Chrome 베타 채널에서 6월 3일부터 사용자에게 Manifest V2 확장 프로그램에 대한 경고가 표시되며, 그 후 몇 개월에 걸쳐 점진적으로 비활성화됩니다.사용자는 비활성화된 확장 프로그램의 Manifest V3 대안을 확인하려면 Chrome 웹스토어로 이동하라는 지침을 받게 됩니다.잠시 동안 사용자는 Manifest V2 확장 프로그램을 다시 활성화할 수 있지만, 이 옵션은 결국 제거됩니다.기업은 ExtensionManifestV2Availability 정책을 사용하여 2025년 6월까지 브라우저 변경 사항에서 제외할 수 있습니다.자세한 내용은 최근 Chrome 확장 프로그램 Google I/O 연설에서 확인할 수 있습니다.개발자는 Chromium 확장 프로그램 메일링 목록을 통해 추가 질문을 할 수 있습니다.
온라인 편의성에 필수적인 쿠키는 공격자가 계정에 접근할 수 있게 하는 도난의 위험에도 취약합니다. 쿠키 도난 맬웨어는 소셜 엔지니어링을 사용하여 기기에 침투하고 두 단계 인증 및 안티바이러스 감지를 우회하는 인증 쿠키를 빼냅니다.이 문제를 해결하기 위해 기기 바운드 세션 자격 증명(DBSC)이 새 웹 기능으로 개발되고 있으며, 이는 인증 세션을 기기에 바인딩하여 도난당한 쿠키를 쓸모없게 만듭니다. DBSC는 공격자를 로컬에서 행동하게 만들어 기기에서 감지하고 정리를 강화합니다.DBSC는 기기에 안전하게 저장된 공개/비공개 키 쌍을 사용하여 세션을 설정하고, 세션의 전체 수명 동안 소유 증명을 확인합니다.세션을 신선하게 유지하고 기존의 쿠키 기반 솔루션을 지원하기 위해 DBSC는 밴드 외부 쿠키 새로 고침을 위한 전용 엔드포인트를 사용합니다.DBSC는 동일한 기기에서 다른 세션의 키가 연관되지 않도록 하여 사용자의 프라이버시를 우선시하며, 사용자는 언제든지 키를 삭제할 수 있습니다.서버로 전송되는 유일한 정보는 키 소유 증명을 인증하는 세션별 공개 키입니다.DBSC는 서드파티 쿠키의 단계적 폐지를 따르며, 해당 시나리오에서는 비활성화됩니다.Google은 일부 Google 계정 사용자를 대상으로 DBSC를 파일럿 실시하여 보안을 강화합니다.DBSC는 사용자를 쿠키 도난으로부터 보호하고자 하는 서버 공급자, ID 공급자, 브라우저의 관심을 끌고 있습니다.개발 프로세스는 개방적이고 협력적이며, GitHub에서 업데이트와 타임라인을 확인할 수 있습니다.
브라우저 업체 간 협업의 결과물인 "Speedometer 3.0"은 벤치마크 분석을 통해 웹 애플리케이션의 최적화를 향상시킵니다.다중 이해 관계자 거버넌스 모델을 사용하는 업데이트된 벤치마크는 다양한 관점과 워크플로를 나타내며 브라우저 전반에 걸친 사용자 경험을 개선하는 것을 목표로 합니다.새로운 워크로드는 복잡한 DOM 레이아웃, SVG 및 캔버스 렌더링, 보다 현실적인 사용자 여정을 포함하여 웹의 진화를 담아냅니다.프레임워크 포함 여부는 HTTP Archive 데이터 및 브라우저 업체와의 논의를 토대로 결정하여 대표적인 샘플을 제공합니다.웹 구성 요소 기반 워크로드가 추가되면서 벤치마크의 범위가 확장되었습니다.Chrome 런타임 콜 통계를 사용한 검증에서는 innerHTML에 대한 의존도가 낮아지고 DOM API에 더 많은 주의가 기울여져 웹 API의 균형 잡힌 표현이 나타나는 것으로 나타났습니다.벤치마크에는 TodoMVC, 복잡한 DOM, 단일 페이지 애플리케이션, 차팅 앱 및 대시보드, 코드 편집기가 포함되어 일반적인 사용자 상호 작용을 시뮬레이션합니다.Speedometer 3.0은 더 광범위한 웹 사용 사례를 표현함으로써 브라우저 업체가 사용자에게 가장 중요한 부분에서 성능을 최적화할 수 있게 합니다.이 협업적 접근 방식을 통해 브라우저 엔진에 대한 개선 사항이 사용자의 선호 브라우저에 관계없이 사용자에게 이익이 됩니다.벤치마크는 지속적으로 진화하고 있으며 웹의 변화하는 환경을 정확하게 반영하는 것을 목표로 합니다.
Fast and the Curious 게시물은 핵심 웹 지표(CWV)가 웹 성능을 크게 향상시켜 2023년에 Chrome 사용자가 웹 페이지가 로드될 때까지 기다리는 시간을 10,000년 이상 절약했다는 점을 강조합니다. 2020년에 도입된 CWV 지표로 인해 모든 지표를 통과하는 사이트가 40% 이상 늘어나, 로딩 속도가 빨라지고 더욱 반응이 빠른 페이지가 되었습니다. Google 검색팀과의 협업을 통해 Chrome은 빠르고 사용자 친화적인 페이지에 대한 공개 표준을 정의하고 검색 순위 알고리즘을 업데이트하여 느린 웹 페이지를 해결했습니다. 이제 Chrome의 평균 페이지 로드 속도가 166ms 더 빨라졌으며, CWV 통과율이 지속해서 향상될 것으로 예상됩니다. Chrome은 백/포워드 캐시 개선, 사전 연결 기능, 사전 렌더링을 비롯한 여러 가지 최적화를 구현하여 상당한 성능 향상을 이루었습니다. 특히 WordPress와 JavaScript 프레임워크와 같은 광범위한 개발자 생태계도 CWV에 집중하여 놀라운 결과를 달성했습니다. 이러한 성능 향상은 기업에 실제적인 이익을 가져다주었으며, 기업들은 전환율이 증가하고 페이지 뷰가 증가하며 바운스율이 감소한다고 보고했습니다. 개발자 커뮤니티가 CWV를 모니터링하고 최적화하기 위해 노력한 것이 이러한 개선을 지속하는 데 매우 중요했으며, 개발자 만족도가 높고 CWV 점수도 눈에 띄게 개선되었습니다.
자동 인증서 발급 및 관리로 민첩성, 복원력, 효율성을 강화해 웹 보안을 향상합니다. 수동 개입이 없으므로 오류가 줄고 새로운 보안 조치를 신속하게 도입할 수 있습니다. 자동화로 인증 기관 사고, 인터넷 보안 취약성, 암호화 관련 경과에 대한 복원력도 강화됩니다.최근 몇 년간 최대 인증서 유효 기간이 무제한에서 398일로 단축되어 키 손상과 보안 결함의 영향이 완화되어 보안이 강화되었습니다.ACME와 같은 표준으로 구동되는 인증서 자동화로 인증서 관리가 간소화되고, 인증서 만료나 예상치 못한 이벤트로 인한 중단으로부터 매끄럽게 보호할 수 있습니다.ACME Renewal Information(ARI)으로 인증 기관은 임박한 인증서 갱신에 대해 웹 서버에 알릴 수 있어 사람의 개입 없이 자동으로 인증서를 대체할 수 있습니다.자동화로 IT 리소스를 확보하여 운영 비용이 절감되고, 보다 전략적인 업무에 집중할 수 있습니다.Let's Encrypt의 2019년 버그와 같은 사고는 자동화를 통해 인증 기관 사고에 신속하게 대응할 수 있는 가치를 부각합니다.또한 자동화는 2014년의 Heartbleed 버그에서 확인할 수 있었던 것처럼 인터넷 보안 취약성을 적시에 해결하는 데 도움이 됩니다.ACME 및 ARI와 같은 최신 자동화 기술을 활용하면 웹사이트 운영자가 보안 취약성에 대응해 영향을 받는 인증서를 재발행해야 하는 부담이 줄어듭니다.짧은 인증서 유효 기간은 공격자가 악용할 수 있는 기회의 창을 최소화하고, 자동화는 유효 기간 단축으로의 전환을 용이하게 합니다.SHA-1 단계적 폐지와 같은 암호화 관련 경과는 자동화로 더 효율적으로 처리되어 지속적인 보안과 규정 준수를 보장합니다.
크롬은 HTTPS를 사용하는 내비게이션이 현재 90% 이상으로 웹 트래픽 보안에 상당한 진전을 이루었습니다. 그러나 여전히 HTTP 트래픽의 소수가 남아 있어 사용자를 네트워크 공격자에게 취약하게 두고 있습니다.이 문제를 해결하기 위해 크롬에서는 HTTP를 사용하는 사이트에 연결하기 전에 명시적 허가가 필요한 HTTPS 우선 모드를 구현합니다.자동 업그레이드는 HTTP 요청을 HTTPS로 원활하게 리디렉션하므로 불안전한 HTTP는 절대적으로 필요한 경우에만 사용됩니다.크롬은 또한 불안전한 연결을 통해 고위험 파일을 다운로드하기 전에 사용자에게 경고하여 악성 코드로부터 보호합니다.HTTPS 우선 모드 보호는 Advanced Protection Program 사용자와 시크릿 모드로 확장됩니다.크롬은 HTTP 사용량이 최소인 사용자에게 HTTPS 우선 모드를 자동으로 활성화하는 것을 탐색하고 있습니다.개발자는 경고를 피하고 사용자 보안을 보장하려면 HTTPS를 완전히 채택하고 HTTP URL을 HTTPS와 동등한 것으로 리디렉션하는 것이 좋습니다.엔터프라이즈 네트워크는 특정 정책을 통해 이러한 기능을 사용자 지정하거나 비활성화할 수 있습니다.크롬은 HTTPS 우선 모드를 이 목표를 향한 중요한 단계로 삼아 웹을 기본적으로 안전하게 만드는 데 계속해서 최선을 다하고 있습니다.사용자는 Chrome 설정에서 HTTPS 업그레이드 및 안전하지 않은 다운로드 경고를 활성화할 수 있습니다.개발자의 경우 HTTPS 지원을 보장하고 HTTP 전용 콘텐츠를 피하는 것이 사용자 보안을 유지하는 데 매우 중요합니다.
Google은 기술 표준을 업데이트하고 새로운 알고리즘을 테스트하여 양자 내성 암호화로의 전환을 적극적으로 준비하고 있습니다.Chrome 116은 TLS 세션 키를 설정하는 데 X25519와 Kyber-768을 결합한 하이브리드 메커니즘인 X25519Kyber768을 지원합니다.이러한 변경은 향후 양자 암호 분석 공격으로부터 보호하기 위한 보다 광범위한 노력의 일환입니다.지금 수집하고 나중에 복호화하는 공격 방식으로 인해 양자 컴퓨터를 널리 사용할 수 없더라도 오늘부터 트래픽을 보호하는 것이 매우 중요합니다.X25519Kyber768은 TLS ClientHello 메시지에 추가 데이터를 추가하지만 실험에서는 대부분의 구현과의 호환성이 확인되었습니다.관리자는 호환성 문제가 있는 경우 Chrome 116의 PostQuantumKeyAgreementEnabled 엔터프라이즈 정책을 사용하여 X25519Kyber768을 비활성화할 수 있습니다.X25519Kyber768과 Kyber 사양은 아직 초안 단계이므로 Chrome의 구현에 영향을 미칠 수 있음을 밝혀둡니다.양자 내성 암호화는 양자 공격과 고전적 공격 모두에 대해 안전해야 하며, 상용 하드웨어에서도 성능을 발휘해야 합니다.TLS 대칭 암호화는 아직 양자 안전하지 않지만 TLS 세션 키를 양자 내성 알고리즘으로 업데이트하면 향후 공격을 방어할 수 있습니다.양자 내성 암호화로 이전하기 위한 노력은 복잡한 과제이지만 Google과 다른 조직은 원활한 전환을 보장하기 위해 적극적으로 노력하고 있습니다.