Flicka — Chrome 확장 프로그램으로 바로 만드는 제품 데모
Flicka는 화면 녹화 중 클릭 위치를 따라 자동 확대하고, 타임라인 편집과 주석, 웹캠 레이아웃, MP4·WebM·GIF 내보내기를 제공하는 Chrome 확장 프로그램입니다. 녹화·편집·내보내기가 모두 기기에서 실행되며 계정과 업로드가 필요 없습니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
브라우저에서 부팅하는 Apple Copland D11E4
Apple이 개발하다 중단한 운영체제 Copland의 마지막 빌드 D11E4를 개선된 DingusPPC와 WebAssembly로 브라우저에서 실행합니다. 실기기에서 약 30초 걸리는 부팅을 최신 컴퓨터에서는 실시간 속도로 재현하며, 애플리케이션 실행과 디버거 진입도 확인할 수 있습니다.
Python Workers 정식 출시
Cloudflare가 WebAssembly 기반 Python Workers를 정식 출시했습니다. Pyodide를 바탕으로 FastAPI·Django·Flask, PostgreSQL·MySQL, AI 라이브러리와 Cloudflare의 Workers 서비스 연동을 지원하며, 패키지 호환성을 넓히는 표준화 작업도 진행했습니다.
큐, 웹훅, 레이트 리밋 — 재시도·백로그·백오프를 직접 관찰하는 시뮬레이터
메시지 큐, 웹훅, API 레이트 리밋에서 발생하는 지연·재시도·백오프를 브라우저 시뮬레이터로 관찰하는 글입니다. Kafka와 RabbitMQ의 차이, 웹훅 서명 검증과 중복 처리, 429 응답 대응을 실패 시나리오 중심으로 설명합니다.
GoatCounter와 NixOS로 봇 없는 셀프 호스팅 분석 구축하기
Google Analytics를 제거한 뒤 AI 스크래퍼로 부풀려진 로그 분석을 버리고, GoatCounter를 NixOS 환경에 직접 배포한 사례입니다. 상호작용 기반 JavaScript와 CSS 대체 수단으로 봇을 걸러내고, 5대 웹 서버의 로컬 프록시와 Litestream 백업으로 수집 안정성까지 확보합니다.
HEIF Heist — HEIF·AVIF 디코더를 겨냥한 네이티브 이미지 처리 공격 경로
Hacktron은 공격자가 업로드한 HEIF·HEIC·AVIF 이미지를 처리하는 네이티브 디코더의 취약점을 하나의 공격군으로 설명합니다. libheif와 libde265를 거치는 서비스에서는 버전 식별 뒤 메모리 손상, 정보 유출, 원격 코드 실행으로 이어질 수 있어 최신 패치와 샌드박싱이 필요합니다.
광고 수집기를 통해 다른 웹사이트에서 무엇을 하는지 알게 된 ChatGPT
OpenAI의 광고 수집기가 ChatGPT 계정과 연결된 식별자 쿠키를 광고주 웹사이트로 전송해 사용자의 탐색·구매 관련 정보를 수집한다는 분석입니다. 이 쿠키는 로그아웃 상태에서도 작동하며, 분석 동의만 한 사용자에게도 전달될 수 있어 ChatGPT의 광고 사업과 개인정보 보호 범위를 함께 보여줍니다.
누가 GDPR을 싫어하는지를 보면 GDPR이 좋은 이유를 알 수 있습니다
이 글은 GDPR을 둘러싼 미국 기술 업계의 반발을 규제의 실패가 아니라 개인정보 보호가 실제로 기업의 권력을 제한하고 있다는 증거로 해석합니다. 유럽의 규제가 일본과 글로벌 데이터 산업으로 확산된 과정, 미국의 감시 자본주의와 연방 규제 부재를 연결해 GDPR의 영향력을 설명합니다.
스페인, Archive.today와 미러 도메인 차단 명령
스페인 문화부 산하 지식재산위원회 제2부가 웹 아카이빙 서비스 Archive.today와 여러 미러 도메인에 대한 차단을 명령했습니다. 접속자는 정부 차단 페이지로 이동하며, 지식재산권 보호 콘텐츠에 대한 불법 접근을 촉진하고 있다고 안내받습니다.
인터넷 검열을 측정하세요
OONI Probe를 실행하면 국가별 웹사이트 차단 여부, 메신저 접근성, 우회 도구 작동 여부와 네트워크 성능을 검사할 수 있습니다. 결과는 거의 실시간으로 공개 데이터셋에 추가되어 인터넷 검열의 투명성을 높이는 데 활용됩니다.
상위 1000개 사이트 중 방문 호스트 이름을 숨기는 곳은 10곳뿐입니다 — 이를 세는 도구를 만들었습니다
HTTPS에서도 방문 중인 사이트의 호스트 이름은 TLS ClientHello를 통해 노출될 수 있습니다. 공개 DNS의 ECH 설정을 확인하는 도구로 트래픽 상위 1000개 도메인을 조사한 결과, ECH를 게시한 곳은 10곳뿐이었고 모두 Cloudflare의 같은 커버 호스트 이름을 사용했습니다.
Git은 packfile을 다시 만들면 object storage에서도 실행할 수 있습니다
Git 저장소를 object storage에 직접 올리려면 로컬 파일시스템을 전제로 설계된 기존 packfile이 병목이 됩니다. Tigris의 objgit은 Range request에 맞춘 자체 packfile과 인덱스를 도입해 push 요청을 최대 약 300배, clone 요청을 최대 약 20배 줄였지만 아직 인증·권한·압축(compaction)이 구현되지 않은 실험 단계입니다.
cloudflare/quiche — QUIC 전송 프로토콜과 HTTP/3의 구현
Cloudflare의 quiche는 IETF 표준 QUIC과 HTTP/3을 구현한 Rust 기반 라이브러리입니다. 네트워크 I/O와 이벤트 루프를 애플리케이션에 맡기는 저수준 API를 제공하며, Cloudflare 엣지 네트워크와 Android DNS resolver의 HTTP/3 구현 등에 사용됩니다.
디바이스를 기다려야 했던 클립보드 브리지
tapflow가 브라우저와 시뮬레이터 사이에서 텍스트를 복사·붙여넣기하는 과정을 비동기 프로토콜로 구현한 사례를 설명합니다. 고정 지연 대신 sentinel과 상태 확인을 사용하고, 브라우저의 사용자 제스처·보안 컨텍스트·타임아웃 제약까지 함께 다룹니다.
Cloudflare Quick Tunnels — 명령어 한 줄로 로컬 서버를 공개 URL로
Cloudflare가 계정 없이 명령어 한 줄로 로컬 서버를 공개 HTTPS URL로 노출해 주는 Quick Tunnel을 소개합니다. cloudflared가 아웃바운드 전용 연결로 엣지에 붙어 인바운드 포트 개방 없이 암호화·DDoS 필터링을 제공하며, 웹훅 테스트나 AI 코딩 에이전트 루프에 즉시 쓸 수 있는 주소를 만들어 줍니다.
나는 패스키가 마음에 들지 않는다 — 개인에게는 아직 이르다는 비판
빅테크가 최종 로그인 솔루션처럼 밀어붙이는 Passkey에 대한 비판 글입니다. 저자는 Passkey가 피싱 방지와 비대칭 키 구조 덕분에 기업 환경에는 훌륭하지만, 개인에게는 계정 잠금·자동 밴·기기 분실이라는 더 현실적인 위험을 키운다고 주장합니다. 하드웨어 키의 백업 불가와 계정 수 제한, Apple·Google 동기화의 플랫폼 종속, 서드파티 관리자의 파편화된 UX를 근거로 아직 개인용으로는 미성숙하다고 결론 내립니다.
OpenAI 해킹 — libheif 취약점과 SSO 설정 오류로 직원 ChatGPT·Codex 계정 탈취
보안 연구팀 Hacktron이 Discourse 포럼의 libheif 힙 버퍼 오버플로와 OpenAI SSO 설정 오류를 연결해 OpenAI 직원의 ChatGPT·Codex 계정을 탈취하고 내부 모노레포에 접근 가능함을 입증했습니다. 발견부터 저장소 접근까지 72시간도 걸리지 않았으며, 연구자들은 Claude 모델을 활용해 익스플로잇을 개발했습니다. OpenAI는 약 14시간 만에 수정을 완료하고 $6,500의 바운티를 지급했습니다.
API 성능 테스트: 현실적인 테스트 설계 방법
성능 테스트의 종류(Load, Stress, Soak, Spike, Volume, Scalability)를 정리하고, 단순히 요청을 많이 보내는 것이 아니라 실제 사용자 행동을 모사하는 테스트 설계법을 다룹니다. 비즈니스 요구사항에서 목표 RPS를 역산하는 방법, 외부 서비스 목킹 기준, 프로덕션과 유사한 테스트 환경 구성, 평가 지표까지 실무 관점에서 설명합니다.
미 공화당 법안, ISP·DNS 제공자·VPN에 불법 복제 사이트 차단 명령 — MPA가 오랫동안 요구해온 사이트 차단 제도
미국 하원의원 Darrell Issa(공화당, 캘리포니아)가 저작권을 침해하는 해외 사이트에 대해 ISP, DNS 해석 서비스, VPN이 법원 차단 명령을 이행하도록 요구하는 법안을 제출했습니다. Motion Picture Association(MPA)이 오랫동안 추진해온 제도로, Public Knowledge 같은 시민단체는 광범위한 검열 인프라가 될 것이라고 반대합니다.
대형 웹사이트용 깨진 링크 스캐너를 직접 만든 방법 — Laravel은 컨트롤 플레인, Go는 스캐닝 엔진
깨진 링크 검사기는 간단한 주말 프로젝트처럼 보이지만, 대형 사이트에서는 사실상 분산 크롤링 시스템이 된다는 글입니다. 저자는 Laravel을 인증·스케줄링·리포팅이 담당하는 컨트롤 플레인으로, Go를 동시성 네트워크 작업을 처리하는 스캐닝 엔진으로 분리해 구현했습니다. URL 정규화, 호스트별 동시성 제한, 응답 분류, 리다이렉트 추적, 체크포인트 복구까지 실무 설계 결정을 상세히 공유합니다.