디지털라이프
저자: 심슨 가핑클, 로리 크래노, 역 전순재
개인정보 우선 프로젝트(P3P, Privacy Preferences Project)를 위한 W3C의 플랫폼은 웹 사이트들이 개인 정보의 분배와 사용, 그리고 수집에 관한 관행에 대해 서로 대화하기 위한 표준 방식을 제공한다. 이 프로젝트는 기계로 판독할 수 있는 개인정보 정책으로서 자동으로 사용자들이 가져와서 볼 수 있으며, 회사의 특정 정책에 맞도록 맞출 수 있다. 이 기사는 두 부분으로 나누어진다. 첫 부분은 P3P에 대한 개략적인 설명으로서 심슨 가핀클(Simson Garfinkle)이 작성하였다. 두 번째 부분은 로리 크래노(Lorrie Cranor)가 작성한 것으로 좀 더 심층적인 해설과 함께 약간의 예제도 제공하고 있다.
개인정보 우선 정책(P3P)을 위한 W3C(World Wide Web Consortium)의 플랫폼은 웹 사이트들이 개인 정보의 수집과 사용, 그리고 분배에 관한 관행에 관하여 대화하기 위한 표준적인 방식을 제공한다. 본 기사는 P3P에 관하여 간단하게 살펴보고 있으며, [그림 1]은 P3P의 처리과정을 삽화로 보여 주고 있다. P3P: 더 자세하게 살펴 보기에서는 프로토콜과 관련된 더 자세한 기술적 정보가 있다.
P3P는 W3C의 이전 작업인 PICS에서 잉태된 것으로 PICS는 웹 사이트를 평가하고 여과하는 테크놀러지이다(http://www.w3.org/PICS/ 참조). PICS가 기본으로 하고 있는 아이디어는 웹 사이트의 내용을 평가하고, 웹 브라우저는 이러한 평가를 내려 받고, 부모는 자녀의 컴퓨터를 프로그램하여 부모의 기준에 맞지 않는 웹 페이지가 화면에 표시되지 않도록 만들 수 있다는 것이었다.
P3P 시스템은 상당수의 이와 같은 개념을 지원한다. 성인용 컨텐츠를 평가하려는 PICS의 형식주의를 사용하는 대신, 웹 사이트와 온라인 서비스는 P3P의 형식주의를 사용하여 데이터를 수집하고 사용하는 방식과 관련된 자신들의 정책을 기술한다. 이 정책기술은 웹 페이지가 화면에 보일 때 웹 사이트에서 브라우저로 다운로드 받을 수 있다. 웹 사이트의 정책이 사용자가 확인해준 정책과 일치하지 않으면 브라우저는 사용자에게 경고를 하거나 특정 기능이 작동하지 않도록 만들 수 있다. 예를 들어 웹 사이트가 방문객들의 신상정보를 유지하기 위해 쿠키 사용을 요구한다 하더라도 어떤 쿠키도 버릴 수 있도록 웹 브라우저로 프로그램할 수 있다.
PICS와 P3P는 다음과 같이 여러 가지 면에서 비슷하다.
웹 사이트에서 P3P 정책을 만드는 방법과 관련된 더 자세한 정보는 P3P: 더욱 자세히 살펴 보기를 참조해라.
인터넷 익스플로러 6.0에서의 P3P 지원
인터넷 익스플로러 6.0은 제한적으로 P3P를 지원한다. 이러한 지원은 P3P의 이른바 컴팩트 정책(compact policies)에 국한되는데 이 정책은 쿠키의 사용을 통해 수집된 정보를 사이트가 어떻게 사용하는지를 기술한다. IE6은 이 지원을 통하여 주어진 웹사이트로부터 사용자가 쿠키를 받아들일지 거부할지를 결정한다.
인터넷 익스플로러의 P3P 구현은 인터넷 옵션의 콘트롤 패널에 있는 "개인정보(Privacy)" 탭을 통하여 통제된다([그림 2] 참조). 이 패널을 사용하면 일곱 개의 기본 정책 중에서 하나를 지정하여 모든 웹 사이트에 사용할 수 있다. 또한 이러한 정책들을 각자의 기호에 맞게 변경할 수도 있다. 마지막으로, 웹 사이트 목록을 지정하여 특정한 규칙으로 다루도록 할 수도 있다.
마이크로소프트의 여러 가지 기본 정책은 "묵시적인 동의없이" PII를 사용한다는 개념과 관련되어 있다. 일반적으로 이 "묵시적인 동의없이"라는 구절은 먼저 허락을 구하지 않고 수집된 개인 정보를 웹 사이트 오퍼레이터가 사용할 수 있는지 아니면 허락이 반드시 명시적으로 요청되고 주어져야 하는지를 결정하는데 사용된다.
인터넷 익스플로러 6.0은 쿠키들을 "묶어둘 수" 있기 때문에 쿠키들은 원래 처음 만들었던 사이트에만 반환된다. 쿠키들은 또한 "등급을 낮출(downgraded)" 수 있기 때문에, 쿠키들은 인터넷 익스플로러가 종료하면 자동으로 삭제된다. 인터넷 익스플로러는 또한 명시적으로 "세션 쿠키들(session cookies)"을 참조한다. 세션 쿠키란 세션과 비슷하여 종료하면 삭제되고 컴퓨터의 하드 디스크에 저장되지 않는 쿠키이다.
기본 정책은 [표 1]에서 설명하였다.
표 1: 인터넷 익스플로러 6.0의 개인정보 정책
다음 섹션에서는 P3P를 더욱 깊게 살펴 보겠다. 여기에는 작동방법과 조판(markup) 코드 예제, 그리고 P3P 전개를 위한 제안이 포함된다.
P3P: 더 자세하게 살펴 보기
이 섹션은 AT&T 연구소(AT&T Labs-Research)의 레리 크래노(Lorrie Cranor)가 기고한 글이다. AT&T에 저작권이 있으며 허가를 얻어 재인쇄된 것이다.
개인정보 우선 프로젝트(P3P, Privacy Preferences Project)를 위한 플랫폼은 웹 사이트가 자신들의 데이터 처리 관행에 관하여 대화하도록 해주는 표준적인 방식을 제공한다. W3C(World Wide Web Consortium)가 개발한 P3P에는 기계가 판독할 수 있는 개인정보 정책 구문이 포함되어 있으며 뿐만 아니라 간단한 프로토콜도 포함되어 있어서 웹 브라우저와 다른 사용자 중개자 도구들이 P3P 개인정보 정책을 자동으로 가져오는데 사용할 수 있다. P3P-가능 브라우저라면 사용자들이 사이트 개인정보 정책에 근거하여 선택적으로 쿠키를 막을 수 있도록 해줄 수 있으며, 사이트의 개인정보 정책에 대해서도 신속하게 "개괄" 해 볼 수 있다.
이 섹션에서는 어떻게 P3P가 작동하는지 그리고 어떻게 P3P를 사용하고 획득할 수 있는지에 대하여 대략적으로 살펴본다. P3P에 관한 더 자세한 정보는 http://www.w3.org/P3P/를 참조하자. 그 사이트에는 완벽한 P3P 규격으로 가는 참조점이 있으며 P3P 소프트웨어의 목록과 P3P-가능 웹사이트, 그리고 웹 사이트에 P3P를 사용하는데 필요한 더욱 자세한 설명이 있다. P3P에 대한 논의와 최대한 그것을 어떻게 이용할 수 있는지 알고 싶으면 곧 출간될 로리 크래노(Lorrie Cranor)가 쓴 『P3P』를 참조하라.
어떻게 P3P가 작동하는가
P3P 규격에는 다음과 같은 것이 포함된다.
다음은 한 웹 사이트가 P3P 정책으로 발표할 만한 종류의 예제를 영어로 풀어서 이해하기 쉽게 보여준다.
스티브네 가게(Steve"s Store)는 여러분의 개인정보를 보호하기 위해 노력한다. 본 사이트를 방문하여 카탈로그를 열람할 때에도 여러분에게 정보를 요청하지는 않을 것이다. 그리고 여러분의 방문에 관한 데이터를 오직 본 사이트를 보호하고 개선하는데 도움이 되는 한도 내에서만 사용할 것이다. 본 사이트를 열람할 때 우리는 여러분의 컴퓨터와 연결상태에 대한 기본 정보를 수집한다. 우리는 이 정보를 일주일 단위로 깨끗이 청소한다. 또한 우리는 본 사이트에서 어느 페이지를 방문하였는지에 대해 집합적으로 정보를 수집한다.
스티브네 가게(Steve"s Store)는 PrivacySealExample Program의 라이센스를 준수한다. PrivacySealExample Program은 웹 사이트 라이센스 수혜자들을 고도의 개인정보 표준으로 대우하고 독립적인 감시자들에게 이러한 정보 관행이 현재 준수되고 있다는 것을 확인하여 줌으로써 여러분의 개인정보를 보장한다.
이 선언과 관련된 질문이 있다면 다음 주소로 질문은 보내 주면 된다. Steve"s Store, 123 Steve Street, Bethesda, MD 20814 USA, Email: steve@stevesstore.com, Telephone (301) 392-6753. 질의에 대한 대답이 만족스럽지 않으면, http://www.privacyseal.example.org/에서 PrivacySealExample에 연락해도 좋다. 스티브네 가게(Steve"s Store)는 개인정보 정책과 관련하여 일어나는 모든 잘못되거나 그릇된 행위들을 수정할 것이다.
그리고 P3P 구문과 인코딩을 사용하면 이 정책은 다음과 같이 보일 것이다:
P3P 배치하기
웹 마스터들이 자신들의 사이트에 P3P를 배치하려 할 때 첫 번째로 물어오는 질문 중에는 다음과 같은 것들이 있다. "배치하는 데는 어느 정도의 시간이 소요되나요?" 그리고 "배치 작업을 하는데 얼마나 많은 어려움이 따를까요?" 이러한 질문들에 대한 대답은 물론 각 웹사이트의 구체적인 세부사항에 달려 있다. 자사의 개인정보 정책을 사이트에 이미 게시하고 있는 중소기업일 경우 몇 시간이면 P3P를 사이트에 배치할 수 있다. 여기에 소요되는 기술적인 작업을 위한 시간은 기껏해야 15분도 걸리지 않는다. 거대 기업일 경우, 아마도 변호사와 상당한 시간을 들여 P3P 정책을 논의할 필요가 있을 것이다. 그리고 전세계에 널려 있는 수 많은 서버들에 대한 P3P 정책을 배치하는 가장 좋은 방법을 찾아야 할 것이다. 광고 중개회사와 내용물 배포 네트워크회사 같은 "서드파티" 웹 서비스를 제공하는 회사들 역시 좀 더 복잡한 결정과정이 필요할 것이다.
사이트에 P3P를 배치하는데 필요한 노력 예측에 도움을 주기 위해 그와 관련된 기본적인 단계를 다음과 같이 개괄해 보았다.
여러분의 정책은 P3P 정책을 생성하기 위해 답변해야 하는 질문들에 대하여 충분히 세부적으로 답변해야 한다. 다음은 반드시 다루어야 하는 점들에 대한 기본적인 개요이다.
P3P 정책과 정책 참조 파일을 만들기
여러분의 개인정보 정책이 상당히 간단하다면 (또는 XML를 작성하기를 즐긴다면), XML을 사용하여(아마도 우리의 예제에서 잘라내고 붙이면서) 손으로 P3P 정책과 정책 참조 파일을 만들고 싶을지도 모른다. 그렇지만 대부부분의 경우 사람들은 P3P 정책 생성기 프로그램을 선택하고자 할 것이다.
시험해 보고 싶을 만한 괜찮은 P3P 정책 생성기 중 하나는 IBM의 P3P 정책 편집기이다. 이 도구는 [그림 4]에서 보는 바와 같이 끌어 놓기 인터페이스를 갖추고 있어서 P3P 데이터 요소와 데이터 범주를 표현하는 아이콘을 편집창 안으로 끌어 넣어 P3P 정책을 편집할 수 있다. 이 도구는 또한 팝-업 창을 가지고 있기 때문에 각 데이터 요소와 연관된 특성(purpose, recipient, 등등.)들을 설정할 수 있으며 그 사이트의 개인정보 관행에 관한 일반적인 정보도 채울 수 있다. 각 데이터 요소를 추가하면서 만들어진 XML을 볼 수 있을 뿐만 아니라, 그 정책에 상응하는 사람도 읽을 수 있는 버전을 볼 수 있다. 또한 에러 탭도 유용하게 사용되기 때문에 예를 들어 필수 필드에 정보를 빠트렸다든가 하는 정책상의 문제점들을 보여준다. 이 도구에는 훌륭한 문서가 따라오며 전형적인 웹 사이트를 위한 일단의 주형틀(templates)도 따라온다. 이 도구 또한 정책 참조 파일을 만들 수 있다. 이 도구는 IBM의 알파웍스 웹 사이트(http://www.alphaworks.ibm.com/tech/p3peditor)에서 무료로 다운 받을 수 있다.
P3P 규격은 정책 참조 파일을 위해 "잘 알려진 위치"로 /w3c/p3p.xml을 지정하였다. P3P 사용자 중개자들은 자신들이 방문하는 사이트마다 이 위치를 자동으로 점검해서 정책 참조 파일을 찾아 볼 것이다. 만약 사용자 중개자들이 사이트에서 정책 참조 파일을 찾을 수 없다면, 사용자가 그 사이트에 다시 돌아올 매 24시간마다 한번 더 점검할 것이다.
대부분의 웹 사이트는 자신의 정책 참조 파일을 잘 알려진 위치에 아무 문제 없이 배치하여야 한다. 그렇지만 이렇게 하고 싶지 않는 사이트도 있을 것이다. 이런 사이트를 위한 두 가지 선택이 있다. 사이트는 모든 HTTP 응답에 특별한 P3P 헤더를 보내도록 설정될 수 있다. 그렇지 않으면 태그가 HTML 문서에 내장되어 그 정책 참조 파일의 위치를 가리킬 수도 있다.
HTTP 헤더를 사용한 대안은 여러 정책 참조 파일을 사용하기로 결정한 사이트에서 아주 유용하다. HTTP 헤더를 사용한 대안을 사용하여 사이트들은 각 요청에 대하여 정책 참조 파일에 대한 포인터를 보내 적용할 수 있다. 잘 알려진 위치 대신에 HTTP 헤더를 사용하여 발생하는 약점은 사용자 중개자(user agent)가 자원(resource)을 요청하기 전에 사이트의 정책을 알 방법이 없다는 것이다. 그리하여 어떤 사용자 중개자는 P3P 응답 헤더를 받기 전 까지는 쿠키, 참조 헤더, 또는 다른 정보를 억제하기도 한다.
컨텐츠 제공자들이 웹 서버에서 (/w3c 디렉토리를 포함하고 있지 않기 때문에) 오직 지정된 구역에만 접근하고 그 서버를 여분의 HTTP 요청 헤더를 보내도록 설정할 능력이 없는 사이트들이 바로 HTML 태그를 사용한 대안이 기본적으로 목표로 하는 사이트다. 예를 들어 대학 서버에서 호스트되는 개인 홈 페이지에 개인정보 정책을 제공하고자 하는 학생들 또는 자신만의 도메인을 보유하고 있지 않는 사이트를 가진 개인이나 조직체들은 이 대안을 사용하고 싶을 것이다. 이 대안은 HTTP 헤더와 똑같은 약점을 지닌다. 게다가 이 대안을 사용하고자 하는 사이트는 반드시 태그를 P3P 정책에 의해서 다루어질 모든 HTML 문서에 추가하여야 한다. 이 작업은 시간을 소모하는 작업이 될 수 있다. 또한 방문객이 그 사이트의 문서에서 링크를 따라가지 않고 직접적으로 HTML이 아닌 문서(이미지, 포스트스크립트(PostScript), PDF 파일, 등등)를 요구하면 그들의 사용자 중개자는 태그가 사용되었다고 할지라도 그 정책 참조 파일을 발견할 수 없을 지도 모른다.
컴팩트 정책(Compact Policies)
P3P-가능 웹 사이트는 SET_COOKIE 헤더를 수반하는, HTTP 응답 헤더에 존재하는 쿠키에 대하여 자신의 정책들을 선택적으로 간단하게 요약하여 제공한다. 이러한 컴팩트 정책들은 완전하게 P3P 정책이 평가되는 그 순간에 최적으로 쿠키 처리가 진행되도록 디자인 되었다. 사이트는 쿠키를 설정한 경우에만, 자신의 완전한 P3P 정책에서 쿠키에 관련된 선언들이 의무적인 확장(mandatory extensions)을 포함하지 않을 때에만 한정하여 컴팩트 정책을 사용할 수 있다. 컴팩트 정책이 전적으로 P3P-가능 웹 사이트에 대하여 선택적이기는 하지만, 주목할 것은 초기의 P3P 사용자 중개자 구현 중의 일부가 심각하게 컴팩트 정책에 의존하고 있다는 것이다. 예를 들면 마이크로소프트의 인터넷 익스플로러 6 P3P 사용자 중개자가 그렇다.
컴팩트 정책을 사용하는 사이트라면 다른 P3P-가능 사이트와 같이 정책 참조 파일 및 완전한 P3P 정책을 보유할 것이다. 게다가 그 사이트는 SET_COOKIE 요청을 담고 있는 모든 응답에 (또는 어느 응답에도) P3P 헤더를 포함시키도록 자신의 웹 서버를 설정할 것이다. 다음을 보면 그러한 서버의 응답이 어떻게 보이는지 알 수 있다.
간단한 P3P-가능 웹 사이트 예제
(상호작용적인 서비스 또는 물건을 팔기위해 다자인된 사이트들과는 대조적으로) 개인 홈페이지 및 기본 정보를 제공하기 위해 디자인된 사이트들은 아주 간단한 개인정보 정책을 보유한다. 그들은 최소한의 데이터만 수집하는 경향이 있으며 일반적으로 아주 제한된 방식으로 그 데이터를 사용할 것을 약속하거나, 그 데이터를 미래에 제한적으로라도 사용하지 않을 것을 약속하는 경향이 있다. 그러므로 어쩌면 이러한 사이트들에서는 한가지 P3P 정책만으로도 전체 사이트에 대해 충분할 것이다.
예제 1은 전체 사이트에 대하여 한가지 정책만을 가지는 Example.Com 이라는 이름의 간단한 사이트에 대한 정책 참조 파일이다. 이 정책 참조 파일은 잘 알려진 위치(/w3c/p3p.xml)에 위치한다. 이 파일은 또한 그 사이트의 P3P 정책을 포함한다. 그 정책 참조 파일과 정책 종료 기한 10일로 설정되어 있다. 이 사이트에 대한 정책은 또한 이 사이트에 의해서 설정된 모든 쿠키에 적용된다. Example.com은 전형적인 웹 로그 기록을 유지한다. 이러한 로그들은 무기한으로 기록이 유지되어 그 웹 사이트의 문제점들을 진단하는데 사용된다. 따라서 로그들은 다른 회사와 공유되지 않는다. 그렇지만 사람들이 그 웹 사이트를 어떻게 사용하고 있는지를 알아보기 위한 특정한 경우에는 공유되어 분석되기도 한다.
예제 1: 인라인 정책을 포함하는 간단한 사이트를 위한 정책 참조 파일
각주 1. 어디에 "잘 알려진 위치"가 있는지 더 자세한 정보가 필요하면 이 기사의 후반 섹션에 있는 "사용자 중개자가 여러분의 정책 참조 파일을 찾도록 돕기"를 참조할 것.
로리 크래노(Lorrie Cranor)는 뉴저지, 플로햄 파크에 있는 AT&T사의 Labs-Research Shannon 연구소의 안전 시스템 연구부(Secure Systems Research Department)에 근무하는 핵심 기술진이다. 그녀는 W3C(World Wide Web Consortium)의 P3P(Platform for Privacy Preferences) 플랫폼 규격 작업 그룹의 의장이다.
심슨 가핑클(Simson Garfinkle)은 컴퓨터 컨설턴트, 과학전문 작가이자 「WIRED Magazine」 편집을 맏고 있다. 이 외에도 「SunExpert Magazine」 매거진의 선임 편집자로 활동하고 있다.
개인정보 우선 프로젝트(P3P, Privacy Preferences Project)를 위한 W3C의 플랫폼은 웹 사이트들이 개인 정보의 분배와 사용, 그리고 수집에 관한 관행에 대해 서로 대화하기 위한 표준 방식을 제공한다. 이 프로젝트는 기계로 판독할 수 있는 개인정보 정책으로서 자동으로 사용자들이 가져와서 볼 수 있으며, 회사의 특정 정책에 맞도록 맞출 수 있다. 이 기사는 두 부분으로 나누어진다. 첫 부분은 P3P에 대한 개략적인 설명으로서 심슨 가핀클(Simson Garfinkle)이 작성하였다. 두 번째 부분은 로리 크래노(Lorrie Cranor)가 작성한 것으로 좀 더 심층적인 해설과 함께 약간의 예제도 제공하고 있다.
개인정보 우선 정책(P3P)을 위한 W3C(World Wide Web Consortium)의 플랫폼은 웹 사이트들이 개인 정보의 수집과 사용, 그리고 분배에 관한 관행에 관하여 대화하기 위한 표준적인 방식을 제공한다. 본 기사는 P3P에 관하여 간단하게 살펴보고 있으며, [그림 1]은 P3P의 처리과정을 삽화로 보여 주고 있다. P3P: 더 자세하게 살펴 보기에서는 프로토콜과 관련된 더 자세한 기술적 정보가 있다.
[그림 1] P3P 작동 방법
P3P는 W3C의 이전 작업인 PICS에서 잉태된 것으로 PICS는 웹 사이트를 평가하고 여과하는 테크놀러지이다(http://www.w3.org/PICS/ 참조). PICS가 기본으로 하고 있는 아이디어는 웹 사이트의 내용을 평가하고, 웹 브라우저는 이러한 평가를 내려 받고, 부모는 자녀의 컴퓨터를 프로그램하여 부모의 기준에 맞지 않는 웹 페이지가 화면에 표시되지 않도록 만들 수 있다는 것이었다.
P3P 시스템은 상당수의 이와 같은 개념을 지원한다. 성인용 컨텐츠를 평가하려는 PICS의 형식주의를 사용하는 대신, 웹 사이트와 온라인 서비스는 P3P의 형식주의를 사용하여 데이터를 수집하고 사용하는 방식과 관련된 자신들의 정책을 기술한다. 이 정책기술은 웹 페이지가 화면에 보일 때 웹 사이트에서 브라우저로 다운로드 받을 수 있다. 웹 사이트의 정책이 사용자가 확인해준 정책과 일치하지 않으면 브라우저는 사용자에게 경고를 하거나 특정 기능이 작동하지 않도록 만들 수 있다. 예를 들어 웹 사이트가 방문객들의 신상정보를 유지하기 위해 쿠키 사용을 요구한다 하더라도 어떤 쿠키도 버릴 수 있도록 웹 브라우저로 프로그램할 수 있다.
PICS와 P3P는 다음과 같이 여러 가지 면에서 비슷하다.
- PICS처럼 P3P는 특정한 정책의 모둠 또는 순위평가 테크닉의 모둠을 정의하지 않는다. 대신에, P3P는 웹 사이트의 개인정보 정책을 기술하기 위해서 일반화된 어휘를 기술한다.
- PICS와 P3P 표준 모두 확장가능하지만 모두 기본적인 데이터 스키마가 제공된다. PICS의 경우, 그 스키마는 RSACi 시스템인데 원래는 비디오 게임의 순위를 매기기 위해 개발된 것이었다. P3P의 경우, 스키마는 기본 어휘(base vocabulary)이다. 두 경우 모두 확실하기는 하지만 기본 스키마가 확장될 가능성은 거의 희박해 보인다.
- PICS 등급을 가졌다고 해서 사이트에 포르노그래피 보유 유무를 의미하는 것이 아닌 것처럼, P3P 등급을 가진다고 해서 방문객들의 개인정보를 무조건적으로 보호해주거나 보호해주지 않을 것이라는 것을 의미하지는 않는다. 그런 결정을 하려면 여러분(또는 브라우저)이 그 정책을 내려 받아 반드시 읽어 보아야 한다.
- P3P는 LISP S-표현(S-expressions) 대신에 XML을 사용하여 자신의 정책을 정의한다.
- P3P는 서드-파티 등급 서비스를 전혀 제공하지 않는다. 모든 P3P 정책은 웹 사이트 자체에서 내려받는다.
- P3P 선언은 웹 사이트의 내용에 관련된 것이 아니라 그 관행에 관련된 것이다. 따라서 해당 웹 사이트 조직에 관해 물리적인 진단을 수행하지 않고 사용자나 제3자가 P3P 선언을 확인하는 것은 불가능하다.
- 웹 사이트의 P3P 선언들은 웹사이트의 문서화된 개인정보 정책에 밀접하게 연관되어 있을 수 있기 때문에, 자신의 P3P 서술문과 일치하지 않는 개인 정보를 다루는 조직체는 "불공정한 거래 관행(unfair trade practice)"을 범한 죄로 기소 당할 수도 있으며 연방 거래 위원회(Federal Trade Commission)의 강제집행 소송에 자신을 완전히 개발시키는 것이 될 수도 있다.
웹 사이트에서 P3P 정책을 만드는 방법과 관련된 더 자세한 정보는 P3P: 더욱 자세히 살펴 보기를 참조해라.
인터넷 익스플로러 6.0에서의 P3P 지원
인터넷 익스플로러 6.0은 제한적으로 P3P를 지원한다. 이러한 지원은 P3P의 이른바 컴팩트 정책(compact policies)에 국한되는데 이 정책은 쿠키의 사용을 통해 수집된 정보를 사이트가 어떻게 사용하는지를 기술한다. IE6은 이 지원을 통하여 주어진 웹사이트로부터 사용자가 쿠키를 받아들일지 거부할지를 결정한다.
인터넷 익스플로러의 P3P 구현은 인터넷 옵션의 콘트롤 패널에 있는 "개인정보(Privacy)" 탭을 통하여 통제된다([그림 2] 참조). 이 패널을 사용하면 일곱 개의 기본 정책 중에서 하나를 지정하여 모든 웹 사이트에 사용할 수 있다. 또한 이러한 정책들을 각자의 기호에 맞게 변경할 수도 있다. 마지막으로, 웹 사이트 목록을 지정하여 특정한 규칙으로 다루도록 할 수도 있다.
[그림 2] 인터넷 익스플로러 6.0은 인터넷 옵션 콘트롤 패널의 개인정보(Privacy) 탭에서 제한적으로 P3P를 지원한다.
마이크로소프트의 여러 가지 기본 정책은 "묵시적인 동의없이" PII를 사용한다는 개념과 관련되어 있다. 일반적으로 이 "묵시적인 동의없이"라는 구절은 먼저 허락을 구하지 않고 수집된 개인 정보를 웹 사이트 오퍼레이터가 사용할 수 있는지 아니면 허락이 반드시 명시적으로 요청되고 주어져야 하는지를 결정하는데 사용된다.
인터넷 익스플로러 6.0은 쿠키들을 "묶어둘 수" 있기 때문에 쿠키들은 원래 처음 만들었던 사이트에만 반환된다. 쿠키들은 또한 "등급을 낮출(downgraded)" 수 있기 때문에, 쿠키들은 인터넷 익스플로러가 종료하면 자동으로 삭제된다. 인터넷 익스플로러는 또한 명시적으로 "세션 쿠키들(session cookies)"을 참조한다. 세션 쿠키란 세션과 비슷하여 종료하면 삭제되고 컴퓨터의 하드 디스크에 저장되지 않는 쿠키이다.
기본 정책은 [표 1]에서 설명하였다.
표 1: 인터넷 익스플로러 6.0의 개인정보 정책
|
개인정보 수준
|
당사자 쿠키들
|
서드파티 쿠키들
|
| 모든 쿠키를 승인 | 승인 | 승인 |
| 낮음(low) | 승인 | 컴팩트 P3P 정책이 아니라면 거부한다. 묵시적인 동의 없이 PII의 사용을 허용하는 사이트로부터 온 쿠키의 "등급을 낮춘다". |
| 중간(Medium | P3P 정책이 없다면 사이트에 쿠키를 묶어 둔다. 묵시적인 동의 없이 PII의 사용을 허용하는 사이트로부터 온 쿠키의 등급을 낮춘다. | 컴팩트 P3P 정책이 없다면, 또는 정책이 묵시적인 동의 없이 PII의 사용을 허락한다면 거부한다. |
| 중상수준(Medium High) | 묵시적인 동의 없이 PII를 사용하는 사이트로부터 오는 쿠키를 거부한다. | 컴팩트 P3P 정책이 없다면, 또는 정책이 명시적인 동의 없이 PII의 사용을 허락한다면 거부한다. |
| 높음(High) | 컴팩트 P3P 정책이 없다면, 또는 정책이 명시적인 동의 없이 PII의 사용을 허락한다면 거부한다. | 컴팩트 P3P 정책이 없다면, 또는 정책이 명시적인 동의 없이 PII의 사용을 허락한다면 거부한다. |
| 모든 쿠키를 거부 | 모든 쿠키를 거부함. 기본의 쿠키들을 읽을 수 없음. | 모든 쿠키를 거부함. 기본의 쿠키들을 읽을 수 없음. |
다음 섹션에서는 P3P를 더욱 깊게 살펴 보겠다. 여기에는 작동방법과 조판(markup) 코드 예제, 그리고 P3P 전개를 위한 제안이 포함된다.
P3P: 더 자세하게 살펴 보기
이 섹션은 AT&T 연구소(AT&T Labs-Research)의 레리 크래노(Lorrie Cranor)가 기고한 글이다. AT&T에 저작권이 있으며 허가를 얻어 재인쇄된 것이다.
개인정보 우선 프로젝트(P3P, Privacy Preferences Project)를 위한 플랫폼은 웹 사이트가 자신들의 데이터 처리 관행에 관하여 대화하도록 해주는 표준적인 방식을 제공한다. W3C(World Wide Web Consortium)가 개발한 P3P에는 기계가 판독할 수 있는 개인정보 정책 구문이 포함되어 있으며 뿐만 아니라 간단한 프로토콜도 포함되어 있어서 웹 브라우저와 다른 사용자 중개자 도구들이 P3P 개인정보 정책을 자동으로 가져오는데 사용할 수 있다. P3P-가능 브라우저라면 사용자들이 사이트 개인정보 정책에 근거하여 선택적으로 쿠키를 막을 수 있도록 해줄 수 있으며, 사이트의 개인정보 정책에 대해서도 신속하게 "개괄" 해 볼 수 있다.
이 섹션에서는 어떻게 P3P가 작동하는지 그리고 어떻게 P3P를 사용하고 획득할 수 있는지에 대하여 대략적으로 살펴본다. P3P에 관한 더 자세한 정보는 http://www.w3.org/P3P/를 참조하자. 그 사이트에는 완벽한 P3P 규격으로 가는 참조점이 있으며 P3P 소프트웨어의 목록과 P3P-가능 웹사이트, 그리고 웹 사이트에 P3P를 사용하는데 필요한 더욱 자세한 설명이 있다. P3P에 대한 논의와 최대한 그것을 어떻게 이용할 수 있는지 알고 싶으면 곧 출간될 로리 크래노(Lorrie Cranor)가 쓴 『P3P』를 참조하라.
어떻게 P3P가 작동하는가
P3P 규격에는 다음과 같은 것이 포함된다.
- 웹 사이트의 데이터 처리 관행을 기술하기 위한 표준 어휘(vocabulary)
- 웹 사이트들이 P3P 개인정보보호 정책에 참조할 수 있는 일련의 기본 데이터 요소들(base data elements)
- 웹 사이트 개인정보 정책을 송부하거나 요청하는데 사용되는 프로토콜
[그림 3] P3P 정책을 가져오기 위한 기본 프로토콜
다음은 한 웹 사이트가 P3P 정책으로 발표할 만한 종류의 예제를 영어로 풀어서 이해하기 쉽게 보여준다.
스티브네 가게(Steve"s Store)는 여러분의 개인정보를 보호하기 위해 노력한다. 본 사이트를 방문하여 카탈로그를 열람할 때에도 여러분에게 정보를 요청하지는 않을 것이다. 그리고 여러분의 방문에 관한 데이터를 오직 본 사이트를 보호하고 개선하는데 도움이 되는 한도 내에서만 사용할 것이다. 본 사이트를 열람할 때 우리는 여러분의 컴퓨터와 연결상태에 대한 기본 정보를 수집한다. 우리는 이 정보를 일주일 단위로 깨끗이 청소한다. 또한 우리는 본 사이트에서 어느 페이지를 방문하였는지에 대해 집합적으로 정보를 수집한다.
스티브네 가게(Steve"s Store)는 PrivacySealExample Program의 라이센스를 준수한다. PrivacySealExample Program은 웹 사이트 라이센스 수혜자들을 고도의 개인정보 표준으로 대우하고 독립적인 감시자들에게 이러한 정보 관행이 현재 준수되고 있다는 것을 확인하여 줌으로써 여러분의 개인정보를 보장한다.
이 선언과 관련된 질문이 있다면 다음 주소로 질문은 보내 주면 된다. Steve"s Store, 123 Steve Street, Bethesda, MD 20814 USA, Email: steve@stevesstore.com, Telephone (301) 392-6753. 질의에 대한 대답이 만족스럽지 않으면, http://www.privacyseal.example.org/에서 PrivacySealExample에 연락해도 좋다. 스티브네 가게(Steve"s Store)는 개인정보 정책과 관련하여 일어나는 모든 잘못되거나 그릇된 행위들을 수정할 것이다.
그리고 P3P 구문과 인코딩을 사용하면 이 정책은 다음과 같이 보일 것이다:
XML(Extensible Markup Language)에 익숙하다면 이 인코딩이 매우 낮익을 것이다. 중요한 것은 P3P 정책이 최종사용자가 읽을 수 있게끔 디자인되지 않았다는 것을 인지하는 것이다. 사용자 중개자들이 이러한 정책들을 사용자 대신에 통역해 줄 것이다. 추가로 모든 정책은 그 웹사이트에서 사람이 판독할 수 있는 개인정보 정책을 가리키는 URL을 담고 있어야 한다.Steve"s Store 123 Steve Street Bethesda MD 20814 USA steve@stevesstore.com 1 301 3926753 
P3P 배치하기
웹 마스터들이 자신들의 사이트에 P3P를 배치하려 할 때 첫 번째로 물어오는 질문 중에는 다음과 같은 것들이 있다. "배치하는 데는 어느 정도의 시간이 소요되나요?" 그리고 "배치 작업을 하는데 얼마나 많은 어려움이 따를까요?" 이러한 질문들에 대한 대답은 물론 각 웹사이트의 구체적인 세부사항에 달려 있다. 자사의 개인정보 정책을 사이트에 이미 게시하고 있는 중소기업일 경우 몇 시간이면 P3P를 사이트에 배치할 수 있다. 여기에 소요되는 기술적인 작업을 위한 시간은 기껏해야 15분도 걸리지 않는다. 거대 기업일 경우, 아마도 변호사와 상당한 시간을 들여 P3P 정책을 논의할 필요가 있을 것이다. 그리고 전세계에 널려 있는 수 많은 서버들에 대한 P3P 정책을 배치하는 가장 좋은 방법을 찾아야 할 것이다. 광고 중개회사와 내용물 배포 네트워크회사 같은 "서드파티" 웹 서비스를 제공하는 회사들 역시 좀 더 복잡한 결정과정이 필요할 것이다.
사이트에 P3P를 배치하는데 필요한 노력 예측에 도움을 주기 위해 그와 관련된 기본적인 단계를 다음과 같이 개괄해 보았다.
- 개인정보 정책을 만들어라.
- 개인정보 정책은 P3P 정책을 만드는데 사용할 수 있을 정도로 세부적인 것들을 포함할 필요가 있다. 자신의 사이트에서 준수할 자세한 정책을 만들었다고 하더라도 여전히 P3P 정책을 만들 때 다시 고려해야 할 몇 가지 문제가 있을 수 있겠지만 어려운 작업은 이미 대부분 마친거나 다름 없을 것이다. 아직 개인정보 정책이 없거나, 여러분이 만든 정책이 사이트에서 수집할 정보의 종류나 이 데이터가 사용되는 방법에 관하여 그렇게 자세하지 못하다면, 어쩌면 기업 고문 변호사를 만나야 할 필요가 있지도 모른다. 그렇지 않으면 회사의 개인정보 정책이 무엇인지 그 아웃라인을 잡는 것과 관련된 정책 결정자들을 만나 봐야 할 것이다.
- 전체 사이트에 대하여 한가지 P3P 정책을 적용할지 아니면 사이트의 여러 부분에 따라 서로 다른 P3P 정책들을 적용할지 결정하라.
- 이미 사이트에서 여러 정책을 사용하고 있다면 아마 P3P 정책도 여러 가지를 사용하고 싶을 것이다. 예를 들어 어떤 사이트에서는 자신이 제공하는 서로 다른 형태의 서비스에 따라 서로 다른 정책을 가진다. 전체 사이트에 대하여 한가지 광범위한 정책을 사용한다고 할지라도 여러 P3P 정책을 사용하고 싶을 수도 있다. 예를 들어 사이트의 개인정보 정책에 다음과 같이 "우리는 제품을 주문하기 위하여 폼을 채울 때를 제외하고는 방문객들로부터 개인적으로 구분되는 정보는 취합하지 않습니다"라고 하는 선언문을 포함할 수도 있다. 어쩌면 다음과 같은 두 가지 P3P 정책을 만들고 싶을 것이다. 하나는 폼이 없는 사이트의 대부분에 대해서 사용하고, 다른 하나는 특별히 방문객들이 제품을 주문하기 위하여 채워 넣는 사이트의 일부를 위한 것이다.
- 사이트에 P3P 정책(또는 정책들) 만들기.
- P3P 정책 발생 도구중의 하나를 사용하면 XML을 배우지 않고서도 쉽게 P3P 정책을 만들 수 있다. 이렇게 하려면 사이트가 모으는 정보의 종류와 그 정보가 사용되는 방법에 대하여 자세하게 이해할 필요가 있다. 그러나 이 대부분은 사이트의 개인정보 정책에 반드시 문서화되어야 한다.
- 사이트를 위한 정책 참조 파일 만들기.
- 대부분의 정책 생성기는 사이트에서 정책 참조 파일을 만드는데 도움을 줄 것이다. 이 파일은 사이트와 관련된 모든 P3P 정책들을 나열하고 그 정책들이 사이트의 어느 부분에 적용되는지를 나열한다. 대부분의 상황에서는 전체 사이트에 대해 단 한 개의 정책 참조 파일을 가질 것이다. 그렇지만 사이트에 대해 방대한 개수의 정책을 가지고 있거나 사이트 구조를 드러내주는 정보를 제공하고 싶지 않다면(아마도 사이트의 일정 부분이 패스워드로 보호되고 있는 상황이라면 보안을 고려해야 하기 때문에) 아마 여러 개의 정책 참조 파일을 가지고 싶을 것이다.
- P3P를 위하여 서버 설정하기.
- 대부분의 사이트에서 이 설정은 웹 서버와 관련된 P3P 정책과 정책 참조 파일을 적당한 위치에 배치하기만 하면 쉽게 달성될 수 있다. 그렇지만 어떤 사이트들은 자신들의 서버가 모든 HTTP 응답마다 특별한 P3P 헤더를 보내고 싶어할 것이다. 그리고 어떤 사이트들은 태그를 HTML 컨텐츠(content)에 추가하기를 원할 것이다. 또 어떤 사이트들은 SET_COOKIE 요청으로 컴팩트 버전의 P3P 정책을 보내고자 할 것이다.
- 적절히 P3P 사용가능하지 확실하게 테스트하라.
- W3C의 P3P 유효성평가 도구는 사이트 테스트에서 발견되는 모든 문제들을 보고하는데 사용될 수 있다. 물론 이 도구는 여러분의 P3P 정책이 여러분의 개인정보 정책과 일치하는지 확인해줄 수 없으며 두 정책 중 어떤 것이 실제 관행을 준수하는지는 확인할 수 없다. 그러나 여러분의 정책과 정책 참조 파일이 구문적으로 올바르게 작성되고 모든 것을 적절하게 설정했는지는 확인할 수 있다. W3C P3P 유효성 평가기(W3C P3P Validator)는 http://www.w3.org/P3P/validator/에서 시험해 볼 수 있다.
여러분의 정책은 P3P 정책을 생성하기 위해 답변해야 하는 질문들에 대하여 충분히 세부적으로 답변해야 한다. 다음은 반드시 다루어야 하는 점들에 대한 기본적인 개요이다.
- 여러분의 회사나 조직에 대한 이름과 연락 정보.
- 여러분이 제공하는 접근의 종류와 관련된 선언 (어떤 정보들을 보유하고 있는지 사람들이 알아 보도록 허락할 것인가, 만약 그렇다면 어떻게 접근을 하도록 해 줄 것인가?).
- 어떤 개인정보 법률을 따르고 있는지, 어떤 개인정보 봉인(seal) 프로그램에 여러분이 관여 하고 있는지, 그리고 고객들이 개인정보 분쟁을 해결하는데 사용할 다른 메카니즘에 관한 정보에 관련된 선언. 또한 이 선언은 여러분이 개인정보 정책을 위반할 경우에 어떤 해결책을 제시할지를 기술해 놓을 수도 있다.
- 수집할 데이터의 종류에 관한 설명. 여러분의 웹 사이트가 쿠키를 사용한다면, 이것 역시 반드시 언급하고 쿠키가 어떻게 사용될지 설명해라.
- 수집된 데이터가 어떻게 사용될지에 관한 설명, 그리고 개인이 이러한 사용 사례들에 대해서 선택 또는 배제 할 수 있는지에 대한 정보.
- 데이터가 다른 회사와 공유되는지에 관한 정보. 만약 공유된다면 어떤 조건 하에서 공유되는지 그리고 소비자가 데이터 선택하거나 배제 할 수 있는지에 관한 정보.
- 여러분 사이트의 데이터 유지 정책에 관한 정보(해당되는 경우에만).
- 선택 또는 배제 기회를 소비자가 어떻게 이용할 수 있는지에 관한 정보.
P3P 정책과 정책 참조 파일을 만들기
여러분의 개인정보 정책이 상당히 간단하다면 (또는 XML를 작성하기를 즐긴다면), XML을 사용하여(아마도 우리의 예제에서 잘라내고 붙이면서) 손으로 P3P 정책과 정책 참조 파일을 만들고 싶을지도 모른다. 그렇지만 대부부분의 경우 사람들은 P3P 정책 생성기 프로그램을 선택하고자 할 것이다.
시험해 보고 싶을 만한 괜찮은 P3P 정책 생성기 중 하나는 IBM의 P3P 정책 편집기이다. 이 도구는 [그림 4]에서 보는 바와 같이 끌어 놓기 인터페이스를 갖추고 있어서 P3P 데이터 요소와 데이터 범주를 표현하는 아이콘을 편집창 안으로 끌어 넣어 P3P 정책을 편집할 수 있다. 이 도구는 또한 팝-업 창을 가지고 있기 때문에 각 데이터 요소와 연관된 특성(purpose, recipient, 등등.)들을 설정할 수 있으며 그 사이트의 개인정보 관행에 관한 일반적인 정보도 채울 수 있다. 각 데이터 요소를 추가하면서 만들어진 XML을 볼 수 있을 뿐만 아니라, 그 정책에 상응하는 사람도 읽을 수 있는 버전을 볼 수 있다. 또한 에러 탭도 유용하게 사용되기 때문에 예를 들어 필수 필드에 정보를 빠트렸다든가 하는 정책상의 문제점들을 보여준다. 이 도구에는 훌륭한 문서가 따라오며 전형적인 웹 사이트를 위한 일단의 주형틀(templates)도 따라온다. 이 도구 또한 정책 참조 파일을 만들 수 있다. 이 도구는 IBM의 알파웍스 웹 사이트(http://www.alphaworks.ibm.com/tech/p3peditor)에서 무료로 다운 받을 수 있다.
[그림 4] 끌어 떨구기 인터페이스를 가진 IBM사의 P3P 정책 편집기.
P3P 규격은 정책 참조 파일을 위해 "잘 알려진 위치"로 /w3c/p3p.xml을 지정하였다. P3P 사용자 중개자들은 자신들이 방문하는 사이트마다 이 위치를 자동으로 점검해서 정책 참조 파일을 찾아 볼 것이다. 만약 사용자 중개자들이 사이트에서 정책 참조 파일을 찾을 수 없다면, 사용자가 그 사이트에 다시 돌아올 매 24시간마다 한번 더 점검할 것이다.
대부분의 웹 사이트는 자신의 정책 참조 파일을 잘 알려진 위치에 아무 문제 없이 배치하여야 한다. 그렇지만 이렇게 하고 싶지 않는 사이트도 있을 것이다. 이런 사이트를 위한 두 가지 선택이 있다. 사이트는 모든 HTTP 응답에 특별한 P3P 헤더를 보내도록 설정될 수 있다. 그렇지 않으면 태그가 HTML 문서에 내장되어 그 정책 참조 파일의 위치를 가리킬 수도 있다.
HTTP 헤더를 사용한 대안은 여러 정책 참조 파일을 사용하기로 결정한 사이트에서 아주 유용하다. HTTP 헤더를 사용한 대안을 사용하여 사이트들은 각 요청에 대하여 정책 참조 파일에 대한 포인터를 보내 적용할 수 있다. 잘 알려진 위치 대신에 HTTP 헤더를 사용하여 발생하는 약점은 사용자 중개자(user agent)가 자원(resource)을 요청하기 전에 사이트의 정책을 알 방법이 없다는 것이다. 그리하여 어떤 사용자 중개자는 P3P 응답 헤더를 받기 전 까지는 쿠키, 참조 헤더, 또는 다른 정보를 억제하기도 한다.
컨텐츠 제공자들이 웹 서버에서 (/w3c 디렉토리를 포함하고 있지 않기 때문에) 오직 지정된 구역에만 접근하고 그 서버를 여분의 HTTP 요청 헤더를 보내도록 설정할 능력이 없는 사이트들이 바로 HTML 태그를 사용한 대안이 기본적으로 목표로 하는 사이트다. 예를 들어 대학 서버에서 호스트되는 개인 홈 페이지에 개인정보 정책을 제공하고자 하는 학생들 또는 자신만의 도메인을 보유하고 있지 않는 사이트를 가진 개인이나 조직체들은 이 대안을 사용하고 싶을 것이다. 이 대안은 HTTP 헤더와 똑같은 약점을 지닌다. 게다가 이 대안을 사용하고자 하는 사이트는 반드시 태그를 P3P 정책에 의해서 다루어질 모든 HTML 문서에 추가하여야 한다. 이 작업은 시간을 소모하는 작업이 될 수 있다. 또한 방문객이 그 사이트의 문서에서 링크를 따라가지 않고 직접적으로 HTML이 아닌 문서(이미지, 포스트스크립트(PostScript), PDF 파일, 등등)를 요구하면 그들의 사용자 중개자는 태그가 사용되었다고 할지라도 그 정책 참조 파일을 발견할 수 없을 지도 모른다.
컴팩트 정책(Compact Policies)
P3P-가능 웹 사이트는 SET_COOKIE 헤더를 수반하는, HTTP 응답 헤더에 존재하는 쿠키에 대하여 자신의 정책들을 선택적으로 간단하게 요약하여 제공한다. 이러한 컴팩트 정책들은 완전하게 P3P 정책이 평가되는 그 순간에 최적으로 쿠키 처리가 진행되도록 디자인 되었다. 사이트는 쿠키를 설정한 경우에만, 자신의 완전한 P3P 정책에서 쿠키에 관련된 선언들이 의무적인 확장(mandatory extensions)을 포함하지 않을 때에만 한정하여 컴팩트 정책을 사용할 수 있다. 컴팩트 정책이 전적으로 P3P-가능 웹 사이트에 대하여 선택적이기는 하지만, 주목할 것은 초기의 P3P 사용자 중개자 구현 중의 일부가 심각하게 컴팩트 정책에 의존하고 있다는 것이다. 예를 들면 마이크로소프트의 인터넷 익스플로러 6 P3P 사용자 중개자가 그렇다.
컴팩트 정책을 사용하는 사이트라면 다른 P3P-가능 사이트와 같이 정책 참조 파일 및 완전한 P3P 정책을 보유할 것이다. 게다가 그 사이트는 SET_COOKIE 요청을 담고 있는 모든 응답에 (또는 어느 응답에도) P3P 헤더를 포함시키도록 자신의 웹 서버를 설정할 것이다. 다음을 보면 그러한 서버의 응답이 어떻게 보이는지 알 수 있다.
HTTP/1.1 200 OK
P3P: policyref="http://cookie.example.com/w3c/p3p.xml",
CP="NON DSP ADM DEV PSD CUSo OUR IND STP PRE NAV UNI"
Content-Type: text/html
Content-Length: 8934
Server: CC-Galaxy/1.3.19
대부분의 P3P 정책 생성 도구들은 컴팩트 정책을 만들어 낼 것이다.
간단한 P3P-가능 웹 사이트 예제
(상호작용적인 서비스 또는 물건을 팔기위해 다자인된 사이트들과는 대조적으로) 개인 홈페이지 및 기본 정보를 제공하기 위해 디자인된 사이트들은 아주 간단한 개인정보 정책을 보유한다. 그들은 최소한의 데이터만 수집하는 경향이 있으며 일반적으로 아주 제한된 방식으로 그 데이터를 사용할 것을 약속하거나, 그 데이터를 미래에 제한적으로라도 사용하지 않을 것을 약속하는 경향이 있다. 그러므로 어쩌면 이러한 사이트들에서는 한가지 P3P 정책만으로도 전체 사이트에 대해 충분할 것이다.
예제 1은 전체 사이트에 대하여 한가지 정책만을 가지는 Example.Com 이라는 이름의 간단한 사이트에 대한 정책 참조 파일이다. 이 정책 참조 파일은 잘 알려진 위치(/w3c/p3p.xml)에 위치한다. 이 파일은 또한 그 사이트의 P3P 정책을 포함한다. 그 정책 참조 파일과 정책 종료 기한 10일로 설정되어 있다. 이 사이트에 대한 정책은 또한 이 사이트에 의해서 설정된 모든 쿠키에 적용된다. Example.com은 전형적인 웹 로그 기록을 유지한다. 이러한 로그들은 무기한으로 기록이 유지되어 그 웹 사이트의 문제점들을 진단하는데 사용된다. 따라서 로그들은 다른 회사와 공유되지 않는다. 그렇지만 사람들이 그 웹 사이트를 어떻게 사용하고 있는지를 알아보기 위한 특정한 경우에는 공유되어 분석되기도 한다.
예제 1: 인라인 정책을 포함하는 간단한 사이트를 위한 정책 참조 파일
/* * .example.com * Example Corp.
각주 1. 어디에 "잘 알려진 위치"가 있는지 더 자세한 정보가 필요하면 이 기사의 후반 섹션에 있는 "사용자 중개자가 여러분의 정책 참조 파일을 찾도록 돕기"를 참조할 것.
로리 크래노(Lorrie Cranor)는 뉴저지, 플로햄 파크에 있는 AT&T사의 Labs-Research Shannon 연구소의 안전 시스템 연구부(Secure Systems Research Department)에 근무하는 핵심 기술진이다. 그녀는 W3C(World Wide Web Consortium)의 P3P(Platform for Privacy Preferences) 플랫폼 규격 작업 그룹의 의장이다.
심슨 가핑클(Simson Garfinkle)은 컴퓨터 컨설턴트, 과학전문 작가이자 「WIRED Magazine」 편집을 맏고 있다. 이 외에도 「SunExpert Magazine」 매거진의 선임 편집자로 활동하고 있다.
TAG :
이전 글 : 유닉스 시스템 프로그래밍
최신 콘텐츠