이론상으로, 어니언(Onion) 네트워크를 통해 인터넷을 탐색하는 Tor 사용자는 일반적인 사용자가 방문할 수 있는 모든 페이지에 접근할 수 있을 뿐만 아니라, 딥웹 검색 등 추가적인 혜택까지 누릴 수 있습니다.
Tor의 핵심은 익명성입니다. 하지만 최신 연구에 따르면 많은 웹사이트에서 Tor 사용자들은 아예 접속 자체가 차단되거나, 추가적인 번거로운 절차를 거쳐야만 하는 상황에 직면해 있습니다.
무슨 일이 벌어지고 있나?
최근 발표된 연구 논문에 따르면, 어니언 네트워크 사용자들은 단지 더 높은 수준의 암호화와 보안, 그리고 익명성을 원했을 뿐인데도 불이익을 받고 있는 것입니다.
케임브리지 대학교, 캘리포니아 버클리 대학교, 유니버시티 칼리지 런던(UCL), 국제 컴퓨터 과학 연구소 버클리(ICSI)는 Do You See What I See? Differential Treatment of Anonymous Users(내가 보는 것을 당신도 보는가? 익명 사용자에 대한 차별적 대우)라는 제목의 연구 결과를 발표하며, 하루 약 200만 명에 달하는 Tor 사용자들이 어떤 대우를 받고 있는지 조명했습니다.
불만을 품은 사용자들이 과거에도 이 문제를 제기해 왔지만, 알렉사(Alexa) 트래픽 데이터 분석 기준 상위 1,000개 사이트 중 3.67%가 알려진 Tor 출구 노드(exit node)를 통한 접속 시도를 차단하고 있다는 사실을 확인한 것은 이번 연구가 처음입니다.
어니언 네트워크에 익숙하지 않은 분들을 위해 간단히 설명하자면, 이는 프록시 서버를 통해 요청을 여러 단계로 중계하면서 각 단계마다 데이터를 추가로 암호화함으로써 익명으로 웹서핑을 할 수 있게 해주는 기술입니다. 출구 노드는 이 과정의 마지막 단계로, 딥웹으로 연결되는 마지막 라우터 역할을 합니다.
그런데 실제 사용자들은 일부 웹사이트에서 열등한 서비스를 받거나, 다른 사이트에서는 캡차(CAPTCHA) 같은 불편한 장애물을 만나고, 심한 경우 아예 접속 자체를 거부당하기도 합니다. 연구진은 이러한 현상에 대해 다음과 같이 지적합니다:
"[열앗해진 서비스로 인해 Tor 사용자는] 인터넷에서 사실상 이등 시민으로 전락하게 됩니다."
편견에 찬 호스팅 및 콘텐츠 전송 네트워크(CDN) 업체의 대표적인 예로는 Cloudflare와 Akamai를 들 수 있습니다. Akamai는 Tor 사용자를 차단하거나, Macys.com의 경우처럼 무한 리디렉션을 발생시킵니다. 한편 Cloudflare는 사용자가 악성 봇이 아님을 증명하는 캡차를 제시합니다. 이 회사는 출구 노드에서 발생하는 대량의 트래픽을 감지한 후, 해당 IP 주소에 좋은 평판인지 나쁜 평판인지를 결정하는 점수를 부여하는 방식입니다.
이는 결국 악의적인 의도를 가진 사람들과 무고한 사용자가 우연히 같은 출구 노드를 사용한다는 이유만으로 동일하게 취급받는다는 뜻입니다. 한 Tor 사용자는 이렇게 불만을 토로했습니다:
"[Cloudflare는] 개방적인 대화를 통해 협력할 의지가 없어 보입니다. 특정 웹사이트 탐색을 거의 불가능하게 만들고, 구글 같은 대형 감시 기업들과 결탁하며, 캡차도 끔찍합니다. 소셜 미디어에서 우리 커뮤니티 회원들과 소통하기는커녕 차단해 버리고, 솔직히 말해서 의심스러운 보안 효과를 위해 수백만 개의 브라우저에서 신뢰할 수 없는 코드를 실행시키고 있습니다."
왜 익명성이 필요할까?
일부 사이트가 익명성을 경계하는 이유를 이해하려면, 익명성의 긍정적인 측면도 함께 살펴봐야 합니다. 때로는 익명으로 남아 있어야만 하는 상황이 있기 때문입니다. 연구진은 다음과 같이 강조합니다:
"[익명성 네트워크]는 종종 시민들이 검열되거나 제한된 콘텐츠에 접근하거나 배포할 수 있는 유일한 수단을 제공하며, 프라이버시나 안전에 대한 위협 없이 이를 가능하게 합니다."
누구나 Tor 사이트나 서버를 만들 수 있습니다. 쉽지는 않지만 충분히 가능합니다.
딥웹, 특히 다크웹은 점점 더 불길한 것으로 인식되고 있습니다. 실제로 신원 도용, 마약, 금기시되는 콘텐츠 등 불법 거래가 활발히 이루어지고 있으며, ISIS조차 신원을 숨기기 위해 이를 활용하고 있습니다. 언론의 태도는 대개 "숨길 것이 뭐가 있는데?"라는 식입니다. 하지만 딥웹이 전부 나쁜 것만은 결코 아닙니다.
PRISM 감청 프로그램, 빅 브라더(Big Brother)로부터 이메일이 절대 안전할 수 없는 현실, 영국의 '스누퍼 헌장(Snooper's Charter)'… 이 정도 수준의 국가 감시에 직면하면 오프그리드(off-the-grid) 상태를 유지하는 것이 분명 현명한 선택으로 들립니다.
억압적인 국가의 인터넷 차단을 우회하려 하거나, DRM 저작권 보호를 피해 전자책을 읽으려 하거나, 심지어 표면 웹(Surface Web)에서 환영받지 못하는 주제를 연구하려는 경우도 있을 수 있습니다.
'익명(Anonymous)' 집단 자체를 예로 들 수 있습니다. 이 해커티비스트(hacktivist)들은 익명으로 활동하면서 사회를 더 안전하게 만드는 것을 목표로 합니다. 덕분에 사람들은 원치 않는 관심을 받지 않으면서도 자신의 입장을 표현할 수 있습니다. 때로는 역효과를 낳기도 하지만, 대부분의 경우 이타주의가 승리합니다.
Tor 사용자는 왜 희생양이 되는가?
그러나 동전의 반대편에는 불법적인 목적으로 은신하려는 이들도 존재하며, 바로 이 점이 사이트들이 사용자 차단에 나서는 이유입니다.
사이트 운영자들은 방문자가 자신의 행위, 즉 인터넷에서 하는 행동과 하는 말에 대해 책임지기를 원합니다. 예를 들어 유럽중앙은행(ECB), senate.gov, 미국 조폐국(US Mint) 같은 정부 및 공공 기금 사이트들은 대부분 Tor 사용자의 접근을 거부합니다. 그럼에도 healthcare.gov처럼 일반 '표면' 웹을 이용하는 방문자에게는 즉시 이메일 주소 등록을 요구하는 경우가 많습니다(다만 등록하지 않는다고 해서 사이트 이용이 금지되지는 않습니다).
익명 댓글 작성자를 차단하는 것이 트롤(troll) 대책이라고 볼 수도 있습니다. 성협박(sextortion), 그루밍(grooming), 사이버 불링 등 악용 목적으로 가짜 프로필을 만드는 행위가 영국에서 최근 불법화되었는데, Tor 사용자라고 해서 완전히 추적 불가능한 것은 아니지만 추적자들의 작업을 더 어렵게 만들 수는 있습니다.
하지만 어니언 네트워크 차단이 댓글 문제만은 아닙니다. 사이트의 서비스 자체를 보호하려는 의도도 있습니다.
Hulu는 Tor 출구 노드를 사용하는 모든 사용자를 차단하는데, 한 사용자가 항의하자 회사 측은 이렇게 답변했습니다:
"Tor는 주로 불법 다운로드에 사용됩니다. 그것이 우리 회사가 반대하는 주된 이유입니다."
역효과라고 생각할 수도 있지만, 차단을 해제하려면 '화이트리스트(whitelist)'에 등록되기 위한 번거로운 절차를 여전히 거쳐야 합니다.
특정 IP 주소에서 악성 트래픽이 감지되면, 선량한 Tor 사용자까지 배제하게 되더라도 차단하는 것은 당연한 판단입니다. 특히 Moonfruit가 최근 겪었던 것과 같은 분산 서비스 거부 공격(DDoS) 같은 사이버 공격을 예방할 수 있다면 더욱 그렇습니다.
그럼 우리는 무엇을 할 수 있을까?
안타깝게도 개인이 할 수 있는 일은 많지 않습니다. 그럼에도 많은 이들이 Tor의 'Don't Block Me'(날 차단하지 마) 프로젝트로 눈을 돌리고 있는데, 이 프로젝트는 스스로를 다음과 같이 소개합니다:
"피해를 입은 사용자 커뮤니티, 인터넷 전반, TPO 발표자들, 그리고 ListOfServicesBlockingTor를 중심으로 한 Tor의 핵심 주제와 활용 사례들이 모인 곳으로, Tor를 사용한다는 이유만으로 사람들을 차단하지 않도록 해당 사이트들을 설득하는 것을 목표로 합니다. 또한 이 프로젝트는 Tor를 무차별적으로 차단하는 대신 서비스들이 활용할 수 있는 모범 사례(Best Practices)를 개발하고, 문서화하고, 홍보합니다. 별도의 하위 프로젝트에서는 RBL 등 각종 차단 목록에서 릴레이(Relay)를 제거하는 작업도 진행하고 있습니다."
노력이 헛되지는 않았습니다. 댓글 작성과 계정 가입은 여전히 허용되지 않지만, 인기 게임 사이트 GameFAQs는 어니언 네트워크에 대한 차단을 해제했습니다. Cloudflare도 캡차 등 장애물을 제거하는 방안을 검토 중인 것으로 알려졌습니다.
'We Support Tor'(우리는 Tor를 지원합니다) 캠페인에 동참한 사이트들을 찾아보고, 적극적으로 지원하는 것도 좋은 방법입니다.
악의적인 의도를 가진 Tor 사용자로부터 스스로를 보호하려는 사이트들을 비난하시겠습니까? 같은 선택을 하시겠습니까? 그리고 어니언 네트워크 사용자를 포용하면서도 익명 공격으로부터 서비스를 안전하게 지키려면 어떤 다른 방법이 있을까요?