우리 모두 세상에 드러내고 싶지 않은 일이 하나쯤 있습니다. 저작권법을 어기는 행동일 수도, 특수한 취향의 동영상을 즐기는 취미일 수도, 아니면 그저 '빅 브라더'의 끊임없는 감시망에서 자유롭고 싶은 마음일 수도 있습니다. 이유가 무엇이든, 이제 온라인 익명성에 대한 흔한 오해들을 분명히 짚고 넘어갈 때입니다. 그리고 딱 한 번, 확실하게 답해 보겠습니다. 과연 인터넷에서 익명이 되는 것은 가능한가?
정부 감시로부터 이메일이 결코 안전할 수 없다는 주제는 이미 다룬 바 있지만, 이번에는 인터넷 전체를 놓고 이야기해 보려 합니다.
모든 것은 IP 주소에서 시작됩니다
이미 알고 계시겠지만, IP 주소는 당신에 대한 모든 정보를 여는 관문입니다. 인터넷 서비스 제공업체(ISP)는 어떤 고객에게 어떤 IP가 할당되었는지 기록으로 보관하며, 이를 특정 가입자와 연결 지을 수 있습니다. 이 기록은 보통 6개월에서 2년간 보관되며, 각국 정부는 범죄자 신원 확인을 더 쉽게 하기 위해 이른바 '통신기록 보존 기간'을 계속 늘리려 하고 있습니다.
더 중요한 것은, IP 주소는 웹사이트에 접속할 때마다 매번 전송된다는 점입니다. 방문한 사이트가 당신이 누구인지는 알지 못하지만, 접속한 모든 IP 주소에 대한 로그는 남깁니다. 이런 로그 파일은 용량이 매우 작아 몇 년씩 손쉽게 보관할 수 있습니다.
'그때 컴퓨터를 사용한 사람은 내가 아니었다'고 주장하는 것은 변명이 되지 않습니다. 해당 인터넷 회선의 가입자라면 — 카페 운영자가 이용객에게 Wi-Fi를 개방했더라도 마찬가지입니다 — 그 회선을 통해 오가는 모든 트래픽에 대해 법적 책임을 집니다. 자신의 연결을 스스로 보호하는 것은 어디까지나 본인의 몫입니다.
그렇다면 IP 주소는 대체 어떻게 숨길 수 있을까요?
PirateBrowser는 익명성을 보장하지 않습니다
이 부분은 빠르게 짚고 넘어가겠습니다. 한동안 화제가 된 PirateBrowser는 The Pirate Bay 팀이 공개한 커스텀 파이어폭스 버전으로, Tor의 일부 요소와 프록시 플러그인이 미리 설정되어 있습니다. 이것의 목적은 단 하나, 검열된 사이트에 접속할 수 있게 하는 것뿐입니다.
ISP나 정부가 설치한 방화벽 차단을 우회해 접속할 수 있게 해줄 뿐, 당신을 익명으로 만들어 주지 않습니다. 다시 강조합니다. PirateBrowser는 익명성을 보장하지 않습니다.
HTTPS: 연결을 암호화하되, 익명이 되는 것은 아니다
HTTPS(HTTP Secure)는 웹사이트와 주고받는 데이터를 암호화합니다. 웹사이트 자체는 여전히 당신의 IP 주소와 사이트 내 활동을 정확히 알 수 있지만, 최소한 ISP 같은 중간자가 트래픽 내용을 엿보는 것은 막을 수 있습니다.
그렇다면 항상 보안 연결만 사용하면 될까요? 좋은 습관이지만, 반드시 브라우저 주소창에 직접 https://를 입력하세요.
많은 사이트가 로그인 후에야 자동으로 보안 페이지로 전환하는데, 그때는 이미 늦을 수 있습니다. 연결이 비보안 상태(http)로 시작되면, 공격자는 중간에 끼어들어 가짜 보안 핸드셰이크를 만들고, 당신을 비보안 버전으로 되돌린 뒤 전송되는 모든 데이터를 가로챌 수 있습니다. 이른바 '중간자 공격(Man-in-the-Middle)'입니다.
VPN: 가장 현실적인 선택, 하지만 모든 VPN이 같지는 않다
다음은 VPN입니다. VPN은 일반 인터넷 회선 위에 암호화된 터널을 만들고, 원격 서버를 경유해 외부와 통신합니다. 그 결과 세상에는 VPN 서버의 IP 주소만 노출됩니다. 이상적으로는 당신에게 역추적되지 않는 IP겠죠. 하지만 모든 VPN이 동일하게 만들어진 것은 아닙니다.
실제로 일부 VPN 업체는 고객 정보를 순식간에 당국에 넘기는 것으로 악명이 높습니다. 대표적인 사례가 HideMyAss입니다. 이름이 주는 인상과 달리, 불법 활동 등 이용약관을 위반하면 당신을 위해 아무것도 숨겨주지 않았습니다.
일부 VPN은 '로그를 전혀 보관하지 않는다'고 주장합니다. 이것이 저수준의 조사로부터 진정으로 안전한 유일한 방법입니다. 당국이 기록 제출을 요구해도, 처음부터 기록이 없다면 줄 것 자체가 없으니까요. 문제는 그 말을 얼마나 믿을 수 있느냐입니다. 만약 보안 기관과 협력하고 있다면, 그들은 어차피 부인할 수밖에 없습니다.
교훈은 명확합니다. 로그를 보관하지 않는다는 신뢰할 만한 평판을 지닌, 미국 관할 밖의 VPN을 선택하고, 사용하기 전에 반드시 독립적인 감사나 로그 정책 검증 이력을 확인하세요. 또한 VPN 사용 시 DNS 유출(DNS Leak) 여부를 점검하는 것도 잊지 마세요.
정부 감시: 암호화도 소용없는 영역
설령 HTTPS로 직접 접속하고 VPN으로 연결을 보호하더라도, 그 서비스가 미국에 호스팅되어 있다면 NSA가 PRISM 같은 프로그램을 통해 이미 백도어를 확보하고 있거나, 순식간에 접근 권한을 요구할 수 있습니다. 기밀 유지 명령(gag order) 때문에 서비스 업체들은 아무에게도 이 사실을 밝힐 수 없기 때문에, 당신은 그들이 감시 중인지조차 알 방법이 없습니다.
문제는 미국에 국한되지 않습니다. 전 세계 정보기관들이 서로 협력하고 있으며, 영국의 GCHQ도 정확히 같은 방식으로 운영됩니다.
Tor는 어떨까? 완벽해 보이지만 완벽하지 않다
많은 사람이 Tor를 온라인 익명성의 최종 보루로 믿습니다. 그러나 FBI는 Tor 사용자의 브라우저에 멀웨어를 심는 방식으로 세계 최대 규모의 다크웹 아동 착취 사이트를 폐쇄했고, 그 과정에서 회원 전원의 IP 주소를 확보했습니다.
충분한 시간과 자원만 있다면, Tor 노드를 다수 장악한 뒤 트래픽 상관 분석(correlation analysis)으로 사용자를 식별할 수 있습니다. 장악한 노드가 많을수록 익명성이 깨지는 속도는 빨라집니다. 노드 하나로는 사용자 한 명을 특정하는 데 6개월이 걸릴 수 있지만, 수십~수백 개의 노드를 통제하면 이야기가 완전히 달라집니다. 개인 해커가 감당할 수준은 아니지만, 국가급 감시 예산이라면 충분히 가능한 일입니다.
결국 Tor 역시 당신을 완전히 익명으로 만들어 주지 않습니다. 오히려 Tor를 사용하고 있다는 사실 자체가, 당국의 추가 조사를 불러올 수 있는 위험 신호가 되기도 합니다.
결론: 완벽한 익명은 존재하지 않는다
냉정한 진실은 이렇습니다. 온라인에서 100% 익명이 되는 실질적인 방법은 없습니다. IP 추적, 쿠키, 브라우저 핑거프린팅까지 고려하면, 우리는 생각보다 훨씬 많은 흔적을 남기고 있습니다.
하지만 반대로 생각해 볼 필요도 있습니다. 어떤 정부 기관도 당신이 불법 다운로드를 했다거나 온라인에서 개인적인 만남을 구했다는 이유로 일일이 쫓아다니지는 않습니다. 잘 선택된 VPN만으로도 대부분의 목적에는 충분한 보호가 가능하며, Tor라면 더욱 그렇습니다. 당신의 익명성을 완전히 깨려면 막대한 노력과 인내, 그리고 법원 명령이 필요합니다. (NSA라면 키보드 입력 몇 번으로 끝날 때도 있지만요.)
다만 폭발물 제작을 계획하거나 아동 관련 불법 콘텐츠를 유포하는 행위까지는, 결코 안전하지 않습니다. 그리고 그것은 분명 좋은 일입니다.
온라인 익명성에 대한 여러분의 생각은 무엇인가요? 댓글로 의견을 나눠주세요.