온라인에서는 반드시 VPN을 사용하는 것이 좋습니다. 개인정보 보호를 비롯해 VPN을 항상 켜두어야 할 이유는 여러 가지가 있습니다.
하지만 모든 VPN이 믿을 만한 것은 아닙니다. 어떤 VPN은 아예 사용하지 않는 편이 나을 정도로 문제가 많습니다. 이 글에서는 주의해야 할 경고 신호와 함께, 개인정보를 소중히 여긴다면 반드시 피해야 할 특정 VPN 서비스까지 소개합니다.
개인정보 보호에 나쁜 VPN의 특징
VPN이라고 모두 똑같이 만들어진 것은 아닙니다. 일부 VPN이 위험한 이유를 하나씩 살펴보겠습니다.
본사 소재국(관할 국가)
'파이브 아이즈(Five Eyes)' 국가에 위치한 VPN 서버에는 절대 연결하지 마세요. 해당 국가는 미국, 영국, 호주, 뉴질랜드, 캐나다입니다. 여기에 '나인 아이즈(Nine Eyes)' 국가(프랑스, 노르웨이, 덴마크, 네덜란드)도 피하고, '포틴 아이즈(Fourteen Eyes)' 국가(벨기에, 이탈리아, 독일, 스페인, 스웨덴) 역시 피하는 것이 좋습니다.
이들 국가의 정부는 자국민을 감시하거나 동맹국 시민을 감시하고, 그 정보를 서로 교환하며, 각종 방식으로 감시를 허용·장려합니다. 따라서 이들 국가 관할 내에서 운영되는 VPN 서버는 정부의 압력에 의해 정보를 넘겨줄 가능성이 큽니다.
활동 로그 기록
VPN에 연결하면 모든 인터넷 트래픽이 VPN 서버를 거쳐갑니다. 일부 서비스는 접속 IP와 접속 시간 정도의 최소한의 로그만 남기지만, 어떤 서비스는 방문한 웹사이트, 사용한 앱 등 검색 습관 전체를 추적하기도 합니다. 로그가 위험한 이유는 결국 활동이 사용자 본인에게 역추적될 수 있기 때문입니다.
심지어 '무로그(no logging)'를 약속하는 VPN 서비스도 맹신해서는 안 됩니다. 활동 로그는 남기지 않더라도 다른 종류의 데이터를 기록하고 있을 수 있습니다. 그렇다면 무로그 주장을 어떻게 검증할 수 있을까요? 바로 이용약관을 직접 읽어봐야 합니다.
이용약관
VPN 서비스의 이용약관에는 사용자로서 기대할 수 있는 사항이 구체적으로 명시됩니다. 금지된 활동, 추적되는 정보와 그렇지 않은 정보 등이 포함됩니다. 확실하지 않다면 서비스 측에 직접 문의해 실제 로그 정책이 어떤지 확인하는 것이 좋습니다.
다음 사항들을 기억하세요.
- IP 주소나 접속 시간 등 연결과 관련된 어떤 정보든 로그로 남긴다면, 결국 사용자에게 역추적될 수 있습니다.
- 시스템을 심하게 악용하는 계정조차 차단하지 않겠다는 입장이라면, 진짜 로그를 남기지 않을 가능성이 높습니다.
- 반대로 사용자를 식별할 수 있는 정보 없이 계정을 차단할 수 있다고 주장한다면, 그 작동 방식을 깊이 파고들어야 합니다. 대부분 명확한 답변을 주지 못하며, 그런 경우 로그가 어떤 형태로든 남고 있다고 판단하는 것이 안전합니다.
OpenVPN 미지원
VPN은 다양한 연결 프로토콜로 작동할 수 있습니다. L2TP와 PPTP가 널리 알려져 있지만, 뚜렷한 보안 취약점 때문에 개인정보 보호에는 적합하지 않습니다. OpenVPN이 가장 좋은 프로토콜입니다. 오픈소스로 공개되어 있으며 가장 강력한 트래픽 암호화를 제공하기 때문입니다.
유출(Leak) 테스트 실패
때로는 VPN 서버와의 실제 연결이 손상될 수 있습니다. 예를 들어 PC가 절전 모드에서 깨어날 때 VPN 연결이 재수립되지 않거나, Wi-Fi에서 유선(Ethernet)으로 전환하거나, 공유기 전원이 나갔다가 다시 켜지는 경우 등입니다.
VPN에 '성공적으로' 연결된 것처럼 보여도 일부 트래픽이 해당 연결을 거치지 않을 수 있습니다. 이것이 바로 유출(leak)이며, 개인정보 보호 목적으로 VPN을 쓰는 의미 자체를 무색하게 만듭니다.
VPN 클라이언트마다 이 부분의 성능이 다르므로, 주기적으로 유출 테스트를 확인하는 것이 좋습니다. WebRTC Leak Test, IPLeak, DNS Leak Test 등이 대표적입니다. 각 테스트 사이트를 두 번 방문하세요. 한 번은 VPN 없이, 한 번은 VPN을 켠 상태로 접속해 두 IP 주소가 서로 다른지 확인하면 됩니다.
무료 서비스
가장 흔한 VPN 오해 중 하나는 '무료 VPN이면 충분하다'는 생각입니다. 하지만 무료 VPN에는 상당한 위험이 따릅니다.
핵심적인 문제는 서버와 대역폭 비용입니다. 사용자가 아무것도 지불하지 않는다면, 서비스 업체는 다른 방식으로 수익을 창출해야 합니다. 가장 흔한 방법이 바로 사용자 데이터와 정보를 파는 것입니다. 'Solo VPN은 안전한가?'라고 궁금해했다면, 이제 답을 아셨을 겁니다.
유료 서비스의 무료 체험은 괜찮습니다. 하지만 무제한 무료 서비스는 그렇지 않습니다. 대부분의 경우 그렇듯 값싼 물건에는 그만한 이유가 있으며, 프라이버시는 결코 저렴하지 않습니다. 따라서 언제나 무료 VPN보다 유료 VPN을 권장합니다.
익명 결제 수단 부재
한 가지 더 기억할 점이 있습니다. 익명성을 한층 더 강화하고 싶다면 익명 결제를 지원하는 VPN 서비스를 선택하는 것이 좋습니다. 신용카드나 PayPal 계정은 본인에게 역추적될 수 있지만, 비트코인 같은 암호화폐는 그런 단서를 남기지 않습니다.
피해야 할 VPN 서비스 8선
특정 VPN이 안전한지 아닌지를 그들의 말과 약속만으로 추측하는 것과, 실제로 활동 추적, 로그 보관, 사용자 데이터 판매 등을 적발당한 것은 완전히 다른 문제입니다.
개인정보를 소중히 여긴다면 아래 서비스들은 피하세요. 사용자 프라이버시를 침해한 것으로 드러나거나 입증된 VPN들입니다.
1. Hola
2015년, Hola는 다른 어떤 VPN도 하지 않는 짓을 하는 것으로 밝혀졌습니다. 사용자 PC를 '출구 노드(exit node)'로 전환해 다른 Hola 사용자들이 그 노드를 통해 트래픽을 우회하도록 한 것입니다. Hola는 이 대역폭을 제3자 서비스에 판매하기까지 했습니다. 이처럼 극악의 위반 행위 때문에 Hola는 두 번 다시 사용해선 안 되는 서비스로 분류됩니다.
2. Hotspot Shield
2017년 한 프라이버시 단체는 Hotspot Shield가 '광고 회사를 포함한 파트너 웹사이트로 트래픽을 가로채고 리디렉션한다'고 고발했습니다. 이 고발은 Hotspot Shield가 접속 세부 정보를 기록한다고 지적했으며, 이는 동사의 개인정보 처리방침과 정면으로 배치되는 것이었습니다.
또한 2016년 발표된 연구 논문에서는 Hotspot Shield가 'JavaScript 코드를 삽입'하고 '전자상거래 트래픽을 제휴 도메인으로 리디렉션'한다는 사실이 이미 확인된 바 있습니다.
3. HideMyAss
2011년, 미국 연방수사국(FBI)이 해커의 활동을 HideMyAss VPN 서비스에 속한 IP 주소까지 역추적했습니다. FBI는 HideMyAss로부터 활동 로그를 확보해 해커를 검거하고 기소했습니다. 해커의 행위가 불법이었다는 점은 차치하더라도, 이 사건은 한 가지를 분명히 보여주었습니다. HideMyAss는 추적 가능한 로그를 보관하고 있다는 것입니다.
4. Facebook Onavo VPN
2018년 초, 페이스북 모바일 앱에 내장된 'Protect' 기능이 사실 2013년에 인수한 Onavo VPN에 불과하다는 사실이 알려졌습니다.
사용자 보호에 얼마나 효과적인지와 무관하게, 한 가지는 분명히 경계해야 합니다. Onavo는 '페이스북 제품과 서비스를 개선하고, 사람들이 중요하게 여기는 제품과 서비스에 대한 통찰을 얻으며, 더 나은 경험을 구축하기 위해' 모바일 트래픽 데이터를 수집한다는 것입니다.
5. Opera Free VPN
2016년 오페라 브라우저는 모든 사용자에게 '무료 무제한 VPN' 기능을 선보였습니다. 하지만 이름과 달리 Opera Free VPN은 엄밀한 의미의 VPN이 아닙니다. 웹 프록시에 가까우며, 오페라는 제3자와 공유될 수도 있는 사용량 데이터를 수집합니다.
6. PureVPN
2017년, FBI는 PureVPN 서비스를 이용한 사용자의 활동 정보를 확보해 스토킹 혐의 용의자를 추적하고 체포했습니다. PureVPN은 개인정보 처리방침에서 무로그를 약속했지만, 법 집행 기관과 협력할 때 피고발인을 식별할 수 있을 만큼 충분한 정보를 보관하고 있었던 것으로 드러났습니다.
7. VPNSecure
VPNSecure는 본사가 호주('파이브 아이즈' 국가)에 있을 뿐만 아니라, 2016년 연구 논문에서 IP 유출과 DNS 유출이 발견되었고, 주거용 사용자를 위한 '이그레스 포인트(egress points)'도 확인되었습니다. 이는 앞서 Hola를 무너뜨린 '출구 노드' 개념과 유사합니다.
논문은 사용자의 대역폭이 본인 모르게 사용되고 있을 가능성을 의심하지만 확증하지는 않았습니다. 그러나 안전을 원한다면 멀리하는 편이 좋습니다.
8. ZenMate
2018년 vpnMentor의 테스트에서 ZenMate(Hotspot Shield, PureVPN와 함께)가 IP 유출 문제를 겪는 것으로 밝혀졌습니다. ZenMate를 통해 VPN 연결이 설정된 상태에서도 신원이 노출될 수 있다는 뜻입니다. 여기에 이러한 지적에 대한 대응이 느리다는 점까지 더하면, 사용자 프라이버시에 대한 이들의 태도를 의심할 수밖에 없습니다.
신뢰할 수 있는 프라이버시 중심 VPN
현재까지 프라이버시를 중시하는 사용자들이 신뢰하는 무로그 정책의 VPN은 몇 곳 되지 않습니다. VPN 선택 시 무엇을 살펴야 하는지 더 알고 싶다면, VPN 제공업체 선택 가이드를 참고하세요.
ExpressVPN, CyberGhost, Private Internet Access를 추천합니다.