웹 서핑은 생각보다 위험할 수 있습니다. 특히 공용 Wi-Fi에 연결되어 있을 때 더욱 그렇습니다. 약간의 지식만 있는 사람이라면 누구나 개인 정보와 웹 검색 기록을 엿볼 수 있습니다.
가상 사설망(VPN)은 실제 IP 주소를 숨기고 비공개 웹 브라우징 세션을 만들어 이런 상황에서 큰 도움이 됩니다. VPN은 호기심 많은 시선으로부터 사용자를 지켜준다고 약속하지만, 정작 VPN 자체의 로깅 관행에 대한 의문도 함께 제기되고 있습니다.
그렇다면 어떤 우려가 있는 것이며, VPN 로그에 대해 걱정해야 할까요?
VPN 로그가 문제되는 이유
시중의 대부분 인기 VPN은 "노로그(no-logs)" 서비스 제공업체라고 주장하지만, 실제로는 거의 모든 VPN이 서비스 유지를 위해 일정 수준의 기록을 남깁니다. 보안 감사나 투명성 약속이 있더라도 특정 VPN이 진정한 무로그 서비스를 제공하는지 확인할 방법은 없습니다.
단순히 스트리밍 시청이나 지역 제한 웹사이트 접속을 위해 VPN을 사용한다면 로그가 큰 문제가 되지 않을 수 있습니다. 하지만 기자, 변호사, 정치적 반대자들에게는 VPN 서비스가 어떤 종류의 로그를 보관하는지 구분하는 것이 개인 안전과 직결됩니다.
VPN 로그의 종류
VPN이 수집하는 대부분의 데이터는 세 가지 범주로 나뉩니다. 일부 로그는 개인 정보에 큰 위협이 되지 않지만, 정부의 감시나 사이버 범죄자에게 노출될 수 있는 민감한 로그도 있습니다.
1. 연결 로그(Connection Logs)
VPN이 보관할 수 있는 첫 번째 로그는 연결 로그입니다. 사용자 또는 서버 수준에서 수집되며 주로 VPN 운영을 개선하거나 유지하는 데 사용됩니다. 연결 로그에는 다음이 포함될 수 있습니다.
- 출발지 IP 주소
- 서버 IP 주소
- 연결 타임스탬프
- 대역폭 사용량
연결 로그는 서비스 제공업체가 서버 트래픽을 관리하고, 악용을 방지하며, 서비스를 원활하게 운영하는 데 도움이 됩니다. 사용자당 동시 접속 기기 수를 제한하는 VPN은 대부분 연결 로그를 활용해 이 제한을 적용합니다. 이 데이터는 VPN 성능 최적화와 사용자 문의 해결에도 활용됩니다.
그러나 일부 연결 로그는 VPN 업체와 집법 기관이 사용자의 신원과 물리적 위치를 파악할 수 있게 해줍니다. 개인 정보를 중시하는 사용자라면 어떤 데이터가 기록되고 VPN 업체가 얼마나 오래 보관하는지 살펴볼 가치가 있습니다. 일부 업체는 연결 로그를 하루 또는 일주일 후 자동 삭제하지만, 연결 로그가 장기간 보관된다면 다른 서비스를 찾아보는 것이 좋습니다.
2. 트래픽 로그(Traffic Logs)
트래픽 로그는 가장 위험한 종류의 VPN 로그로, VPN을 사용하는 목적 자체를 무색하게 만듭니다. 트래픽 로그에는 다음과 같은 데이터가 포함될 수 있습니다.
- 다운로드한 파일
- 구매 내역
- 사용한 앱 및 소프트웨어
어떤 형태의 트래픽 로그라도 보관하는 서비스는 사용하지 않을 것을 강력히 권장합니다.
VPN 제공업체가 트래픽 로그를 보관하는 이유는 사용자 프로필을 만들어 제3자 서비스와 광고주에게 판매하기 위해서입니다. 이러한 로그는 주로 무료 VPN이 보관하는데, 사업을 유지하려면 수익을 창출해야 하기 때문입니다. 트래픽 로그는 사이버 범죄자에게 사용자를 노출시키며 신원 도용으로 이어질 수 있습니다.
3. 사용 로그(Usage Logs)
활동 로그(activity logs)라고도 불리는 사용 로그는 온라인 활동과 직접 관련된 데이터를 포함합니다. 여기에는 다음과 같은 내용이 포함될 수 있습니다.
- DNS 요청
- 사용 메타데이터
- 방문한 웹사이트
사용 로그는 일반적으로 VPN 세션이 끝나는 즉시 삭제됩니다. 보관 기간이 짧기 때문에 이러한 로깅이 큰 문제가 되지 않을 수 있지만, 개인 정보 보호 관점에서는 피하는 것이 좋습니다.
많은 제공업체가 활동 데이터를 수집한다는 사실을 개인정보 처리방침에 명시하고 있지만, 활동 데이터 수집에 대해 명확하게 설명하지 않는 서비스도 있습니다.
노로그(No-Logs) VPN이란?
노로그 VPN 서비스는 사용자를 식별하거나 물리적 위치를 추적하는 데 사용할 수 있는 연결 또는 활동 데이터를 저장하지 않습니다. VPN 터널을 통해 전송되는 데이터도 수집하지 않습니다. 진정한 노로그 서비스는 모든 사용자의 활동을 익명으로 처리하여 어떤 사용자도 VPN 네트워크의 특정 연결이나 활동과 연결되지 않도록 합니다.
노로그 VPN에는 등록 및 결제 목적의 이메일 주소 같은 정보만 담겨 있습니다. ExpressVPN처럼 결제 과정의 프라이버시를 지키기 위해 비트코인 결제를 허용하는 VPN도 있습니다.
노로그 VPN이 반드시 "제로 로그(zero-logs)" VPN일 필요는 없다는 점을 이해하는 것이 중요합니다. 대역폭 제한이나 기기 수 제한 같은 정책을 시행하려면 VPN이 로그를 전혀 남기지 않는 것은 사실상 불가능합니다. 그러나 식별 가능한 정보를 수집하지 않는 VPN은 여전히 노로그 VPN으로 분류됩니다.
인기 있는 노로그 VPN
대부분의 VPN이 노로그를 주장하지만, 이 약속을 실제로 지키는 서비스는 소수에 불과합니다. 프라이버시 걱정 없이 사용할 수 있는 노로그 VPN 서비스 몇 가지를 소개합니다.
1. ExpressVPN
ExpressVPN은 입증된 노로그 정책을 갖춘 몇 안 되는 VPN 서비스 중 하나입니다.
영국령 버진아일랜드에 본사를 두고 있어 프라이버시 친화적인 관할권의 혜택을 누립니다. 이 서비스는 독립적인 감사를 받았으며 프라이버시 보호가 여러 차례 검증되었습니다.
ExpressVPN의 노로그 주장은 2017년 터키 당국이 안드레이 카를로프 암살 사건 조사를 위해 서버 하나를 압수하면서 입증되었습니다. 데이터가 존재하지 않았기 때문에 당국은 식별 가능한 정보를 전혀 찾을 수 없었습니다.
2. Private Internet Access
Private Internet Access(PIA)는 뛰어난 보안 기능과 엄격한 노로그 정책을 제공합니다.
군사급 암호화, 킬 스위치, DNS 누출 방지 기능을 갖추고 있습니다. 본사가 파이브 아이즈(Five Eyes) 정보 공유 동맹 회원국인 미국에 있지만, ExpressVPN과 마찬가지로 노로그 주장이 입증된 바 있습니다.
3. NordVPN
NordVPN은 1,200만 명이 넘는 고객을 보유한 최대 규모의 VPN 서비스 제공업체 중 하나입니다.
파나마에 본사를 두고 있어 파이브 아이즈, 나이트 아이즈, 포틴 아이즈 동맹의 관할 밖에 있습니다. 이는 NordVPN이 제3자의 데이터 접근 요청을 거부할 수 있다는 의미이며, 인터넷 활동이 사용자에게 역추적될 수 없습니다.
ExpressVPN과 PIA처럼 NordVPN도 노로그 주장을 검증하기 위해 독립적인 감사를 완료했습니다. 감사 결과 IP 주소, 트래픽 데이터, 검색 활동을 기록하지 않는 것으로 확인되었습니다.
올바른 VPN 서비스 선택하기
VPN 로깅 정책은 업체마다 크게 다릅니다. 하지만 모든 로그가 나쁜 것은 아닙니다. 특정 데이터 유형은 업체가 서비스를 개선하고 사용자 문의를 해결하는 데 도움이 됩니다.
그럼에도 불구하고 VPN을 선택하기 전에 어떤 데이터가 기록되는지, 로깅의 목적이 무엇인지, 얼마나 오래 보관되는지 아는 것이 중요합니다. VPN의 개인정보 처리방침을 꼼꼼히 살펴보고, 사용자에게 연결될 수 있는 개인 식별 정보(PII)를 수집하지 않는지 반드시 확인하세요.