가상 사설망(VPN)은 프라이버시, 보안, 지역 제한 콘텐츠 접근 등 다양한 이유로 언제나 화제의 중심에 있습니다. VPN 사용은 분명 훌륭한 선택이지만, 실제 효과는 어떤 VPN 제공업체를 고르느냐에 따라 크게 달라집니다.
그런데 이제 구글(Google)도 클라우드 스토리지 구독 서비스인 '구글 원(Google One)'에 VPN을 포함시키면서 큰 관심과 함께 논란을 불러일으키고 있습니다.
핵심 질문은 단 하나입니다. 과연 구글 VPN을 신뢰할 수 있는가?
구글 VPN이란 무엇인가?
'VPN by Google One'은 구글 원 고객에게 제공되는 보안 서비스입니다. 현재는 미국 거주 구독자 중 2TB 스토리지 플랜 이상을 이용하는 고객만 사용할 수 있습니다.
서비스가 성공적으로 안착하면 향후 더 낮은 요금제의 스토리지 플랜으로도 확대될 전망입니다.
VPN by Google One은 어떻게 작동하나?
구글 백서(white paper)에 따르면, VPN by Google One은 일반적인 VPN 서비스와 동일한 방식으로 작동합니다.
VPN을 켜면 인터넷 트래픽이 먼저 구글 VPN 서버를 경유한 뒤 외부 인터넷으로 전송됩니다. 이것이 VPN 서비스의 기본적인 작동 원리입니다. 여기서 구글은 기존 VPN 구조의 약점을 짚었습니다. 바로 사용자의 온라인 활동이 세션 ID와 연결되어 신원이 노출될 수 있다는 점입니다.
VPN by Google One은 "구독자 인증과 서비스 사용을 분리하는" 방식으로 이 문제를 해결하고자 합니다.
구체적으로 말하면, VPN을 실행할 때마다 '블라인딩 알고리즘'이라 불리는 특수 암호화 블록을 사용자 신원과 세션 ID 사이에 삽입하여 온라인 활동과 개인 정보 간의 연관성을 더욱 멀어지게 만듭니다.
다만 한 가지 유의할 점이 있습니다. VPN을 사용해도 온라인 서비스가 계정 로그인 자체를 감지하는 것까지 막을 수는 없습니다. 페이스북은 VPN 사용 여부와 관계없이 로그인 사실을 알지만, 어디에서 접속했는지 모를 뿐입니다. VPN의 유용성을 깎아내는 것이 아니라, 작동 원리를 제대로 이해해야 합리적인 기대 범위 내에서 올바르게 활용할 수 있다는 뜻입니다.
VPN by Google One은 무로그(No-Log) 서비스인가?
백서에 따르면 VPN by Google One은 무로그(logless) 서비스입니다. 즉, 구글은 VPN 사용 중 발생하는 인터넷 세션 정보를 기록하지 않습니다. 무로그 VPN이 중요한 이유는, 정부 기관 등에서 데이터 제공을 요청하더라도 VPN 서버에 검색 기록이나 인터넷 세션의 흔적이 남아 있지 않기 때문입니다.
백서에는 다음 데이터는 "VPN에 의해 기록되지 않는다"고 명시되어 있습니다:
- 도메인 네임 시스템(DNS)을 포함한 네트워크 트래픽
- VPN에 연결하는 기기의 IP 주소
- 개별 사용자가 사용한 대역폭
- 사용자별 연결 타임스탬프
반면, 다음과 같은 종합 통계 데이터는 수집됩니다:
- 전체 처리량(throughput)
- 전체 VPN 터널 가동 시간
- 전체 VPN 터널 설정 지연 시간
- 전체 대역폭 사용률
- 전체 패킷 손실률
- 전체 VPN 터널 실패율
- 전체 VPN 터널 재시도 횟수
- 전체 서비스·서버 CPU 및 메모리 부하
- 전체 VPN 터널 설정 오류율
또한 구글은 GitHub를 통해 VPN 클라이언트 라이브러리를 오픈소스로 공개해 누구나 소스 코드를 감사할 수 있도록 할 계획입니다. 아울러 서버 측 및 엔드투엔드 시스템에 대한 제3자 감사도 진행할 예정인데, 이는 최상위권 VPN 서비스들이 프라이버시 보호 주장을 입증하기 위해 실시하는 표준적인 절차입니다.
과연 구글 VPN 서비스를 신뢰할 수 있을까?
핵심은 세계 최대 규모의 광고 회사가 운영하는 VPN 서비스를 신뢰할 수 있는가입니다. 구글과 관련된 모든 것에는 과장된 홍보와 논란이 따르기 마련이며, 특히 프라이버시와 연관된 제품이라면 더욱 그렇습니다.
그렇다면 VPN by Google One이 당신의 프라이버시를 지켜줄 것이라 믿을 수 있을까요?
프라이버시 중심 VPN 업체 프로톤VPN(ProtonVPN, ProtonMail 운영사 프로톤 테크놀로지스가 운영)은 긍정적으로 보지 않습니다. 이 회사는 구글의 VPN 시장 진출에 맞서 거부 운동을 촉구하는 강경한 성명을 발표했습니다.
"VPN은 오랫동안 보안, 자유, 그리고 무엇보다도 프라이버시를 제공하는 필수 온라인 도구였습니다. 매일 수억 명의 인터넷 사용자가 VPN에 접속해 온라인 활동이 추적·감시당하지 않도록 하고 있습니다. 다시 말해, VPN의 본질적 목적은 구글이 대규모로 수행하는 바로 그 종류의 감시를 차단하는 것입니다."
프로톤VPN의 강경한 발언이지만, 많은 프라이버시 옹호자들에게는 정곡을 찌른 비판으로 받아들여집니다. 구글은 수차례에 걸쳐 수익 창출과 시장 지배력 확대를 위해 프라이버시를 후순위로 밀어내왔습니다.
프로톤VPN의 비판은 VPN이 구글에게 문제가 된다는 주장에 초점을 맞춥니다. VPN은 구글이 사용자 데이터를 수집해 광고 프로필에 반영하는 것을 막기 때문입니다. 실제로 백서에서도 "2019년 12월 한 달간 전체 인터넷 사용자의 최대 25%가 VPN을 사용했다"고 인정하며, 이들이 구글로부터 자신의 인터넷 활동을 숨기고 있음을 시사합니다.
구글 VPN의 등장은 이 상황을 바꿀 수 있습니다. 많은 이들은 구글 VPN 출시를 프라이버시 보호를 위해 VPN을 쓰던 25%의 사용자를 직접 겨냥한 움직임으로 해석합니다. 사설 VPN을 통해 데이터를 전송하던 사용자들이 이제는 구글이 소유한 VPN 서버로 데이터를 보내게 되는 것입니다. 게다가 나머지 75%의 인터넷 사용자 역시 구글의 타깃이 될 수 있다는 점도 간과할 수 없습니다.
이것만이 VPN by Google One의 유일한 문제는 아닙니다.
예를 들어, 구글은 미국 기업이므로 미국 법률의 적용을 받습니다. 정부가 구글 VPN의 문을 두드리면, 구글은 보유한 정보를 넘겨줄 수밖에 없습니다. 물론 무로그 주장이 사실이라면 이는 문제가 되지 않겠지만요.
소비자에게 보안과 프라이버시는 중요합니다
소비자들은 빅테크 기업의 프라이버시 침해 위협과 이에 대한 구제 수단의 부재를 점점 더 의식하게 되었습니다. 2020년에는 페이스북의 미국·캐나다 사용자 수가 처음으로 감소했는데, 많은 사용자가 프라이버시 우려와 소셜 네트워크의 사회적 피해 가능성을 탈퇴 이유로 언급했습니다.
애플이 아이폰을 프라이버시 보호 도구로 홍보하듯, 구글 역시 사용자들을 설득하고 안심시키려 하고 있습니다. 즉, 모든 데이터를 항상 구글에 맡겨도 된다는 것입니다.
누구에게나 구글의 핵심 사업 모델, 즉 광고와 데이터 수익화에 대한 우려는 현실적입니다.
빅테크 기업의 VPN 남용 전례도 있습니다. 페이스북은 Onavo VPN 서비스를 출시했고, 예상대로 호평받지 못했습니다. 페이스북은 Onavo VPN을 통해 사용자의 검색 습관을 수집했고, 이를 통해 안전하고 프라이빗한 환경에서 이루어진 검색 행태마저 수익화할 수 있었습니다.
결국 이는 심각하면서도 완전히 예상된 신뢰 위반이었고, Onavo VPN은 시장에서 철수했습니다. 특히 애플은 데이터 수집 규칙 위반을 이유로 Onavo VPN을 앱 스토어에서 삭제했지만, 정작 구글 플레이 스토어에서는 해당 앱이 계속 유효한 상태로 남아 있었다는 점이 주목할 만합니다.
VPN은 중요하지만, 그래도 구글 VPN을 사용해야 할까?
세상에는 사용자를 추적하지 않고, 세션을 기록하지 않으며, 미국에 소재하지 않은 훌륭한 VPN 서비스가 수없이 많습니다.
예를 들어 익스프레스VPN(ExpressVPN)은 꾸준히 최고의 VPN 서비스 중 하나로 평가받으며, 제3자 감사를 위해 소스 코드를 공개한 바 있고 사용자 데이터를 안전하게 보호하는 것으로 알려져 있습니다.
"구글의 VPN을 사용한다는 것은, 사업 모델 자체가 감시인 회사에게 신뢰를 맡기는 행위입니다."
VPN은 사용자 프라이버시에 매우 중요한 도구입니다. 더 나은 선택지가 있는 상황에서 구글에게 프라이버시를 맡기기를 꺼리는 것은 충분히 이해할 만한 일입니다. 또한 앞으로 아마존 같은 다른 빅테크 기업들이 VPN 시장에 진출할 경우에도 상당한 주의가 필요합니다.