VPN을 사용해 본 적이 있거나 온라인 프라이버시에 관심이 있다면 '파이브 아이즈(Five Eyes)', '나인 아이즈(Nine Eyes)', '14 아이즈(14 Eyes)'라는 용어를 한 번쯤 들어보셨을 겁니다.
그렇다면 이 감시 동맹들은 정확히 어떤 활동을 하고 있으며, 내가 사용하는 VPN 서비스의 보안에는 어떤 영향을 미칠 수 있을까요?
파이브 아이즈(Five Eyes)란?
파이브 아이즈는 영국-미국 협정(UKUSA Agreement)의 별칭입니다. 공식 명칭에는 두 나라만 언급되어 있지만, 실제 협정은 영국, 미국, 캐나다, 호주, 뉴질랜드 등 5개국으로 구성되어 있습니다. 그 기원은 제2차 세계대전 당시 영국과 미국이 맺었던 정보 공유 협정으로 거슬러 올라갑니다.
파이브 아이즈는 최근 몇 년간 가장 큰 파장을 일으킨 프라이버시 스캔들의 배후에 있기도 합니다. 대표적인 예로 PRISM, XKeyscore, Tempora를 꼽을 수 있습니다.
오늘날 파이브 아이즈의 권한은 놀라울 정도로 광범위합니다. 전자프론티어재단(EFF)에 따르면 5개국 정부는 ISP(인터넷 서비스 제공업체), 소셜 미디어 플랫폼, 이메일 업체, 이동통신사 등 모든 '통신 서비스 제공자'에게 다음과 같은 사항을 강제할 수 있습니다.
- 사용자 기기에 악성코드를 심는 것
- 파이브 아이즈 지침을 수행하기 위해 기존 법률을 무시하는 것
- 사용자 경험을 방해하는 것
- 정부에 신제품 설계 정보를 사전에 제공하는 것
- 비밀 영장에 따라 요청되는 사용자 정보를 제공하는 것
나인 아이즈(Nine Eyes)란?
나인 아이즈는 파이브 아이즈에서 확장된 또 다른 정보 공유 협정입니다. 기존 파이브 아이즈 회원국에 덴마크, 프랑스, 네덜란드, 노르웨이가 추가됩니다.
정보 공유에 대한 의지와 권한의 범위는 대체로 파이브 아이즈 협정과 같습니다.
14 아이즈(14 Eyes)란?
14 아이즈 협정은 여기에 독일, 벨기에, 이탈리아, 스페인, 스웨덴 5개국을 더합니다.
흥미로운 점은 프랑스와 독일이 각각 2009년과 2013년에 파이브 아이즈 정식 회원국이 될 뻔했다는 사실입니다. 두 건 모두 여러 사유로 무산되었지만요.
마지막으로 이스라엘과 싱가포르도 짚고 넘어갈 필요가 있습니다. 이스라엘은 파이브 아이즈 그룹에서 옵저버(관찰자) 지위를 누리는 것으로 알려져 있으며, 싱가포르는 정식 회원국은 아니지만 해당 그룹과 협력 관계를 맺고 있습니다.
이것이 VPN에 주는 의미는?
세 협정이 부여하는 막강한 권한을 고려하면, 이것이 VPN 서비스에는 어떤 영향을 미칠까요?
핵심은 '관할권(jurisdiction)'입니다. VPN 제공업체의 관할권을 논할 때 고려해야 할 세 가지 요소는 다음과 같습니다.
- 현지 법률: 일부 국가는 VPN 사용 자체를 금지합니다.
- 회사 소재지: VPN 제공업체가 등록되어 있고 실제 사무실을 둔 국가입니다.
- 서버 위치: VPN 업체는 보통 여러 국가에 서버를 운영합니다.
감시 관점에서 걱정해야 할 것은 회사 소재지와 서버 위치, 이 두 가지입니다.
앞서 언급한 국가에 물리적 주소나 서버를 둔 VPN 제공업체는 연결 로그, 브라우징 트래픽 등 보유한 모든 정보를 정부에 넘기도록 강제될 수 있습니다. 나아가 해당 국가가 VPN 서버의 송수신 트래픽 자체를 감시할 가능성도 있습니다. 더 심각한 것은, 정부가 제공업체에게 영향받는 고객에게조차 통지하지 못하도록 금지할 수 있다는 점입니다. 프라이버시 침해에 대응할 기회조차 박탈되는 셈입니다.
게다가 협정의 특성상, 한 나라가 일단 정보를 확보하면 그 정보는 이미 시스템 안에 들어온 것이나 마찬가지입니다. 결국 다른 회원국이 요청하면 정보가 공유될 수 있습니다.
보안이 최우선이라면 파이브 아이즈, 나인 아이즈, 14 아이즈 회원국에 소재한 VPN은 사용하지 않는 것이 좋습니다. 14 아이즈 비회원국 업체를 사용하더라도 해당 국가의 서버에 접속하는 것은 피해야 합니다.
특별한 기능 때문에 어쩔 수 없이 파이브, 나인, 14 아이즈 회원국 업체를 사용해야 한다면, 로그를 보관하지 않는다고 명시적으로 밝힌 업체를 선택하세요. 하지만 그것만으로 충분히 안전하다고 장담할 수는 없습니다.
그 좋은 예가 한때 인기를 끌던 미국 이메일 서비스 라바빗(Lavabit)입니다. FBI가 에드워드 스노든이 이 서비스를 이용했다는 사실을 알아낸 뒤 회사에 로그를 요구했습니다. 라바빗은 로그를 보관하지 않았기에, FBI는 대신 SSL 키에 대한 소환장을 발부했습니다. 이 키가 넘어갔다면 FBI는 라바빗 전체 사용자의 메타데이터와 암호화되지 않은 내용에 접근할 수 있었을 것입니다.
라바빗은 정보를 넘겨주는 대신 서비스 폐쇄라는 길을 택했습니다. 과연 내가 쓰는 VPN 업체도 똑같이 자사 서비스를 희생할 준비가 되어 있을까요? 확신하기 어렵습니다.
감시 동맹국 VPN: 피해야 할 서비스
의외로 많은 주류 VPN 업체가 가맹국 중 한 곳에 본사를 두고 있습니다. 주의해야 할 인기 서비스는 다음과 같습니다.
- Hotspot Shield
- StrongVPN
- Private Internet Access
- LiquidVPN
- IPVanish
- HideMyAss
- SaferVPN
- VPNSecure
- Getflix
- UnoTelly
- Mullvad
- PrivateVPN
다시 강조하지만, 이 서비스들이 반드시 나쁘다는 뜻은 아닙니다. 넷플릭스 등 온라인 서비스의 지역 차단 우회가 VPN 사용의 주된 목적이라면 선택의 여지가 없을 수도 있습니다.
하지만 보안상의 이점을 위해 VPN을 찾는 것이라면 다른 곳을 살펴보는 것이 현명합니다.
그렇다면 어떤 VPN을 추천할까?
파이브, 나인, 14 아이즈 관할 지역에 소재한 VPN 업체를 피하고 싶다면 메이크유즈오브(MakeUseOf)는 익스프레스VPN(ExpressVPN)과 사이버고스트(CyberGhost)를 추천합니다.
익스프레스VPN(ExpressVPN)
익스프레스VPN은 영국령 버진아일랜드에 기반을 두고 있어 세 감시 정보 공유 협정 어느 하나의 관할도 받지 않습니다.
그 외 주요 기능으로는 자동 킬 스위치(VPN 누출 방지), 스플릿 터널링, 전 서비스 암호화, 제로 지식 DNS, 94개국 148개 서버 위치 등이 있습니다.
사이버고스트(CyberGhost)
사이버고스트는 루마니아 기업으로, 역시 14 아이즈 정보 공유 의무의 적용을 받지 않습니다.
무제한 대역폭과 트래픽, DNS 및 IP 누출 방지, 256비트 AES 암호화, OpenVPN·L2TP/IPsec·PPTP 프로토콜 지원, 최대 7대 기기 동시 접속 등의 장점을 갖추고 있습니다.
두 업체 모두 미국과 영국에 서버를 두고 있어 지역화된 웹사이트와 서비스에 접속하는 데 활용할 수 있습니다. 단, 지역 차단 콘텐츠를 다 확인한 후에는 즉시 14 아이즈 비회원국 서버로 다시 전환하는 것을 잊지 마세요.
VPN에 대해 더 알아보기
이 글에서 딱 한 가지만 기억한다면, 바로 '철저한 사전 조사'의 중요성입니다. 많은 VPN 업체가 자사 서비스가 얼마나 훌륭한지 빠르게 내세우지만, 홈페이지만 훑어서는 차이점을 찾기 어렵습니다. 그러나 조금만 더 깊이 파고들면 어떤 업체가 다른 업체보다 훨씬 안전한지 금방 알 수 있습니다.
VPN 업체에 가입하기 전 더 알아보고 싶다면 코디(Kodi)용 최고의 VPN, 레딧(Reddit)에서 평가받은 최고의 VPN, 크롬(Chrome)용 최고의 VPN에 관한 글도 함께 확인해 보시길 권합니다.