VPN(가상 사설망)은 온라인 보안의 핵심 요소입니다. 집이나 회사 네트워크의 보안은 어느 정도 믿을 수 있지만, 공용 Wi-Fi를 VPN 없이 안전하게 사용하는 방법은 사실상 없습니다.
그러나 VPN 설정에는 중요한 신뢰 문제가 따릅니다. 바로 어떤 웹사이트에 접속하는지 아무도 알 수 없다는 보장이 필요하다는 점입니다. 이는 은행 정보를 보호하는 것만큼이나 다른 개인적인 온라인 활동을 숨기는 데에도 필수적이며, 보안 거래와 데이터 암호화의 특성상 하나 없이는 다른 하나를 기대하기 어렵습니다.
문제는 모든 VPN이 여러분이 생각하는 만큼 안전하지 않다는 것입니다. 인상적으로 들리는 각종 보안 기능을 내세우지만, 실제로 진정한 프라이버시를 제공하는 서비스는 거의 없습니다. 그 이유를 살펴보겠습니다.
1. 완전한 익명성은 환상일 뿐
VPN 구독료로 얼마를 지불하고 계신가요? 연간 10만 원, 혹은 그 이상? 모두 "온라인에서 익명으로 활동할 수 있다"는 약속 때문일 겁니다.
그러나 안타까운 소식이 있습니다. 여러분은 익명이 아닙니다. VPN 업체가 로그를 남기지 않는 익명 서비스라고 약속해도, 이를 직접 검증할 방법은 전혀 없습니다. 상황이 이렇다 보니 상당한 '신뢰의 도약'이 필요합니다.
"'무로그(No logs)' 주장이 얼마나 안전한지 확실하게 알 방법은 전혀 없습니다. 무로그 VPN 서비스에 자신의 삶을 맡기는 것은 러시안 룰렛으로 목숨을 거는 것과 같습니다."
- Wipe Your Data
그렇다면 VPN 업체에게 가장 중요한 것은 무엇일까요? 익명성인가요, 아니면 투명성인가요? 신뢰할 수 있는 VPN을 찾는 것이 가짜 익명성이나 로그 미보관 같은 허울뿐인 약속보다 훨씬 중요합니다. 핵심은 사용자의 익명성과 프라이버시를 진정으로 존중하는 VPN을 찾는 것인데, 유감스럽게도 그런 서비스는 매우 드뭅니다.
2. 익명성은 곧 프라이버시가 아니다
일부 VPN은 프라이버시를 관리할 수 있는 도구를 제공합니다. 이러한 기능으로 개인 데이터에 대한 접근을 통제할 수 있지만, 여러분을 식별할 수 있는 모든 데이터를 없애주지는 못합니다.
VPN에 Tor와 암호화 메신저까지 결합하더라도 완전히 익명이 될 수는 없습니다. 만약 당국의 "요주의 인물"이 된다면, 이런 도구들은 강제로 조작되거나 무력화되어 추적당할 수 있습니다. 암호화 덕분에 활동 내용 자체는 비공개로 유지되겠지만, 온라인에 접속해 어떤 형태든 교류했다는 사실 자체는 기록에 남습니다.
에드워드 스노든(Edward Snowden)은 다음과 같이 말했습니다.
"기본적인 조치만으로도 하드웨어와 네트워크 통신을 암호화해 일반 사용자보다 훨씬 단단하게 스스로를 지킬 수 있습니다. 대량 감시(mass surveillance)로부터는 극도로 안전해지죠. 하지만 여전히 표적 감시에는 취약합니다. 영장이 발부되었거나 NSA가 당신을 노리고 있다면, 결국 그들은 당신을 찾아낼 것입니다."
3. '무로그(No Logging)' 신화
VPN 업체들은 활동 기록을 남기지 않겠다는 약속으로 사용자의 관심과 돈을 끌기 위해 경쟁합니다. 이 '무로그' 판매 포인트는 매우 매력적이지만, 안타깝게도 신화에 불과합니다. 최고의 VPN 서비스로 꼽히는 업체들조차 예외는 아닙니다.
분명히 말씀드리자면, 로그 없이 서버를 운영하는 것은 불가능합니다. 로그가 없다면 VPN 업체는 DNS 요청을 처리하고, 악용을 방지하며, 연결 문제를 해결하고, 구독 유형에 따라 데이터 사용량 제한을 두는 등 계정 관리를 할 수 없습니다.
'무로그' 서비스를 광고하던 VPN이 이후 법 집행 기관에 데이터를 넘긴 사례가 여러 차례 있었습니다. 이제는 명백합니다. '무로그'는 우리가 생각하는 의미가 아니거나, VPN 업계에서 대충 무시해야 할 사실상의 광고 용어가 된 것입니다. 가입 절차 없이 수집한 정보만 공유한다는 VPN들? 그것들은 낮은 품질의 불안정한 서비스로, 치과 치료보다 더 답답한 프라이빗 브라우징을 경험하게 될 가능성이 큽니다.
사용 중인 VPN의 로그 정책이 걱정된다면? 해당 업체 웹사이트에서 실제로 보유하는 정보가 무엇인지 명시한 자료를 찾아보고, 이를 바탕으로 그 서비스가 적합한지 판단하세요. 로그 처리 방식과 보유 정보에 대한 설명이 전혀 없다면, 과감히 다른 곳을 찾아야 할 때입니다.
4. 개인정보 처리방침을 반드시 확인하라
로그 관련 정보는 보통 VPN의 개인정보 처리방침 페이지에서 찾을 수 있지만, 방침을 확인해야 할 이유가 이것뿐만은 아닙니다. 화려한 마케팅 문구와 세부 조항이 정면으로 충돌하는 경우가 매우 흔합니다.
거의 모든 경우, VPN의 로깅 시스템은 최소한 IP 주소, 사용자 이름, 운영체제, 서비스 접속 및 종료 시간을 수집합니다. 그리 익명적으로 들리지 않죠? 이 최소한의 정보만으로도 상상 이상으로 많은 것을 알아낼 수 있습니다.
5. 임대 클라우드 서버는 로그 수집을 피할 수 없다
VPN은 크게 두 가지 유형으로 나눌 수 있습니다. 자체 서버를 운영하는 업체와 클라우드 솔루션에 의존하는 업체입니다. 앞서 살펴봤듯이 로그 없이 서버를 운영하는 것은 매우 어렵고, 구독 기반 온라인 계정을 운영하는 것은 사실상 불가능에 가깝습니다.
대다수 VPN 업체가 타사 서버를 사용하는 만큼, 이런 서비스들이 로그 수집 없이 운영되는 것은 사실상 불가능합니다. VPN 업체 자체는 로그를 생성하지 않을지 몰라도, 임대한 서버는 호스팅 업체의 설계상 로그를 기록합니다.
대표적인 사례가 있습니다. EarthVPN 고객이 익명 서비스를 이용해 폭탄 협박을 한 사건입니다. 네덜란드 경찰이 법원 명령을 받아 타사 데이터센터의 서버를 압수했고, 그곳에서 범인의 IP 주소가 기록된 것을 발견해 검거에 성공했습니다(DDoS 공격 대응 전략의 일환으로 기록된 것으로 추정됩니다).
VPN의 놀라운 한계
편안한 카페에서 라떼를 마시며 안전한 온라인 쇼핑을 즐기든, 토렌트 활동이 들키지 않기를 바라든, 어떤 VPN 서비스도 여러분이 믿는 만큼 안전하지 않다는 사실은 변함이 없습니다. 추가적인 안심을 위해 VPN 킬 스위치(kill switch) 기능을 활용해 보는 것도 좋은 방법입니다.
마지막으로 꼭 기억해야 할 중요한 사실이 있습니다. VPN도 해킹당할 수 있습니다. 이것이 여러분의 프라이버시에 어떤 의미를 갖는지 반드시 알아두세요.