오랫동안 나는 VPN만 켜면 익명으로 인터넷을 사용할 수 있다고 믿었다. 마케팅 문구도 그렇게 말해왔다. '완벽한 프라이버시', '온라인에서 보이지 않는다' 같은 표현이 곳곳에 넘쳐났다. 하지만 VPN이 실제로 하는 일을 깊이 파고든 후, 나는 그동안 VPN에게 너무 많은 것을 기대해왔다는 사실을 깨달았다.
VPN은 확실히 IP 주소를 가려준다. 특정 상황에서는 유용한 기능이다. 그러나 IP 차단은 온라인 추적의 여러 층위 중 하나일 뿐이며, 광고주와 웹사이트, 심지어 VPN 제공업체조차 다른 방법으로 사용자를 식별할 수 있다. 이러한 빈틈들을 이해하게 되면서 온라인 프라이버시에 대한 생각이 완전히 달라졌다. 지금도 VPN을 사용하지만, 더 이상 '투명 망토'라고 여기지는 않는다.
VPN 제공업체는 기존 통신사(ISP)가 보던 정보를 모두 본다
감시를 없애는 것이 아니라, 감시 주체를 바꾸는 것
VPN에 연결하면 인터넷 트래픽이 웹사이트로 직접 전송되지 않고 VPN 제공업체의 서버를 거쳐 라우팅된다. 덕분에 통신사(ISP)는 어떤 사이트를 방문하는지 알 수 없게 되지만, 대신 VPN 제공업체는 그 모든 것을 볼 수 있다. 즉, 감시를 없애는 것이 아니라 자신의 데이터를 처리할 '다른 회사'를 선택하는 것에 불과하다.
이 부분이 가장 불편하게 느껴진다. VPN 마케팅은 검색 기록이 완전히 사라지는 것처럼 포장하지만, 현실은 신뢰의 대상을 ISP에서 정작 자세히 알지도 못하는 회사로 옮기는 것이다. 많은 VPN이 '노로그(No-log) 정책'을 내세우며 활동 기록을 저장하지 않는다고 주장한다. 문제는 이런 주장 중 일부는 사실상 검증이 불가능하다는 점이다.
ISP는 적어도 규제를 받으며 연구 가능한 법적 틀 안에서 운영된다. 반면 해외에 설립된 VPN 회사는 평가하기가 훨씬 어렵다. 일부는 데이터 처리 관행이 불투명한 대형 기업의 소속이고, 또 다른 일부는 사용자에게 알리지도 않고 소유권이 변경되기도 한다. ISP가 믿음직하다는 말은 아니다. 결코 그렇지 않다. 다만 VPN에 돈을 지불하기 전에 노로그 주장을 스스로 검증하고, 이미 인터넷을 제공해주는 회사보다 그 회사를 더 신뢰할 수 있는지 물어볼 필요가 있다.
브라우저 핑거프린팅은 VPN을 사용해도 계속된다
브라우저는 VPN으로도 지울 수 없는 고유한 흔적을 남긴다
VPN 업체들은 잘 언급하지 않지만, 브라우저는 방문하는 모든 웹사이트에 고유한 시그니처를 남긴다. IP 주소를 가린다고 해서 이것이 막히지는 않는다.
브라우저 핑거프린팅(Browser Fingerprinting)은 화면 해상도, 설치된 글꼴, 브라우저 플러그인, 시간대, 언어 설정, 심지어 기기가 그래픽을 렌더링하는 방식까지 시스템의 세부 정보를 수집한다. 이 데이터들이 결합되면 세션마다 사용자를 식별하기에 충분한 프로필이 만들어진다. IP 주소는 전혀 필요하지 않다.
광고주와 추적 업체들은 사람들이 VPN을 사용한다는 사실을 알고 있기 때문에, IP 기반 프라이버시 도구를 우회할 수 있는 핑거프린팅으로 전략을 옮겼다. 하루에 서버를 열 번 바꿔도 핑거프린트는 그대로 유지된다.
이 문제에는 VPN이 도움이 되지 않는다. 프라이버시 설정이나 확장 프로그램을 활성화한 파이어폭스 같은 프라이버시 중심 브라우저, 혹은 사용자 간 핑거프린트 데이터를 표준화하는 Tor 브라우저가 필요하다. 크롬에서 VPN을 돌리는 대부분의 사람들은 전혀 다른 방식으로 여전히 추적당하고 있다는 사실조차 모른다.
쿠키와 로그인은 VPN을 완전히 우회한다
계정에 로그인하는 순간, 기업들은 당신이 누구인지 정확히 안다
출처: Gavin Phillips / MakeUseOf
돌이켜보면 너무나 당연한 이야기지만, 완전히 납득하기까지 시간이 걸렸다. VPN을 사용하면서 구글, 페이스북, 아마존에 로그인되어 있다면, 그 기업들은 당신이 정확히 누구인지 안다. IP 주소는 무의미하다. 계정을 통해 개인을 식별하기 때문이다.
쿠키도 마찬가지다. 브라우저에 저장된 이 작은 파일들은 세션을 넘어 활동을 추적하며, 사용자가 하는 모든 행동을 단일 프로필에 연결한다. VPN은 연결을 암호화할 수 있지만, 브라우저가 자발적으로 저장하고 전송하는 데이터까지는 손대지 못한다. 그래서 VPN을 켜고 있어도 타깃 광고가 따라붙는다. 어느 사이트에서 운동화를 검색했는데 갑자기 모든 웹사이트에서 스니커즈 광고가 보이는 이유다. VPN이 실패한 것이 아니라, 처음부터 이런 종류의 추적을 막으려고 설계된 것이 아닐 뿐이다.
특히 퍼스트파티(first-party) 쿠키는 골치 아프다. 로그인 상태 유지나 환경설정 저장 같은 필수 기능에 쓰이기 때문에 차단하면 대부분의 웹사이트가 오작동한다. 서드파티(third-party) 쿠키는 비교적 쉽게 끌 수 있지만, 여전히 많은 브라우저가 기본값으로 허용하고 있다.
이런 기업들로부터 진짜 프라이버시를 원한다면 로그아웃하고, 시크릿 모드를 사용하고, 쿠키를 적극적으로 관리해야 한다. VPN만으로는 역부족이며, 이 추가 조치들은 스스로 취해야 한다.
VPN은 멀웨어와 피싱 공격으로부터 보호해주지 않는다
암호화는 '연결'을 지킬 뿐, '판단력'까지 지켜주지는 않는다
VPN은 인터넷 연결을 암호화한다. 하지만 피싱 링크를 클릭하거나 악성 파일을 다운로드했다면, 그 암호화는 아무 소용이 없다. 멀웨어도 다른 데이터와 똑같이 보안 터널을 통해 전송된다. 암호화는 전송 중인 데이터가 가로채이지 않도록 보호하는 기능이지, 무엇을 다운로드하는지 어떤 링크를 클릭하는지 분석해주는 기능이 아니다.
피싱 메일은 VPN 유무와 관계없이 똑같이 작동한다. 가짜 은행 로그인 페이지는 여전히 자격 증명을 탈취한다. VPN은 해당 사이트가 사기성이라는 것을 알 방법이 없기 때문이다. 결국 사기 사이트에 '안전하게' 연결하는 셈이다. 일부 프리미엄 VPN은 알려진 악성 도메인 차단 같은 기본 위협 방어 기능을 번들로 제공하기도 한다. 좋은 부가 기능이긴 하지만, 제대로 된 백신 소프트웨어나 신중한 브라우징 습관의 대체재는 될 수 없다. 일부 위협만 잡아낼 뿐, 전부를 막아주지는 못한다.
VPN은 프라이버시 도구이지 보안 솔루션이 아니다. 멀웨어로부터의 보호를 VPN에 의존한다면 스스로를 위험에 노출시키는 것이다. 전용 보안 소프트웨어가 여전히 필요하고, 무엇보다 링크를 클릭하기 전에 검증하는 습관이 중요하다.
DNS·WebRTC 유출로 실제 IP가 드러날 수 있다
기술적 결함이 VPN의 효과를 조용히 무효화한다
출처: Gavin Phillips / MakeUseOf
VPN이 완벽하게 작동하더라도, 설정상의 기술적 결함으로 인해 본인도 모르는 사이 실제 IP 주소가 새어나갈 수 있다. DNS 유출과 WebRTC 유출이 가장 큰 원인 두 가지이며, 모든 제공업체가 이를 기본적으로 차단해주는 것은 아니다.
DNS 유출은 기기가 도메인 이름 요청을 VPN 터널 밖으로, 보통은 ISP 서버로 전송할 때 발생한다. VPN이 켜져 있어도 ISP가 방문 중인 웹사이트를 계속 볼 수 있다는 뜻이며, VPN 사용 목적 자체가 무색해진다.
WebRTC는 영상 통화와 실시간 통신에 쓰이는 브라우저 기능이다. 문제는 VPN이 실행 중이어도 이 기능이 실제 IP 주소를 웹사이트에 노출할 수 있다는 점이다. 대부분의 브라우저에서 WebRTC는 기본적으로 활성화되어 있으며, 실제 IP를 노출할 수 있다는 사실을 아는 사람은 많지 않다. 무료 VPN이 특히 이런 문제에 취약하다. 제대로 된 유출 방지 기능이 없거나, 모든 트래픽을 터널로 올바르게 라우팅하지 못하는 경우가 많다.
답답한 점은 온라인 도구로 직접 유출 여부를 테스트해야 한다는 것이다. VPN은 문제가 생겨도 경고해주지 않는다. VPN에 연결한 직후 ipleak.net 같은 사이트에서 IP 및 DNS 유출 테스트를 돌려보는 것을 권한다. 실제 IP가 어디든 표시된다면, 그 VPN은 제 역할을 하지 못하고 있는 것이다.
그래도 VPN을 쓴다. 다만 이제는 한계를 정확히 안다
VPN은 도구 하나일 뿐, 도구상자 전부가 아니다
나는 VPN 구독을 해지하지 않았다. 공용 Wi-Fi에서 안전하게 인터넷을 쓰고, 지역 제한을 우회하고, ISP가 검색 기록을 훔쳐보지 못하게 하는 데에는 여전히 유용하다. 하지만 그것이 나를 '보이지 않게' 만들어준다는 착각은 버렸다.
완벽한 프라이버시는 여러 층을 겹쳐야(레이어링) 가능하다. 프라이버시 중심 브라우저를 사용하고, 쿠키를 철저히 관리하고, 정기적으로 유출 테스트를 돌리고, 중요한 순간에는 로그아웃 상태를 유지해야 한다. VPN을 프라이버시 설정의 '전부'가 아니라 '시작점'으로 여기는 것, 그것이 VPN을 정직하게 사용하는 유일한 방법이다.