개인정보 보호, 보안 강화, 지역 제한 웹사이트 접근 등을 위해 VPN(가상 사설망)을 고려해 본 적이 있을 것입니다. 하지만 안타깝게도 모든 VPN이 프라이버시와 보안을 내세워 홍보할 뿐, 실제로 제공하는 수준은 천차만별이며 일부는 완전한 사기이기도 합니다.
VPN을 선택할 때는 화려한 마케팅 문구에 현혹되지 말고, 기술적·프라이버시 기준이 제대로 갖춰져 있는지 직접 확인해야 합니다. 몇 가지 핵심 요소만 알아두면 좋은 VPN과 나쁜 VPN을 쉽게 구별할 수 있습니다.
1. 강력한 보안 프로토콜
좋은 VPN의 가장 기본적인 조건은 데이터를 암호화하여 안전하게 보호하는 것입니다. 가장 먼저 확인할 것은 VPN이 서버로 연결하는 '터널'에 어떤 프로토콜을 사용하는지입니다. 여러 프로토콜이 사용되고 있지만, 일반적으로 OpenVPN이 가장 뛰어난 것으로 평가받습니다. 강력한 암호화를 사용하고 오픈소스이기 때문에 정부나 다른 기관이 악용할 백도어가 없습니다. L2TP, IKEv2, SSTP도 무난한 표준이며 많은 VPN이 OpenVPN과 함께 이들을 지원하지만, PPTP만 사용하는 VPN을 발견하면 즉시 피하는 것이 좋습니다.
최고 수준의 보안을 원한다면 다음 OpenVPN 사양을 확인하세요. AES-256 암호화, RSA-2048, ECDH-384 또는 기타 안전한 핸드셰이크 방식(확실하지 않다면 해당 핸드셰이크 프로토콜을 검색), 그리고 가장 중요한 완전 순방향 비밀성(Perfect Forward Secrecy)입니다. VPN 업체들이 웹사이트에 이렇게까지 상세히 프로토콜을 설명하지 않는 경우가 많지만, 고객 지원 메시지나 이메일에는 대개 답변해 줍니다.
확인 방법: 많은 VPN 사이트가 메인 페이지에 기본적인 보안 사항을 소개하지만, 세부 내용은 직접 찾아야 합니다. '기능(Features)' 또는 '기술 사양(Technical Details)' 페이지를 찾아보세요. 거기에 보안 프로토콜이 명시되어 있지 않다면 '도움말' 또는 '지원' 섹션을 확인하세요. 일부 VPN은 초보자에게 친숙해 보이도록 기술적인 용어 사용을 의도적으로 피하기도 합니다. 다만 보안 프로토콜을 쉽게 찾을 수 없다면 경고 신호일 수 있습니다. 좋은 프로토콜을 갖춘 VPN은 보통 이를 적극적으로 홍보합니다. 어느 쪽이든 "[VPN 이름] 보안 프로토콜"로 검색해 재차 확인하는 것이 좋습니다.
2. 최소한의 데이터 로깅
이상적으로는 사용자 활동을 기록하지 않겠다고 약속하는 VPN을 선택해야 합니다. 로그를 전혀 남기지 않는 것이 가장 좋지만, 대부분의 VPN은 연결 날짜, 세션 시간, 경우에 따라 IP 주소의 로그를 유지합니다. IP 주소를 보관하는 경우를 제외하면 크게 침해적이지 않은 편입니다.
진짜 문제가 되는 것은 사용 로그입니다. 여기에는 방문한 사이트, 다운로드한 파일, 사용한 소프트웨어 등이 포함될 수 있습니다. 특히 저렴하거나 무료인 VPN 다수가 이런 데이터를 수집해 마케팅에 활용합니다. 데이터가 기록될 뿐만 아니라 판매까지 되는 셈입니다. 따라서 연결 로그만 유지하거나 아예 로그를 남기지 않는 VPN을 찾되, 가능하다면 제3자 출처를 통해 해당 업체의 주장을 교차 검증하세요.
확인 방법: 로그를 남기지 않는 VPN은 보통 이를 크게 홍보하므로 메인 페이지만 봐도 어떤 데이터를 기록하는지 알 수 있는 경우가 많습니다. 하지만 실제로는 연결 로그를 사용하면서 '무로그(no logging)'라고 광고하는 경우도 흔합니다. 따라서 서비스 약관 페이지를 열고 Ctrl + F로 'log' 또는 'logging'이라는 단어를 검색해 실제로 동의하는 내용이 무엇인지 확인하세요. 역시 "[VPN 이름] 로깅" 같은 검색어로 직접 조사하면 제3자의 평가를 참고할 수 있습니다.
3. 프라이빗 DNS 서버
암호화된 요청은 VPN 터널을 통과해 회사 서버로 전달됩니다. 그러면 VPN 서버는 사용자의 요청을 DNS 서버, 즉 일종의 인터넷 전화번호부로 보냅니다. DNS는 영문·숫자로 된 도메인(maketecheasier.com)을 IP 주소(192.124.249.3)와 매칭해 해당 사이트로 연결해 주는 역할을 합니다.
VPN이 이 정보를 어디서 조회하는지가 중요합니다. 좋은 VPN은 자체 DNS 서버를 운영해 사용자의 요청이 완전히 비공개로 유지되도록 합니다. 반면 덜 좋은 VPN은 요청을 사용자가 기본값으로 설정한 DNS 서버, 즉 대개 ISP(인터넷 서비스 제공업체)가 소유한 서버로 되돌려 보냅니다. 그러면 ISP가 사용자의 활동을 알게 되어 VPN을 쓰는 의미가 사라집니다.
핵심은 VPN이 프라이빗 DNS 서버를 사용하거나 서비스에 일종의 DNS 누출 방지 기능이 내장되어 있는지 확인하는 것입니다. 더 나아가 컴퓨터나 라우터의 DNS 서버를 OpenDNS처럼 더 안전한 대안으로 바꾸는 것도 좋은 방법입니다. 어차피 ISP의 DNS보다 더 안전하고, 프라이버시가 보장되며, 안정적인 경우가 많습니다.
확인 방법: 이 문제는 상당히 기술적인 사항이라 웹사이트 메인 페이지나 주요 기능 목록에는 잘 나오지 않습니다. 도움말/지원 문서, FAQ 또는 사이트의 다른 곳에 있을 수 있습니다. 클릭해서 찾기 어렵다면 [VPN 이름 "DNS"]로 검색하면 관련 정보를 찾을 수 있습니다.
4. 인터넷 친화적인 관할권
제한적이거나 침해적인 정보 정책을 시행하는 정부들은 VPN 트래픽을 적극적으로 감시하고 있으며, 자국 관할 내 VPN을 직접 모니터링할 수도 있습니다. 실제로 VPN 서비스에 사용자 정보에 대한 비암호화 접근을 명령한 사례도 있습니다. 어느 정부든 자체적으로 이런 일을 할 수 있지만, 가장 큰 위협은 '포틴 아이즈(Fourteen Eyes)'입니다.
포틴 아이즈(위 지도에서 파란색)는 서로 정보를 공유하고 감시 작전을 함께 수행하기로 합의한 국가들입니다. 이들 정부는 서로 다른 국가에서 자국민의 활동을 감시할 수 있습니다. 더 심각한 것은, 헌법상 자국민을 감시하는 것이 금지된 대부분의 정부가 다른 정부에게 대신 요청할 수 있다는 점입니다. 감시가 아니라 '공유'니까요!
포틴 아이즈 외부의 VPN을 선택하는 것이 보안이나 프라이버시에 필수적인 것은 아니지만, 약간의 안심 효과는 있습니다. 물론 다른 국가도 똑같이 나쁜 선택일 수 있으므로, 정말 걱정된다면 각국의 감시 정책에 대한 정보를 직접 살펴보세요.
확인 방법: 먼저 포틴 아이즈 국가 목록을 확인하세요. 그다음 VPN이 어느 국가에 기반을 두고 있는지 알아냅니다. 포틴 아이즈 국가 외부에 위치해 있다면 메인 페이지에 광고하는 경우가 많습니다. 그렇지 않다면 '문의(Contact)' 또는 'FAQ' 페이지에서 위치 정보가 언급되어 있는지 확인하세요. 그래도 안 되면 "[VPN 이름] 위치"로 검색해 보세요. 이마저도 VPN의 위치를 찾을 수 없다면, 포틴 아이즈 국가에 소재하면서 이 정보를 숨기려 하는 것으로 간주하는 것이 좋습니다.
결론
VPN은 프라이버시와 보안을 한층 강화하고, 검열을 피하고, 해외의 넷플릭스 콘텐츠를 즐길 수 있는 훌륭한 수단입니다. 데이터 보호에 진심이라면 고급 암호화를 사용하고, 로그를 남기지 않으며, 자체 DNS를 운영하고, 강력한 프라이버시 법을 갖춘 국가에 소재한 VPN을 찾으세요. 프라이버시에 정말, 정말 진지하다면 여러 서버를 거쳐 트래픽을 전달해 신원을 숨겨주는 Tor와 VPN을 함께 사용하는 것도 좋습니다.
시작하려면 Reddit 커뮤니티가 만든 스프레드시트를 활용해 조사를 시작할 수 있습니다. 관할 지역, 무로그 정책, 속도 등 다양한 VPN 서비스에 관한 정보가 모두 담겨 있어 비교에 유용합니다.
이미지 출처: dnsleaktest.com의 Jeremy Campbell, Wikimedia Commons의 JayCoop