VPN의 등장과 확산 덕분에 2000년대 초반보다 훨씬 수월해졌습니다. 멀리 떨어진 서버를 통해 연결을 터널링하기만 하면 모든 통신이 익명화되고 안전하게 보호된다는 것이죠. 적어도 VPN에 대해 들었을 때 대부분의 사람들이 받는 인상은 그렇습니다. 실제로 이런 방식의 인터넷 접속이 하나의 트렌드가 되어 기술 분야 종사자의 약 3분의 2가 VPN을 사용하고 있을 정도입니다. 하지만 현실에서 VPN 사용에는 항상 몇 가지 주의사항이 따르며, 그 결과는 전적으로 업체가 연결을 보호하기 위해 어떤 조치를 취하느냐에 달려 있습니다.
대부분의 VPN 업체는 트래픽을 기록한다는 사실을 인지하세요
아무도 알아내지 못했으면 하는 일을 하고 있다면, 제3자가 VPN 업체를 감사하더라도 정보가 새어 나오지 않기를 바랄 것입니다. 하지만 대부분의 경우 트래픽이 기록되고 있다는 사실부터 이해해야 합니다. 활동 기록이 어딘가에 존재하는 한 프라이버시는 완전히 보장될 수 없습니다. 활동을 분리해서 관리하더라도(예: 다른 서비스에 로그인하지 않은 상태에서만 소셜 미디어에 접속) 신원이 특정될 수 있으며, 업체는 로그인에 사용된 IP 주소 기록을 보유하고 있습니다.
최악의 경우 업체가 요청하는 누구에게나 넘겨줄 수 있는 추가 개인 정보까지 갖고 있을 수도 있습니다. VPN이 약속한다고 알려진 진정한 익명성을 원한다면, 선택하려는 업체가 로그를 보관하지 않는지 반드시 확인해야 합니다. 검색창에 VPN 업체 이름과 함께 '로깅(logging)'이라는 단어를 입력해 검색해보면 해당 업체가 로그 보관 논란이 있는지 쉽게 파악할 수 있습니다.
PPTP + MS-CHAPv2 인증 방식에 의존하지 마세요
업체를 선택하기 전에 연결 시 어떤 인증 방식을 사용하는지 반드시 확인하세요. PPTP(지점 간 터널링 프로토콜)와 MS-CHAPv2 인증을 사용하는 업체가 절반 이상인데, 이 조합은 무차별 대입 공격(brute force attack)으로 뚫릴 수 있는 잘 알려진 취약점을 가지고 있습니다. 이론적으로 해커가 연결을 가로채어 사용자가 무엇을 하는지 엿볼 수 있게 됩니다.
VPN의 한계를 인식하세요
VPN은 서버와의 연결을 보호하는 훌륭한 도구이지만 만능 열쇠는 아닙니다. 대부분의 업체는 ISAKMP(인터넷 보안 연결 및 키 관리 프로토콜)를 사용해 연결을 협상하고 보안 연결(ISAKMP SA)을 설정합니다. 그런데 해커가 ARP 스푸핑 같은 기법으로 이 보안 연결을 위조하는 데 성공하면 심각한 문제가 발생할 수 있습니다. 해커는 사용자와 VPN 서버 사이에 끼어들어 연결을 몰래 도청할 수 있는데, 이것이 바로 중간자 공격(man-in-the-middle attack)입니다. 설령 서버에 추가 인증 수단이 마련되어 있더라도 두 번째 보안 계층 역시 결국 ISAKMP SA에 의존하게 됩니다.
이러한 위험을 피하려면 본인만 통제할 수 있는 네트워크 환경에서 인증을 시도하는 것이 좋습니다. VPN 사용 목적에 다소 어긋난다는 점은 알지만, 공용 Wi-Fi나 회사 네트워크를 거쳐 연결하면 이런 위험에 노출될 수 있습니다. 물론 위험도 자체는 미미하지만, 숙련된 해커라면 연결을 장악해 VPN으로 얻으려 했던 보안을 완전히 무력화할 수 있습니다. 따라서 VPN을 사용하더라도 공용 네트워크에서 인증할 때는 각별히 주의해야 합니다.
대부분의 경우 좋은 VPN은 연결 보호를 위해 최선을 다하지만, 그중 일부는 사용자 스스로가 책임져야 할 부분입니다. 활성 세션 중에 네트워크를 전환할 수 있다면 더없이 좋습니다! 예를 들어 모바일 데이터로 인증을 마친 뒤 Wi-Fi로 세션을 이어가는 방식이 가능합니다.
VPN 업체의 보안 수준에 대해 공유하고 싶은 경험이나 조언이 있으신가요? 댓글로 의견을 나눠주세요!