VPN은 익명성을 주지 않는다

VPN은 익명성을 주지 않는다.

트래픽이 거치는 첫 번째 홉을 바꿀 뿐이다.

이 차이는 광고 문구만큼 극적이지 않고, 그래서 광고 문구는 이 얘기를 피한다. VPN 업계는 익명성, 완벽한 프라이버시, 흔적 없는 브라우징 같은 흐릿한 약속 위에 거대한 마케팅 기계를 세웠다. 기술이 실제로 하는 일은 그보다 좁고 지루하다. 그리고 맞는 상황에서는 여전히 쓸모 있다.

문제는 VPN이 아니다. VPN에 덧씌워 파는 환상이 문제다.

VPN이 실제로 바꾸는 것

VPN은 내 기기와 VPN 서버 사이의 트래픽을 암호화한다. 로컬 네트워크 — 카페 와이파이, 호텔, 통신사 — 는 그 터널 안을 쉽게 들여다보지 못한다. VPN 서버가 트래픽을 대신 내보내니, 웹사이트는 내 IP 대신 VPN 서버의 IP를 본다.

바뀐 건 두 가지다. 로컬 네트워크가 시야를 잃었고, 겉으로 보이는 IP가 바뀌었다.

그게 전부다.

이 두 가지가 무엇인지 보자. 특정한 관찰자 — 카페, 통신사, 사이트의 접속 기록 — 로부터의 프라이버시다. 익명성은 다른 성질이다. 내가 한 일이 애초에 나와 연결될 수 있느냐의 문제다. VPN은 앞의 것을 어느 정도 주고 뒤의 것은 거의 주지 않는다. IP 위층에서 나를 식별하는 모든 것이 터널을 그대로 통과해 따라가기 때문이다.

VPN이 바꾸지 않는 것

통신사가 보던 것을 이제 VPN 업체가 전부 본다. 감시를 없앤 게 아니라 옮긴 것이다. 예전엔 통신사가 DNS 쿼리와 연결 메타데이터를 봤다. 이제는 VPN 업체가 본다. 지켜보는 눈을 다른 눈으로 바꿨을 뿐이다.

“근데 거긴 노로그 정책이라던데요.” 그럴 수도 있다. 직접 확인할 방법은 없다. 많은 VPN 업체가 데이터 보존 규제가 느슨한 관할권을 골라 법인을 둔다. 마케팅은 “로그 없음”이라고 말한다. 인프라는 불투명하다. 믿고 있는 건 회사의 약속이지 암호학적 보장이 아니다.

웹사이트는 여전히 내가 누군지 안다. 구글, 페이스북, X에 로그인하는 순간 신원이 드러난다. IP는 바뀌었다. 쿠키, 로그인 세션, 브라우저 핑거프린트는 그대로다. VPN은 사이트에서 내 IP를 가린다. 나를 가리지는 않는다.

브라우저 핑거프린팅은 그대로 통한다. 화면 해상도, 설치된 글꼴, 시간대, 언어, WebGL 렌더러, 캔버스 해시를 합치면 세션이 바뀌어도 내 브라우저를 알아보는 지문이 된다. VPN은 이 중 아무것도 바꾸지 않는다.

DNS가 샐 수 있다. VPN이 DNS를 터널로 보내도록 설정돼 있지 않으면 쿼리는 평문 그대로 통신사 리졸버로 간다. 다 암호화했는데, 정작 어느 사이트에 가는지 드러내는 부분만 빠진 셈이다.

트래픽 패턴은 보인다. 터널이 암호화돼 있어도 관찰자는 내가 언제, 얼마나, 어느 VPN 서버로 보내는지 볼 수 있다. 메타데이터 분석에는 내용이 필요 없다.

아무도 말하지 않는 신뢰의 이동

이게 핵심이다. VPN을 쓴다는 건 내 트래픽을 VPN 업체에 맡긴다는 뜻이다. 대부분의 사람에게 통신사는 자기 나라에서 규제를 받고, 법적 절차와 감독을 받는 회사다. 반면 VPN 업체는 파나마나 영국령 버진아일랜드처럼 프라이버시 친화적으로 들리는 곳에 등록된 불투명한 회사인 경우가 많다.

실제로 어느 쪽을 더 믿는가?

통신사를 믿을 수 있다는 말이 아니다. 대신 들어온 쪽이 저절로 더 낫지는 않다는 말이다. 아는 상대를 모르는 상대로 바꿔 놓고 그걸 프라이버시라고 불렀다.

로그를 안 남긴다더니 남기다 들킨 VPN 업체도 있다. 2017년 ‘로그 없음’을 내세우던 PureVPN은 FBI에 연결 기록을 넘겼고, 그 기록이 사이버 스토킹 용의자를 특정하는 데 쓰였다. 평판이 의심스러운 회사에 인수된 업체도 있다. 자기가 온전히 통제하지 못하는 인프라를 돌리는 업체도 있다. 요즘은 노로그 주장에 대한 외부 감사 결과를 공개하는 곳도 몇 군데 있고, 없는 것보다는 낫다. 하지만 감사는 감사받던 기간에 시스템이 어땠는지를 말해 줄 뿐, 그다음 주에 무엇을 하는지는 말해 주지 않는다.

VPN이 정말 도움이 될 때

VPN이 진짜 쓸모 있는 곳은 분명히 있다.

공용 와이파이 보호. 믿을 수 없는 네트워크에서 VPN은 로컬 네트워크가 내 트래픽을 들여다보는 걸 막는다. 개인 사용자에게는 가장 전형적인 용도이고 지금도 유효하다. 다만 HTTPS가 기본이 된 지금, 공용 와이파이의 공격 표면은 VPN 광고가 암시하는 것보다 훨씬 작다.

지역 제한 우회. 특정 국가에서만 볼 수 있는 콘텐츠가 있다면 그 나라의 VPN 서버를 쓰면 된다. 아마 개인용 VPN의 실제 용도 중 가장 흔할 것이다. 보안과는 아무 관계가 없다.

통신사 수준의 검열 회피. 통신사가 DNS나 IP로 특정 사이트를 막는 나라에서 VPN은 그 차단을 뚫고 지나간다. 정당하고 중요한 용도다. 억압적인 환경에 사는 사람에게 VPN은 정보에 닿는 실제 수단이다.

회사 네트워크 접속. VPN의 원래 용도다. 집에서 회사 내부망에 붙는 것. 지금도 널리 쓰이고 여전히 유용하며, 개인용 VPN 마케팅과는 아무 상관이 없다.

실제로 익명성을 주는 것

Tor다. 대가가 크긴 하지만.

Tor는 트래픽을 릴레이 세 개를 거쳐 보내고, 각 릴레이는 바로 앞과 바로 뒤의 홉만 안다. 내가 누구인지와 내가 어디에 접속하는지를 동시에 아는 릴레이는 없다. 일부 릴레이가 장악당했다고 가정하고 설계됐고, 한 공격자가 회로의 입구와 출구를 동시에 지켜보지 못하는 한 나를 보호한다.

Tor는 느리다. 많은 사이트가 Tor 출구 노드를 막는다. 쓰기도 괴롭다. 스트리밍이나 게임, 일상적인 웹 서핑에는 맞지 않는다. 하지만 Tor는 익명성을 위해 설계됐다. VPN은 아니다.

Tor에도 한계는 있다. 타이밍 상관 공격, 브라우저 핑거프린팅, 사용자 실수 모두 Tor 사용자의 정체를 드러낼 수 있다. 완벽한 익명성은 없다. 그래도 “설계부터 익명성을 노렸지만 불완전한 것”과 “익명성이 없는 걸 프라이버시로 포장한 것”은 근본적으로 다르다.

광고의 문제

VPN 회사는 유튜브에서 가장 낯익은 스폰서 중 하나다. 광고는 공포를 판다. “해커가 공용 와이파이에서 데이터를 훔칠 수 있습니다!” “통신사가 당신의 방문 기록을 팔고 있습니다!” “VPN이 없으면 당신은 노출돼 있습니다!”

일부는 대충 맞다. 대부분은 심하게 부풀려졌다. 그리고 암시된 해법 — “우리 VPN을 사면 이 문제가 다 사라진다” — 은 그냥 틀렸다.

VPN이 하는 일과 VPN 광고가 한다고 말하는 일 사이의 간극은 소비자 기술 분야에서 손꼽힐 만큼 크다. 사람들은 익명성을 기대하고 VPN을 사서, 믿을 이유가 하나도 없는 서버로 가는 암호화 터널을 얻는다.

나는 VPN 반대론자가 아니다. 과장 반대론자다. VPN이 실제 문제를 풀어 줄 때 쓰면 된다. 다만 첫 번째 홉이 바뀐 걸 투명인간이 된 걸로 착각하지는 말자.