VPN의 로그 관련 표명, 암호화 프로토콜, 유출 방지, 관할 지역, 보안 사고 대응은 모두 항목별로 검증할 수 있다. 이 글은 이 다섯 가지 차원을 나누어 설명하고, 출구 암호화와 브라우저 환경 격리가 각각 무엇을 해결하는지 밝힌다.
어떤 VPN의 프라이버시 약속을 믿을 만한지 판단할 때 공식 홍보 페이지를 보는 것은 도움이 되지 않는다. 검증할 수 있는 것은 사실 몇 가지뿐이다. 로그가 독립 기관의 조사를 받았는지, 암호화와 키를 어떻게 관리하는지, 유출 방지가 빠짐없이 갖춰졌는지, 회사가 어느 관할 지역에 속하는지, 사고가 난 뒤 어떻게 대응하는지다. NordVPN을 참조 대상으로 삼아 이 차원들을 하나씩 나누어 보면, 그 방법은 어떤 서비스 제공자에게도 적용할 수 있다.
로그 없음 표명은 누가 서명했는지를 봐야 한다
거의 모든 VPN이 로그를 남기지 않는다고 쓴다. 이 문장 자체에는 아무런 구속력이 없다. 의미 있는 형태는 이렇다. 독립적인 제3자가 감사를 수행하고, 어떤 서버와 어떤 데이터 유형을 대상으로 하는지 명확히 적시하며, 보고서를 공개한다.
NordVPN은 외부 기관이 발행한 로그 없음 감사 보고서를 공개한 바 있으며, 이는 서버 인프라와 프라이버시 정책의 집행 상황을 대상으로 한다. 이런 보고서를 읽을 때 놓치기 쉬운 점이 두 가지 있다. 첫째는 감사 시점으로, 한 번 통과한 것은 그 기간의 관행을 나타낼 뿐이며 이후 아키텍처나 데이터센터를 바꾸면 다시 감사해야 한다. 둘째는 감사 범위로, 연결 로그 기록 여부만 확인하는 것과 세션 시간·트래픽 메타데이터까지 함께 확인하는 것은 다른 일이다.
한 제공자에게 구호 한 줄만 있고 내려받을 수 있는 보고서가 전혀 없다면, 이 항목은 사실상 지워도 된다.
암호화 프로토콜과 키 관리
NordVPN은 기본적으로 NordLynx를 사용하는데, 이는 WireGuard를 기반으로 한 구현이며 OpenVPN과 IKEv2도 선택지로 남겨 두고 있다. WireGuard 계열 프로토콜은 코드량이 적고 처리량이 높지만, 동적 IP 할당을 갖추지 않는다는 대가가 있어 각 업체가 그 위에 자체 처리 계층을 덧붙인다. 또한 멀티홉 경로를 제공해 트래픽이 두 대의 서버를 거쳐 나가게 한다. 익명성은 좋아지지만 지연도 커지므로 일상적으로 항상 켜 두기보다 특정 상황에 맞는다.
서버 쪽에서 주목할 점은 영속화 정도다. 서버를 메모리에서만 동작하고 재시작하면 지워지는 구조로 만들면 물리적 접촉을 당한 뒤 얻을 수 있는 과거 데이터가 훨씬 줄어든다. NordVPN의 서버에는 이 특성이 있다. 전방 비밀성, 터널 재협상 주기 같은 매개변수는 공식 문서에서 확인할 수 있으며 한 번 훑어볼 만하다.
DNS, IPv6와 연결 끊김 보호
터널을 세운 뒤에도 유출은 다른 곳에서 일어날 수 있다. DNS 조회가 터널을 지나지 않거나 IPv6 트래픽이 인계되지 않으면, 실제로 방문한 도메인이 로컬 네트워크에 드러난다. WebRTC도 흔한 유출 지점으로, 브라우저가 별도 통로를 열어 로컬 주소와 공인 주소를 알린다.
검증 방법은 복잡하지 않다. 연결한 뒤 DNS 유출 테스트와 WebRTC 테스트를 돌려 반환되는 리졸버와 주소가 VPN 네트워크에 속하는지 본다. 연결이 끊길 때 네트워크 잠금이 받쳐 주는지도 똑같이 중요하다. 많은 사고가 터널이 잠깐 끊겨 트래픽이 로컬 출구로 되돌아가는 그 몇 초에 일어난다. NordVPN의 킬 스위치와 위협 차단은 이런 종류의 장치이며, 후자는 알려진 악성 도메인과 광고 도메인을 네트워크 계층에서 막는다.
등록지와 회사 귀속
NordVPN은 파나마에 등록되어 있고 운영 주체는 유럽에 있다. 관할지는 데이터 제공 요청을 받았을 때 제공자가 법적으로 무엇을 넘겨야 하고 거부할 수 있는지를 정한다. 파나마는 흔히 인용되는 것처럼 일반적인 정보 공유 동맹에 속하지 않지만, 그것이 규정 준수 의무가 없다는 뜻은 아니다. 유럽의 운영 주체는 여전히 현지 법규의 구속을 받는다. 등록지를 보는 것보다 투명성 보고서를 읽는 편이 더 유용한데, 거기에는 받은 요청 총수와 응한 건수가 명시되어 있다.
사고 이후 어떻게 대응했는가
2018년 NordVPN의 핀란드 서버 한 대가 침해당했다. 침입 경로는 데이터센터가 제공하던 원격 관리 계정이었고, 암호화 자체가 뚫린 것은 아니다. 회사는 이후 공개 설명을 했고 키를 교체했으며, 서버의 메모리 기반 전환과 더 엄격한 제3자 감사를 추진했다.
판단 기준은 사고가 있었는지가 아니라, 공개가 적시에 이루어졌는지, 설명이 구체적이었는지, 개선을 외부에서 검증할 수 있는지에 있다. 입을 다물고 있는 제공자의 위험이 더 크다.
VPN이 해결하지 못하는 나머지 절반
위 항목을 모두 통과해도 네트워크 출구 구간이 암호화되고 위장되었다는 것만 보여 준다. 브라우저 안은 아무것도 달라지지 않는다. Cookie, 로컬 스토리지, Canvas와 폰트 지문, 시간대와 언어, 기기 특성은 모두 로컬 기기 그대로다.
같은 사람이 같은 출구로 두 계정에 접속하거나, 두 출구로 같은 컴퓨터에서 만든 두 계정에 접속해도 플랫폼이 보는 것은 여전히 크게 겹치는 환경이다. 크로스보더 이커머스, 광고 집행, 소셜 미디어 운영을 하는 사람들은 이를 흔히 IP만 바꾸면 되는 일로 여기지만, 실제로 계정 연관성을 판단하는 근거는 IP보다 훨씬 넓다.
여러 계정, 여러 환경, 팀 협업은 다른 종류의 문제이며 계정 단위의 브라우저 환경 격리가 필요하다. 계정마다 독립된 프로필, Cookie와 로컬 스토리지, 출구 IP와 기기 특성을 두고 서로 보이지 않게 하는 것이다. PurpleMark가 제공하는 것이 바로 이런 환경 격리 능력으로, 프로필과 네트워크 출구, 기기 특성을 계정별로 나누어 관리하므로 자격 증명을 여러 대의 기기 사이에서 옮겨 다닐 필요가 없다.
여러 시장을 운영하는 팀은 시장별로 계정을 다른 환경에 배분할 수 있어, 문제를 살필 때 여러 사업 라인이 뒤섞이지 않고 한 사람의 실수로 다른 계정이 휘말리지도 않는다. 여러 사람이 협업해야 할 때는 PurpleMark의 하위 계정으로 환경을 프로젝트 단위로 배분하면 되고, 구성원끼리 같은 로그인 환경을 공유하지 않으며 작업 기록도 남는다.
출구 암호화와 환경 격리를 따로 다루면 각각이 각자의 문제를 해결한다. 둘을 한데 묶어 논하면 양쪽 다 잘 되기 어렵다.
