VPN이 숨기는 것과 숨기지 않는 것

VPN을 쓰면 익명이 된다는 주장은 절반은 사실이고 사람들이 기대는 것은 거짓인 절반이기 때문에 소비자 프라이버시에서 가장 비싼 신화다. 터널은 자신이 앉아 있는 네트워크로부터 목적지를 실제로 숨기고, 방문하는 사이트로부터 집 주소를 숨긴다. 하지만 로그인할 때 누구인지, 브라우저가 무엇을 지니고 있는지, VPN 운영자가 무엇을 관찰할 수 있는지는 숨기지 않는다. 유용한 질문은 VPN이 나를 숨기는지가 아니라, 어느 관찰자로부터, 어느 트래픽에 대해 숨기는가이다.

신화: 터널은 익명성 스위치

VPN은 기기와 VPN 서버 사이의 경로를 암호화한 뒤 서버 주소에서 요청을 전달한다. 그 경로로 보내는 모든 것은 Wi-Fi 운영자와 터널 앞의 ISP로부터 숨겨진다. 이것은 실제 변화이고, 그래서 호텔 네트워크는 더 이상 어떤 사이트를 여는지 보지 못한다. 이것은 관찰 지점을 없애는 대신 옮기는 터널이기 때문에 익명성이 아니다.

이 수정은 실무에서 중요하다. VPN으로 업무 계정에 로그인하면 사이트는 여전히 그 계정을 안다. 브라우저가 광고 네트워크의 쿠키를 가지고 있으면 터널은 그것을 지우지 않는다. 클라이언트가 로컬 트래픽을 제외하도록 설정되어 있으면 그 트래픽은 터널에 들어가지 않는다. 연결됨을 보여 주는 자물쇠는 터널을 설명할 뿐, 네가 드러낸 것의 합계를 설명하지 않는다.

접속 네트워크가 잃는 것과 유지하는 것

접속 네트워크, 즉 VPN 서버까지 연결을 나르는 Wi-Fi 운영자나 ISP는 VPN 연결이 존재한다는 사실을 여전히 본다. 엔드포인트 주소, 연결한 시각, 세션이 얼마나 지속되었는지, 대략 얼마나 많은 데이터가 오갔는지를 기록할 수 있다. 이런 형태의 트래픽 분석은 내용을 읽을 수 없어도 유용할 수 있고, 그래서 암호화와 보이지 않음은 서로 다른 주장이다.

또한 캡티브 포털 로그인, 방 번호, 접속을 위한 결제처럼 네가 직접 말한 모든 것을 보관한다. 그리고 클라이언트나 시스템 리졸버가 터널 밖으로 질의를 보내면 DNS도 여전히 볼 수 있다. 이 누출은 스플릿 터널 설정과 라우터나 통신사의 DNS 서버를 유지하는 기기에서 흔하다. 연결 중에 사용되는 리졸버를 확인하고, 출구 주소만 보지 마라.

웹사이트가 여전히 알아보는 것

터널을 쓰는 연결에서 사이트가 보는 것은 VPN 서버의 출구 주소이지 집 주소가 아니다. IP 수준의 변화는 그것이 전부이고 주소 너머로 보는 것은 변하지 않았다. 로그인하는 계정, 이전에 설정된 쿠키, 제시하는 브라우저와 운영체제, 요청의 시각이다. 이미 너를 아는 사이트는 출발 주소가 바뀌었다고 해서 낯선 사람이 되지 않는다.

위치는 자기 줄을 받을 자격이 있다. 브라우저에 위치를 묻는 사이트는 VPN이 아니라 브라우저 권한이 통제하는 답을 받는다. 휴대폰의 GPS는 터널과 무관하다. 그래서 지도가 아직 네 도시를 보여 주는데 주소가 다른 나라로 지오로케이션되는 것은 VPN의 고장이 아니라 서로 맞지 않는 두 개의 위치 채널일 뿐이다.

지문이 나머지 절반이다. 화면 크기, 글꼴, 시간대, 언어, canvas 출력은 주소가 수천 명의 다른 사용자와 공유되어도 브라우저를 구별할 수 있다. VPN은 그 프로필의 입력 하나를 바꾸고 나머지는 그대로 둔다.

운영자가 볼 수 있는 것

운영자는 네 터널을 종료하고 요청을 전달하므로 예전에 ISP가 앉아 있던 자리에 앉는다. 목적지 주소를 볼 수 있고, 암호화된 클라이언트 헬로가 없으면 네가 요청하는 호스트 이름도 보며, 운영자의 리졸버를 쓰면 DNS 질의를 보고, 트래픽 양과 시각을 본다. 기기가 신뢰하는 인증서로 가로채지 않는 한 HTTPS 세션의 내용은 읽을 수 없고, 그것은 다른, 더 시끄러운 공격이다.

가시성은 보관이 아니다. 제공자는 요청을 기술적으로 관찰할 수 있으면서도 기록하지 않을 수 있고, 내용을 버리고 연결 메타데이터만 기록할 수도 있다. 정직한 질문은 제공자의 정책과 관할권이 무엇을 보관하도록 요구하는가이며, 로그 없음 배지는 그 답이 아니다. 운영자를 네가 자신의 메타데이터를 믿기로 선택한 상대로 대하라.

기기가 유지하는 것, 터널이 있든 없든

터널의 무엇도 기기 안으로 들어가지 않는다. 브라우징 기록은 브라우저에 남고, 다운로드는 파일 시스템에 남고, 마이크나 화면에 접근하는 앱은 그 접근을 유지한다. 기기의 감시 소프트웨어는 암호화 전이나 복호화 후에 데이터를 읽을 수 있고, 그래서 VPN은 침해된 엔드포인트에 대한 방어가 아니다.

계정도 마찬가지다. 기기에서 복사한 세션 쿠키는 어느 주소에서나 작동하고, 사이트 사이에서 재사용한 비밀번호는 어떤 터널도 분리하지 못하는 신원을 연결한다. 네가 걱정하는 위협이 기기를 손에 쥔 사람이라면 VPN은 그것을 해결하지 않는다.

실제로 산 커버리지를 시험하라

마케팅 주장 대신 네가 의존하는 속성을 시험하라. 터널을 켠 상태에서 공인 주소, DNS 리졸버, IPv6 경로를 확인하라. 이중 스택 네트워크에서 IPv4 전용 터널은 IPv6 트래픽을 완전히 밖에 남길 수 있다. EFF의 VPN 선택 안내서 는 같은 질문을 제품 순위가 아니라 위협 모델로 제기한다.

그다음 터널을 끊고 트래픽이 멈추는지 아니면 직접 경로로 돌아가는지 실패 동작을 시험하라. 그것은 프로토콜 이름이 아니라 클라이언트의 kill switch 설정에 달려 있다. 마지막으로 클라이언트가 제외하는 앱과 프리픽스를 나열하라. 스플릿 터널은 네가 산 커버리지가 클라이언트의 제공하도록 설정된 커버리지이기 때문에 대부분의 놀라움이 사는 곳이다.