VPN이란 실제로 무엇인가

수년 동안 VPN에 대해 들었지만 백신 프로그램과 마찬가지로 신경 쓰지 않았습니다. 저는 백신을 쓰지 않거나 거의 쓰지 않습니다. 모든 것을 세 곳에 실시간으로 백업해 두고, 다운로드하는 파일, 클릭하는 링크, 방문하는 웹사이트를 매우 주의 깊게 살핍니다. 이것이 100% 안전하지는 않지만, 저에게 효과가 있는 방식입니다. 어느 날 월 2유로 남짓의 VPN 특가를 보고 호기심에 가입했습니다. 잘 작동했지만 저에게는 별로 쓸모가 없었습니다. 예를 들어, 당시 미국에서만 열리던 서비스를 시험해보는 정도였습니다. 더 안전하다고 느꼈을까요? 아닙니다. 만약 다시 그 가격에 제안이 온다면 갱신할 수도 있겠지만, 그렇지 않다면 하지 않을 것입니다. 이것은 저의 개인적인 경험일 뿐 아무것도 증명하지 않습니다. 그래서 VPN이 정확히 무엇을 하는지 스스로에게 물어보았습니다. 이것이 제가 이해한 방식입니다.

수취인 주소가 훤히 보이는 상태로 우체통에 편지를 넣는 상황을 상상해 보세요. 편지가 봉해져 있어 내용을 읽을 수는 없더라도 우체부는 누구에게 보내는 편지인지 볼 수 있습니다. 그 우체부가 바로 인터넷 통신사입니다. VPN은 편지를 열어서 다시 전달해 주는 중개자 앞으로 된 다른 봉투 안에 편지를 넣습니다. 원래의 우체부는 이제 실제 주소를 볼 수 없습니다. 단지 그 중개인에게 편지를 쓰고 있다는 것만 볼 수 있습니다.

공항 Wi-Fi처럼 접속하는 네트워크를 통제하는 쪽에서는 어디로 가는지 보지 못하게 됩니다. 하지만 중개인은 통신사가 보던 것을 보게 되고, 모든 트래픽이 그를 거쳐 가기 때문에 때로는 그 이상을 봅니다. 감시가 사라진 것이 아니라 손바뀜이 일어난 것입니다. 이름도 거기서 유래했습니다.

게다가 이메일을 열거나 은행에 접속하는 등 오늘날 행하는 거의 모든 작업은 브라우저의 자물쇠 덕분에 목적지 서버까지 이미 암호화된 상태로 이동합니다. 이는 VPN이 있든 없든 마찬가지입니다. VPN은 자체 서버까지의 첫 번째 구간에만 보호를 추가합니다. 거기서부터는 평소와 같은 경로를 따릅니다.

그렇기 때문에 때로는 그렇게 홍보되더라도 약속할 수 없는 것들이 있습니다. 이메일이나 은행에 로그인했다면 VPN 사용 여부와 상관없이 해당 서비스는 사용자임을 알고 있습니다. 또한 아무도 트래픽을 보지 않는다고 보장하지도 않습니다. 단지 보는 주체만 바뀔 뿐입니다. 기업이 «로그를 남기지 않는다»고 말하는 것은 거대 플랫폼이 «메시지는 암호화되어 있어 읽지 않습니다»라고 말하는 것과 같은 약속에 불과합니다. 감사를 통해 특정 시점에 이를 뒷받침할 수는 있지만, 이는 여전히 지켜지기를 바라는 신뢰의 문제일 뿐 설계상 어길 수 없는 구조는 아닙니다.

대화 내용 역시 마찬가지입니다. 메시징 앱이 이미 종단간 암호화를 지원한다면 VPN은 아무것도 더해주지 않습니다. 그렇지 않다면 VPN으로 해결할 수도 없습니다. 메시지가 이동하는 경로만 보호할 뿐, 도착했을 때 앱이나 서버가 메시지를 어떻게 처리하는지는 보호하지 못하기 때문입니다.

그렇다고 해서 VPN이 쓸모없다는 뜻은 아닙니다. 공용 Wi-Fi, 검색 기록을 판매하려는 통신사, 또는 특정 서비스를 차단하는 국가로부터 접속 대상을 숨기는 것은 실질적인 작업이며 훌륭하게 수행합니다. 다만 마케팅에서는 이 레이어가 제공할 수 있는 것보다 더 많은 것을 약속하는 경우가 많습니다.

VPN이든 보호를 약속하는 다른 서비스든 던져야 할 질문은 «암호화되어 있는가?»가 아닙니다. 아마도 적어도 한 구간은 그럴 것입니다. 던져야 할 질문은 바로 이것입니다. 다른 이에게서 거둔 신뢰를 누구에게 맡기고 있는가? 그리고 그 신뢰가 정당하지 않은 것으로 판명되면 나에게 무엇이 남는가?

VPN이 제 역할을 다할 때 바뀌는 것은 연결의 중개자뿐입니다. 메시지가 어떤 서버도 거치지 않는 Solo2 같은 앱은 대화에서 중개자 자체를 없앱니다. 두 기술은 경쟁 관계가 아니며 서로 다른 문제를 해결합니다.

두 가지를 혼동하는 것은 실제보다 자신이 더 많이 보호받고 있다고 믿게 만드는 매우 흔한 방식입니다.