GDPR이 1년 동안 알려준 건, 자기 프라이버시는 자기가 보호해야 한다는 것
미국 해군에서부터 출발한 오픈소스 사생활 보호 툴 토르에 대한 여러 오해들

[보안뉴스 문가용 기자] 유럽연합의 새로운 개인정보 및 소비자 프라이버시 보호법인 GDPR이 시행된 것이 이번 달로 1년이 된다. 이를 기념하여 지난 [주말판]에서는 온라인 프라이버시 보호의 핵심 기술인 암호학의 기본적인 용어를 정리했었다. 하지만 학문적인 개념만 가지고는 실제 지금 당장의 프라이버시 침해로부터 자유로울 수는 없다. 보다 실질적인 기술이 필요하다.


[이미지 = iclickart]

GDPR이 1년여 시행되면서 우리가 더 분명하게 깨닫게 된 건, 온라인 프라이버시가 다양한 층위에서 침해되고 있다는 것이다. 나의 개인정보를 훔쳐가려고 하고, 이 개인정보를 가지고 자기 주머니를 불리려 한다는 점에 있어서, 저 어둠 속에서 손가락질 받는 사이버 범죄자들이나 양지바른 곳에서 온 세상의 추앙을 받고 있는 실리콘 밸리 대기업들이나 하나도 다를 것이 없다는 것만 적나라하게 드러났다. 결국 자기 몸은 자기가 지켜야 한다는 진리만 변함이 없다.

컴퓨터 및 보안 관련 전문지식을 습득하지 못한 일반인들이 ‘제 몸 스스로 지키기’에 사용할 수 있는 가장 강력한 프라이버시 보호 툴은 토르(Tor)다. 이번 달 본지 주말판은 온라인에 도둑놈들만 가득하다는 걸 보여준 고마운 GDPR의 시행 1주년을 기념하여 실질적인 프라이버시 보호 방법인 토르에 대하여 파헤칠 예정이다. 토르의 실전 사용법을 다루기 전인 이번 주 주말판에서는 토르란 무엇인가에 대하여 개괄적으로 살핀다.

토르는 범죄자들만 사용한다?
토르는 The Onion Routing의 준말로, 간단히 말해 온라인에서 IP 주소의 추적을 하지 못하도록 하는 기술이다. 즉 익명화를 구현해주는 도구인 것인데, 이 때문에 수사 기관의 추적을 피하려는 범죄자들이 즐겨 사용한다. 또한 정부의 탄압을 피하려는 운동가나 기자 등도 토르를 적극 활용하고 있는 것으로 알려져 있다. 그렇기 때문에 요 몇 년 사이, 토르라는 기술은 범죄자나 은둔자를 위한 것으로 인식되기 시작했다. 그래서 토르를 사용하라고하면 ‘내가 뭘 잘못해서?’라는 반발 심리를 보여주는 사례도 있다.

하지만 토르는 법 없이도 살 수 있고, 대로로만 다니는 사람들에게라도 유용하다. 구글이나 페이스북 등 대기업들을 비롯해 각종 온라인 광고 네트워크가 당신 몰래 당신을 추적하고, 브라우징 습관을 파악하기 위해 애쓰는 행위를 근절시킬 수도 있고, 국가가 차단한 정보에 접근할 수도 있으며, 민감한 정보를 누군가와 주고받을 때도 자신을 노출시킬 필요가 없게 된다. 게다가 토르 기술을 연구하는 토르 프로젝트(Tor Project)의 가장 큰 후원자가 미국 정부 기관들이다. 미국 국무부도 여기에 포함되어 있다. 스위스 정부와 전자프런티어재단도 주요 후원자에 올라있다. 범죄자들을 위한 기술이라고 하기엔 이상한 후원자들이다.

어떻게 하다가 미국 정부 기관들이 토르 프로젝트를 후원하게 되었을까? 토르 프로젝트라는 것이 민감한 첩보를 안전하게 공유하기 위한 방법으로서 미국 해군연구실험소(United States Naval Research Laboratory)에서 90년대부터 시작됐기 때문이다. 여기서 어니언 라우팅에 대한 기본 개념이 개발됐다. 그리고 2002년 토르의 알파 버전이 탄생했다. 2004년 해군연구실험소는 어니언 라우팅의 소스코드를 공개했고, 2006년 지금의 토르 프로젝트(torproject.org)가 공식 출범했다.

사실 국가 기관은 토르도 뚫을 수 있다?
토르가 출생부터 지금까지 합법적인 기관들의 지원을 받고 있다는 걸 알게 된다면, 범죄자들을 위한 어둠의 기술이 아니라는 걸 이해하게 되지만 두 번째 의문이 자연스럽게 떠오르기도 한다. ‘그렇다면 미국 정부 기관은 사실 토르를 뚫어낼 수 있는 게 아닐까?’ 실제 토르 네트워크에서 운영되던 많은 암시장들이 간간히 폐쇄되고 있고, 이를 위한 국제 공조에는 FBI나 NSA가 거의 반드시라고 할 만큼 높은 빈도수로 참여하기 때문에 이러한 의문은 합당하다.

그러나 2012년 스노든(Snowden)이 폭로한 NSA의 문건에 답이 나와 있다. NSA가 일부 토르 사용자들의 신원을 파악하는 데 성공한 사례가 있긴 하지만, 그건 굉장히 특수한 상황에서 특별한 운이 따라주었기 때문이며, NSA로서는 토르를 완전히 해킹할 수 있는 방법을 아직 갖고 있지 않다는 내용이 포함되어 있었다. 특히 ‘필요에 따라 자유자재로’ 토르 네트워크를 주무르고 뚫고 파헤칠 수 있는 기술력은 존재하지 않는다고 알려져 있다.

물론 여기에도 함정이 있다. 스노든의 문건들은 2012년 이전에 작성된 것이라 그 동안 NSA가 새로운 방법을 개발했을 수도 있다. 게다가 토르 기술이 100% 익명성을 보장하는, 해킹 가능성 0%를 자랑하는 기술도 아니다. 하지만 토르 전문가 S.K. 마스터슨(S.K. Masterson)은 “다른 프라이버시 보호 툴과 장치들을 결합해서 사용했을 때 토르의 진정한 강점이 발휘된다”고 설명하며, “단독으로서가 아니라 결합되었을 때 토르는 뚫기 불가능한 도구가 된다”고 강조했다.

토르에는 백도어가 있을 수 있다?
뚫을 수 없다면 여러 가지 방법을 동원해 백도어를 심을 수는 없을까? 마스터슨은 “실제로 많은 사람들이 토르가 해군에서 출발했기 때문에 누군가는 백도어를 가지고 있을 것이라고 보고 있다”고 말한다. 실제 여러 나라의 국가 기관들은 암호화 기술을 개발하는 전문가나 회사들에 공개적 혹은 비공개적으로 백도어를 요청한 바 있다. 2016년 벌어졌던 애플과 FBI의 법적 공방에서도 국가 기관이 민간 기업에 요청했던 건 백도어였다.

토르 역시 이러한 위험에 얼마든지 노출되어 있을 수 있다. 그래서 수많은 암호학 전문가들이 백도어의 가능성을 염두에 두고 토르를 지속적으로 조사해오고 있다. 이러한 조사는 토르가 처음 등장했을 때부터 지금까지 진행되고 있다. 오픈소스이기 때문에 자유로운 조사가 얼마든지 가능하다. 하지만 아직까지 단 한 번도 토르 네트워크에서 백도어가 발견된 사례는 없다. 마스터슨은 “소스코드가 공개되어 있으니 정 찝찝하면 직접 평가해도 된다”고 말한다.

토르는 사용하기가 어렵다?
온라인에서의 프라이버시 보호가 어려운 건 일정 부분 ‘툴 사용이 어렵기 때문’이기도 하다. 그래서 보안 지식과 컴퓨터 사용 기술에 대한 전문성이 뒷받침되어야만 이런 툴들을 사용할 수 있다는 오해가 쌓이고 있다. 토르 역시 그러한 오해를 사고 있는 툴이다. 그러나 토르는 브라우저 형태의 패키지로 제공되고 있기 때문에 - 그것도 유명 브라우저인 모질라 파이어폭스를 기반으로 만들어진 - 사용이 매우 간단하다. 이후 주말판에 토르 브라우저에 대한 보다 상세한 사용법을 다룰 예정이다.

그 외에 OS 형태로 토르 기술이 제공되기도 한다. 리눅스를 기반으로 하고 있는 OS로 이름은 테일즈(Tails)다. 토르 브라우저보다는 덜 알려져 있는데, 윈도우나 iOS처럼 하드드라이브에 설치되지 않는다. USB나 DVD로부터 ‘라이브 부팅’을 매번 하게 되며, 따라서 셧다운을 하면 기록이 자동으로 삭제되며 모든 인터넷 연결이 토르를 통해 성립된다. 테일즈 OS 역시 토르 브라우저처럼 무료로 다운로드가 가능(https://tails.boum.org/)하다.

토르 네트워크는 느리다?
그러나 토르 브라우저의 사용성이 일반적인 크롬이나 파이어폭스 브라우저 등을 사용하는 것보다 편리하지는 않다. 기자도 토르 브라우저를 1주일 정도 설치해 사용해본 적이 있는데 여러 가지 면에서 불편했던 기억이 있다. 로그인이나 캡챠 혹은 리캡챠 등 인증 과정을 훨씬 자주 통과해야 하며, 자동으로 사용자의 필요를 인식해 맞춤형 기능이 알아서 발동되는 것이 없어 ‘수동으로 작업해야 하는 부분’이 상당히 늘어났기 때문이다.

토르 브라우저를 사용해본 많은 사람들이 실제로 ‘불편하다’는 인식을 가지고 있다. 하지만 이건 토르 네트워크 기술력이 뒤쳐져서가 아니다. 현재 인터넷이라는 환경 자체가 프라이버시를 대가로 편리를 얻는 구조를 하고 있기 때문이다. 여기에 익숙해져 있다면 사생활을 보호하기 위해 어느 정도 불편함을 감수해야 한다. 마스터슨은 “토르 기술도 계속해서 발전하고 있고, 토르 네트워크라고 해서 데이터 전송이 특별히 느리거나 하지는 않다”고 주장한다. “물론 일반 웹 트래픽보다 토르 네트워크의 트래픽이 어니언 라우팅을 하기 때문에 조금은 더 느립니다. 하지만 토르 프로젝트 개발자들이 이를 극복하기 위한 연구를 지금도 부지런히 진행하고 있고 성과를 보이고 있습니다.”

여기서 잠깐! 어니언 라우팅이란?
토르가 뜻하는 어니언 라우팅이란, 인터넷 상에서 도착 페이지로 가기 전에 여러 컴퓨터들을 거치는 것을 말한다. 마치 양파 껍질이 계속해서 나오듯, 추적자의 입장에서는 계속해서 사용자처럼 보이는 시스템이 나오게 함으로써 실제 사용자를 감추는 것이다. 그러므로 토르 사용자들이 많으면 많을수록 추적은 더욱 힘들어지게 된다.

토르 브라우저와 인터넷 사이의 트래픽을 처리하는 컴퓨터들, 즉 사용자와 도착 페이지 사이에 존재하는 수많은 양파 껍질들을 토르 릴레이(Tor Relay)라고 부른다. 토르 릴레이는 세 가지 종류로 나뉘는데, 1) 엔드 릴레이(end relay), 2) 미들 릴레이(middle relay), 3) 브리지(bridge)가 바로 그것이다. 모두 중요하지만, 토르 브라우저를 사용한다고 해서 모두가 릴레이로 자동 등록되는 건 아니다.

엔드 릴레이는 에그짓 릴레이(exit relay)라고 불리기도 하는데, 데이터가 토르 네트워크를 떠나 공공 인터넷에 합류하기 직전의 ‘양파 껍질’이다. 엔드 릴레이를 거친 데이터가, 추적자의 눈이 득실대는 공공 인터넷에 합류하면 어떤 일이 벌어질까? 추적자는 원래 데이터 전송자의 것이 아니라 최종 양파 껍데기의 IP 주소를 보게 된다. 그 다음부터는 토르 네트워크 안으로 파고 들어가야 정보가 나오는데, 이는 거의 모든 경우 불가능하다. 사이버 범죄자들이 다크웹에서 성행할 수 있는 것도 바로 이 엔드 릴레이 때문이다.

미들 릴레이는 오로지 토르 네트워크에 속한 시스템과 시스템 사이에서만 데이터를 주고받는다. 그렇기 때문에 엔드 릴레이보다 훨씬 더 안전하고 강력하다. 브리지는 토르 네트워크를 사용하고 있다는 사실 자체마저 숨겨주는 릴레이다. 마스터슨은 브리지에 대해 다음과 같이 설명한다. “토르 네트워크의 익명성을 깨트리는 건 대단히 어렵습니다만, 누군가 토르 네트워크를 사용하고 있다는 것은 쉽게 파악할 수 있습니다. 토르 브리지를 사용할 경우 토르가 사용된다는 사실 마저도 드러내지 않을 수 있습니다.”

토르 릴레이는 별도로 ‘세팅’을 해야만 하는 것이지, 토르 사용자가 자동으로 릴레이가 되는 건 아니다. 하지만 토르 네트워크의 일원이라면, 토르의 익명성과 안정성을 높이기 위해 릴레이에 편입하는 것이 권장되긴 한다. 토르 네트워크 내 모든 트래픽은 최소 세 개의 릴레이를 통과하도록 되어 있다.

토르는 해킹이 불가능하다?
토르가 프라이버시 보호에 있어 강력한 도구임은 분명하지만, 구멍 하나 없는 완벽한 시스템은 아니다. 무엇보다 다른 모든 기술과 마찬가지로 토르를 사용하는 사람의 행동 패턴에 대한 의존도도 높다. 올바로 사용하지 않고, 제대로 설정하지 않는다면, 익명성이 깨질 수 있다. “실제 여러 다크웹 시장 운영자들이 토르를 사용함에도 체포가 된 건, 토르 기술을 수사 기관이 깨트렸기 때문이 아닙니다. 자세히 공개되지는 않았지만, 범죄자들 편의 실수가 있었고 이를 수사 기관이 붙잡고 늘어지면서 공조가 성공하게 된 것이죠.”

그래서 토르 브라우저나 테일즈 OS를 사용할 때 설정을 올바로 하는 게 정말로 중요하다고 마스터슨은 강조한다. 이에 대해서는 다음 주 주말판에서 이어갈 예정이다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>