우리가 인터넷으로 하는 모든 세세한 행동 하나하나는 전부 기록으로 남는다. 언제 어떤 검색어를 검색했는지, 커뮤니티에서 어떤 글을 클릭해서 읽었는지, 그 글에 얼마나 오래 머물렀는지, 그 글의 스크롤을 어디까지 내렸는지, 글의 어느 부분에 스크롤이 오래 머물렀고 어느 부분에 마우스 포인터를 집중적으로 가져다 댔고 클릭을 했는지, 페이스북 상태메시지에 어떤 내용을 적었다가 다시 지웠는지 등, 말 그대로 모든 게 광고회사의 트래커에 의해 수집돼 영구적으로 데이터베이스에 기록으로 남을 수 있다.
당신이 아무렇지 않게 이용중인 사이트에도 트래커가 존재한다.
이러한 데이터는 트래커 운영회사 혼자서만 가지고 있는 것이 아니라, 데이터 브로커를 통해 변호사, 수사관, 자동차산업, 다른 데이터 브로커, 교육기관, 에너지, 정부, 관광여가, 개인고객, 보험, 대출기관·금융, 마케팅·광고, 미디어, 비영리·정치켐페인, 제약, 부동산, 소매, 기술기업, 통신기업 등에게로 판매된다.
이러한 데이터들은 단순한 넷상의 더미데이터로 남으면 다행이겠지만, 이 사람이 어떤 관심사, 성향과 사상, 직업 등을 유추해내는데 간접적인 도구로서 이용될 여지는 분명히 있다. 정말 다행인 점은 직접적인 신원의 특정은 트래커의 근원이 되는 사이트들의 회원가입을 통해 당신의 개인정보를 기입했을 경우에만 유추할 수 있다. 하지만, 대부분의 사용자들은 트래커의 근원이 되는 구글 사이트를 비롯하여 네이버(야후재팬), 페이스북, 트위터 등의 포털 및 SNS 사이트에 가입되어 있으며 이를 적극적으로 이용한다.
물론, ‘나는 남에게 보여주기 부끄럽거나 숨겨야 할 것을 하나도 갖고 있지 않기 때문에, 이런 식으로 나에 대한 빅데이터가 수집·분석돼도 상관없다.’라고 생각하는 사람들도 있을 것. 그러나 이는 근시안적인 생각인 것이 본인 신상에 대한 자세하고 구체적인 데이터가 유출되면, 공격자들은 그 정보를 토대로 본인에게 딱 맞게 최적화된 공격전략을 구상할 수 있게 된다.
당신이 정치적 희생양으로 지정되면 당신의 삶뿐만 아니라 인터넷 환경까지 감청당할 여지까지 존재한다. 그 밖에도 인터넷 검열이라는 것도 존재한다.
한국의 케이스를 슬슬 들어보자.
국제인권단체인 '프리덤하우스'가 2015년 10월 발간한 연례보고서에서 한국은 3년 연속 언론자유가 악화된 나라였다.
프리덤하우스는 한국을 '부분적'으로 자유로운 나라로 분류했고, 인터넷자유도 '부분적'으로 누릴 수 있는 국가로 평가했다.
그리고 지난 4월 20일 국제언론감시단체인 '국경없는기자회(RSF)'가 발표한 세계언론자유지수에서도 한국은 역대 최저 순위를 기록했다.
RSF가 매년 발표하는 언론자유지수에서 한국은 노무현 정권 시절인 2006년에 31위로 최고 순위에 오른 바 있지만, 이명박 정권 때인 2009년에는 무려 69위까지 떨어졌고, 올해에는 그보다 더 낮은 70위를 기록하고 말았다. 프리덤하우스 역시 2010년까지만 해도 한국을 '언론자유국(free)'으로 평가했지만, 그 이후에는 '부분적 언론자유국(partly free)'으로 강등시켰다. 결국, 프리덤하우스든 국경없는기자회든 둘 다 우리나라의 언론자유와 인터넷자유에 대해 계속해서 우려를 표하고 있는 것이다.
ISP와 정부의 협업으로 감청・검열 시스템인 SNI 필드차단이 시행된 것도 2019년, 이 글을 쓴 시점에서 5년전 이야기다.
일반인들이 접속제한 사이트를 일일이 다 찾아보지 않아서 그렇지, 우리가 알게 모르게 이런 저런 다양한 웹사이트들이 국내에서는 접속차단 되고 있었고, 2015년 3월에는 웹툰 사이트 '레진코믹스'가 음란 사이트라며 접속차단 됐다가 강한 반발을 불러온 뒤 철회된 바 있고, 2014년에는 파일 플랫폼 사이트인 '4shared'를 저작권법 위반 사이트라며 차단했다가 법원까지 가서야 접속제한 취소 판결을 받기도 했다. (해당 사이트는 저작권 문제가 심각하긴 했으나 검열 취지의 논리라면 국내에 현존하는 불법 웹하드 사이트들도 검열이 이루워져야 형평성에 맞았으나, 당시에는 이러한 웹하드는 차단되지 않았다.)
이렇듯 황당한 인터넷 '검열'이 한국의 언론자유 악화와 함께 현재까지도 계속해서 발생하고 있다.
그래서, 사용에 불편함이 없는 수준에서의 프라이버시를 달성하기 위해 수준급의 프라이버시 특화 VPN과 브라우저를 비롯해 안티-트래커 및 광고차단 확장기능의 사용을 권해왔고 개인정보를 요구하는 사이트의 이용을 줄이는 것을 권해왔다.
하지만 이러한 수칙은 프라이버시를 달성하는 것까지는 좋지만 '익명성' 을 달성하기에는 엿부족인 것은 물론이고 VPN과 프라이빗 브라우저의 혼용이야 Mullvad 소프트웨어(VPN과 브라우저)의 존재 덕에 어느정도 해결된 면이 없잖아 있지만, 그럼에도 VPN의 한계점도 분명히 존재하는데 그것은 아직까지는 서버끼리의 종단간 통신인 Onion 릴레이는 Tor Onion 환경에서만 구현가능한 기술이기 때문이다. 또한, VPN의 멀티홉 기술은 1~3개의 서버와 멀티홉을 하지만 멀티홉 중간에는 암호화가 풀리고 다시 암호화 하는 과정으로 구현되기도 하며 통신할 서버노드도 고정되기 때문에 랜덤성이라는 것이 거의 없기 때문이다.
상기한 랜덤성 문제는 Safing의 SPN이 어느정도 해결할 수 있겠으나 아직까지 이렇다할 신뢰성 데이터와 기술 성숙도가 낮고 어떠한 취약점이 있을지의 데이터 또한 부족하므로 본격적인 실사용에는 무리가 있는 점은 분명하기 때문이다. 그리고, Safing社 또한 Tor 사용목적은 광범위 하고 위협 모델에 따라 SPN이 Tor의 대안이 될 수도 그렇지 않을 수도 있다고 비교대상으로서의 방어적인 입장을 밝혀왔다. 마지막으로 SPN은 비용이 들고 이 비용은 꽤 비싼 편이다.
그렇다면 Tor는 어느 상황에 사용하는 것이 좋을까?
정답은 최소 프라이버시를 중요시한다면, 그리고 익명성을 달성해야할 필요가 있다면, Tor 사용에 불편함이 없는 사이트 및 소프트웨어에서는 Tor 사용을 가급적 늘리는 것이 좋다.
Tor의 원리 구조도
우선 Tor원리를 보자면 여러 개의 노드 중에 각각 입구노드-중간노드-출구노드 형태로 순서대로 접속이 이루워지며, 최종적으로 접속할 사이트는 출구노드에서 인터넷을 하는 것 처럼 통신을 할 수 있다. 그리고 한 가지 루트의 Tor노드로 접속하는 것이 아닌, 시간별로 혹은 유출의 위험성이 높은 사이트를 탐색할 때, 노드를 한번 더 새로고침 하여 연결하는 특성을 가진다.
더 놀라운 점은 Tor 라우팅을 지원하는 사이트의 경우, 서로가 입구노드-중간노드-출구노드 순으로 연결하고 각 출구노드 끼리 또 하나의 노드를 빌려, 랑데부 포인트 지점을 만들어 통신을 하는 Onion 릴레이를 구현한다는 점이다.
Tor 어니언 웹서비스를 지원하는 대표적인 사이트인 프로톤은 물론이고 Mullvad 또한 어니언 웹서비스를 지원한다.
두 번째로는 소프트웨어에서의 사용이다.
텔레그램의 프록시 설정에서 다음과 같이 프록시 형태로 텔레그램과 연결할 수 있으며, 그 밖의 SOCKS5 및 HTTP 프록시를 지원하는 소프트웨어에서도 Tor를 사용할 수 있다. (그러나, 한국 전화번호 및 무료 가상번호 특성상, 텔레그램과 같이 전화번호를 요구하는 메신저 앱에서 익명성을 보장하려면 암호화폐 결제를 지원하는 유료 가상번호 사이트에서 가상번호를 구매하여 사용하는 것이 좀 더 권장되는 편이다. 또한, 가상번호를 구할때는 스캠에 주의하자. 반드시 trustpilot 사이트 등으로 검증할 것.)
잘못된 사용 케이스는 악용의 케이스는 너무나 유명하고 사용자 실수에 대한 부분을 짚으려 한다:
1. 익명성이 필요한 경우, 개인정보가 기입된 계정의 로그인을 요구하는 사이트는 로그인하여 이용하지 않는다.
구글이나 SNS의 경우 특별한 개인정보가 기입되지 않은 계정에 한하여 로그인해서 이용할 수 있겠지만 네이버(야후재팬)이나 쇼핑몰 등의 사이트들은 사용에 큰 의미가 없을 뿐더러 되려 Tor의 익명성을 해칠 여지가 있다. 하지만, 프라이버시 용도의 사용은 차단이 되거나 속도가 느리다는 문제를 감안한다면 상관이 없다.
2. Tor는 왠만하면 공식에서 받는다.
Tor 이외의 사이트에서 제공되는 Tor는 신뢰성을 보장할 수 없으므로 가급적이면 Tor 공식 사이트를 이용하자.
다만, Tor공식사이트는 누가 접속했는지 감청의 여지가 존재한다고 하니 VPN을 이용해 받거나 브레이브 브라우저의 Tor 브라우징 기능을 잠시 사용하여 받는 방법이 있다. (브레이브에 내장된 Tor는 본격적으로 사용하는 용도로는 비권장. 비인가 프록시 사이트를 이용하는 것보다 낫지만 공식 Tor를 사용하는 것 보다는 좋지 않음.)
3. 아시아권 한정, Tor는 단독으로 사용하는걸 권장하지 않는다.
ISP를 완벽하게 신뢰가능할 수 있는 환경이 아닌 경우, V2Ray및 VPN, SSH와 병행사용하는 것이 좋은 편이다.
VPN이나 SSH를 사용하여 Tor에 접속하는 경우 ISP는 어느 홈 환경에서 Tor를 실행하였는지 타임스탬핑 할 수 없기 때문이다.
4. Windows라고 반드시 Tor 사용에 부적합한 것은 아니다.
Tor를 사용하기 가장 좋은환경은 리눅스에서 Tor를 실행하는 이야기인데, 사실 리눅스도 어떤 리눅스에 따라 천차만별이다.
그 이유는 리눅스 마다의 포함된 텔레메트리가 각기 다르며, 이에 따라 프라이버시 하드닝 방식도 달라 접근성도 너무 높으며 프로그램 호환성도 생각하기 때문에 프라이버시를 챙겨야한다면 무조건 리눅스를 써야한다로 귀결되는 것에 대하여 회의적으로 보고 있다.
그렇다고 프라이버시에 특화된 OS의 접근성이 좋은 것도 아닌게, Qubes OS나 Whonix만 해도 접근성이 낮은 편은 결코 아니며 Whonix는 OS단독으로 사용할 수 없다. 그리고 Tails의 경우 휘발성이라는 특성에 의해 기본적인 실사용보다는 익명성에 초점이 맞추어져 있다. 그리고 특히나, 접근성으로 우수한 우분투와 하모니KR 등의 유저친화 리눅스OS는 프라이버시 면에서는 윈도우와 큰 차이가 없거나 나쁜 점도 있으며, 무엇보다도 어느 환경이 되었든 Tor를 안쓰는 것보다는 쓰는 것이 훨씬 낫다.
한줄요약하자면 리눅스를 사용할 레벨이라면 이 글을 읽지 않아도 스스로가 어떤 모델을 가지고 PC를 이용하는지 정도는 알고 이미 사용하고 있을 것이다. 다만, 윈도우를 쓴다라면 반드시 내가 설계한 하드닝 툴과 함께 Portmaster를 쓰는 것을 권한다.
5. [01/13] 내용추가: 파일 다운로드는 VPN이나 Whonix를 사용하자.
Tor브라우저는 내장된 프록시로 연결이 이루워지는데 다운로드를 하는
경우, 그러니까 UDP 프로토콜로 넘어가는 경우에 접속은 Tor인데 다운로드는 원본 ip로 통신하는 문제가 있기때문에 반드시
다운로드는 하지 않는 편이 좋고, 반드시 받아봐야할 필요가 있는 파일은 격리된 컨테이너에서 다운로드/실행되어야 한다. 그러나,
격리된 컨테이너라 해도 받는 파일의 기밀성이나 신뢰성에 따라 취약점 공격을 받을 여지가 있음으로 가상화 공간 또한 맹신은
금물이다.
아카라이브는 Tor 대역차단 때문에 나 또한 적극적으로 사용하고 있지는 않지만 적어도 텔레그램이나 암호화폐 소프트웨어에서 이용하고 있고, 주의가 필요한 사이트 접속에도 가끔 사용하고 있으며 모든 Tor 접속은 Mullvad VPN과 병행하여 사용하고 있고 아카라이브 처럼 Tor 접속에 무리가 있는 사이트는 Mullvad VPN과 개인 하드닝된 Waterfox 브라우저나 Mullvad 브라우저를 병행 사용하고 있다.
Mullvad는 Tor의 샬롯(최상위) 후원사이며, Tor와 함께 브라우저 개발에도 협력하고 있다. (Mullvad 브라우저에 개선된 부분은 Tor 브라우저에도 개선되는 Win-Win 전략을 채택하고 있다.) https://www.torproject.org/about/membership/
마지막으로 당신이 만약, 공익의 목적으로 활동을 하거나 프라이버시를 효과적으로 달성하기 위해서 사용하는 Tor는 어디까지나 도구에 지나지 않는다는 점을 명심해야한다. 세상에 완벽한 도구는 없고 어떤 공격모델에 대응할 것인지는 본인이 직접 고찰해야만 하고 모든 글의 내용들은 의심과 수용의 밸런스를 맞춰야한다. 이 글을 포함해서 말이다.
그럼에도 개인적으로, Tor를 많은 사람이 애용하였으면 좋겠다.
많은 사람들이 사용하고 인식이 개선될 수록 Tor의 익명성은 강해지기 때문이고, 입법의 부분에서도 프라이빗의 중요성으로 함부로 검열・감시를 할 수 없을 것이라고 믿기 때문이다.
・참고 및 인용된 원본 글 출처표기
https://namu.wiki/w/Tor(%EC%9D%B5%EB%AA%85%20%EB%84%A4%ED%8A%B8%EC%9B%8C%ED%81%AC)
https://arthurjung.tistory.com/538
https://gogilove.wordpress.com/2019/05/01/tor/
https://gogilove.wordpress.com/2019/05/07/tor-onion-deep-web-faq/
