VPN, 써도 안전할까? 누가 무엇을 볼 수 있는지

• 지금 쓰는 네트워크와 통신사(집 인터넷, 회사나 학교 와이파이, 카페 핫스팟): 기기가 어떤 서버에 언제 연결됐고 데이터가 얼마나 오갔는지는 봅니다. 방문한 도메인과 내용은 보지 못합니다.
• VPN 운영사: 접속한 원래 IP, 방문한 도메인이나 주소, 시간과 데이터량을 봅니다. HTTPS 사이트 안의 내용, 즉 페이지, 비밀번호, 채팅, 결제 정보는 보지 못합니다.
• 방문하는 사이트: 집 IP 대신 출구 IP를 봅니다. 하지만 로그인하는 순간 사이트는 내가 누구인지 알고, 브라우저 쿠키로도 여전히 식별됩니다.
• 기기 안의 소프트웨어: 앱, 키보드, 브라우저 확장 프로그램이 볼 수 있는 것은 VPN과 무관하며, VPN을 켜든 끄든 똑같습니다.

오늘날 거의 모든 사이트와 앱은 HTTPS를 씁니다. 기기와 사이트 사이에 한 겹 더 암호화를 거는 것으로, 열쇠는 양 끝에만 있습니다. VPN 서버는 이 암호화된 데이터를 전달할 뿐 열어 볼 수 없습니다. 은행 비밀번호, 이메일 본문, 채팅 메시지는 VPN 운영사에게도 통신사에게도 똑같이 암호문으로 보입니다.

여전히 보이는 것은 봉투 겉면에 적힌 정보, 즉 어느 도메인에, 언제, 얼마나 많은 데이터를 보냈는지입니다. VPN이 없으면 지금 쓰는 네트워크와 통신사가 이를 보고, VPN을 쓰면 운영사가 봅니다. VPN은 이 시야를 한쪽에서 다른 쪽으로 옮길 뿐이고, 그래서 어떤 운영사를 고르느냐가 가장 중요합니다.

내용까지 보이는 경우는 두 가지입니다. 하나는 아직 암호화되지 않은 HTTP를 쓰는 사이트로, 주소창에 '주의 요함'이라고 표시됩니다. 다른 하나는 누군가 내 기기에 루트 인증서를 설치한 경우로, 그러면 HTTPS도 복호화할 수 있습니다. 경계해야 할 것은 두 번째이며, 어디를 확인하면 되는지는 아래 자가 점검에 있습니다.

대부분은 이 세 질문으로 판가름납니다. 각각을 어떻게 확인하는지, 수상한 앱을 이미 설치했다면 어떻게 할지는 직접 확인할 수 있는 신호 열 가지를 정리한 위험한 VPN 앱 알아보는 법을 참고하세요.

• 누가 운영하나: 운영 주체를 확인할 수 있는지, 얼마나 오래 운영됐는지, 연락되는 고객 지원이 있는지, 개인정보처리방침에 무엇을 보관하는지 정확히 적혀 있는지 보세요. 내가 어디에 접속하는지 보는 시야를 이제 운영사가 쥐고 있으므로 신뢰성이 가장 먼저입니다.
• 어떤 앱을 설치했나: 앱스토어나 개발사 공식 사이트에서 받은 표준 클라이언트(Cisco, OpenVPN, Hiddify, Tailscale 등)는 검증할 수 있습니다. 단체 채팅방이나 파일 공유로 돌아다니는 설치 파일, 자체 앱으로만 쓸 수 있는 서비스는 검증할 수 없습니다.
• 어떤 권한을 요구했나: VPN에 필요한 권한은 터널을 만드는 것 하나뿐입니다. 연락처, 문자, 사진, 위치 권한이나 인증서를 설치하고 신뢰하라는 요구는 VPN에 전혀 필요 없는 것입니다.

아이폰의 VPN 앱은 시스템 샌드박스 안에서 돌아갑니다. 앱이 받는 것은 VPN 터널을 만드는 권한뿐이고, 처음 연결할 때 뜨는 'VPN 구성을 추가하려고 합니다' 안내는 정상적인 절차입니다. 따로 허용하지 않는 한 다른 앱의 데이터, 사진, 메시지를 읽을 수 없습니다.

아이폰에서 주의할 것은 세 가지입니다. 프로파일을 설치하고 인증서를 신뢰하라고 요구하는 것, 기업용 서명이나 기기 관리로 App Store 밖에서 설치한 앱, 회사나 학교가 지급하고 관리하는 휴대폰입니다. 마지막 경우 관리자는 어떤 VPN보다 더 많은 것을 볼 수 있습니다. 설정 → 일반 → VPN 및 기기 관리를 열어 모든 항목이 내가 아는 것인지 확인하세요.

감시 여부에 대해 말하면, 통신사는 내가 암호화 연결을 쓰고 있다는 것과 그 연결이 어느 서버로 가는지는 알지만 그 안의 사이트나 내용은 모릅니다. VPN 운영사는 도메인과 시간을 볼 수 있습니다. 어느 쪽도 HTTPS 내용은 보지 못합니다.

아이폰에서 LeoTun는 App Store의 공식 클라이언트를 씁니다. Cisco 방식은 Cisco 공식 앱, Hiddify 방식은 Hiddify이며, 인증서 설치는 절대 요구하지 않습니다. 앱스토어에서 보이지 않으면 iOS에서 앱을 설치할 수 없을 때를 참고하세요.

무료에는 두 종류가 있습니다. 무료 소프트웨어, 즉 OpenVPN, Hiddify, Tailscale 같은 오픈소스 클라이언트는 돈이 들지 않고 검증도 가능합니다. 무료 서비스는 다릅니다. 서버와 대역폭에는 돈이 들고, 이용료를 받지 않는 서비스는 다른 곳에서 비용을 회수합니다. 보통 광고, 이용 데이터 수집과 판매, 또는 내 기기를 다른 사람의 출구로 쓰는 방식입니다.

그러니 무료 VPN은 무엇으로 운영되는지부터 따져 보고, 그다음 위의 세 질문을 적용하세요. 로그인, 결제, 업무와 관련된 일에는 운영 주체를 확인할 수 있는 서비스를 쓰세요. 더 자세한 비교는 중국용 VPN, 무료와 유료 중 무엇을?에 있습니다.

1. 출처: 앱을 앱스토어나 개발사 사이트에서 받았나요? 설치 파일을 단체 채팅방, 파일 공유, QR 코드로 받았다면 같은 클라이언트를 공식 경로에서 다시 설치하세요.
2. 권한: 시스템 설정에서 앱에 허용된 권한을 보고 VPN 자체 외에는 모두 끄세요. 그래도 정상적으로 작동해야 합니다.
3. 인증서와 프로파일: iOS는 설정 → 일반 → VPN 및 기기 관리, Android는 설정 → 보안 → 암호화 및 사용자 인증 정보 → 신뢰할 수 있는 사용자 인증 정보 → 사용자에서 확인합니다. 모르는 항목은 삭제하고, 그것을 설치한 소프트웨어도 지우세요.
4. 출구: 연결한 뒤 IP를 보여 주는 페이지를 열어 내가 고른 지역인지 확인하세요. 그다음 DNS 유출과 DNS 오염에 나온 대로 DNS를 점검하세요.
5. HTTPS: 은행이나 메일 사이트를 열고 자물쇠 아이콘을 눌러 보세요. 인증서 발급자는 일반적인 인증 기관이어야 합니다. 브라우저가 인증서 경고를 띄우면 거기서 멈추세요.
6. 백그라운드 사용: 앱이 쉬고 있을 때도 업로드가 많고 배터리가 눈에 띄게 빨리 닳는다면 사용을 멈추고 다른 것을 고르세요.

VPN이 지켜 주는 것은 경로입니다. 같은 와이파이에 있는 사람, 지금 쓰는 네트워크, 통신사가 내가 어디에 접속하는지 볼 수 없게 합니다. 기기 안과 계정 안의 안전은 시스템 업데이트, 정식 경로의 소프트웨어, 조심스러운 습관에서 나옵니다. 아래 항목은 VPN이 있든 없든 여러분이 직접 챙겨야 합니다.

• 피싱: 가짜 로그인 페이지, 가짜 상담원, 가짜 당첨 링크. 비밀번호를 직접 입력하면 암호화 터널은 그것을 충실히 전달합니다. 입력하기 전에 도메인을 확인하세요.
• 악성 코드: 기기 속 트로이 목마, 백도어가 심긴 크랙 소프트웨어, 출처를 알 수 없는 브라우저 확장 프로그램은 데이터가 VPN에 들어가기도 전에 가져갑니다.
• 로그인된 계정: WeChat, Google, 타오바오에 로그인하면 출구 IP와 상관없이 플랫폼은 나라는 것을 압니다. VPN은 주소를 바꿀 뿐 신원을 바꾸지 않습니다.
• 약하고 재사용한 비밀번호: 한 사이트가 유출되면 같은 열쇠로 다른 곳도 열립니다. 중요한 계정에는 각각 다른 비밀번호를 쓰고 2단계 인증을 켜세요.
• 직접 넘기는 정보: 올리는 게시물, 작성하는 양식, 앱에 허용한 위치와 연락처 권한.

• 클라이언트는 Cisco, OpenVPN, Hiddify, Tailscale의 공식 빌드와 오픈소스 빌드를 수정 없이 미러링한 것입니다. 여기서 받은 파일은 언제든 공식 경로의 것으로 바꿔도 됩니다.
• 모든 프로토콜이 표준이라 트래픽을 직접 캡처해 확인할 수 있습니다.
• 가입에는 이메일 주소만 필요합니다. 전화번호도 실명 인증도 없습니다.
• 결제에 필요한 정보만 보관합니다. 방문한 사이트를 기록하지 않고, 트래픽을 검사하지 않으며, 광고를 끼워 넣거나 데이터를 팔지 않습니다.
• 설치할 인증서가 없고, 연락처나 위치 권한도 요구하지 않습니다.