공용 Wi-Fi는 안전할까? 오늘날의 실제 위험과 보호 방법

공용 Wi-Fi는 써도 안전한가요?

대부분의 일상적인 용도라면 그렇습니다. 미국 연방거래위원회(FTC)는 예전에는 대부분의 웹사이트가 데이터를 암호화하지 않아 같은 네트워크에 있는 공격자가 이를 가로챌 수 있었기 때문에 공용 Wi-Fi가 위험했지만, 이제는 대부분의 웹사이트가 암호화를 사용하므로 공용 Wi-Fi 네트워크로 접속하는 것이 대체로 안전하다고 말합니다^[1]. 암호화는 기기와 웹사이트 사이의 데이터를 뒤섞어 네트워크의 다른 사람들이 읽을 수 없게 합니다.

디지털 권리 단체인 전자프런티어재단(EFF)도 같은 결론에 이릅니다. 예전에는 카페나 공항의 공용 Wi-Fi에서 VPN을 쓰라는 것이 표준적인 조언이었지만, 이제는 대부분의 웹 트래픽이 HTTPS로 암호화되므로 모든 사람에게 그만큼 필요하지는 않다는 것입니다^[2].

브라우저에서 연결을 확인하려면, FTC는 모바일 브라우저를 포함해 웹사이트 주소 왼쪽에 자물쇠 표시나 ‘https’가 있는지 보라고 말합니다^[1]. 앱은 확인하기가 더 어렵지만, FTC는 대부분의 앱이 암호화를 사용한다고 말합니다^[1].

그렇다면 여전히 위험한 것은 무엇인가요?

암호화는 전송 중인 데이터를 보호할 뿐, 사용자의 판단까지 보호해 주지는 않습니다. 남아 있는 위험은 가짜 네트워크, 암호화로 숨겨지지 않는 정보, 파일을 공유하거나 업데이트되지 않은 기기, 그리고 역시 암호화를 쓰는 가짜 웹사이트입니다^[1][2][3]. 아래에서 하나씩 설명합니다.

공용 Wi-Fi 네트워크에서 다른 사람들은 무엇을 볼 수 있나요?

HTTPS는 통신 내용을 보호할 뿐, 메타데이터는 보호하지 않습니다^[2]. EFF에 따르면 HTTPS 사이트를 방문할 때 경로상의 당사자들은 대개 wikipedia.org 같은 도메인 이름과 방문 시각, 그리고 불러오거나 보내는 페이지와 파일의 크기를 볼 수 있습니다^[2]. 하지만 해당 사이트의 구체적인 페이지, 로그인 이름, 보내는 메시지는 볼 수 없습니다^[2].

공용 Wi-Fi에서는 네트워크 범위 안에 있는 사람들이 마음만 먹으면 엿들어 같은 메타데이터를 볼 수 있으며, 이는 집에서 인터넷 제공업체가 볼 수 있는 것과 마찬가지입니다^[2]. EFF는 이 정도가 감수할 만한 위험이라면 공용 Wi-Fi 사용을 걱정할 필요가 없다고 봅니다^[2].

네트워크 운영자는 MAC(매체 접근 제어) 주소라는 기기의 하드웨어 주소도 볼 수 있습니다. Apple은 기기가 항상 같은 Wi-Fi MAC 주소를 쓰면 네트워크 운영자와 관찰자가 그 주소를 기기의 활동 및 위치와 시간에 걸쳐 연결 지을 수 있다고 설명합니다^[8]. 그래서 Apple 기기는 네트워크마다 다른 비공개 Wi-Fi 주소를 쓰고 이를 주기적으로 바꿀 수도 있으며^[8], Android 10 이상은 기본적으로 무작위 MAC 주소를 사용합니다^[9].

이블 트윈 Wi-Fi 공격이란 무엇인가요?

미국 사이버보안·인프라보안청(CISA)이 설명하는 이블 트윈 공격에서 공격자는 공용 액세스 포인트에 관한 정보를 모은 뒤 이를 사칭하는 자체 시스템을 구축하고, 더 강한 신호를 송출해 의심하지 않는 사용자들이 가짜 액세스 포인트에 접속하게 만듭니다^[3]. 그러면 피해자의 인터넷 트래픽이 공격자의 시스템을 거치게 되므로, 공격자는 전문 도구로 피해자가 보내는 데이터를 읽을 수 있으며, 여기에는 카드 번호, 사용자 이름, 비밀번호가 포함될 수 있습니다^[3].

CISA는 신뢰할 수 있는 액세스 포인트에 접속할 수 있도록 공용 핫스팟을 사용하기 전에 항상 이름과 비밀번호를 확인하라고 권합니다^[3]. 제대로 암호화된 사이트라면 이블 트윈이 읽을 수 있는 정보는 HTTPS 덕분에 여전히 제한됩니다^[1][2]. 남은 위험은 가짜 사이트로 유도되는 것입니다. FTC는 사기꾼들이 가짜 웹사이트를 만들고 안전해 보이도록 암호화까지 한다고 경고합니다. 데이터가 전송되는 동안에는 암호화되더라도, 그 사이트를 운영하는 사기꾼들로부터는 안전하지 않다는 것입니다^[1].

같은 네트워크에 있는 사람이 내 트래픽을 다른 곳으로 돌릴 수 있나요?

경우에 따라 그렇습니다. 2024년의 TunnelVision 기법(CVE-2024-3661)은 같은 로컬 네트워크에 있는 공격자가 네트워크 설정을 배포하는 프로토콜인 DHCP의 기능을 이용해, VPN으로 보호될 것으로 기대되던 트래픽을 읽거나, 방해하거나, 경우에 따라 변조할 수 있음을 보여 주었습니다^[7]. 이를 발견한 연구진은 VPN이 물리적 로컬 네트워크에 대한 공격을 막도록 설계되지 않았다고 결론지었습니다^[10].

개방형 네트워크가 비밀번호로 보호된 네트워크보다 더 위험한가요?

CISA는 많은 공용 액세스 포인트가 보안 설정이 되어 있지 않고 그 트래픽도 암호화되지 않아, ‘평문으로’ 전송되는 데이터를 스니핑 도구로 수집할 수 있다고 지적하며, 최소한 WPA2 암호화를 쓰는 액세스 포인트를 이용하라고 권합니다^[3]. WPA2와 WPA3는 기기와 액세스 포인트 사이의 트래픽을 암호화하는 Wi-Fi 보안 프로토콜입니다^[3].

카페 벽에 붙어 있는 공용 비밀번호가 네트워크를 사적인 것으로 만들어 주지는 않습니다. 비밀번호를 아는 사람은 누구나 접속할 수 있기 때문입니다. 최신 Wi-Fi 표준은 이 위험의 일부를 해결합니다. Wi-Fi 제품을 인증하는 업계 단체인 Wi-Fi Alliance는 Wi-Fi CERTIFIED 기기에 WPA3가 의무이며, WPA3-Personal 사용자는 비밀번호 추측 공격으로부터 더 강하게 보호받는다고 말합니다^[4]. 또한 Wi-Fi Enhanced Open도 제공하는데, 이는 개방형 네트워크에서 인증 없는 데이터 암호화를 제공해 아무런 보호도 없던 기존 개방형 네트워크보다 개선된 방식이며, 캡티브 포털(많은 핫스팟이 보여 주는 로그인 페이지)을 쓰는 네트워크를 포함해 기존 네트워크와도 호환되도록 설계되었습니다^[4].

Wi-Fi 암호화는 유용한 추가 보호 계층이지만, 데이터를 사이트까지 끝까지 보호하는 것은 웹사이트 자체의 HTTPS 암호화입니다^[1][6].

Wi-Fi 자체가 해킹될 수 있나요?

그렇습니다. 그리고 그 역사는 업데이트가 왜 중요한지 보여 줍니다. 2017년 연구자 Mathy Vanhoef는 WPA2의 심각한 약점인 KRACK(키 재설치 공격)을 공개했습니다. 이 약점을 이용하면 범위 안의 공격자가 안전하게 암호화되었다고 여겨지던 정보를 읽을 수 있었고, 설정에 따라서는 데이터를 주입할 수도 있었습니다^[5]. 이 공격을 막으려면 사용자들은 보안 업데이트가 나오는 즉시 영향을 받는 제품을 업데이트해야 했습니다^[5].

2021년 5월 Vanhoef는 WPA3를 포함한 모든 최신 Wi-Fi 보안 프로토콜은 물론 초기의 WEP에까지 영향을 미치는 취약점 모음인 FragAttacks를 공개했습니다^[6]. 그중 세 가지는 Wi-Fi 표준 자체의 설계 결함이었지만, 사용자 상호작용이나 흔치 않은 설정이 필요해 악용하기 어려웠습니다. 더 큰 우려는 Wi-Fi 제품의 여러 프로그래밍 실수였는데, 일부는 아주 쉽게 악용할 수 있었기 때문입니다^[6]. 업데이트는 Wi-Fi Alliance와 ICASI가 감독한 9개월간의 조율된 공개 기간 동안 준비되었습니다^[6].

Vanhoef는 웹사이트가 HTTPS를 강제하는 설정인 HSTS를 쓰면 이 결함들로 전송 데이터를 훔칠 수 없었으며, 최근의 모바일 앱은 기본적으로 HTTPS를 사용한다고 지적했습니다^[6]. 다시 말해 여러 겹의 암호화 덕분에 Wi-Fi 결함 하나가 곧바로 모든 것을 노출시키지는 않습니다.

공용 Wi-Fi에서 안전하게 지내려면 어떻게 해야 하나요?

1. 네트워크 이름을 확인합니다. 이블 트윈을 피하려면 접속하기 전에 직원에게 정확한 핫스팟 이름과 비밀번호를 물어보십시오^[3].
2. HTTPS를 확인합니다. 민감한 정보를 입력하기 전에 자물쇠 표시나 ‘https’를 확인하십시오^[1].
3. 파일 공유를 끕니다. CISA는 보안되지 않은 공용 네트워크에서 파일 공유가 켜져 있으면 악의적인 사용자가 실수로 공유된 파일에 접근할 수 있다고 말합니다. 공유는 신뢰할 수 있는 가정 네트워크에서만 허용하십시오^[3].
4. 소프트웨어를 최신 상태로 유지합니다. 보안 소프트웨어, 운영체제, 브라우저를 업데이트하고, 휴대폰의 자동 업데이트를 켜 두십시오^[1].
5. 강력한 비밀번호와 2단계 인증을 사용합니다. FTC는 비밀번호를 도난당해도 그것만으로는 로그인할 수 없도록 두 가지를 모두 권합니다^[1].
6. 비공개 Wi-Fi 주소를 켜 둡니다. Apple은 이를 지원하는 모든 네트워크에서 비공개 주소를 켜 두라고 권합니다^[8].
7. 주변을 살핍니다. CISA는 입력하는 동안 누군가 어깨 너머로 간단히 훔쳐볼 수 있다고 경고합니다^[3].

공용 Wi-Fi에서 VPN이 필요한가요?

꼭 그렇지는 않습니다. EFF는 제대로 설정된 VPN이 암호화되지 않은 트래픽을 보호하고 로컬 네트워크에서 엿듣는 사람에게서 메타데이터를 숨겨 줄 수 있지만, 그 대신 VPN 제공업체 자체가 그 모든 것을 보게 된다고 말합니다^[2]. EFF는 누가 운영하는지 모르는 신뢰할 수 없는 공용 네트워크를 써야 하고 신뢰할 수 있는 VPN이 있을 때 VPN이 유용할 수 있다고 봅니다^[2].

• 장점: 같은 Wi-Fi에 있는 사람들에게서 어떤 사이트를 방문하는지 숨겨 줍니다^[2].
• 대가: 그 가시성이 VPN 회사로 옮겨 가며, 정책이 허용한다면 VPN 회사가 데이터를 기록하거나 판매할 수 있습니다^[2].
• 한계: 오래된 VPN은 제대로 보호하지 못할 수 있습니다. EFF는 그 예로 TunnelVision을 들며^[2], 테스트에서 VPN은 트래픽이 새는 동안에도 계속 연결된 상태로 표시되었습니다^[10].

현실적인 걸림돌도 있습니다. 영국 국가사이버보안센터는 일부 외부 네트워크가 IPsec VPN 트래픽을 제한하거나 차단하며, 모든 트래픽을 VPN으로 강제하면 공용 Wi-Fi의 캡티브 포털과 충돌할 수 있다고 지적합니다^[11]. 일반적인 예방책으로 또 하나의 선택지는 핫스팟을 신뢰할 수 없을 때 내 휴대폰의 모바일 데이터를 쓰는 것입니다. 낯선 사람들과 로컬 네트워크를 공유하지 않아도 되기 때문입니다.