VPN이란? 작동 원리, 숨겨 주는 것, 그리고 한계

VPN이란 무엇이며 어떻게 작동하나요?

가상 사설망(VPN)은 기기의 모든 인터넷 트래픽을 기기와 VPN 서버 사이의 암호화된 터널로 보내는 서비스로, 트래픽은 그 서버를 떠나 최종 목적지로 향합니다^[1]. 암호화는 올바른 키를 가진 사람만 읽을 수 있도록 데이터를 뒤섞는 것입니다. 요청이 VPN 서버에서 나오는 것처럼 보이기 때문에, VPN은 사용자의 대략적인 위치를 나타내고 신원을 파악하는 데 쓰일 수 있는 숫자 주소인 IP 주소를 가려 줍니다^[1].

Cloudflare는 이 연결을 네 단계로 설명합니다. VPN 클라이언트(기기에 설치된 앱)가 인터넷 서비스 제공업체(ISP)를 거쳐 암호화된 연결로 접속하고, ISP는 그 연결을 VPN 서버로 전달하며, VPN 서버는 데이터를 복호화해 사용자를 대신해 웹사이트에 접속합니다. 그리고 클라이언트와 서버 사이의 암호화된 연결을 VPN 터널이라고 부릅니다^[2]. 그러면 웹 서버에는 VPN 서버의 IP 주소만 기록됩니다^[2].

기기에서는 무슨 일이 일어나나요?

기술적으로 VPN 클라이언트는 소프트웨어로만 존재하는 네트워크 어댑터인 가상 네트워크 인터페이스를 만들고, 이를 이용해 트래픽을 암호화하고 복호화한 뒤 실제 Wi-Fi나 이더넷 하드웨어로 넘깁니다^[3]. 모든 트래픽이 터널을 통과하면 전체 터널 VPN이라 하고, 로컬 네트워크 트래픽처럼 일부 트래픽이 터널을 우회하도록 허용하면 분할 터널 VPN이라고 합니다^[3].

VPN은 어디에 쓰이나요?

디지털 권리 단체인 전자프런티어재단(EFF)은 VPN이 연결을 다른 네트워크로 우회시키는 한 가지 일에 가장 적합하며, 이는 두 가지 상황에서 유용하다고 말합니다. 사이트를 차단하는 네트워크에서 검열을 우회할 때, 그리고 외부에서 회사 네트워크에 접속할 때입니다^[1]. Cloudflare는 공용 Wi-Fi에서의 보호와 위치 기반 콘텐츠 제한 우회도 흔한 용도로 꼽습니다^[2].

VPN은 무엇을, 누구에게서 숨겨 주나요?

VPN은 나가는 트래픽을 ISP와 카페나 호텔 같은 로컬 네트워크 소유자에게서 숨겨 줍니다^[1]. ISP를 지나가는 터널이 암호화되어 있으므로, ISP는 그 안에서 사용자가 무엇을 하는지 볼 수 없습니다^[2]. 웹사이트 입장에서는 사용자가 VPN 서버가 있는 곳에 있는 것처럼 보입니다^[1].

그 대가는 단순하지만 자주 간과됩니다. VPN이 ISP에게서 웹 활동을 숨겨 주는 동안, 그 모든 것은 VPN 제공업체에게 보입니다^[1]. EFF는 ISP가 그럴 수 있는 것처럼 제공업체도 그 정보를 팔 수 있다고 지적합니다^[1]. Cloudflare의 자체 해설도 사용자가 VPN을 믿고 안심할 수 있는 것은 VPN 제공업체를 신뢰할 때뿐이며, 정직하지 않은 제공업체는 사용자 정보를 팔거나 사용자를 공격에 노출시킬 수 있다고 말합니다^[2].

VPN은 사용자가 접속하는 사설망의 운영자로부터도 데이터를 보호해 주지 않습니다. 회사 VPN에서는 회사 네트워크를 운영하는 쪽이, 상용 VPN에서는 서비스를 운영하는 쪽이 사용자의 트래픽을 봅니다^[1]. 요컨대 VPN은 신뢰의 대상을 한 회사(ISP나 Wi-Fi 소유자)에서 다른 회사(VPN 제공업체)로 옮길 뿐, 신뢰가 필요 없게 만들어 주지는 않습니다.

VPN이 막아 주지 못하는 것은 무엇인가요?

VPN 광고는 흔히 범죄자, 악성 코드, 정부 감시, 온라인 추적을 막아 준다고 주장하지만, EFF는 이런 광고가 이점을 크게 부풀린다고 말합니다^[1]. 주요 한계는 다음과 같습니다.

• 추적. VPN은 익명성을 위한 도구가 아닙니다. 기업들은 여전히 GPS, 웹 쿠키, 추적 픽셀, 핑거프린팅으로 사용자를 추적할 수 있습니다^[1].
• 계정과 기록. VPN은 수사 기관이 브라우저나 로그인한 계정에 저장된 방문 기록을 확보하는 것을 전혀 막지 못합니다^[1].
• 제공업체에 대한 법적 요청. VPN 제공업체 자체도 수사 기관의 요청을 받으며, 많은 업체가 ISP만큼 많은 정보를 저장합니다^[1]. 제공업체는 사업을 하는 나라의 법을 따라야 합니다^[1].
• 결제 정보와의 연결. 신용카드로 결제하면 신원이 계정과 연결되며, 제공업체가 여전히 IP 주소를 수집할 수도 있습니다^[1].

트래픽이 VPN 밖으로 새어 나갈 수 있나요?

그렇습니다. 2024년 5월 Leviathan Security Group은 네트워크 설정을 배포하는 프로토콜인 DHCP의 내장 기능을 이용해 사용자의 트래픽을 VPN 터널 밖으로 빼내 암호화되지 않은 채 전송되게 하는 기법 TunnelVision(CVE-2024-3661)을 공개했습니다^[3]. 미국 국가 취약점 데이터베이스는 이 문제를 이렇게 설명합니다. DHCP 옵션 121은 기기의 라우팅 테이블에 경로를 추가할 수 있으며, 같은 로컬 네트워크에 있는 공격자는 VPN으로 보호될 것으로 기대되던 트래픽을 읽거나, 방해하거나, 경우에 따라 변조할 수 있습니다^[4].

연구진의 테스트에서 VPN은 항상 연결된 상태로 표시되었고, 킬 스위치(VPN 연결이 끊기면 트래픽을 차단하는 기능)는 한 번도 작동하지 않았습니다^[3]. 안드로이드는 DHCP 옵션 121을 구현하지 않기 때문에 영향을 받지 않았습니다^[3]. 연구진은 VPN이 물리적 로컬 네트워크에 대한 공격을 막도록 설계되지 않았으며, 그렇게 할 수 있다고 약속하는 것은 위험하다고 결론지었습니다^[3].

속도는 어떤가요?

제공업체의 서버 용량에 따라 연결이 느려지는 사용자도 있으며, 사용자와 웹사이트 모두에서 멀리 떨어진 VPN 서버는 지연을 늘립니다^[2].

공용 Wi-Fi에서는 VPN이 필요한가요?

항상 그런 것은 아닙니다. EFF는 예전에는 공용 Wi-Fi에서 VPN을 쓰라는 것이 표준적인 조언이었지만, 이제는 대부분의 웹 트래픽이 HTTPS로 암호화되므로 모든 사람에게 그만큼 필요하지는 않다고 말합니다^[1]. HTTPS는 자물쇠 표시로 보호되는 웹 프로토콜로, 사이트와 주고받는 내용을 암호화합니다.

HTTPS는 통신 내용을 보호할 뿐, 메타데이터는 보호하지 않습니다^[1]. HTTPS 사이트에서 경로상의 당사자들은 대개 도메인 이름(예: wikipedia.org)과 방문 시각, 페이지와 파일의 크기를 볼 수 있지만, 구체적인 페이지나 로그인 이름, 메시지는 볼 수 없습니다^[1]. VPN은 로컬 네트워크에서 엿듣는 사람에게서 이런 메타데이터를 숨겨 줄 수 있지만, VPN 제공업체는 그 모든 것을 보게 됩니다^[1].

EFF는 신뢰할 수 없는 공용 네트워크를 써야 하고 신뢰할 수 있는 VPN이 있을 때 VPN이 유용할 수 있다고 말합니다^[1]. 미국 연방거래위원회(FTC)도 무료 공용 Wi-Fi 네트워크는 안전하지 않은 경우가 많다고 경고해 왔으며, VPN 앱에 관한 2018년 조언도 공용 Wi-Fi로 보내는 정보를 보호한다는 관점에서 작성되었습니다^[5]. 다만 오래된 VPN 앱은 이런 경우에도 사용자를 제대로 보호하지 못할 수 있으며, EFF는 그 예로 TunnelVision을 듭니다^[1].

어떤 VPN 프로토콜이 안전한가요?

프로토콜은 VPN이 터널을 만들고 암호화하는 데 쓰는 규칙의 집합입니다. VPN이 점대점 터널링 프로토콜(PPTP)처럼 깨진 암호화를 쓰면, 그 안을 흐르는 데이터는 쉽게 복호화되어 노출될 수 있습니다^[1]. EFF는 소비자용 서비스에서 흔히 쓰이게 된 두 프로토콜로 OpenVPN과 WireGuard를 꼽습니다^[1].

WireGuard 개발자들은 이를 Noise 프로토콜 프레임워크, Curve25519, ChaCha20 같은 최첨단 암호 기술을 사용하는 단순하고 빠르며 현대적인 VPN이라고 설명하며, 암호학자들의 검토를 거쳤다고 말합니다^[7]. 훨씬 큰 IPsec이나 OpenVPN 코드베이스와 달리, 한 사람이 전체를 검토할 수 있을 만큼 작게 설계되었습니다^[7].

조직의 경우 영국 국가사이버보안센터(NCSC)는 가장 널리 쓰이는 프로토콜이 TLS와 IPsec이라고 말하며, IPsec이 많은 운영체제에 내장된 개방형 표준이므로 VPN 접속에 IPsec을 권장합니다. 또한 WireGuard는 유망해 보이지만 기업 환경에서는 아직 검증되지 않았다고 지적합니다^[6]. NCSC는 일부 외부 네트워크가 IPsec 트래픽을 제한하거나 차단하는 반면, TLS VPN은 기업 방화벽을 더 안정적으로 통과할 수 있다고도 경고합니다^[6].

Apple의 iCloud 비공개 릴레이(iCloud Private Relay)는 VPN과 혼동되기도 합니다. 이 기능은 Safari에서의 웹 활동을 보호하도록 설계되었으며, 요청을 서로 다른 두 릴레이를 거쳐 보내므로 Apple을 포함한 어느 한 당사자도 사용자가 누구인지와 어떤 사이트를 방문하는지를 동시에 알 수 없습니다. 또한 모든 국가나 지역에서 제공되지는 않습니다^[10].

신뢰할 수 있는 VPN은 어떻게 고르나요?

FTC가 제시하는 VPN 앱 사용 전 네 가지 점검 사항은 다음과 같습니다. 앱을 받기 전에 조사하고, 권한 요청을 검토하고, 정보를 암호화하는지 확인하고, 정보를 제3자와 공유하는지 확인하는 것입니다^[5]. EFF는 여기에 다음 질문들을 더합니다^[1].

1. 개인정보 처리방침을 읽습니다. 제공업체가 명시적으로 배제하지 않는다면 데이터를 기록할 수 있으며, 기록하지 않는다는 주장이 보장이 되지는 않습니다^[1].
2. 어떻게 돈을 버는지 확인합니다. 일부 VPN은 무료이지만 사용자 데이터를 팔고, 다른 VPN은 데이터 사용량 제한이 있는 부분 무료 방식이나 정기 구독 방식을 씁니다^[1].
3. 공개 감사를 찾아봅니다. 독립적인 보안 감사는 좋은 신호이지만, 감사 이후 운영 방식이 바뀔 수도 있습니다^[1].
4. 누가 운영하는지 알아봅니다. 아무도 자신의 평판을 걸지 않는 VPN은 의심하고, 소개 페이지에서 창업자나 직원을 확인하십시오^[1].
5. 국가를 확인합니다. 제공업체는 정부의 데이터 요청에 관한 규정을 포함해 운영 국가의 법을 따라야 합니다^[1].

앱 스토어에 등록되어 있으면 충분한가요?

아닙니다. EFF는 VPN 앱이 Google Play나 Apple App Store에 있다고 해서 안전하다고 단정하지 말라고 경고합니다^[1]. Apple의 앱 심사 지침은 VPN 앱이 어떤 목적으로든 데이터를 제3자에게 판매, 사용 또는 공개해서는 안 된다고 규정합니다^[9]. 그럼에도 Tech Transparency Project는 2025년 4월 1일, 2024년 미국 App Store 상위 100개 무료 VPN 가운데 20개를 중국 기업이 소유하고 있었고, 이들 중 어느 곳도 소유 관계를 명확히 밝히지 않았으며, 해당 앱들의 다운로드 횟수가 7,000만 회를 넘었다고 보고했습니다^[8]. Google Play는 일부 VPN에 인증 배지를 표시하는데, EFF는 이것이 조사를 대신하는 것이 아니라 앱의 보안 약속을 살짝 엿볼 수 있게 해 주는 정도라고 설명합니다^[1].

VPN은 어디서나 합법인가요?

아닙니다. EFF는 금지 조치를 포함해 나라별 VPN 정책을 계속 확인하라고 권하며, 스트리밍 플랫폼들이 VPN을 사용하는 것으로 보이는 기기를 점점 더 차단하고 있다고 지적합니다^[1]. Apple은 VPN 허가가 필요한 지역에서 VPN 앱을 제공하는 개발자에게 해당 허가 정보를 제출하도록 요구합니다^[9]. 이 글은 일반 정보이며 법률 자문이 아닙니다. 거주 지역의 법을 확인하십시오.

이란의 상황은 어떤가요?

프리덤하우스의 Freedom on the Net 2024 보고서에 따르면 많은 이란인이 당국이 차단한 국제 서비스에 접속하기 위해 VPN에 의존합니다^[11]. 2024년 2월 사이버공간 최고위원회는 허가받지 않은 VPN의 사용을 금지하고, 개인은 정부 승인을 받은 허가 VPN을 구매하려면 신청해야 한다고 밝혔습니다^[11]. 보고서에 인용된 분석가들은 이 조치가 VPN의 유통과 판매뿐 아니라 사용까지 범죄화했다고 말합니다^[11]. 같은 보고서는 정보통신기술부가 2022년 10월 불법 VPN을 판매하거나 사용하는 사람은 누구든 형법 Article 753에 따라 기소될 수 있다고 발표했으며, 보고 대상 기간 동안 NordVPN, Proton VPN, TunnelBear 같은 서비스에 접속할 수 없었다고 전합니다^[11]. Freedom on the Net 2025는 2025년 6월 전국적으로 거의 완전한 인터넷 차단이 시행되었다고 덧붙입니다^[12].

기업용 VPN은 다른가요?

다릅니다. 기업용 VPN은 직원의 위치를 가리는 것이 아니라 직원을 내부 시스템에 연결합니다. NCSC는 VPN 서비스가 조직의 인터넷 노출 공격 표면의 일부이므로, 보안 패치가 나오면 신속하게 업데이트해야 한다고 지적합니다^[6]. 또한 어떤 기기도 기본적으로 신뢰하지 않는 제로 트러스트 방식을 완전히 도입한 조직에는 VPN의 이점이 거의 없다고 말합니다^[6].

이런 대안을 판매하는 Cloudflare는 기존 VPN이 네트워크 안에 있는 것은 무엇이든 자동으로 신뢰하는 성곽과 해자 모델로 이어질 수 있다고 주장하며, 많은 기업이 대신 보안 접근 서비스 에지(SASE) 설계로 옮겨 갔다고 말합니다^[2]. 개인의 경우 EFF는 많은 사람에게 VPN이 가장 중요한 보안 조치는 아니라고 보며, 더 효과적인 조치로 종단 간 암호화 메신저 등을 꼽습니다^[1].