데이터 로깅 현황: 위협 수준 및 보안 관행 평가
2018. 5. 15. - 8 분 소요
업데이트: 2021. 9. 26.
Psiphon Inc.는 수년간 검열 체제 아래에서 살아가는 사람들에게 인터넷을 개방하기 위해 앞장서 왔습니다. 온라인에서 어떠한 콘텐츠 제한도 받지 않음에도 불구하고, 서구권 국가의 사용자들은 온라인에서 개인 프라이버시를 보호하기 위해 Psiphon과 같은 VPN을 찾고 있습니다. 하지만 2017년 3월, Pew Research Center는 미국 인터넷 사용자의 약 70%가 VPN이 어떤 역할을 하는지 잘 모른다는 놀라운 통계를 발표했습니다.1
계속 증가하는 Psiphon 계정 수가 전 세계 VPN 사용자 수의 증가를 나타내는 지표라면, 제품을 비판적으로 평가할 기준도 없는 시장으로 상당한 수의 독립적인 사용자들이 대거 유입되고 있는 것입니다. 이제 이 사용자층은 사이버 보안이라는 낯선 영역에서 위험 요소를 이해해야 하는 부담을 떠안게 되었습니다. 따라서 이들은 잘못된 정보에 매우 취약합니다. 사용자를 극도로 불안하게 만드는 요인 중 하나는 VPN 웹사이트와 포럼 전반에 널리 퍼져 있는 데이터 로깅이라는 용어와, 개인적 위험 및 스스로를 효율적으로 보호하는 방법에 대한 왜곡된 설명입니다.
Techopedia에 따르면, “데이터 로깅이란 시스템, 네트워크 또는 IT 환경의 데이터 기반 이벤트/동작을 기록하거나 특정 동향을 분석하기 위해 일정 기간 동안 데이터를 수집하고 저장하는 프로세스입니다. 이를 통해 저장 장치나 애플리케이션에서 데이터, 파일 또는 애플리케이션이 저장, 접근 또는 수정되는 모든 상호작용을 추적할 수 있습니다.”2 많은 VPN 업체들이 제로 로깅 정책을 마치 독보적인 제품 기능인 것처럼 마케팅하며, 그렇지 않을 경우 일반 시민의 인터넷 트래픽이 끊임없이 기록되어 상업적 및 법적 목적으로 악용될 위험에 항상 처해 있는 것처럼 암시합니다.
이는 미국 인터넷 서비스 제공업체(ISP)가 사용자 데이터를 공유하기 전에 허가를 받도록 의무화했을(원래 예정대로 2017년 12월에 발효되었을 경우) 특정 FCC 보호 규정이 2017년 4월에 폐지되면서 뜨거운 쟁점이 되었습니다. 정부가 ISP의 개인 인터넷 이용 기록 로깅을 옹호하고, 동의 없이 이를 판매하거나 공개할 수 있게 한다는 생각은 대부분의 인터넷 사용자에게 불안감을 안겨줍니다.
인터넷 자유의 강력한 지지자로서, Psiphon은 사용자가 불이익 없이 검열 없는 인터넷에 공정하고 자유롭게 접근할 수 있도록 매일 노력하고 있습니다. 사용자 데이터 및 검색 기록의 무단 사용에 대한 합법성이 확대되는 것은 종종 수익이 윤리보다 우선시된다는 우려스러운 현실을 보여줍니다. 그러나 Psiphon은 트래픽 및 데이터 로깅 관행의 전반적인 현황을 더 깊이 파악해 보았습니다.
미국, EU, 캐나다의 데이터 로깅 정책 비교 분석
일반적으로 서구 국가들은 저장된 데이터 보안의 범주를 통해 보호 조치와 규정을 정의해 왔습니다. 이러한 법률은 기업이 사용자 데이터를 수집하고 저장하는 동안 준수해야 하는 보안 표준에 관한 조항을 명시합니다. 또한 정보 공개와 관련된 적법성 문제를 다룹니다. 그러나 본 글에서 언급된 모든 법률은 데이터의 유형과 수집되는 상황, 데이터 보존 기간에 대한 결정을 수집 기관의 재량에 맡기고 있습니다. 많은 경우 이러한 기관은 중앙 규제 기관에 정책의 논리적 근거를 소명해야 하지만, 이러한 입법은 많은 경우 데이터 보존을 암묵적으로 지지하는 결과를 낳기 때문에 양날의 검이 됩니다.
예를 들어, 현재 미국에는 데이터 로깅에 관한 포괄적인 규정이 없습니다. ISP는 서비스 약관이나 사용자 라이선스 계약을 통해 해당 관행이 적용된다는 사실을 사용자에게 알리기만 하면 자유롭게 사용자 데이터를 수집하고 저장할 수 있습니다. 그러나 기업은 전자 통신을 포함한 사용자 데이터를 “수신인 또는 의도된 수신자 이외의 다른 사람”에게 공개하는 것을 금지하는 Stored Communications Act의 규제를 받습니다.3 미국 정부는 모든 기업에 사용자 데이터 보호의 의무를 부과하고 있지만, 로깅 관행이나 데이터 보관의 합리적인 기간을 명시적으로 제한하지는 않습니다.
ISP 로깅에 대한 더 큰 질문은 새로운 것이 아니며, 단독적인 사안도 아닙니다. 실제로 데이터 로깅 문제는 최근 미국에서 다시 불거진 망 중립성 논쟁과 동일한 법적 질문에 뿌리를 두고 있습니다.
유럽연합은 2012년의 기존 Data Protection Directive를 기반으로 데이터 보안 지침, 사용자 권리 및 대상의 법적 분류를 명시한 EU 전역 적용 법안인 GDPR을 2016년 4월에 통과시켰습니다. 그러나 개별 회원국은 적절한 데이터 보존 기간을 직접 결정해야 할 의무가 있으며, EU 전체에 걸쳐 의무화된 기간의 적용을 받지 않습니다.
개별 기업은 수집된 데이터의 적절한 보존 기간을 결정할 책임이 있으며, “공익적 보관, 과학적, 통계적 또는 역사적 이용 목적”을 위해 추가적인 보존 기간이 설정될 수 있습니다.4 그러나 GDPR 규정에 따라 일반 시민은 “잊힐 권리”를 가지며 자신의 개인 데이터를 서버에서 삭제해 주도록 요청할 수 있습니다.
마지막으로 캐나다의 연방제 구조는 데이터 로깅 규정과 관련하여 다계층적 관할 체계를 형성했습니다. 상업적 활동을 위한 정보 수집에 관한 전국적인 지침과 규정을 명시하고, 개인 식별 정보에 대한 국가 표준 정의를 설정하는 PIPEDA를 제정했습니다. 여기에는 다음이 포함됩니다:
• 나이, 이름, ID 번호, 소득, 민족적 출신 및 혈액형;
• 의견, 평가, 의견 진술, 사회적 지위 또는 징계 처분 등;
• 직원 기록, 신용 기록, 대출 기록, 의료 기록, 소비자와 판매자 간 분쟁 유무, 의도(예: 상품 또는 서비스 구매 의향, 이직 의향 등).5
EU 지침과 마찬가지로, 테러 자금 조달과 같은 범죄 행위가 의심되는 개인에 관한 정보를 캐나다 FINTRAC에 공개할 수 있도록 허용하는 조항이 포함되어 있습니다. 그러나 PIPEDA는 정보 보안 절차와 정보 보관의 법적 기간을 명시적으로 제한하지는 않습니다. 제4.5.3항에서 “명시된 목적을 달성하는 데 더 이상 필요하지 않은 정보는 파기해야 한다”고 명시하고 있지만, 개별 기업은 자체적인 절차를 자유롭게 적용할 수 있습니다.
더 나아가, 데이터 보호를 보장하기 위해 자체 법률을 제정할 수 있는 주(province)의 법률이 PIPEDA 조항보다 우선할 수 있습니다.
그렇다면 불안감을 조성하는 VPN 업체들의 주장이 맞을까요?
VPN 업체들은 현재 로깅 체제에 존재하는 세 가지 근본적인 취약점을 내세워 잠재 고객들에게 불안감을 조성하는 데 성공하고 있습니다:
1. 개인 식별 데이터가 적절하게 보호되지 않을 수 있습니다
2. ISP 및 온라인 기업이 상업적 이익을 위해 개인 데이터를 사용할 수 있습니다
3. ISP 및 온라인 기업이 보유한 개인정보 데이터베이스가 법 집행 기관 및 정부 기관의 임의로 이용될 수 있습니다
평가 대상이 된 세 곳 모두 법적으로 개인 식별이 가능한 사용자 데이터의 수집 및 보존을 허용하고 있습니다. ISP와 온라인 기업은 이러한 정보를 안전하게 보호할 법적 의무가 있지만, 본질적으로 이는 사실상 모든 관할 지역에서 명확한 감독이 결여된 취약한 신뢰 기반 시스템을 형성했습니다. 위험하거나 불법적인 활동에 인터넷을 사용하지 않는 사람은 걱정할 필요가 없다고 말하기는 쉽지만, Psiphon은 온라인 활동 내용과 관계없이 모든 인터넷 사용자가 합리적인 수준의 프라이버시를 누릴 권리가 있다고 믿습니다.
따라서 ISP가 사용자 데이터를 기록할 권리가 있다고 간주할 수 있습니다. 이는 의료 기록이나 금융 정보와 같은 개인정보의 무단 사용 또는 해당 데이터베이스에 대한 악의적인 침입을 우려하는 개별 인터넷 사용자에게 불안을 야기할 수 있습니다. 또한 ISP가 사용자 기록을 요구하는 National Security Letter나 영장을 받으면 법에 따라 해당 정보를 법 집행 기관에 제공해야 합니다.
현행 법 체계 하에서 온라인 기업은 상업적 목적으로 개인 식별 데이터를 판매하거나 해당 정보를 공개할 수 없습니다. 하지만 고객 통계와 같은 다양한 내부 처리를 위해 이 데이터를 보관하고 사용할 수 있는 권리는 충분히 가지고 있습니다. 미국에서 망 중립성이 훼손될 위기에 처함에 따라, 저장된 개인 식별 데이터가 동의 없이 악용되거나 공개될 수 있습니다. 그러나 VPN 사용자들이 가장 우려하는 핵심 요인은 서비스 제공업체의 선의에도 불구하고 이러한 데이터가 악의적으로 탈취될 위험이 있다는 점입니다.
인터넷 사용자는 자신이 이용하는 기업의 관행에 대해 스스로 학습해야 하는 부담을 항상 안고 있습니다. 주요 우려 사항은 일부 최종 사용자가 이용 약관의 의미나 영향을 이해하지 못할 수 있으며, VPN이 신뢰할 수 있고 안전한지에 대해 모호하고 종종 오해의 소지가 있는 사회적·기술적 기준에 의존해 서비스를 이용할 수 있다는 점입니다. 특히 VPN 서비스에서 개인 식별 정보를 기반으로 한 사용자 계정 생성을 요구하는 경우, 해당 VPN이 잠재 사용자에게 제시한 개인정보 보호정책을 제대로 준수하고 있는지 확인하기 위해 직접 조사를 수행해야 하는 것은 말할 것도 없습니다.
뿐만 아니라, 충분한 정보를 바탕으로 결정을 내린 특정 지역의 사용자는 특정 사이트에서 암호화되지 않은 연결이나 표준 https 연결을 사용하는 데 불안감을 느끼지 않을 수도 있습니다. 하지만 여전히 혼란스럽거나 우려가 남는 경우, Psiphon과 같은 무로그 VPN을 사용하여 개인 식별 데이터가 온라인에서 수집되는 것을 방지할 수 있습니다.
VPN이 데이터 로깅으로부터 사용자를 보호해 줄 수 있을까요?
많은 인터넷 사용자들이 온라인에서 자신의 익명성을 유지하고 상업용 온라인 서비스의 데이터 로깅 관행을 피하기 위해 VPN을 찾습니다. 그러나 어떤 VPN도 온라인에서 완전한 익명성을 제공할 수는 없다는 점을 분명히 해야 합니다. 하지만 Psiphon과 같이 자유롭게 접근 가능한 인터넷을 지향하는 서비스는 사용자의 프라이버시를 보호하기 위해 강력한 보안 조치를 서비스에 적용하고 있습니다. VPN 프록시를 사용하면 인터넷 트래픽이 특정 사용자에게 귀속되지 않으면서도, 사용자는 인터넷 서비스에 정상적으로 연결하여 이용할 수 있습니다.
사용자의 신뢰를 얻고 개인 프라이버시를 강화하기 위해, 시중의 상용 VPN 업체들은 종종 무로그 정책을 강조합니다. 모든 이용 기록을 폐기하므로 추적이 불가능하다고 주장합니다. 하지만 많은 VPN 서비스 약관은 이러한 정책에 대해 상세한 설명을 제공하지 않습니다. 계정을 생성하거나 암호화된 세션을 시작하기 위해 VPN이 상세한 사용자 정보를 요구할 수도 있습니다. 또다시 서비스 약관을 꼼꼼히 읽고 해당 VPN을 신뢰할 수 있는지 판단해야 하는 부담은 개별 사용자의 몫이 됩니다.
인터넷 구조상 온라인 통신이 이루어지려면 특정 정보가 반드시 교환되어야 합니다. 정상적으로 작동하는 IP 주소가 없으면 데이터를 주고받을 수 없으며, 여기에는 VPN 사용자의 실제 IP 주소도 포함됩니다. 하지만 본 글에서 검토한 어떤 법률도 VPN 업체에 특정 기간 동안 사용자 데이터를 저장하도록 의무화하지 않으므로, Psiphon 및 다른 VPN 서비스는 핵심 가치에 따라 암호화 세션이 종료되는 즉시 네트워크에서 해당 정보를 삭제할 수 있습니다.
Psiphon이 기존 VPN 서비스와 다른 점은 무엇일까요? 아주 간단합니다. 우리는 인터넷 자유를 위해 탄생했고 주로 이를 위해 존재합니다. 설계상 Psiphon 플랫폼은 최종 사용자의 브라우징 세션에 관한 어떠한 개인 식별 정보도 저장하지 않습니다. Psiphon을 사용하는 데는 계정이 필요하지 않으므로 소프트웨어 자체적으로 개별 사용자에 관한 정보를 생성하거나 저장하는 것이 사실상 불가능합니다. 따라서 사용 기록이 남지 않으며, 감시를 피하거나 무단으로 개인 식별 정보가 공개될까 우려하는 사용자들에게 Psiphon 네트워크 사용이 특정 사용자나 위치로 귀속될 수 없음을 안심시켜 줍니다.
당사 네트워크의 효율성을 유지하고 수요 변화에 맞춰 확장할 수 있도록 내부 데이터 평가를 수행하며, 여기에는 국가 수준으로 집계된 트래픽 양 및 사용자 위치 정보가 포함됩니다.6 이것이 당사 서비스에서 보관하는 가장 상세한 정보입니다. 하지만 예를 들어 악의적인 외부 공격자가 이러한 통계 정보를 유출하더라도 어떤 개인 식별 정보도 위험에 처하지 않습니다.
--
작성자: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 Ibid. Paragraph 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 단, 도시 내 활성 연결 수를 평가하여 개별 사용자를 식별하는 것이 통계적으로 불가능한 임계값을 국가 내 사용량이 초과한 경우에만 도시 수준의 데이터가 자동으로 집계됩니다.