인프라는 절대 공짜가 아니다
VPN으로 밀어 넣는 1기가바이트마다 누군가 빌린 서버와 누군가 요금을 내는 회선을 지납니다. 사용자가 수백만이면 매달 청구서도 어마어마하고, 그건 무언가로 메워져야 합니다.
가이드
VPN 서비스는 서버, 대역폭, 인력에 진짜 돈을 씁니다. 앱이 무료인데 눈에 보이는 수입이 없다면, 그 돈은 보통 다른 형태로 나에게서 나옵니다. 내 브라우징 데이터, 끼워 넣은 광고, 아니면 내 기기가 다른 사람들 트래픽의 출구로 되팔리는 식으로요.
VPN으로 밀어 넣는 1기가바이트마다 누군가 빌린 서버와 누군가 요금을 내는 회선을 지납니다. 사용자가 수백만이면 매달 청구서도 어마어마하고, 그건 무언가로 메워져야 합니다.
무료 VPN의 흔한 수익화 방법은 브라우징 기록을 데이터 브로커에 팔기, 세션에 광고 끼워 넣기, 내 연결 되팔기입니다. 셋 다 VPN을 설치한 이유와 정면으로 충돌합니다.
유료 서비스의 체험판이나, 수익 모델을 공개적으로 설명하는 운영자의 제한된 무료 등급은 다른 이야기입니다. 위험 신호는 누가 돈을 내는지 아무 설명이 없는 무제한 무료 서비스입니다.
언제나 누군가는 냅니다. VPN 업체는 여러 나라의 서버를 빌리고, 트랜짓 대역폭을 사고, 개발자와 서포트에 급여를 주고, 앱스토어 수수료를 냅니다. 인기 있는 서비스라면 이게 매달 반복되는 만만찮은 비용으로 쌓이고, 다운로드 버튼에 '무료'라고 적혀 있다고 사라지지 않습니다.
유료 업체는 이걸 구독료로 메우고, 그래서 이해관계가 단순합니다. 내가 돈을 내면 터널을 받고, 업체의 관심사는 나를 고객으로 붙잡아 두는 것입니다. 구독이 없는 무료 업체는 수익을 다른 데서 찾아야 하는데, 그들이 가진 자산이라곤 사용자와 그들의 트래픽, 그들의 기기뿐입니다.
무료 VPN 앱 뒤의 사업 모델은 잘 알려져 있고, 대부분이 프라이버시와 정면으로 충돌합니다. 앱은 내가 온라인에서 하는 모든 일을 관찰하기에 완벽한 자리에 앉아 있고, 팔리는 상품이 바로 그 관찰 지점 자체입니다.
이 모델들 중 어느 것도 앱이 기술적으로 고장 나 있을 필요가 없습니다. 터널은 광고 문구 그대로 작동하면서, 로그 수집은 내가 들여다볼 방법이 없는 서버 쪽에서 조용히 이뤄질 수 있습니다.
무료 VPN 앱을 대량으로 분석하는 독립 연구자들은 같은 범주의 문제를 거듭 발견합니다. 트래픽 데이터의 제3자 공유를 허용하는 개인정보 처리방침, 광고 회사의 추적기 내장, 터널에는 필요 없는 권한 요구, 그리고 몇몇 경우에는 아예 작동하지 않는 암호화까지.
또 하나 반복되는 발견은 불투명한 소유 구조입니다. 이름과 로고가 다른 무료 앱 여럿이 같은 소수의 회사로 거슬러 올라가는 경우가 많아서, 앱스토어에서 선택지를 비교하는 사용자가 실은 한 운영자의 간판들 사이에서 고르고 있을 수 있습니다.
세부 사항은 보고서마다 다르지만, 패턴은 기본 가정으로 삼아도 될 만큼 안정적입니다. 수익원이 불분명한 무료 VPN은 그렇지 않음을 증명하기 전까지는 사용자를 수익화한다고 간주해야 합니다.
광고 범벅 앱은 짜증스럽지만, 오염된 터널은 위험합니다. VPN 앱은 기기의 모든 트래픽을 보고 방향을 바꿀 수 있는 권한으로 돌아갑니다. 운영자가 부주의하거나 악의적이라면 그 위치는 HTTPS가 아닌 연결에서의 자격증명 수집, 닮은꼴 페이지로의 유도, TLS 보호를 깨는 루트 인증서 설치에 악용될 수 있습니다.
방치는 더 조용한 위험입니다. 무료 앱은 흔히 부업 프로젝트입니다. 터널은 알려진 취약점이 있는 낡은 서버 소프트웨어 위에서 계속 돌고, 보안 제보에는 아무도 답하지 않으며, 원 개발자가 팔면 앱은 소리 없이 주인이 바뀝니다. 새 주인이 내 데이터에 다른 계획을 품고 있어도 알아차릴 방법이 없습니다.
유료 서비스라면 최소한 이해관계 구조를 알고, 돈 내는 고객들에게 책임지는 상대방이 있습니다. 예컨대 Aurora는 무엇을 기록하고 무엇을 기록하지 않는지 공개하고 14일 환불 기간을 주므로, 써 보는 데 비용이 들지 않으면서도 그 비용이 내 데이터로 충당되지 않습니다.
무료가 자동으로 사기인 건 아닙니다. 유료 서비스의 기간 한정 체험판이 무료인 건 일부 사용자가 구독할 거라고 업체가 기대하기 때문입니다. 경제 구조가 투명하죠. 유료 고객이 인프라를 확실히 떠받치는 운영자가 내놓는 제한된 무료 등급 — 트래픽 상한이나 적은 위치 수 — 도 마찬가지입니다.
구별점은 돈 문제에 대한 눈에 보이는 답입니다. 무료 사용자에게 유료 인프라의 한 조각을 마케팅으로 내준다고 업체가 분명히 말한다면, 그들의 이해관계는 나와 정렬돼 있습니다. 무제한 무료 대역폭을 영원히 약속하면서 수입을 한 번도 설명하지 않는 서비스라면, 그렇지 않습니다.
기본적인 냄새 테스트에 보안 연구자가 될 필요는 없습니다. 10분만 읽어 보면 중요한 것 대부분을 알 수 있습니다. 수익화는 어딘가에는 공개돼야 하니까요 — 보통은 개인정보 처리방침, 권한 목록, 아니면 광고주를 향한 회사 자신의 홍보 자료에요.
이 점검들 중 특별한 도구가 필요한 건 하나도 없고, 둘 이상에서 걸리는 업체라면 이미 충분히 말해 준 겁니다. 떠나세요. 대안은 얼마든지 있습니다.
대부분의 나라에서는 그렇습니다. VPN 사용은 합법이고 지극히 평범한 일입니다. 기업들은 매일 VPN 연결로 굴러갑니다. 소수의 나라는 VPN 서비스를 제한하거나 허가제로 두고, 그 규정은 바뀌므로, 거주하거나 여행하는 곳의 현행 규제를 확인하세요. 그리고 합법적인 도구가 그것으로 저지른 불법 행위를 합법으로 만들어 주는 일은 결코 없습니다.
네, VPN은 약간의 오버헤드를 더합니다. 하지만 그 크기는 거의 전적으로 거리와 서버 품질에 달렸습니다. WireGuard 같은 현대 프로토콜로 가깝고 한산한 서버를 거치면 손실은 거의 못 느낄 때가 많습니다. 멀거나 과부하된 서버를 거치면 지연이 치솟고 속도 저하가 눈에 보입니다. 오히려 VPN이 더 빠를 때도 있습니다.
카페에서 누군가 공중에서 내 비밀번호를 낚아챈다는 고전적인 괴담은 대부분 옛말이 됐습니다. HTTPS가 이미 거의 모든 연결의 내용을 암호화하니까요. 공용 와이파이에 남은 위협은 더 미묘합니다. 도메인 이름 같은 훤히 보이는 메타데이터, 가짜 액세스 포인트, 캡티브 포털, 그리고 같은 네트워크를 나눠 쓰는 다른 기기들입니다.