테일즈

필독 사항	유닠스 계열	저작물, 성인물, 도박	웹 써버 보안	프로그래밍	그래핔	파싱
필독 사항	고스트BSD	표면 웹 싸이트 제작	리눅스 마스터	파이썬	트킨터	뷰티펄 숲
수학	아이투피	마약, 아청물, 해킹	웹 싸이트 보안	웹 프로그래밍	데이터 분석	게임 제작
통계학	뮤와이어	다크넽 싸이트 제작	정보 보안 기사	쟁고우	팬더즈	파이게임

개요

테일즈는 프라이버시와 익명성의 보호를 목적으로하는 Tor를 이용하는 라이브 운영 체제, 즉 설치하지 않고 쓰는 운영체제로, 데비안 기반의 자유 소프트웨어이다.

우분투나 페도라와 같은 일반적인 운영체제와는 다르게 테일즈 리눅스는 설치하지 않고 쓴다, 즉 USB나 DVD등에 구운 뒤 그대로 쓴다. 그리고 모든 트래픽은 Tor를 거친다는 강력한 특징을 가진다.

Tails는 기본적으로 여러가지 프로그램들을 내장하고 있다. Icedove 같은 이메일 프로그램도 있고 LibreOffice같은 오피스 프로그램도 있고 심지어 Pidgin과 같은 채팅 프로그램도 있다. 즉, 웬만한 건 다 할 수 있다.

USB나 SD 카드에 Tails Installer를 이용하여 설치한 경우, 암호화된 파티션을 쉽게 만들어 쓸 수 있다. 이 암호화된 파티션은 비밀번호를 이용하여 암호화되나 숨겨져 있지 않다.

야한 동영상/좋은 은폐 방법

기존의 야한 동영상/은폐와 탐지 문서는 추천할 만한 은폐방법과 영 좋지 못한 은폐방법을 가리지 않고 단순히 병렬식으로 나열하고 있었다. 그래서 일반인 입장에서는 그 문서를 읽으면 '참 재미있는 은폐방법이 많구나'라는 것은 알 수 있을지 몰라도 '그래서 구체적으로 어떻게 해야 야동을 제대로 은폐할 수 있을까' 하는 것은 도무지 알 수가 없었다.

갖가지 다종다양한 은폐방법을 소개하는 문서도 물론 있어야 하겠지만, 우수한 은폐방법만을 엄선하여 그 구체적인 실행방법과 기대효과를 친절하게 설명해 주는 문서도 하나 있으면 도움이 될 것이다. 이 문서는 바로 그러한 역할을 하는 문서이다.

물론 단순히 야한 동영상을 숨기기 위한 문서는 아니고, 기밀 등 중요한 자료를 개인 수준에서 최대한 잘 숨기는 데 사용할 수도 있는 다재다능한 방법을 제시하고 있다. 하지만 어떤 방법이든 100% 믿어서는 안된다. 특히 기업이나 국가 단위로 커질 경우, 이 방법을 권장하지는 않는다.

컴퓨터(데스크탑이나 노트북)로 성인물을 감상하는 경우, 가장 좋은 방어방법은 테일즈(Tails)를 이용하는 것으로 보인다.[[1]] 돈도 거의 들지 않고 난이도도 일반인이 쉽게 따라할 수 있을 정도로 쉽다. 그러면서도 상당히 높은 수준의 보안이 달성된다. 가성비가 좋은 방어방법이라고 할 수 있다.

스마트폰을 이용하는 경우에는 별도의 야동 전용 스마트폰을 마련해서 그 폰으로 다운 및 감상을 모두 해결하고 그 스마트폰을 물리적으로 잘 숨겨놓으면 된다. 그러면 컴퓨터에서 테일즈를 이용하는 것과 비슷한 수준의 방어력이 달성된다. 보안폴더 같은 것을 이용하는 방법도 있다.

--TrueCrypt를 쓰는 것은 상당히 안전한 방법이다. 왜냐하면 사법 기관인 브라질 경찰, 미국 FBI, 영국 NCA와 정보 기관인 미국 CIA, NSA, 영국 GCHQ 등에서도 TrueCrypt 암호화 해제에 실패하였기 때문이다.--TrueCrypt와 같은 암호화 프로그램 하나만 달랑 쓰는 것은 전혀 안전하지 않다. 물론 트루크립트 암호화를 직접 깨는 것은 현재 기술로는 FBI, CIA, NSA, GCHQ가 와도 불가능하다.[* 사실 FBI나 CIA는 암호화 해독을 전문으로 하는 기관이 아니다. FBI는 우리나라로 치면 경찰청에 불과하고, CIA는 HUMINT에 주력하는 첩보기관이다. 암호화 관련 전문기관은 아무래도 NSA.] 그건 분명한 사실이다. 하지만 아래 2번 항목에 친절하게 설명돼 있는 바와 같이, 파일 자체가 암호화돼 있다고 일이 다 해결되는 게 아니다. 예를 들어 윈도우, Mac OS, 우분투와 같은 운영체제는 야동을 감상하기 위해 트루크립트 컨테이너를 마운트했을 때 그 안에 있는 파일들의 정보, 또는 트루크립트로 암호화시키기 전에 가지고 있던 원본 파일에 관한 정보를 인덱싱할 수 있다.[* 맥의 경우, 터미널을 키고 qlmanage –r cache를 입력하면 미리보기 캐싱을 제거할 수 있다. [기사]에 따르면 이 미리보기 캐싱이 포렌식 주요 수단이라고 한다. 실제로 기사에서도 VeraCrypt를 이용해서 암호화한 내용물의 정보를 캐싱된 정보를 통해서 그 디스크가 마운트되지 않은 상태에서도 알 수 있었음을 보여주었다.] 또한 ISP나 로컬 네트워크 관리자는 내가 인터넷으로 야동을 다운받았다는 사실에 관한 로그기록을 보유하고 있으며, 이는 일단 다운받은 야동파일을 내 컴퓨터에서 사후적으로 트루크립트로 암호화시킨다고 해서 자동으로 지워지지 않는다(당연히!). 이런 상황에서는 야동파일 그 자체가 제아무리 단단하게 암호화돼 있다고 한들 아무 소용이 없다. 어쩌면 '보안이 유지되고 있다는 착각'(false sense of security)을 불러일으킬 위험마저도 있다. 웬만하면 아래에 설명된 것처럼 테일즈를 사용하는 것이 좋다.

기능들

Tails는 보안을 위한 몇가지 기능들을 갖춘다.

Persistence volume

위에서 말한 암호화된 파티션이다. Tails 운영체제 자체 내에서 만들 수 있고, 안전하게 지울 수도 있다. 부팅시 'Use persistence?' 옵션을 통해 기존 암호화된 파티션 사용 여부를 설정할 수 있다.

하지만 숨겨져 있지 않다는 단점이 있다. 따라서 해커에게 비밀번호가 유출되지 않도록 매우 주의해야 한다.

MAC 주소 스푸핑

MAC 주소를 그대로 사용하지 않고 무작위의 MAC 주소를 생성하여 사용하는 기술이다. 이는 네트워크 인터페이스의 식별자를 숨김으로써 식별되거나 추적되는 상황을 피할 수 있다.

대부분의 상황에서는 키는 게 가장 좋지만 사용을 지양해야 하는 몇가지 상황들이 있다. 몇가지를 꼽자면 공용 컴퓨터를 사용하는 경우, 하드웨어의 한계로 불가능한 경우, 네트워크에서 MAC 주소 인증을 사용하는 경우가 있다. 이중에서 첫번째는 왜 지양해야 하나면 공용 컴퓨터에서 스푸핑을 사용하면 오히려 네트워크 관리자가 보지 못했던 MAC 주소를 보고 수상하게 여길 수 있기 때문이다. 하지만 몇가지 지양해야 하는 경우만 제외하면 쓰는 게 이익이기 때문이기 기본적으로 스푸핑이 사용되도록 되어있다.

내장되어 있는 소프트웨어들

여러가지가 있다. KeePassX도 있고 GPG는 기본으로 있고 OpenPGP Applet도 있고 Tor Browser도 있고 LibreOffice도 있고 Icedove도 있고 Pidgin도 있고.... 웬만한 건 다 있다. 그러니 웬만하면 설치하지 말고 그냥 있으면 있는 거 쓰는 게 매우 안전하고 권장된다.

주의점

하드웨어 및 BIOS단에서의 감청은 막을 수 없습니다

예시를 들자면 키보드에 키로거가 달려 있다면 막을 수 없다. BIOS 펌웨어가 키보드 입력을 가로채도 막을 수 없다. 하드웨어 단에서의 감청은 막을 수 없다는 점을 유의하자.

비밀번호가 약하면 쓸모 없다

비밀번호가 passw0rd면 Tails 쓰나 Windows 10을 쓰나 차이가 없다. Tails 쓸거면 비밀번호도 좋은 걸 쓰자.

문서 등은 기본적으로 암호화되지 않는다.

위에서 말한 암호화된 파티션에 저장하는 경우를 제외하고 기본적으로 암호화되지 않으니 주의하자.

SanDisk USB에서 실행시 부팅 진행이 중간부터 되지 않는 경우

SanDisk USB는 이동식 디스크가 아닌 고정 디스크로 인식되게 되어 있어 생기는 오류이다. Live 메뉴가 뜨는 부팅때 재빠르게 Tab키를 누르고 live-media=removable를 지운 후 Enter키를 눌러 부팅을 진행하면 된다.

Threat model

공격자는 내 인터넷 사용기록을 열람할 수 있다고 가정한다. 주로 ISP, 원룸에 사는 경우 그 원룸 주인, 가족 등 동거인이 있는 경우 그 동거인 등이 여기에 해당할 것이다. 또한 공격자는 내 컴퓨터에 물리적으로 접근해서 컴퓨터를 조사할 수 있다고 가정한다. 주로 가족 등 동거인이나 집에 놀러온 친구 등이 여기에 해당할 것이다.

방어자가 목표하는 은폐의 정도는 크게 세 단계로 나누어 볼 수 있다.

1. 내가 야동을 보는 사람이라는 막연한 사실 자체는 알려져도 상관없고, 내가 정확히 언제언제 야동을 봤는지 그 시점 및 주기에 관한 역사적인 기록도 남들에게 노출돼도 상관없으며, 내가 사진이나 텍스트 매니아인지 아니면 동영상 매니아인지도 노출돼도 상관없다. 단지 야동이 남들에게 '직접적으로' 노출돼서 망신을 당하는 상황만 피하면 된다. 내가 구체적으로 '어떤' 야동을 봤는지(야동 제목 등), 어떤 취향을 갖고 있는지가 노출되는 상황도 피했으면 좋겠다.

-> 아래 '테일즈 사용방법' 항목의 내용을 참고하여 테일즈를 사용하면 해결된다.

2. 내가 야동을 보는 사람이라는 막연한 사실 자체는 알려져도 상관없다. 그러나 내가 정확히 언제언제 야동을 봤는지에 관한 기록은 노출되지 않았으면 좋겠다. 내가 사진이나 텍스트 매니아인지 아니면 동영상 매니아인지도 노출되지 않았으면 좋겠다.

-> 아래 '테일즈 사용방법' 항목의 내용을 참고하여 테일즈를 사용한다. 아래 '메타데이터의 문제' 항목의 내용도 참고한다.

3. 나에게 뭔가 숨길 것(야동)이 있다는 사실 그 자체를 포함하여 그야말로 '모든' 정보를 다 숨기고 싶다. 남들이 내 컴퓨터, 내 집, 내 인터넷 사용기록을 이 잡듯이 뒤져도, '쟤는 진짜 야동을 안 보는 사람이다' '쟤가 몰래 야동을 보고 있을 가능성은 전혀 없다' '쟤는 정말 아무것도 숨기는 것이 없다'라는 인상을 받았으면 좋겠다.

-> 이걸 달성하기는 매~우 어렵다. 완벽한 해법은 존재하지 않는다. 그래도 몇 가지 시도해 볼 수 있는 방법이 있기는 하다. 여기에 해당하는 사람이라면 일단 아무것도 하지 말고(테일즈 설치도 하지 말고[* 왜냐하면 테일즈를 설치했다는 사실 자체도 숨겨야 하기 때문.]) 이 문서를 끝까지 다 읽기만 해라. 그 다음에 구체적인 방법을 생각하면 된다.~~안 보면 된다~~

또 생각해 볼 점이 있다. 설령 '지금 시점부터' 이걸 아주 완벽하게 숨긴다 해도 '과거에' 내가 야동을 봤던 내역은 계속 남아 있다. 내 컴퓨터의 HDD/SSD에 남아 있는 내역은 하드를 깔끔하게 포맷하면 없어지기는 하지만, ISP, 검색엔진 회사, 광고회사를 비롯하여 다수의 IT 관련 기업들이 갖고 있는 내역은 없애기가 쉽지 않다.[* '남'이 갖고 있는 '데이터'는 완벽하게 없앤다는 게 본질적으로 불가능하다. 심지어 데이터의 삭제를 법으로 강제하더라도 불가능한 것은 마찬가지다. 데이터 보유자는 데이터를 암호화해 놓거나, 법집행기관이 쉽게 찾을 수 없는 곳에 데이터를 몰래 백업해 놓고서, 겉으로 드러나 있는 주 HDD에서만 삭제하고 '나 삭제했음!'이라고 거짓말할 수 있다. 설령 전자기록의 형태로 된 데이터를 전부 삭제하더라도, 인간은 그 데이터를 머리로 기억해 놨다가 나중에 다시 손으로 기록할 수 있다.] 당장 여러분이 나무위키에서 지금 이 문서를 열심히 읽고 있다는 사실도 기록으로 남는다. 그러면 목표 달성이 조금 곤란해지는 수가 있다. 가령 나의 과거 인터넷 이용내역을 쭉 들여다 볼 수 있는 공격자[* 대표적으로 ISP, 구글 등. 그러나 꼭 이런 초일류기업에만 한정되는 것은 아님.]가 있다고 하자. 기록을 보니, 특정 시점까지는 야동을 열심히 본 기록이 남아 있는데 특정 시점에 갑자기 나무위키에서 이 문서를 읽더니 그 시점부터 갑자기 야동에 관한 모든 흔적이 사라져 버렸다면, 공격자는 당연히 '얘는 나무위키에 나와 있는 지침을 따라서 야동의 흔적을 숨겼을 뿐 실제로는 계속해서 야동을 보고 있겠구나!'라고 생각할 것이다.

만약 이러한 류의 공격이 본인에게 위협이 된다면, 그럴싸한 커버 스토리를 만들어 냄으로써 대응을 시도해 볼 수도 있다.

테일즈가 좋은 이유

성인물을 탐지하려는 사람(이하 '공격자')은 성인물을 은폐하려는 위키러(이하 '방어자')의 취향을 크게 네 가지 경로를 통해 알아 낼 수 있다. (1) 파일 자체를 찾아낸다. (2) 파일을 저장하였거나 재생한 흔적('최근 본 문서' 목록, 윈도우 탐색기에서 자동으로 생성되는 썸네일 등)을 찾아낸다. (3) 파일을 다운받거나 스트리밍으로 보기 위해 어떤 사이트에 접속하였는지 등 인터넷 이용내역을 살펴본다. (4) 방어자가 성인물을 감상 중일 때 갑작스레 문을 열고 들이닥친다.

테일즈를 이용하면 이 네 가지 공격방법 모두에 대해 일정 수준의 이상의 방어력을 갖출 수 있다.

파일 자체가 숨겨짐

성인물이든 아니든, 어떠한 파일의 내용을 가장 쉽고 확실하게 숨기는 방법은 암호화를 하는 것이다. 암호화는 단순히 컴퓨터에 로그인 비밀번호를 설정하는 것과는 전혀 다르다.

가령 "The quick brown fox jumps over the lazy dog"이라는 내용의 텍스트 파일을 하드에 저장해 놓고, 윈도우에 로그인 비밀번호를 설정해 두었다고 하자. 이 경우 하드에는 "The quick brown fox jumps over the lazy dog"라는 문장이 그대로('평문으로') 남아 있기 때문에 공격자는 단순히 방어자의 컴퓨터 본체를 열고 하드를 뚝 떼어서 공격자 자신의 컴퓨터에 연결하거나 자신의 USB에 윈도우, 맥오에스, 리눅스 등을 설치해 와서 그 USB로 부팅하는 방법으로 하드의 내용을 손쉽게 들여다 볼 수 있다.

그러나 이 파일을 암호화시켜서 저장해 놓은 경우라면 다르다. 공격자가 하드를 뚝 떼어서 자기 컴퓨터에 연결하더라도 공격자는 "e3ceqAHKc69Pk4gFMNbkRLQTqLJRMePnXzL6QJg"와 같은 암호화된 데이터만 보게 될 따름이다. 이 암호화된 데이터를 "The quick brown fox jumps over the lazy dog"라는 평문(cleartext)으로 해석해 내기 위해서는 암호화에 사용된 암호화 키(encryption key)가 필요하다. 암호화 키란 곧 암호화를 시킬 때 암호화 프로그램에 입력하는 비밀번호를 말하는 것이라고 이해하면 된다.[* 구체적으로는 비밀번호를 PBKDF2, scrypt 등 key derivation function에 통과시켜서 나온 해쉬값을 가지고 keystore에 저장된 master key candidates를 복호화시킨 다음, 복호화된 master key를 가지고 실제 데이터를 복호화시키는 것. 하지만 유저 입장에서는 그냥 "비밀번호 = 암호화 키"라고 이해하면 충분하다.]

단순히 윈도우에 로그인 비밀번호만 설정해 놓았을 때와 달리, 파일을 암호화해 둔 경우에는 (방어자가 설정해 둔 비밀번호를 알지 못하는 한) 공격자가 그 파일을 해독하는 것은 불가능하다.

테일즈를 이용하면, 테일즈가 설치된 USB 안에 저장되는 파일은 자동으로 LUKS(Linux Unified Key Setup)로 암호화된다. USB 용량이 부족해 외장하드를 저장용으로 이용하는 경우에도 테일즈는 그 외장하드를 GUI에서 간편하게 LUKS로 암호화시킬 수 있는 옵션을 제공한다. 요컨대 테일즈는 암호화와 친하다. 구체적인 방법 설명은 아래로 미룬다.

파일의 흔적이 숨겨짐

파일을 암호화된 상태로 저장해 놓는다고 문제가 다 해결되는 것은 아니다. 공격자는 암호화된 파일 자체는 들여다 볼 수 없겠지만, '최근 본 문서' 목록에서 파일 이름을 알아낼 수도 있고, 탐색기가 자동으로 생성한 썸네일도 볼 수 있고, 브라우징 히스토리도 볼 수 있고, 윈도우가 파일 검색 속도를 올리기 위해 파일들을 인덱싱해놓은 자료도 볼 수 있다. 내가 본 성인물의 파일명과 썸네일, 그리고 내가 그 성인물을 다운받기 위해 들어간 웹페이지의 URL, 그 웹페이지에 접속한 시간 따위가 공격자에게 고스란히 노출된다면, 그 성인물의 구체적인 내용이 비밀로 남는다고 해 봐야 도대체 무슨 소용이겠는가?

흔히 '데이터보다 메타데이터가 더 중요하다'고 말하는 게 바로 이런 맥락에서다. 물론 이것도 케바케겠지만, 데이터 그 자체는 별 가치 없는 경우가 많다. 사실 파일명이 노출된 이상 그 파일의 '구체적인 내용'이 비밀로 남는다고 보기도 어렵다. 파일명을 아는 공격자는 인터넷에서 그 파일을 손쉽게 찾아 내용을 들여다볼 수 있을 것이기 때문.

여기에 대해서는 '썸네일이나 브라우징 히스토리도 어차피 C드라이브에 저장되는 거니까 C드라이브를 통째로 암호화해 버리면 해결되지 않나?'라는 의문이 제기될 수 있다. 실제로 야한 동영상/은폐와 탐지 문서의 '결론' 부분 작성자도 그러한 견해를 피력한 바 있다. 그러나 C드라이브를 통째로 암호화한다고 해도 이러한 리스크는 회피하기 어렵다. 윈도우의 BitLocker, 맥오에스의 FileVault, 리눅스의 LUKS 등 파티션 전체를 통째로 암호화하는(full-disk encryption) 기술들은 그 파티션이 마운트돼 있지 않은 상황에서만, 즉 C드라이브를 기준으로 본다면 '컴퓨터 전원이 완전히 꺼져 있는 상황에서만' 보호기능을 제공한다. 직접 C드라이브에 BitLocker 암호화를 걸어 보면 쉽게 알 수 있다. 컴퓨터가 완전히 꺼져 있는 상태에서는 BitLocker 비밀번호를 제대로 입력하지 못하면 하드에 저장된 내용을 볼 수 없지만, 일단 BitLocker 비밀번호를 제대로 한 번 입력하고 윈도우를 완전히 부팅시키고 나면 그 후로는 C드라이브에 있는 어떠한 파일이든 (따로 비밀번호를 입력하지 않아도) 그냥 바로 열리지 않는가? 풀 디스크 인크립션이란 그런 것이다. 컴퓨터를 항상 꺼 놓고 살 것이 아닌 이상, C드라이브에 풀 디스크 인크립션을 걸어 놓는 것은 근본적인 해결책이 되지 않는다. 게다가 각종 안티바이러스나 구글 크롬 등의 프로그램들은 주기적으로 C드라이브에 있는 파일들을 스캔해서 자기네 회사 서버로 보내기도 한다.

이러한 문제는 윈도우 대신 테일즈를 이용하면 간단히 해결된다. 테일즈는 USB에 설치되고 램(RAM)에서만 구동되기 때문에 하드에는 흔적을 남기지 않는다. 램은 휘발성 메모리이므로 성인물 시청을 마치고 컴퓨터를 끄면 램에 있던 흔적은 완전히 사라진다.

또한 테일즈는 그와 유사한 다른 은폐방법과 비교했을 때에도 몇 가지 이점을 가진다. 가령 성인물 전용 노트북을 마련해서 그 노트북에 풀 디스크 인크립션을 걸어 놓고, 성인물을 볼 때에만 노트북을 켜서 보는 방법을 생각해 보자. 이걸 하려면 일단 전용 노트북을 마련해야 하므로 돈이 많이 든다. 크기가 크므로 숨기거나 휴대하기도 불편하다. 또는 스틱 PC를 마련해서 필요할 때마다 TV에 꽂아 쓰는 방법도 생각해 보자. 스틱 PC는 그 조그만 하우징 안에 탑재된 저성능의 CPU를 이용하므로 속도가 느린 반면, 테일즈는 컴퓨터 본체에 탑재돼 있는 고성능 CPU를 이용하므로 웹페이지 로딩속도도 빠르고 고화질 영상도 원활하게 재생된다.

인터넷 이용내역이 숨겨짐

KT, SK, LG 등의 인터넷 회사(ISP)들은 이용자들이 자사의 인터넷망으로 몇 년 몇 월 며칠 몇 시 몇 분 몇 초에 어떤 사이트에 들어가서 무엇을 했는지를 세세하게 기록으로 남긴다. (본인 명의가 아닌) 가족 명의로 된 인터넷을 사용할 경우, 그 명의자인 가족이 ISP에 연락해서 인터넷 이용내역을 뽑아달라고 할 가능성이 존재한다. ISP뿐 아니라 인터넷에 접속하기 전에 거치는 각종 네트워크를 들여다 볼 수 있는 사람(가령 원룸에서 기본으로 제공하는 인터넷을 사용하는 경우 그 원룸 주인 및 같은 원룸에 사는 다른 세입자, 스타벅스 와이파이를 사용하는 경우 스타벅스 회사 및 같은 와이파이망에 접속해 있는 다른 손님, 집 공유기에 연결된 컴퓨터를 사용하는 경우 가족 구성원 중 그 공유기를 만질 줄 아는 사람 및 집 공유기 와이파이에 비번을 걸어놓지 않은 경우 그 와이파이에 접속해 있는 다른 사람)도 마음만 먹으면 아주 쉽게 이용자들의 인터넷 이용내역을 세세하게 기록할 수 있다.

한편, 웹사이트 운영회사들도 이용자들의 웹사이트 이용내역을 기록하는 것은 마찬가지다. 가령 구글에서 19금 관련 단어를 검색하면, 내가 그 날 그 시간에 구글에서 그 단어를 검색했다는 사실이 구글 서버에 영구히 기록으로 남는다. 만약 가족의 구글 아이디로 로그인된 상태에서 그렇게 했다면, 그 가족은 구글의 my activity 페이지에 들어가서 자신의 검색 기록을 조회하는 방법으로 그 사실을 손쉽게 알아 낼 수 있다.

인터넷 이용내역을 숨기는 도구로서 가장 흔히 쓰이는 것은 VPN이다. 그러나 VPN은 생각만큼 안전하지 않다. VPN는 인터넷 회사(ISP)가 내 인터넷 이용내역을 들여다보는 것을 막아 줄 뿐이다. 웹사이트 운영회사가 내 인터넷 이용내역을 들여다보는 것은 제아무리 VPN을 쓰더라도 피할 수 없다. 가령 VPN을 통해 구글에 접속해 19금 단어를 검색하더라도, 구글은 '내가'(browser fingerprinting을 통해) VPN을 거쳐 자사의 웹사이트에 접속하여 19금 단어를 검색했다는 사실을 알게 된다. 게다가 website fingerprinting이라는 것이 있기 때문에 VPN을 쓴다고 꼭 ISP로부터 안전해지는 것도 아니다. 가령 히토미 메인 페이지(https://hitomi.la)를 로딩할 때 브라우저가 패킷을 특정한 패턴으로 주고받는다는 사실이 알려져 있다고 하자. VPN을 쓰는 경우, ISP는 이용자가 자사의 DNS서버에 히토미의 도메인에 해당하는 IP주소가 어디인지 물어본다는 사실도 알 수 없고, 이용자가 히토미의 IP주소(79.124.59.206)에 접속하고 있다는 사실도 알 수 없지만, 그 대신 이용자가 VPN 서버와의 사이에 패킷을 특정한 패턴으로 주고받고 있다는 사실은 알 수 있다. 만약 이 패턴이 히토미 접속시 나타나는 패턴과 유사하다면, ISP는 '이 이용자가 VPN을 통해 히토미에 접속하였구나!'라고 추론할 수 있다.[* 그러니까 꼭 외국에 있는 VPN 서버 운영자의 협조가 있어야만 VPN 이용자를 추적(이른바 "역추적")할 수 있는 것은 아니다. 우리나라에 있는 ISP, IT기업들도 얼마든지 VPN 이용자를 추적해 낼 수 있다.]

VPN보다는 Tor[* 간혹 대문자로 TOR라고 표기하는 사람들이 있는데 잘못된 표기다.] Browser를 이용하는 것이 낫다. 토르[* 미국 본토 발음으로는 'door'를 '도어'라고 읽는 것과 똑같이 'Tor'도 '토어'라고 읽는다. 참고로 미국에서는 천둥의 신 토르(Thor)도 '토어'라고 읽는다.] 브라우저는 browser fingerprinting에 대한 약간의 방어능력이 갖추어져 있으므로, 토르 브라우저를 가지고 구글 검색을 하면 구글은 '어떤 익명의 토르 브라우저 이용자가' 그 검색을 했다는 사실은 알 수 있지만 '정확히 누가' 그 검색을 했는지는 쉽게 알 수 없다.

또한 토르는 그동안 website fingerprinting에 대해서도 VPN보다는 나은 방어능력을 보여 왔다.[* [[2]]] 웹사이트 핑거프린팅을 방어하기 위한 기능들이 계속 추가되는 중이기도 하다. 예를 들면 [[3]] 등. 테일즈에는 토르 브라우저가 기본으로 깔려 있다.

급습에 대한 대처능력이 뛰어남

테일즈로 비밀스러운 작업을 하던 중 갑자기 공격자(엄크)가 들이닥칠 경우, 컴퓨터에서 테일즈 USB를 뽑기만 하면 곧바로 모니터가 까매지고 컴퓨터가 종료된다. 컴퓨터 부품이나 테일즈 USB에 무리(?)가 갈까봐 걱정할 필요는 없다. 테일즈 개발사에서 공식적으로 인정하는 종료방법이다.

테일즈 사용방법

정확한 최신 정보를 원한다면 이 항목보다는 [공식 홈페이지]를 참조하는 것이 낫다. 하지만 테일즈 공식 홈피에는 한국어로 된 설명이 없으므로, 영어를 잘 하지 못한다면 나무위키의 이 항목을 주로 참조하는 수밖에 없을 것이다.

설치 및 세팅

1. 일단 USB가 필요하다. 용량은 16기가 이상을 권장한다. 용량이 크게 중요하지는 않다. USB의 용량이 크면 그만큼 USB 안에 더 많은 성인물을 저장할 수 있을 테지만(요즘은 128기가나 256기가짜리 USB도 저렴하게 구할 수 있다), USB의 용량이 작더라도 외장하드에 따로 보관하면 된다. 다만 외장하드를 사용하는 경우에는 동영상을 보려면 테일즈 USB + 외장하드 이렇게 총 2개의 디바이스를 컴퓨터에 꽂아야 하므로 약간 귀찮아지기는 한다. 128기가로 다 해결할 수 있는 사람이라면 그냥 128기가짜리 USB를 사서 테일즈를 깔자.

만약 (외장하드가 아닌) 테일즈 USB 자체에 성인물 등을 저장할 계획이라면, USB 3.0 이상으로 마련하는 것이 좋다. USB 2.0이든 USB 3.0이든 테일즈 부팅 시간은 별로 차이나지 않지만, 부팅이 이루어진 다음 탐색기에서 파일을 탐색할 때에는 확실히 3.0이 썸네일이 뜨는 속도라든가 반응속도 같은 것이 빠르다.

USB는 온라인으로 구입하는 것이 제일 싸다. 오프라인으로 구입하고 싶다면 교보문고를 추천한다. 모든 오프라인 판매점들 가운데 교보문고가 제일 싸다. 그래도 온라인보다는 비싸지만. 교보문고가 아닌 다른 판매점들(동네 문구점, 사무용품점, 편의점, 하이마트, 테크노마트, 용산 등)은 그야말로 바가지를 씌운다.

2. USB를 준비했다면 이제 테일즈 공식 홈페이지인 [[4]]에 들어가서 테일즈 ISO파일을 다운받고 설치방법에 대한 설명을 따라한다. 영어를 잘 하지 못하더라도 그림을 보면서 인터넷 검색질을 하면 대충 따라하는 데에는 무리가 없을 것이다.

3. 이제 그 Tails가 깔린 USB로 부팅한다. 구체적인 방법은 네이버 같은 데 'USB 부팅 방법' 따위로 검색하면 잘 나온다. 윈도우를 재설치할 줄 아는 사람이라면, 윈도우를 재설치할 때 윈도우 설치 USB로 부팅하는 것과 똑같이 하면 된다. 방금 부팅한 USB가 바로 우리가 앞으로 사용할 Tails USB이다.

4. 이제 Tails (이하 그냥 '테일즈')에서 persistence storage를 활성화시킬 차례다. Persistence storage는 테일즈 부팅 USB 안에 있는 하나의 파티션이다. 16기가짜리 USB에 테일즈(4.5기가 정도 차지)를 깔고 나면 11.5기가가 남지 않는가? 그 남는 공간에 데이터 파티션을 하나 만들어 둔 것이 persistence라고 이해하면 된다.

테일즈로 부팅한 다음, 좌측 상단의 Applications -> Tails -> configure persistent volume을 누른다. 그러면 비밀번호를 정하는 창이 뜬다. 앞으로 persistence storage 안에 저장되는 데이터는 그 비밀번호로 암호화된다. 비밀번호를 모르는 공격자는 데이터를 볼 수 없지만, 비밀번호를 아는 공격자는 (당연하게도) 데이터를 볼 수 있다.

비밀번호는 지금까지 쓰던 것 말고 새롭게 만드는 것이 좋다. 평소에 쓰던 비밀번호는 이미 가족, 친구 등이 (어떤 경로로든) 알고 있을 가능성이 높기 때문이다. 또한 당연하게도, 비밀번호는 강력해야 한다. 1Qaz2Wsx!같은 것은 영 좋지 않다.

기억하기도 쉽고 입력하기도 쉬우면서도 강력한 비밀번호를 어떻게 만들어야 하는지가 문제된다. 일반적으로, 기억 및 입력의 편의성과 비밀번호의 강력함은 서로 대척되는 관계에 있다. 1Qaz2Wsx!은 기억하기도 쉽고 입력하기도 쉽지만, 강력하지는 않다. (대문자, 소문자, 숫자, 특수문자가 모두 포함된 8자리 이상의 비밀번호라고 해서 반드시 강력한 것은 아니다!) 반대로 R:mU8uE2z1w.|HFr=y5{lrT/CS4h)A은 강력하지만, 기억하기도 어렵고 입력하기도 어렵다.

이러한 딜레마를 해결하는 방법이 있다. 서로 관련 없어 보이는 '단어' 6개 이상(물론 길면 길수록 안전하지만, 일반인이 아청물이 아닌 합법 성인물을 숨기는 용도로는 6개로도 충분하지 않을까 한다)을 골라 아무렇게나 배열함으로써 비밀번호를 만드는 것이다. 예를 들어 '종교사회학 광고주 갈매기 도미니카 공소시효 까막눈'을 통째로 비밀번호로 사용한다고 생각해 보자(비밀번호에 띄어쓰기를 포함해도 된다. 프로그램은 띄어쓰기도 하나의 문자로 인식한다). 기억하기도 쉽고 입력하기도 쉬우면서도 나름대로 강력하다. 단어를 선택할 땐 되도록이면 단어들 간에 서로 관련 없는, 그리고 나 자신과도 관련 없는 단어를 선택하는 것이 좋다. 예를 들어 '김영삼 김대중 노무현 이명박 박근혜 문재인'은 명목상으로는 6단어로 된 비밀번호이지만, 실질적으로는 랜덤하게 고른 6개의 단어에 비해 추측해 내기가 훨씬 쉬울 것임을 알 수 있다. 자기의 생년월일이나 출신학교나 출신동네 이름을 넣는다거나, 자기가 소중히 여기는 사람이나 동물이나 가치관의 이름을 넣는다거나, 자신의 직업상 자주 접하게 되는 개념 또는 사람의 이름을 넣는다거나 하는 것도 비밀번호의 추측가능성을 증대시키는 요인이 된다. 최대한 랜덤해 보이게 만드는 것이 좋다.

귀차니즘을 감수할 용의가 있다면 진짜로 랜덤하게 고르는 것이 더 좋다. 인간이 직접 고른 단어는 겉보기에는 랜덤해 보이더라도 실제로는 일정한 패턴이 있을 수 있고, 이러한 패턴은 요즘 한창 뜨는 빅데이터니 인공지능이니 하는 것에 의해 노출될 수 있다. 패턴이 노출되면 비밀번호를 추측해 내기도 그만큼 쉬워진다. 비밀번호를 랜덤하게 고르는 방법에는 여러 가지가 있을 수 있겠지만 일단 한 가지 예시를 들어 본다. 우선 국어사전을 하나 준비한다. 이제 테일즈에서 Applications -> KeePassX를 실행시키고 New Database를 클릭하여 아무 데이터베이스나 하나 만든다. Add entry에서 Gen을 클릭하여 패스워드 생성기를 열고, character types에서 영문자와 특수문자를 선택 해제하고 오로지 숫자만 선택되게 함으로써 pseudo-random한 길다란 숫자를 하나 만든다. 이 때 Exclude look-alike characters 옵션이 해제 돼 있어야 한다. 만약 그게 체크돼 있으면 1이 없는 숫자열이 생성된다. 아무튼 그렇게 만든 숫자의 첫 4개 자리를 읽어서 국어사전의 해당 페이지로 이동한다. 해당 페이지가 없으면 length를 조절하든지 하여 새로운 랜덤숫자를 만든다. 예를 들어 내가 가진 국어사전이 3157페이지까지 있다고 할 때, 랜덤숫자가 084559761875932875라면 845페이지로 이동하고, 621394264802798라면 내가 가진 사전에는 6213페이지가 없으므로 랜덤숫자를 새로 만든다. 그렇게 이동한 페이지에서 아무 단어나 골라 내 비밀번호의 첫 번째 단어로 활용한다. 2번째, 3번째, ..., 6번째 단어도 똑같은 방법으로 랜덤하게 골라 비밀번호를 완성한다. 만약 영어에 능숙하다면 국어사전 대신 영한사전(영어+한글)을 가지고 해도 좋다. 그러면 단어 슬롯 하나에 들어갈 수 있는 단어 후보의 수가 늘어나 비밀번호가 더 강력해진다. 마지막으로는 이렇게 랜덤하게 고른 단어에다가 자기 마음대로 조금씩 변형을 가하거나, 임의로 추가하고 싶은 단어를 추가한다. 자기가 마음대로 추가한 부분이므로 기억하기도 쉽고, 공격자 입장에서는 단순히 사전에 있는 단어뿐 아니라 그 변형물까지 고려해야 하기 때문에 공격이 더 어려워진다.

테일즈 좌측 상단의 Applications -> Favorites -> Text editor (윈도우의 메모장과 같은 기능)을 열면 다양한 비밀번호를 직접 쳐 보면서 고르거나 연습할 수 있다. 키보드로 한글을 입력하려면 우측 상단에 en 부분을 눌러 Korean을 선택한다. 그러면 이제 한영키로 한글과 영문을 자유롭게 왔다갔다 하면서 입력할 수 있다. 만약 한영키가 먹지 않는다면, 아까 그 en이 있던 부분(이제 A라고 돼 있을 것)을 눌러서 뜨는 메뉴에서 Setup을 눌러 IBusHangul Setup 창을 띄운다. 거기에서 Hangul toggle key에 Add를 누른 다음, 자기 키보드의 한영키를 타건하여 그 키를 Hangul toggle key의 하나로 등록한다. 그러면 이제 한영키가 먹을 것이다.

비밀번호를 확정했으면 그걸 종이에다가 펜으로 옮겨적어 놓고 지갑이나 어디 자기만 알 수 있는 곳에 보관한다. 새 비밀번호에 익숙해지기 전에 까먹거나 헷갈릴 수 있어서다. 새 비밀번호에 완전히 숙달되면 종이는 폐기하면 된다. 스마트폰 메모장에 적어 놓는 것도 나쁘지는 않지만, 스마트폰 메모장에 적은 내용은 클라우드(구글, 애플 등)에 동기화되는 경우가 많다는 데 유의해야 한다. 만약 구글이나 애플 또는 그들로부터 정보를 넘겨받을 수 있는 사람에게 내 비밀번호를 노출시키고 싶지 않다면 그냥 종이에 적도록 하자.

이제 그렇게 정한 비밀번호를 persistence storage의 비밀번호로 삼는다. 이 비밀번호는 오직 테일즈에만 사용하고, 일반 웹사이트에 회원가입하거나 할 땐 사용하지 않는 것을 추천한다.

비밀번호를 설정하고 확인 버튼을 누르면, 'specify the files that will be saved in the persistent volume'이라면서 Personal Data, GnuPG, SSH Client 등 다양한 것을 설정할 수 있는 창이 뜬다. 이 설정은 어차피 나중에 바꿀 수 있으니 지금은 크게 고민하지 않아도 된다. 일단은 Personal Data 및 Browser Bookmarks 이렇게 2개에 체크해 놓는 것을 추천한다.

윈도우, masOS와의 병용

윈도우로 들어가고 싶을 땐 테일즈 USB를 뺀 상태로 컴퓨터를 켜면 된다. 테일즈로 들어가고 싶을 땐 처음 설치할 때 했던 것처럼 테일즈 USB를 꽂은 상태로 컴퓨터를 켜면서 바이오스로 들어가서 부팅순서를 알맞게 바꿔 주면 된다.

맥북은 부팅할 때 키보드의 옵션(알트) 키를 누르고 있으면 뭘로 부팅할지 고르는 메뉴가 뜬다. 거기에서 원하는 것을 고르면 된다. 그런데 맥북은 희한하게도 그 부팅 디스크 고르는 창에서 테일즈를 선택하면 컴퓨터가 얼어 버리는 경우가 있다. 이럴 땐 전원 버튼을 길게 눌러 강제종료했다가 다시 시도하면 된다. 다시 시도해도 역시나 얼어 버리는 경우가 있는데, 이럴 땐 또다시 재시도하기를 몇 번 더 반복하면 결국은 된다. 상식(?)과는 달리, 전원버튼을 눌러 컴퓨터를 강제종료한다고 컴퓨터 부품에 무리(?)가 가거나 하지는 않으니 계속 반복적으로 이렇게 해도 된다.

시작 화면(Tails Greeter)

테일즈로 부팅하면 Welcome to Tails!라면서 이것저것 설정하는 창이 뜬다. Persistent storage의 비밀번호 입력하는 부분은 말 그대로 비밀번호를 입력하면 된다.나머지는 건드리지 않아도 된다.

비밀번호를 꼭 입력해야 하는 것은 아니다. 비밀번호를 입력하지 않고 테일즈를 부팅하는 것도 가능하기는 하다. 단, 이 경우에는 persistent storage에 있는 데이터에 접근할 수 없다. 그 데이터를 열어보려면 테일즈를 재부팅해서 비밀번호를 입력해 줘야 한다.

노트북과 테일즈의 호환성 문제

데스크탑 컴퓨터는 테일즈를 구동하는 데 아무 문제가 없는 경우가 대부분이다. 하지만 노트북은 알 수 없는 이유로 테일즈 부팅이 잘 안 되거나, 부팅은 정상적으로 되는데 키보드/와이파이/사운드 등의 드라이버를 못 잡아서 키보드가 안 먹거나 와이파이 접속이 안 되거나 소리가 안 나오거나 하는 경우가 있다. 부팅이 안 되거나 소리가 안 되는 경우에는 마땅한 해결책이 없다.

알려진 호환성 이슈에 관한 테일즈 공식사이트의 [[5]]도 참조하라.

한글 입력

키보드로 한글을 입력하려면 우측 상단에 en 부분을 눌러 Korean을 선택한다. 그러면 이제 한영키로 한글과 영문을 자유롭게 왔다갔다 하면서 입력할 수 있다. 만약 한영키가 먹지 않는다면, 아까 그 en이 있던 부분(이제 A로 바뀌어 있을 것)을 눌러서 뜨는 메뉴에서 Setup을 눌러 IBusHangul Setup 창을 띄운다. 거기에서 Hangul toggle key에 Add를 누른 다음, 자기 키보드의 한영키(또는 내가 한영키로 삼고 싶은 아무 키)를 타건하여 그 키를 Hangul toggle key의 하나로 등록한다. 이제 한영키가 먹을 것이다.

테일즈는 시스템 종료를 한 번 할 때마다 persistence에 저장돼 있는 것을 제외한 모든 것이 사라지고 초기화되는 특성을 가지고 있다. 설정파일도 초기화된다. 따라서 한글을 입력하려면 테일즈를 켤 때마다 매번 이렇게 해 줘야 한다.

웹서핑

테일즈에는 2가지 브라우저가 기본적으로 탑재되어 있다. 하나는 토어 브라우저이고 다른 하나는 Unsafe Browser이다. 특별한 사정이 없는 한 웬만하면 토르 브라우저로 웹서핑하는 것을 추천한다. Unsafe Browser로 웹서핑하는 것도 가능은 하지만, 그러면 토르나 VPN이나 프록시를 거치지 않은 그냥 생 인터넷 상태로 접속이 이루어지므로 19금 사이트 주소를 치자마자 warning.or.kr 페이지를 마주하게 될 것이다.

한편, 테일즈에 VPN을 깔아서 Unsafe Browser로 VPN을 통해 웹서핑을 하면 좋지 않겠냐고 생각하는 사람도 있을 수 있다. 토르는 속도가 느려서 답답하니까 속도가 빠른 VPN을 사용하겠다는 것이다. 나쁜 방법은 아니다. 하지만 앞서 언급한 바와 같이 테일즈는 한 번 껐다 켤 때마다 모든 설정이 초기화되므로 이걸 하려면 OpenVPN 클라이언트 설치를 비롯해 VPN 세팅도 매번 다시 해 줘야 한다.[* 단, 아래에서 설명할 VPN 공유기를 만든 다음 그 공유기에 유선 또는 무선으로 접속해서 Unsafe Browser를 사용하면 테일즈 상에서 따로 뭘 설정하지 않아도 자동으로 VPN을 통해서 접속이 된다.] 그리고 당연하게도 토르 브라우저를 쓸 때보다 익명성이 현저히 떨어지는 것은 감수해야 한다. 세 가지 측면에서 그렇다. (1) 접속하는 사이트(destination) 입장에서 봤을 때 더 눈에 띄는 유저가 된다. 토르 브라우저의 익명성은, 웹사이트 입장에서 봤을 때 모든 토르 브라우저 이용자들이 다 똑같아 보이게 함으로써 달성되는 것이다. Unsafe Browser를 가지고 VPN IP를 통해 접속하는 것은 이와 같은 '똑같아 보이는 성질'을 포기하는 것이다. (2) 내가 인터넷에 접속할 때 사용하는 ISP 입장에서는 내가 어떤 사이트에 방문하는지를 알아내기가 더 쉬워진다. 앞서 언급한 website fingerprinting 이슈다. (3) 나의 실제 신상정보와 내가 방문하는 사이트 정보를 동시에 아는 사람이 존재하게 된다. 토르 브라우저를 사용할 땐 '내 컴퓨터 - 노드1 - 노드2 - 노드3 - 목적지' 이런 식으로 3단계의 노드를 거치기 때문에 나의 신상정보 및 내가 어떤 사이트에 방문하고 있는지에 관한 정보를 동시에 아는 사람은 거의 존재하지 않게 된다. 하지만 VPN을 사용할 땐 '내 컴퓨터 - VPN - 목적지' 이런 식으로 되기 때문에 VPN 회사는 내가 어떤 사이트에 방문하는지를 손쉽게 알 수 있다. 설령 VPN 회사가 no-logs policy를 철저하게 지킨다 해도, VPN 회사에 서버를 렌트해 준 데이터센터 운영자, 그리고 그 데이터센터에 인터넷 접속을 제공하는 ISP는 당연히 로그를 보유하고 있다. 생각해 보자. 내가 내 컴퓨터에서 브라우징 히스토리를 완전히 삭제한다 해도, 내 ISP는 여전히 그 브라우징 히스토리를 보유하고 있지 않는가? VPN도 마찬가지다. VPN 회사가 자기네 VPN 서버에서 로그를 완전히 삭제한다 해도, 그 VPN 서버의 ISP (또는 데이터센터)는 로그를 여전히 보유하고 있는 것이다. 즉, VPN의 ISP는 내 실제 IP와 내가 접속하는 사이트의 IP(및 도메인[* VPN의 ISP는 목적지 웹사이트의 IP뿐만 아니라 도메인, 즉 주소도 알 수 있다. 설령 그 웹사이트에 HTTPS로 접속한다 해도, 그리고 VPN 회사가 자체 DNS를 운영한다 해도 마찬가지다.])을 동시에 로그기록으로 남길 수 있는 지위에 있다. 실제로 경찰은 no-logs policy로 운영되는 EarthVPN 이용자를, EarthVPN 서버가 위치한 데이터센터의 로그기록을 확보함으로써 추적해 낸 바 있다. 결론: 특별한 사정이 없다면 그냥 얌전히 토르 브라우저를 쓰자.

다만 2010년대 들어 또 고려해 봐야될 것이, 토르 브라우저를 사용하는 그 자체가 인터넷 검열, 그리고 국내,국제 정보기관 사찰/감시망의 타겟이 된다는 것이다.

딥웹 문서를 보면 알겠지만, 애초에 음지가 왜 음지겠는가. 그만큼 경찰이나 정보기관이 싫어할 만한 내용들이 아주 그득그득하다.[* 딥웹 세계에서 야동 같은 건 그냥 가벼운 경범죄 수준이고, 마약류 암거래나 불법 총기, 폭발물, 화학물질 제조방법,판매에 관한 내용 혹은 그런 내용으로 가장한 랜섬웨어, 컴퓨터 바이러스 유포용 사이트, 그다음에 반체제, 반정부성 사이트(뭐 다양한 부류가 있겠지만, 공산주의자들의 커뮤니티나 탈북자들의 커뮤니티, 天安門 天安门 法輪功 李洪志 Free Tibet 劉曉波 같은 부류들을 예시로 생각하면 되겠다.) 등이 있다고 한다.] 그러니 당연히 여러 기관의 어그로도 잔뜩 끈다. 물론 토르 브라우저가 딥웹에 접속하는 데만 사용되는 프로그램은 아니다. 하지만 야한 동영상의 은폐와는 관련없이, 딥웹에 접근하기 위해 쓰이는 가장 유명한 프로그램 중 하나고, 그만큼 전세계의 정보기관의 주목과 관심을 한몸에 다 받는 것이 Tor 네트워크 망이자 Tor 프로토콜이다.

그러므로 Tor 프로토콜를 이용하는 것 자체가 국정원이나 NSA같은 기관, 혹은 가볍게는 경찰청의 사이버범죄 관련 모니터링 부서, 혹은 황금방패같은 검열 프로토콜의 어그로를 왕창 끈다. 그러니까 쉽게 말해서 야동 하나 숨기려다가 국제적으로 사이버 위험요소, 위험분자로 찍히는 수가 있다는 소리다. 실제로 이러한 부분은 Tor(소프트웨어)문서에도 언급되어 있다.

물론 어디까지나 선택은 자유. 무시무시하게 적어놓긴 했지만, 이런저런 트래픽 감시나 메타데이터 수집, 빅데이터 분석 같은 여러 검열, 사찰 프로토콜에 당신의 익명(혹은 정보기관의 기술력에 따라 익명이 아닐 수도 있는) 트래픽이 포함된다는 것 뿐이며, 어디까지 감시/검열이 가능한 지는 알려지지 않았지만, 테러를 모의한다던지 하는 것이 아닌 어지간한 수준의 단순 Tor 브라우저 사용은 당장 집에 경찰이나 국정원 직원이 쳐들어온다던지 할 정도의 중대 사안은 아니기에, 여러 정보기관이나 검열기관의 관심거리가 될 순 있지만 딱 그정도(현실로 치면, 신원조회 or 사상검증 정도) 까지만의 리스크가 있다고 생각하면 되겠다.

다만, 주의할 점이라면, 중국 내에 체류하고 있으면서 Tor 브라우저를 사용하는 경우에는 바로 위의 내용을 다시 읽고 좀 더 깊게 고민할 필요가 있다. 중화인민공화국 정부는 황금방패를 위시한 자국의 인터넷 검열 프로토콜을 회피하려는 시도 그 자체를 범법행위로 규정하기 때문에, 일이 귀찮아질 수 있다. 물론 야동 싸이트 정도는 외국인이라면 가볍게는 구두 경고에서 심해봐야 강제 추방이나 재입국 금지 정도로 끝날 가능성이 높지만. 애초에 외국인 전용 회선 같은 경우엔 검열을 풀어주기도 한다. 단지 중국 현지인도 같이 쓰는 회선(ex: 동네 카페 Wi-Fi 혹은 PC방 등.) 이나 PC에서 쓰게 되면 공안이 찾아올 수도 있다는 거다.

만약 persistence를 설정할 때 북마크 부분에도 체크를 해 두었다면, 토르 브라우저의 북마크(즐겨찾기)는 테일즈를 껐다 켜도 그대로 남는다. 편리한 기능이니 적극 이용하자.

양파 아이콘에서 security settings를 눌러 보면 security slider라는 것이 나와서 보안 레벨을 3단계로 설정할 수 있다. 디폴트는 가장 낮은 레벨이다. 높은 레벨로 설정해 놓으면 보안성은 높아지지만 그 반대급부로 제대로 작동을 안 하는 사이트가 늘어난다. 웬만하면 그냥 낮은 레벨로 하는 것을 추천한다. (아니면 높은 레벨로 웹서핑을 하다가, 잘 작동하지 않는 사이트를 마주치면 그 때 가서 낮은 레벨로 바꾸고 새로고침을 해도 된다.) 앞서 언급한 바와 같이 테일즈를 껐다 켜면 모든 설정이 초기화되므로, 테일즈를 껐다 켜면 security slider도 자동으로 가장 낮은 레벨로 내려간다.

토르 브라우저의 속도가 느리다면 양파 아이콘에서 New Tor circuit for this site를 클릭하여 어떤 Tor node를 거쳐 갈지를 바꿔 보자. 속도가 느린 노드가 걸리면 느려지고, 속도가 빠른 노드가 걸리면 빨라진다. 요즘은 토르 네트워크의 속도가 예전보다 많이 빨라졌다.[* 이게 뭘 시사하는지에 대해서는 좀 생각해 볼 필요가 있다. 토르 네트워크의 속도가 빨라졌다는 것은 넓은 대역폭을 갖춘 토르 노드(서버)가 많아졌다는 뜻이다. 그런 노드를 지속적으로 운영하려면 많은 돈이 든다. 그 돈이 다 어디서 나왔을까? 토르 이용자를 감시하고자 하는 국가기관(e.g., three-letter agencies)들이 배후에 있을 가능성이 낮지 않다. 그러니까 토르 브라우저로도 아청물은 보지 마라. 토르를 사용하는 것만으로 국가기관보다 더 우위를 점할 수 있는 것이 결코 아니다.] 보통 200-1000 kB/s 정도 나오는 것 같다.

'어떤 ISP를 이용하는지' 및 '접속 시간대'도 토르 브라우저의 속도에 영향을 준다. 알 사람은 다 아는 사실이지만, KT의 초고속인터넷은 해외망이 잘 돼 있어서 해외 사이트로의 접속이 빠른 반면, SK의 초고속(?)인터넷은 해외망이 부실해서 해외 사이트로의 접속이 느리다(LG에 대해서는 사람마다 평이 갈리는 것 같다). 낮에는 해외망이 부실한 ISP를 쓰더라도 체감이 잘 안 되지만, 수많은 사람들이 해외망으로 몰리는 저녁 시간대가 되면 크게 체감된다. 그런데 토르 네트워크에 접속하려면 당연하게도 해외망을 거쳐야 한다. 결국, 토르 네트워크 자체는 빠른데 국내 통신사의 해외망이 병목(bottleneck)으로 작용하여 토르 브라우저의 속도가 느려진다. 사실 토르 유저의 대부분은 미국이나 유럽 등 서구권 사람들이고, 토르의 노드(node)들도 대부분 서구권 국가에 위치한다. 아직까지는 우리나라를 포함한 동아시아 국가들에는 토르를 쓰는 사람이 그리 많지 않다. 그럼에도 우리나라 기준으로 아침이나 낮(미국 기준으로 저녁 시간대)에는 토르가 빠르고 저녁(미국 기준으로 오전 시간대)에는 토르가 느린 이유가 무엇이겠는가? 해결방법은 (1) 테일즈를 재부팅하여 노드1이 위치한 국가를 바꿔 보거나(큰 도움은 안 되는 경우가 많지만, 약간은 도움이 될 수도 있다), (2) 아침~오후 시간대를 이용하거나, (3) ISP를 KT로 바꾸거나, (4) 집이 아닌 다른 곳(가령 모텔)에서 토르로 접속하면 된다. 모텔 객실에는 대부분 컴퓨터가 한두 개씩 있다. 물론 모텔에 가더라도 운 나쁘게 해외망이 부실한 ISP를 이용 중인 모텔을 골랐다면 돈만 날리는 꼴이 되겠지만. 참고로 해외망이 부실한 ISP의 경우, 요금제를 '기가인터넷'으로 업그레이드한다고 해서 저녁 시간대의 해외사이트 속도가 빨라지지는 않는다. 국내사이트에서의 다운로드 속도만 빨라질 뿐이다.

구글의 CAPTCHA를 이용하는 사이트에 토르 브라우저로 접속하면, 캡챠가 아예 문제를 풀 기회도 주지 않고 그냥 접속을 차단해 버리는 경우가 있다. 그럴 땐 New Tor circuit for this site를 눌러서 다시 시도하면 된다. 사이트마다 다르지만, 아주 여러 번 시도해야 하는 경우도 있다.

19금 사이트에 대한 접속을 차단하는 국가에 위치한 노드3이 걸릴 경우(노드1이나 노드2가 위치한 국가는 상관없다), 우리나라의 warning.or.kr에 해당하는 그 나라의 페이지가 뜨면서 사이트 접속이 안 되는 경우가 있다. http로 접속하면 워닝 페이지가 뜨고 https로 접속하면 그냥 접속이 실패한다. 그럴 땐 토르 브라우저를 껐다가 다시 켜서 새로운 node가 걸리기를 기대해 보자.

사이트별 Tor 브라우저와의 호환성

대부분의 성인 사이트는 토르 브라우저로 접속해도 정상적인 이용이 가능하지만, 토르 브라우저로 접속하면 제대로 작동이 안 되는 사이트도 간혹 있기는 하다. 시밀러 웹 기준 우리나라에서 가장 많이 방문하는 사이트 50위 안에 있는 성인 사이트들을 대상으로 2018년 5월에 토르 브라우저로 접속했을 때의 사용성을 조사해 보았다. 토르 브라우저의 security slider는 가장 낮음(standard)을 기준으로 하였다.

Xvideos: 정상. 스트리밍은 비회원으로도 볼 수 있지만 다운로드를 하려면 무료 회원가입이 필요하다. 회원가입은 익명으로 가능하다. 회원가입할 때 이메일 주소를 입력해야 하지만, 이메일 인증을 요구하지는 않으므로 그냥 아무렇게나 허위로 적어도 된다. 극소수의 토르 exit node를 블랙리스트에 올려 놨지만 New Tor circuit을 한 번 눌러 주면 대체로 해결된다.

Pornhub: 스트리밍은 정상, 회원가입이 필요한 기능들은 작동 안 함. 사이트 설명란에는 무료 회원가입을 하면 다운로드가 가능하다고 쓰여 있는데 왠지 토르 브라우저로는 안 되는 것 같다. 회원가입시 이메일 인증을 요구한다. Gurrilla Mail 및 Mailinator 이메일 주소로는 가입이 불가능하다. Emailondeck 및 Tutanota 이메일 주소로는 일단 가입은 된다. 그런데 이메일 인증을 마쳐도 다운로드가 안 된다. 한 번 로그아웃하면 다시 로그인도 안 된다. (대신 유튜브 동영상 다운로더같은걸 쓰면 된다... 근데 이건... 토르 대역폭 잡아먹지 말란 말이다!)

Hitomi.la: 정상. 웹에서 바로 보기, 다운로드 등 모든 기능을 정상적으로 이용 가능하다.

xHamster: 정상. 회원가입시 이메일 주소를 요구하나, 이메일을 인증할 필요는 없으므로 아무렇게나 허위로 적어도 된다.

익명으로 회원가입 하기

성인 사이트에 '실명으로' 회원가입을 하기는 조금 꺼려지는 것이 사실이다. 할 수만 있다면 누구나 익명으로 가입하고 싶을 것이다. 그런데 생각을 해 보자. 꼭 '정식으로' 실명인증 절차를 거치지 않더라도, 내가 항상 쓰는 아이디, 항상 쓰는 비밀번호, 항상 쓰는 이메일을 이용해 회원가입을 하면 그게 곧 실명으로 가입하는 거나 마찬가지가 아니겠는가? 가령 내 아이디와 이메일을 아는 친구가 장난 삼아 유명 성인 사이트에 들어가 '비밀번호 찾기'에서 그 아이디와 이메일을 입력한다고 해 보자. '해당 이메일 주소와 일치하는 회원이 없습니다'라는 메시지가 뜨는 대신, '해당 이메일 주소로 임시 비밀번호가 발급되었습니다'같은 메시지가 뜬다면, 내가 그 사이트에 가입했다는 사실이 친구에게 걸린 것이다. 또는 성인 사이트가 해킹을 당해 가입자의 아이디와 이메일 주소를 포함한 계정들의 리스트가 대중들에게 노출될 수도 있다.

요컨대 꼭 실명인증을 하지 않더라도, 내가 항상 쓰는 아이디와 비밀번호와 이메일 주소 등으로 가입한다면 그건 실질적으로 실명 가입이나 마찬가지다.

아래에서는 익명으로 회원가입하는 방법에 대해 알아본다. 이렇게 한다고 완벽한 익명성이 보장되는 것은 전혀 아니지만, 그래도 종전보다는 익명성을 한 단계 업그레이드할 수 있다.

KeePassX의 사용

우선, 이메일을 인증할 필요 없이 그냥 아이디와 비밀번호를 설정하는 것만으로 회원가입이 완료되는 사이트(예를 들어 Xvideos, xHamster 등)에 가입한다고 가정해 보자. 아이디와 비밀번호를 지금까지 쓰던 것과 완전히 다르게 만들면서도 그걸 일일이 기억하려면 부담스럽다. 다행히 테일즈에는 윈도우용 KeePass라는 패스워드 매니저와 유사한 리눅스용 프로그램인 KeePassX가 기본으로 탑재되어 있다. Applications -> KeePassX (이하 '키패스')를 실행시켜 보자. 키패스 메뉴에서 Database -> New database를 눌러 새로운 데이터베이스 파일을 만든다. 데이터베이스 비밀번호를 설정하는 창이 뜨는데, 앞으로 이 데이터베이스에 저장할 아이디/비밀번호 내역들이 지금 설정하는 데이터베이스 비밀번호로 암호화된다고 생각하면 된다. 이 데이터베이스 파일을 어디 드랍박스 같은 데 올릴 계획이 아니라면, 지금 이 데이터베이스 비밀번호는 굳이 강력하게 만들 필요가 없다. 그냥 1234 정도로 지정해도 충분하다. 어차피 테일즈 persistence에 저장되는 모든 파일은 LUKS로 암호화되기 때문이다.

비밀번호를 설정했으면, Database -> Save database를 눌러 방금 만든 데이터베이스를 파일 형태로 저장하되, persistence 폴더 안에 저장한다(persistence 밖에 저장하면 테일즈를 종료하는 순간 날라가므로). 파일 이름은 아무렇게나 해도 상관없지만, 편의상 keepassx.kdbx라고 저장하면 좋다.

이제 Entries -> Add new entry를 누른다. (나중에 실제로 키패스를 사용할 땐 이렇게 일일이 메뉴를 들어가서 누르기보다는 금색 열쇠모양 아이콘이나 Ctrl + N이라는 단축키를 더 자주 사용하게 될 테지만, 여기에서는 설명의 편의상 그냥 메뉴를 가지고 설명한다.) Title에는 가입할 사이트의 이름을, Username에는 그 사이트의 아이디를, Password에는 그 사이트의 비밀번호를, Repeat에는 똑같은 비밀번호를, URL에는 그 사이트의 주소를 적으면 된다. 지금은 시험 삼아 그냥 각각의 항목에 키보드로 아무거나 입력하고 OK를 눌러 보자. 그러면 방금 만든 entry가 리스트에 추가돼 있는 모습을 볼 수 있을 것이다.

이제 변경내용을 저장하고 프로그램을 닫을 차례다. 창을 닫기 전에, Tools -> Settings로 들어가 Automatically save after every change에 체크가 돼 있는지 확인해 보자. 만약 거기에 체크가 돼 있다면 변경내용은 이미 자동으로 저장되어 있으므로 따로 뭘 할 필요 없이 창을 닫아도 상관없다. 만약 체크가 되어 있지 않다면, 수동으로 체크를 해 주고 Ctrl + S를 눌러 저장을 하고 창을 닫으면 된다.

한편, 키패스에는 '비밀번호 생성기'라는 유용한 기능이 있다. (꼭 키패스가 아니라도 password manager라면 다들 갖추고 있는 기능이다.) Entries -> Add new entry를 눌러 보자. Repeat 항목 옆에 Gen.이라는 버튼이 보일 것이다. 그걸 누르면 랜덤한 비밀번호가 하나 생성된다. Exclude look-alike characters 및 Ensure that the password contains characters from every group 항목은 특별한 사정이 없는 한 체크하지 '않는' 것이 좋다. 그래야 더 강력한 비밀번호가 생성된다. '이 비밀번호를 어떻게 키보드로 치나' 하는 걱정은 하지 않아도 좋다. 어차피 복붙으로 입력할 것이다. 생성된 비밀번호가 마음에 들면 아래에 있는 Accept 버튼을 누르면 된다.

키패스 프로그램 사용법을 다 익혔으니 이제 실제 회원가입 상황을 상정해 보자. 우선 아이디를 정해야 할 텐데, 아이디도 직접 정하는 것보다는 방금 말한 비밀번호 생성기를 이용해서 랜덤하게 생성시키는 것이 더 간편하고 좋다. 아이디에는 특수문자를 허용하지 않는 사이트들이 많으므로, Character types에서 A-Z, a-z, 0-9만 선택하고 /*-_...는 선택하지 않은 상태로 적당한 길이의 문자열이 생성되도록 한 후, 그 문자열을 복사해서 위 Username 부분에 붙여넣기 한다. 아이디를 정했으니 이제는 비밀번호를 정할 차례다. 사이트마다 비밀번호 글자수 제한이 다른데, 웬만하면 사이트가 허용하는 한도 내에서 최대한 길게 만드는 것이 좋다. 12자 제한인 곳이라면 12자, 20자 제한인 곳이면 20자로 만드는 식으로. 무제한인 곳이라면 한 16자 정도로 하면 무난할 듯하다. 겉으로는 무제한인 것처럼 보이지만 실제로는 유저 몰래 16자 제한을 걸어 둔 곳이 많아서 그렇다. 비밀번호도 정했으면 Title과 URL을 입력하고 OK를 눌러 저장한다.

이제 가입하고자 하는 사이트의 회원가입 페이지로 들어가 본다. 요즘은 회원가입 페이지에 구글 캡챠 (I'm not a robot에 체크하고 그림문제 푸는 것)를 걸어 놓은 사이트가 많다. 아이디/비밀번호를 치기 전에 캡챠 먼저 푸는 것을 추천한다. 만약 구글이 캡챠를 풀 기회도 주지 않고 차단해 버리면 New Tor circuit for this site 버튼을 누르고 다시 시도해 본다. 캡챠를 풀었으면 Entries -> Copy username을 누른 후 사이트의 '아이디' 부분에 붙여넣기하고, Entries -> Copy password을 누른 후 사이트의 '비밀번호' 부분에 붙여넣기하여 회원가입을 완료한다.

나중에 로그인할 때에도 같은 방법으로 아이디, 비밀번호를 복붙하면 된다. 그런데 간혹 회원가입시 설정한 아이디, 비밀번호를 정확히 복붙했는데도 '비밀번호가 틀렸습니다'라는 메시지가 나오는 경우가 있다. 이 문제는 주로 그 사이트에 비밀번호 글자수 제한이 '숨겨져' 있었던 경우에 발생한다. 회원가입할 때 키패스로 한 30자리 비밀번호를 만들어서 입력할 땐 아무런 에러 메시지도 뜨지 않고 정상적으로 회원가입이 완료됐지만, 실제로는 사이트가 유저 모르게 그 30자리 중 맨 앞 16자리까지만 비밀번호로 삼고 뒤에 있는 나머지 14자리는 그냥 짤라 버린 경우이다. 이 경우 키패스에 저장돼 있는 30자리 비밀번호 중 앞 16자리만 복붙해서 로그인을 시도하면 정상적으로 로그인이 된다. 문제는 이 사이트가 앞 16자리를 사용했는지 12자리를 사용했는지 20자리를 사용했는지 어디 정확히 나와 있는 데가 없다는 것이다. 보통 16, 20, 12인 경우가 많으니 차례로 시도해 보자. 그래도 안 되면 '비밀번호 찾기'를 하거나, 12자 정도의 짧은 비밀번호로 재가입해 보자.

사족: KeePassX의 랜덤 패스워드 생성기능을 사용하면 실수로 인해 익명성이 깨질 위험을 낮출 수 있다. 토르 브라우저를 이용해 익명으로 회원가입을 하면서 본인이 머리로 직접 만들어낸 아이디와 비밀번호를 사용하는 경우, 토르 브라우저를 사용하지 않는 '실명상태'에서 그 사이트에 그 아이디와 비밀번호로 로그인하는 것이 가능해진다. 한 번이라도 그렇게 로그인하는 순간 익명성은 깨진다. 지금까지 그 익명(?) 아이디로 한 모든 활동 내역이 이제 실명 상태인 나에게 귀속되는 것이다. 반면, 랜덤 아이디/비밀번호를 만들어서 테일즈 키패스에만 저장해 놓고 항상 복사-붙여넣기로만 로그인하는 경우에는 그런 실수를 할 가능성이 아예 없어진다.

이메일 인증이 필요한 경우

회원가입시 이메일 인증을 요구하는 사이트들이 많다. 따라서 이런 사이트에 익명으로 회원가입을 하려면 먼저 새로운 이메일 주소부터 만들어야 한다. 그런데 익명으로 회원가입을 받아주는 이메일 서비스는 생각보다 찾기 힘들다. 네이버나 다음 등 국내 서비스는 물론 지메일과 야후 메일도 가입할 때 휴대폰 인증을 요구한다. 아니면 최소한 다른 이메일 주소를 인증할 것을 요구한다. 여기에 대해서는 두 가지 방법으로 대처할 수 있다.

하나는 그냥 지메일 등의 서비스에 실명으로 새로 가입하는 것이다. 예를 들어 지메일에서 휴대폰 인증을 거쳐 asdzxc556@gmail.com이라는 메일주소를 새로 만들었다고 하자. 이 때, 그 메일주소가 '나'의 것이라는 사실을 아는 사람은 구글뿐이다. 가족이나 친구도 모르고, 그 이메일 주소로 가입을 받아 준 성인 사이트도 모른다. 휴대폰 통신사는 구글에서 보낸 인증코드 문자내역을 들여다볼 수 있으므로 내가 그 시점에 지메일에서 새로운 메일계정을 하나 만들었다는 사실을 알지만, 내가 만든 계정이 정확히 'asdzxc556'이라는 사실은 모른다. 물론 구글로부터 직접 정보를 넘겨받을 수 있는 사람(가령 수사기관)은 그게 내 메일주소라는 사실을 알지만, 우리는 아청물을 볼 것도 아니고 성인물을 토렌트로 다운받을 것도 아니니(토렌트로 다운받으면 유포죄로 잡혀갈 수 있다) 큰 상관은 없다.

다른 하나는 익명으로 가입을 받아 주는 무료 이메일 서비스를 찾아내는 것이다. 익명으로 사용할 수 있는 임시 이메일을 발급해 주는 곳으로는 [Mail], [[6]], [On Deck] 정도를 꼽을 수 있다. 정식으로 장기간 사용할 만한 메일은 아니지만, 회원가입시 이메일 인증메일 1개 정도를 받는 용도로는 적합하다. 게릴라메일이나 메일리네이터는 워낙 유명한 서비스라 그 메일주소를 입력하면 가입을 거절하는 사이트들이 많다. 이메일온덱은 게릴라메일이나 메일리네이터에 비해 가입을 거절당할 확률이 훨씬 낮다. 되도록이면 이메일온덱을 이용하는 것이 좋다.

원래 임시 이메일로 쓰라고 나온 건 아닌데 실질적으로 임시 이메일처럼 쓸 수 있는 서비스로는 [[7]]이 있다. 캡챠만 풀면 익명으로 회원가입 가능하며, 체험판 명목으로 무료로 7일 동안 사용할 수 있다. 계속 사용하려면 유료결제를 해야 한다.

만약 익명으로 무료로 가입할 수 있으면서도 지메일처럼 장기간 안정적으로 사용할 수 있는 이메일을 찾는다면 Tutanota,[* 계정 생성하는 데 매우 오래 걸린다. 그리고 토르 브라우저를 통해 익명으로 가입한 경우 계정이 생성은 되지만 스팸방지 명목으로 사용불가 처리가 되는 경우가 종종 있다.] [[8]], 오픈메일박스, 아웃룩[* Outlook.com은 대기업 이메일로서는 특이하게도 토르 브라우저를 통한 익명가입을 받아 준다. 단, 이메일 사이트의 익명가입 유저에 대한 정책은 수시로 바뀐다. 나무위키에 적힌 내용이 지금 현재도 들어맞지는 않을 수도 있다. 또한 가입은 무사히 되더라도, 계속 토르 브라우저로 접속하면 사후적으로 막힐 수도 있다. 거기까지는 테스트해 보지 못했다.]이 좋다. 가입 과정에서 구글 캡챠를 풀어야 하기는 하지만, 그 밖에 다른 이메일 주소 인증이나 휴대폰 번호 인증을 요구하지는 않는다. 토르 브라우저만 가지고 순수하게 익명으로 가입이 가능하다. 물론 여기에 가입할 때 사용하는 아이디/비밀번호는 평소 쓰던 것과 전혀 다르게 만들어야 하며, KeePassX에 등록해 놓음으로써 까먹지 않도록 해야 한다.

프로톤메일은 익명으로 가입하려면 좀 복잡하다. 그냥 생 아이피를 노출시키면서 가입을 시도하거나, 토르 브라우저가 아닌 일반 VPN을 이용해서 가입을 시도하면 따로 개인정보를 제공하지 않고 구글 캡챠만 풀어도 쉽게 가입이 가능하다. 하지만 생 아이피를 그대로 노출시키면서 가입하는 것은 물론, VPN을 이용해서 가입하는 것도 익명가입이라고 할 수 없다.[* VPN은 애초에 (목적지 웹사이트에 대한) 익명성 유지를 위해 만들어진 도구가 아니다.] 토르 브라우저로 접속해서 가입을 시도하면 운 나쁜 경우에는 휴대폰 인증 또는 신용카드 인증만 가능하고(당연히 휴대폰이나 신용카드 인증을 하는 순간 토르로 접속했든 어떻든 상관없이 실명으로 가입하는 것이 된다), 운 좋은 경우에는 이메일 인증도 가능하다. 이메일 인증이 열려 있는 경우에는 익명으로 가입할 수 있다. 먼저 프로톤메일이 아닌 다른 서비스(아웃룩 등)에서 익명으로 이메일주소를 하나 만든 다음, 프로톤메일 가입할 때 그 이메일주소를 인증용으로 활용하면 된다.

혹은 또 다른 방법으로는 프로톤메일에 그냥 생 아이피를 그대로 노출시키며 가입하되, 접속 위치를 자신의 거주권과 동떨어진 곳으로 바꿈으로써 해결할 수 있다. LTE 네트워크로 접속된 기기의 ip는 LAN과 다르게 모바일 기기의 특성상 길어도 몇 시간~몇 일 정도면 바뀌며 ip 대역대가 지역 기지국 단위로 나뉘어 있으므로, 모바일 네트워크의 경우 ip는 노출했지만 실질적으로는 가벼운 익명성이 있다고 볼 수도 있다. 나무위키에서도 모바일 네트워크의 특정 불량 사용자를 추적하는 것은 불가능해서, LTE나 3G 네트워크를 사용해서 반달하는 것을 막기 위해 LTE나 3G네트워크 자체를 광대역 차단하는 것을 보면 알 수 있다. 예를 들어 서울 주민이라면, KTX를 타고 당일치기 여행삼아 부산 같은 데에 가서 스마트폰으로 프로톤메일에 회원 가입을 하고, 다시 상경해서 테일즈 시스템 부팅해서 토어 브라우저로 프로톤 메일 로그인 하고 할 거 하면 된다. 물론 상대가 NSA나 국정원, 경찰 같은 정보기관, 수사기관이라면 ip 대역대를 훑어서 해당되는 기지국을 찾아낸 다음에, ISP의 접속 로그와 접속 장소와 당신 거주지 주변의 CCTV, 코레일의 열차 승차권 발권 기록(기차 탈 때 카드 긁었으면 여기서 바로 GG. 수사기관이 나서면 주소는 물론 당신 주민번호까지 여기서 다 까발려진다.) 등까지 싸그리 털어서 당신을 잡아내겠지만, 아청물 같은 것이나 사제총기 제작 도면 따위를 볼 게 아니고, 소지나 단순 다운로드는 합법적인 일반 야동을 볼 거라면 상관없는 문제다.

익명성 유지와 관련해서 유의할 점이 하나 있다. 만약 사이트1에서 활동하는 사람과 사이트2에서 활동하는 사람이 동일인이라는 사실을 남들에게 노출시키고 싶지 않다면, 사이트1에 가입할 때 사용하는 이메일과 사이트2에 가입할 때 사용하는 이메일을 다르게 해야 한다. 이메일 서비스에 익명으로 2번 가입해야 하는 것이다.

다운받은 파일 persistence에 보관하기

(윈도우 토르 브라우저로 파일을 다운받을 때와 달리) 테일즈 토르 브라우저로 파일을 다운받을 땐 다운경로를 마음대로 지정할 수 없다. 테일즈 토르 브라우저가 접근 가능한 폴더는 amnesia의 Tor Browser 폴더, 그리고 persistence의 Tor Browser 폴더 이렇게 2개뿐이다. 물론 일단 다운이 완료된 후에는 탐색기에서 아무 폴더로나 자유롭게 이동, 복사 가능하다.

Persistence에 있는 파일을 제외한 다른 모든 것은 테일즈를 종료하는 순간 전부 날아가므로, 다운받은 파일을 장기간 보관하고 싶다면 persistence로 옮겨 줘야 한다. (처음부터 persistence에 있는 Tor Browser 폴더에 다운받은 경우에는 굳이 옮기지 않고 그대로 두어도 계속 남는다.)

외장하드 이용하기

테일즈로 부팅된 상태에서 외장하드, 외장SSD, 테일즈 USB가 아닌 다른 그냥 USB 메모리 등(이하 그냥 외장하드라고 통칭)을 컴퓨터에 꽂으면 테일즈가 자동으로 인식한다. 그 외장하드에도 자유롭게 파일을 옮겨 담을 수 있다. 윈도우에서 외장하드 연결해서 쓰는 것과 똑같다.

그러나 암호화되지 않은 상태의 외장하드에 파일을 옮겨담으면, 그 파일은 (당연하게도) 암호화되지 않은 상태로 외장하드에 들어간다. 이것도 윈도우에서 외장하드 연결해서 쓰는 것과 똑같다. 공격자는 그 외장하드를 자기 컴퓨터에 꽂기만 하면 안에 든 파일을 다 열어볼 수 있다.

따라서 외장하드에 파일을 보관하고자 하는 경우에는 먼저 그 외장하드를 암호화부터 해 놓아야 한다. 구체적인 방법은 다음과 같다. (1) 외장하드에 기존에 들어있던 파일 중 보관할 가치가 있는 것들을 어디 다른 데다가 백업해 놓는다. (2) 테일즈로 부팅하고, 외장하드를 컴퓨터에 연결한다. (3) Applications -> Utilities -> Disks로 들어가서 왼쪽에 있는 디바이스 목록에서 그 외장하드에 해당하는 디바이스를 선택한다. 디바이스 이름, 용량 등을 보고 판단하면 된다. (4) 우측 상단에 가로줄 3개 모양 아이콘을 눌러서 Format Disk를 선택한다. 위에 거는 Don't overwrite existing data (Quick), 아래 거는 Compatible with modern systems and hard disks > 2TB (GPT)를 선택한다. 이제 창 중간쯤에 있는 +모양 아이콘을 누른다. 그러면 Create Partition이라는 창이 뜨는데, Erase는 'Don't overwrite existing data (Quick)', Type은 'Encrypted, compatible with Linux systems (LUKS + Ext4)', Name은 그 외장하드의 이름으로 삼고 싶은 단어 아무거나 입력, Passphrase는 그 외장하드를 암호화시킬 비밀번호(테일즈의 persistent storage를 만들 때 썼던 비밀번호와 똑같은 비밀번호로 하는 것을 추천한다)를 입력한다. 지금 이 passphrase로 설정한 비밀번호를 아는 사람은 그 외장하드의 내용을 쉽게 들여다볼 수 있다는 점에 유의하라.

끝났으면 이제 그 외장하드에 자유롭게 파일을 넣으면 된다. 테일즈로 부팅한 상태에서 그 외장하드를 꽂으면 비밀번호를 입력하라는 창이 뜰 것이다. 거기에 비밀번호를 넣으면 외장하드의 내용을 읽을 수 있다. LUKS + Ext4는 리눅스 전용 파일시스템이기 때문에, 윈도우로 부팅한 상태에서는 (별도의 프로그램을 깔지 않는 한) 외장하드의 내용을 읽을 수 없다.

이 외장하드는 되도록이면 테일즈 전용으로 쓰도록 하자. 이 외장하드의 내용을 테일즈가 아닌 다른 리눅스 운영체제에서 읽거나, 윈도우에서 별도의 프로그램을 깔아서 읽는 것은 가능하기는 하다. 그러나 추천하지는 않는다. 외장하드 안에 있는 파일들의 흔적이 그 운영체제 곳곳에 남을 수 있기 때문이다(썸네일 등). 테일즈로 부팅한 상태에서만 외장하드를 연결하는 것이 좋다.

토렌트

테일즈에서 토렌트를 돌리는 것은 권장되지 않는다. 애초에 토르 망 위에서 토렌트를 돌리는 행위 자체가 민폐중의 상 민폐고 또 그런다고 해서 당신의 익명성이 확실하게 보장되는 것도 아니다. 토렌트를 이용하려면 테일즈가 아닌 다른 방법을 찾는 것이 좋다. 개인적으로는 그냥 토렌트를 포기하고 스트리밍으로 보거나 사이트에서 직접 다운받는 것을 추천한다.

사용 후

테일즈 USB를 뽑는다. 테일즈 USB가 꽂혀 있는 상태로 윈도우로 부팅하거나, 윈도우로 부팅된 상태에서 테일즈 USB를 꽂는 것은 되도록이면 피하는 것이 좋다.

테일즈에 대한 공격방법

테일즈를 이용하면 '사후적인' '로컬 포렌식 공격'에 대해서는 상당히 높은 수준의 방어가 가능하다. 즉, 방어자가 '과거에' 테일즈를 가지고 어떤 동영상을 감상했는지를 단순한 포렌식 공격자가 사후적으로 알아내기는 어렵다. 설령 공격자가 컴퓨터 보안 전문가라고 해도 마찬가지다.

하드웨어, 펌웨어 공격

그러나 테일즈를 이용한다고 해도 '사전적인' 공격에 대해서는 방어하기 어렵다. 즉, 공격자는 방어자가 테일즈를 쓴다는 사실을 알아내고서는, 예컨대 방어자의 컴퓨터에 물리적으로 접근해 키로거 기타 공격장비를 설치하거나 메인보드의 바이오스 업데이트 기능을 이용하여 조작된 바이오스를 설치함으로써[* 바이오스 업데이트 과정에서 signature verification이 이루어지지 않는다는 전제 하에.] '그 시점 이후로' 방어자가 테일즈를 이용해 어떤 동영상을 감상하는지를 알아낼 수는 있다. 물론 이건 이른바 '해킹'의 범주에 들어간다. 공격자가 컴맹이라면 굳이 이런 것까지 걱정할 필요는 없다.

꼭 방어자의 컴퓨터에 물리적으로 접근해야만 바이오스 공격이 가능한 것은 아니다.[* [[9]]]

두번째로 유의해야 할 점은 대단히 아이러니 하게도 바로 당신의 CPU인데, ARM, AMD, 인텔을 가리지 않고 2008년 이후에 나온 모든 CPU는 여러분이 현재 화면으로 보고 있는 것, 키보드로 치고 있는 것, 인터넷에 현재 접속중인 모든 계정의 비밀번호, 혹은 컴퓨터에 연결된 마이크를 통해 여러분의 목소리까지 DMA, MMU로 램 데이터에 접근하고 그야말로 Ring -3 [* Ring이란, x86 체계에서의 보안구조를 의미하는 용어이다. Ring 0가 커널, Ring -1가 하이퍼바이저, Ring -2가 SMM이며, Ring -3는 그보다 더 깊은 메인보드 제어칩셋이나 CPU에 달려있는 Intel ME 같은 하드코딩 펌웨어이다.] 이라는 무시무시한 초법권한을 통해 실시간으로 감시해서 네트워크 연결을 통해 밖으로 이러한 정보를 빼낼 수 있는 백도어가 달려있다. (!!!)

대표적으로 인텔 관리 엔진 [* Intel Management Engine]이 있으며, 타사에서도 이름만 다르지 비슷한 당신이 작동을 하는지 조차 알 수 없고 건들 수 없으며 제거조차 할 수 없는 또다른 운영체제가 CPU 위에서 돌아가고 있다. DMA, Direct Memory Access를 통해 현재 램에 상주된 데이터, 그러니까 지금 로그인중인 세션의 비밀번호와 같이 치명적인 정보를 검열하거나 아니면 통째로 덤프를 떠버릴 수도 있으며, X86 보호 체계의 가장 심층에 존재하는 Ring 0 커널, 하이퍼 바이저인 -1 혹은 SMM(BIOS)인 -2 보다도 더욱 강력한 권한을 지닌다. 사실상 Ring -3.

이때문에 정말로 작정하고 여러분의 데이터를 어떠한 종류의 공격에서도 보호하여야 한다면 반드시 2008년 이전의 CPU와 메인보드 제어 칩셋을 사용하는 구형 기기를 사용해야 한다. 가능하면 Libreboot와 같은 오픈소스 펌웨어를 덮어 씌워버리는 것 또한 대단히 추천된다.

CH341A와 같은 메인보드 롬 라이터로 기존에 존재하는 Legacy BIOS나 UEFI 시스템을 강제로 날려버리고 오픈소스 펌웨어를 직접 씌워버리면 적어도 하드웨어에서 공격을 받는 일은 없게 된다. 창고에 쳐박혀 있는 오래된 컴퓨터나 버려진 컴퓨터들을 꺼내올만한 좋은 기회가 아닐까.

방어전략

물리적 접근을 통한 공격에 대해서는 이런저런 방어법이 있다. 가장 쉽게 써먹을 수 있는 방어수단은 아마도 [[10]]일 것이다. 안 쓰는 안드로이드폰 하나를 일종의 CCTV로 활용하는 것이다. 단, 잠재적인 공격자와 컴퓨터를 물리적으로 공유해야만 하는 경우(예를 들어 컴퓨터 1대를 가족들과 같이 쓰는 경우)에는 헤이븐과 같은 침입자 감지 시스템의 유용성이 떨어진다.

원격으로 이루어지는 공격에 대해서는 하드웨어 제조사들이 뭔가 해 줄 거라고 믿는 것 말고는 마땅한 대응책이 없다. 그나마 쉽게 할 수 있는 방법은, OS가 설치돼 있지 않은 새 컴퓨터를 하나 구입해서 테일즈 전용 머신으로 사용하는 것이다. 컴퓨터 하나를 윈도우용으로도 쓰고 테일즈용으로도 쓰는 경우 공격자는 윈도우의 취약점 또는 테일즈의 취약점을 이용하여 바이오스를 감염시킬 수 있다. 그러나 컴퓨터를 오로지 테일즈 전용으로만 쓰는 경우에는 공격자는 윈도우의 취약점을 활용할 수는 없고 오로지 테일즈의 취약점을 이용해서만 바이오스를 감염시킬 수 있을 것이다. 공격에 노출되는 면적(attack surface)이 줄어드는 것이다.

인터넷 접속기록 관련 공격

크게 두 종류의 공격자를 상정해 본다. ISP나 로컬 네트워크 관리자는 자기 고객이 토르를 가지고 어떤 사이트에 들어가서 뭘 했는지를 알아내고 싶어할 수 있다. 한편, 웹사이트 운영자는 자기 사이트에 토르로 접속해서 어떤어떤 행동을 한 사람이 누구인지 그 신원을 알아내고 싶어할 수 있다.

테일즈 또는 토르 브라우저를 이용한다고 이러한 종류의 공격에 완전히 면역이 되는 것은 아니다(이거 관련해서는 '사전'이든 '사후'이든 관계없다). ISP는 website fingerprinting을 통해 토르 이용자가 어떤 사이트에 들어가서 뭘 했는지를 어느 정도 추측해 내는 것이 가능하다. 웹사이트 운영자는 유저의 브라우저 창 크기, 키스트로크 및 마우스 포인터 및 스크롤 움직임, CPU 코어의 갯수 및 속도, 모니터의 주사율(60Hz? 144Hz?), 마우스 유저인지 터치패드 유저인지 등을 알아내는 것이 가능하고, 이를 바탕으로 자기 사이트에 토르로 접속한 사람이 누구인지를 어느 정도 추측해 내는 것이 가능하다. ~~물론 이런 공격방법을 쓰려면 적지 않은 비용이 들 것이므로 아직까지는 크게 걱정할 필요는 없을 것 같지만, 일단 이런 게 있다는 정도는 알아 두는 것이 좋겠다.~~ 현재 ISP에서는 이와 비슷한 방법으로, 플래쉬와 자바스크립트를 이용해서 각 클라이언트의 고유 시리얼을 확보해서 컴퓨터 대수제한을 하고 있으니 참고. 스마트폰과 WIFI가 막 태동하던 시절에는 유무선 공유기로 여러 기기가 접속해서 데이터를 과하게 쓰는걸 막으려고 종량제를 도입하지 않은 우리나라 ISP들이 별의 별 수작질을 다 부렸는데, 그중 하나가 바로 웹사이트에 스크립트를 박아넣는 것이다. TOR 브라우저등에 자바스크립트등을 차단해주는 부가기능이 있는 이유가 바로 이것.

또한 토르 브라우저를 이용하는 경우, 내가 토르 브라우저를 이용하고 있다는 사실 자체는 만인에게 공표된다는 점을 기억할 필요가 있다. ISP는 이용자가 토르 브라우저를 가지고 뭘 하는지는 쉽게는 알아낼 수 없지만, 적어도 이용자가 토르 브라우저를 쓰는 중이라는 사실 자체는 안다. 웹사이트 운영자는 이용자의 신원은 쉽게 알아낼 수 없지만, 적어도 이용자가 토르 브라우저를 가지고 자기 사이트에 접속했다는 사실 자체는 안다.

단, 이걸 가지고 토르가 다른 방법보다 열등하다고 한다면 이는 잘못된 생각이다. 왜냐하면 토르는 이 측면에서도 사실 다른 방어기술보다 우위에 있기 때문이다. 예를 들어 토르를 사용하지 않는 대신 IP주소가 124.38.16.80인 VPN 서버를 통해 인터넷을 한다고 하자. 그러면 ISP는 이용자가 IP주소가 124.38.16.80인 VPN 서버를 통해 인터넷을 하고 있다는 사실을 안다. 웹사이트 운영자는 이용자가 IP주소가 124.38.16.80인 VPN 서버를 통해 자기 사이트에 들어왔다는 사실을 안다. 익명성을 확보하기 위해서는 다른 사람들에게 얼마나 '묻어갈' 수 있는지(즉, 얼마나 큰 anonymity set에 포함될 수 있는지)가 중요하다. 예를 들어 특정 시점에 토르 브라우저로 인터넷을 하고 있던 사람이 10만 명이라면, 특정 웹사이트에 토르 브라우저로 접속해서 특정한 글을 올린 사람이 '나'일 확률은 10만 분의 1이다. 반면, 특정 시점에 IP주소가 124.38.16.80인 VPN 서버를 통해 인터넷을 하고 있던 사람이 200명이라면, 특정 웹사이트에 IP주소가 124.38.16.80인 VPN 서버를 통해 접속해서 특정한 글을 올린 사람이 나일 확률은 200분의 1이다. 아무래도 '특정 시점에 토르를 이용 중인 사람 수'와 '특정 시점에 IP주소가 124.38.16.80인 VPN 서버를 이용 중인 사람 수'를 비교하면 전자가 압도적으로 많을 가능성이 높다. 물론 '특정 시점의 토르 이용자 전체'와 '특정 시점의 아무 VPN 이용자 전체'를 비교하면 VPN 이용자가 더 많을 수도 있겠지만, ISP나 웹사이트 운영자의 관점에서 봤을 때 토르 이용자 그룹은 하나로 묶이는 반면 VPN 이용자 그룹은 하나로 묶이지 않는다. 같은 회사의 VPN을 사용하더라도 정확히 어떤 국가의 몇 번 서버를 이용하는지에 따라 IP주소가 달라지고, 따라서 그룹이 나뉘어 버린다.[* VPN은 IP가 달라지면 그룹도 달라진다. 토르는 IP랑 상관없이 항상 같은 그룹으로 묶인다.] 그래서 VPN은 토르보다 '다수인에게 묻어가는' 효과가 현저히 떨어진다.

한편, 웹사이트 운영자 입장에서 자기 사이트에 접속한 사람이 누구인지 그 신원을 알아내기 위해 활용할 수 있는 정보는 IP주소 말고도 무궁무진하다. 대표적으로 브라우저의 세팅과 관련한 정보가 있다. 토르 브라우저를 쓰는 경우에는 모든 토르 이용자가 다 똑같은 브라우저를 쓰므로 웹사이트 운영자는 브라우저 정보를 가지고 누가 누구인지 가려 낼 수 없는 반면, VPN을 쓰는 경우에는 각자의 취향에 따라 커스터마이징된 일반 브라우저를 쓰므로 웹사이트 운영자는 IP주소를 제외한 다른 브라우저 관련 정보를 가지고 이용자를 fingerprint할 수 있다. 이 측면에서도 토르가 VPN보다 우위에 있다. 그렇다면 토르도 VPN도 이용하지 않고 그냥 HTTPS만 믿고 가면 어떨까? 이 경우에는 '내가' '어떤 사이트에 들어갔는지'가 만인에게 공표된다. 예를 들어 HTTPS를 통해 히토미에 들어가면, ISP와 로컬 네트워크 관리자는 내가 히토미에 들어갔다는 사실을 알고, 히토미 사이트 운영자는 '내가' 자기 사이트에 들어왔다는 사실을 안다는 것이다. 토르를 쓰는 것보다 당연히 나쁘다. 요컨대 토르 >>>> VPN >>>> HTTPS이다. 이 글에서 토르가 어쩌고저쩌고 하는 얘기는 토르에도 나름대로의 한계점이 있으니 주의하라는 얘기지, 토르가 안 좋으니까 다른 걸 쓰라는 얘기가 아니다.

원래 하던 얘기로 다시 돌아와 보자. 일반적으로는 내가 토르를 이용한다는 사실이 겉으로 드러나든 말든 별 상관이 없다. 하지만 간혹 여기에 유의해야 하는 경우가 있기도 하다. 예를 들어 한국어로 된 19금 커뮤니티 사이트에 토르 브라우저로 접속하여 익명으로 야짤을 올리는 경우를 생각해 보자. 토르 브라우저를 가지고 어떤 사이트에 접속하는 경우, 사이트 운영자는 자기 사이트에 접속한 사람이 토르 브라우저 이용자라는 사실만 알 수 있을 뿐 그 이용자의 국적 같은 것은 알 수 없다. 기술적으로는 그렇다. 그런데 한국어는 한국에서만 쓰는 언어이므로, 어떤 토르 이용자가 한국어 사이트에 들어왔다면 그 토르 이용자는 한국 거주자일 가능성이 매우 높다. [Metrics]에 의하면 전 세계 토르 이용자 수는 하루 2,000,000명 정도지만 우리나라 이용자 수는 하루 8,000명 정도다. 따라서 한국어 사이트를 이용한다는 것 자체만으로 토르의 '묻어 가는' 효과는 현저히 떨어진다. 하루를 통틀어 8000명이라면 그 하루 중 특정한 시점에 토르를 이용 중이었던 한국 거주자의 수는 아마 수십에서 수백 명 정도에 불과할 것이다. 예를 들어 문제의 야짤이 2018. 1. 1. 10:41에 등록됐다고 한다면, 그 후기를 올린 사람은 2018. 1. 1. 10:41에 한국 내에서 토르에 접속 중이었던 수십 명 중 하나일 것이다. 충분한 익명성이 확보됐다고 보기는 어렵다. 다른 추가적인 정보와 결합하면 범위를 더 좁히거나 1명을 콕 집어내는 것도 가능하다.[* 물론 아까도 말했지만 토르 말고 VPN을 사용하면 묻어 가는 효과는 더 떨어진다. HTTPS를 사용하면 묻어 가는 효과가 아예 없다. 토르를 쓰는 것이 그나마 최선의 방법이다.]

다만, 위의 웹서핑 문단에도 있지만, 쓸데없이 정보기관이나 수사기관의 어그로를 끈다는 점은 유의할 필요가 있을 것이다. 분명 토르가 '다수에 묻어가는 효과'는 매우 뛰어나지만, 이 부분은 좀 다른 이야기다. 바로 토르 브라우저를 쓰는 거 자체가 국정원이나 경찰청 사이버 모니터링 부서의 당신에 대한 관심도와 집중도를 더욱 높인다는 사실. 위에 적었듯이, 그정도 기관에서는 당신이 Tor 브라우저를 쓴다는 사실은 안다. 단지 뭘 하는 지 모를뿐. 하지만, 그런 기관의 입장에서는 오히려 '당신이 뭘 하는 지 모르기 때문"에 당신을 다른 일반인보다 좀 더 면밀히 모니터링하고 사찰하려 들 수 있다는 문제를 집은 것이다. 차라리 IP를 그대로 까발리고 야동을 보면, 아청물같은 위법물이 아니라는 가정하에, 경찰청이나 국정원에서는 아 그래 저사람 야동보나부다 하고 모든 일반인에게 적용되는 감시 레벨 정도에서 신경끄고 지나가지만, Tor 브라우저를 써서 하는 짓거리를 감추고 있으면, 실상은 당신은 그냥 야동 보는 걸 감출 뿐이지만, 경찰청이나 국정원에서 생각하기에는 "설마 저 놈 마약 밀매 하는 거 아냐?" 혹은 "설마 저 놈 사제 총기, 폭발물 제조하려는 거 아냐?" 혹은 "설마 저 놈 테러 모의하려는 거 아냐?" 따위의 ~~쓸데없는~~의심을 하게되어 더욱 면밀히 감시하게 될 수 있다는 이야기다. 물론 그렇다고 확실한 물증이 없는 이상 중화인민공화국같이 검열 시스템 회피 자체를 범법행위로 간주하는 일부 국가를 제외하면 당신네 집에 형사양반이나 검은 양복 입은 국정원 직원들이 쳐들어올 일은 없겠지만서도, 그런 사상검증이나 사찰에 타인보다 고빈도로 노출될 순 있다는 거다. 당연히 노출 여부는, 당신도, 나도, 너도, 그 누구도 모른다. 사찰하는 수사기관, 정보기관 빼고는.

방어전략

ISP의 웹사이트 핑거프린팅 공격에 대해서는 마땅한 대응방안이 없다. Decoy라는 기법을 사용하면 꽤 방어가 된다고 하긴 하는데,[* [[11]]] 디코이는 아직 그렇게까지 넉넉한 편은 아닌 토르 네트워크의 대역폭을 상당히 잡아먹는 기술이기 때문에 앞으로도 한동안은 토르 브라우저의 기본 기능으로 포함될 일이 없을 것 같다.

웹사이트 운영자가 내 신상을 파악하는 것을 최대한 어렵게 만들기 위해서는 토르 브라우저의 security slider를 가장 높게 설정해 두는 것이 좋다. 그러면 (전부는 아니지만) 상당수의 핑거프린팅 기술을 무력화시킬 수 있다. 그러나 이렇게 하면 대부분의 성인 사이트가 제대로 작동하지 않게 되고 만다.

한국어 사이트 이용시 anonymity set이 줄어드는 문제. 근본적인 해결책은 결국 한국인 토르 이용자 수를 늘리는 것밖에 없다. 자기가 자주 가는 커뮤니티에 토르 브라우저 관련 정보글을 올려 홍보를 해 보자. 한편, 아래에서 설명할 VPN 공유기를 만들어 쓰는 것도 도움이 될 가능성이 있다. VPN 공유기를 쓴다고 테일즈/토르 이용사실이 그렇게 잘 숨겨지는 것은 아니지만, 그래도 '없는 것보단 낫겠지'라는 마인드로 한번 해 볼 수는 있을 것 같다.

혹은 역발상으로 ISP가 사용자를 특정하는 것은 애초에 VPN이나 토르등으로 이리저리 노드를 통과해가며 얻은 익명성을 깨고 원래 접속자가 도대체 ISP에 가입한 고객중 누구인지를 알아내는 것인 만큼 아예 접속 자체를 자신이나 자신의 가족 명의로 가입된 인터넷을 사용하지 않아버리는 방법도 있을 수 있겠다.

고전적인 PC방이나 카페, 도서관등은 이미 CCTV 때문에 익명성이라고는 정말 눈꼽만큼도 없는 만큼 이를 해결하기 위해 라즈베리파이를 구해서 공유기로서 작동할 수 있도록 DDNS와 리피팅 기능을 삽입한 뒤 유선랜 단자를 이용해 라즈베리파이와 컴퓨터만을 다이렉트로로 연결하고 외부 인터넷에 연결하지 않음으로서 내부망을 구축하고 라즈베리파이 위에 계속 끊임없이 MAC 주소를 변조하고 라우터에 올라가는 설정한 뒤[* 당신의 컴퓨터에서 MAC주소를 암만 변경해봐야 진짜 ISP로 가는 MAC 주소는 라우터의 MAC 주소다.]

와이파이 리피팅 기능을 사용하고 USB 무선랜을 3개정도 장작한 뒤 캔테나를 잔뜩 만들어다가 근처의 공개 AP에 잔뜩 연결을 박아놓고, 당신의 위치가 캔테나에서 나오는 Tx 신호 세기를 근거로 특정당하지 않도록 지도상의 주변 반경을 유의한 뒤 15분 간격으로 순차적으로 연결을 바꿔가며 TOR 망에 접속하도록 하고 이를 라즈베리파이에 연결된 당신의 구형 컴퓨터에 연결되도록 설정하면 게임은 끝났다.

라즈베리파이 제로 W 같은 SPC를 좀 더 멀리에 있는 AP의 주변에 있는 구조물의 벽속(...) 이나 콘센트 커버를 뜯어내고 그 안에 SPC와 지속적인 전원공급을 위한 어댑터를 장착한 뒤 도로 매꿔놓고 CCTV에서도 해당 위치에 들린 다른 이들로 인해 특정성이 소멸될 정도의 기간, 그러니까 대략 몇 주 혹은 몇 달 후부터 본격적으로 SPC를 사용해 AP에 연결하고 VPN을 구축한 뒤 SSH 터널링으로 사용할 수도 있겠다. CCTV로 위치가 특정당할 것이 우려된다면 드론에다가 지향성 안테나에 라즈베리파이를 장착 한 뒤 이를 이용해서 CCTV가 관찰 할 수 없는 상공에서 아파트 옥상과 같은 높은 곳에 안착하여 신호를 받아다가 증폭하여 중계하는 식으로(...) VPN을 사용할 수도 있다.

아니면 그냥 GPIO 단자에다가 5V 받아다가 신관꼽아놓고 락앤락 통에 테르밋 분말이랑 같이 넣어놓고 땅 속에 설치한 뒤 수틀리면 그냥 원격으로 SPC 컴퓨터 채로 녹여버리던가...

이후 플래시나 자바스크립트등으로 인해 여러분의 컴퓨터가 특정당하지 않도록 조심하며 웹에서 자신이 사회공학적으로 특정 당할 수 있는 행동을 삼가고 DNS 변조등을 대비한다면 정말 그 주변 AP에 공격자가 몇팀씩 나뉘어져서 그들이 지닌 기기를 공개 AP의 라우터로 위장하여 신호를 받아가면서 신호 세기로 삼각함수등을 이용해 위치를 특정해 가면서 까지 추적하지 않는 이상 당신은 비단 하찮은 야동 뿐만이 아니라 도대체가 실오라기 하나라도 감시를 못해서 안달난 인간군상들이 그득하신 이 아름다운 인터넷 세상에서 당신의 빌어먹을 편집증, 혹은 중국 공안이 당신의 반동 사상 때문에 개빠따를 들고 집으로 쳐들어오는 위험으로부터 안녕을 가져다 줄 수 있도록 그 어디에도 흔적을 남기지 않고 유유자적하게 활동할 수 있을 것이다.

물론 이런 짓 거리 하면 정보기관 상대로 이런 짓거리를 한 그 자체로 거동수상자로 찍힐 수 있다는 위험은 감안해라. 이 문단에는 다소 극단적이고 비현실적인 수준의 대응 방법까지 적혀있다. 이는 Tor 브라우저 관련 내용과 윗 문단에도 명시되어 있다. 애초에 아청물이 아닌 이상 "당신이 일반적인 야동을 본다는 단순 사실"은 솔직히 말하자면 국민들이나 경찰청, 국정원 입장에선 별 게 아니다. 그냥 5000만명 인구의 인터넷 이용 트래픽에 끼어있는 시답잖은 관심없는 내용 중 하나일 뿐.

그리고 어짜피 중국 공안처럼 작정하고 쳐들어오는 경우엔 암호고 나발이고 답도 없다(...)

당신이 위에 언급한 캔테나라던지 하는 것들까지 진지하게 생각하고 있다면, 원룸이나 회사같이 하나의 내부 네트워크를 불특정 다수와 공유하고 있어 ISP나 공유기에 로그가 남는 문제가 실질적으로 문제가 될 수 있는 특수한 환경이 아닌 이상, 먼저 실천하기 전에 당신이 너무 사소한 것(?)을 숨기는 데에 음모론 운운하는 사람들이나, 강박증 환자처럼 극단적으로 집착하고 있는 건 아닌지 다시 한 번 생각해 봐라. ~~아 물론 회사나 학교 기숙사같은 데서 몰래 볼려는 거면 ISP 위장이 필요하긴 하지.~~

메타데이터의 문제

문제의 제기

테일즈를 사용하면 내가 구체적으로 어떤 야동을 봤는지는 비밀로 남는다. 하지만 '내가 언제부터 언제까지 테일즈로 인터넷을 사용했는지'에 대한 정보는 남들에게 노출될 수 있다. 만약 테일즈를 오로지 야동 보는 데에만 이용한다면, 그래서 '테일즈 이용했음 = 야동 봤음'이라는 등식이 성립한다면, 이는 곧 내가 정확히 어느 날짜, 어느 시각에 야동을 봤는지를 공격자가 마치 통장 거래내역 들여다보듯이 한눈에 들여다볼 수 있다는 뜻이 된다. 평소 어느 정도의 빈도로 야동을 보는지(1주일에 3번? 하루 3번?)도 당연히 드러난다. 다른 사람에게 이런 정보를 노출시키고 싶지 않다면 여기에 대해서도 방어전략을 강구해 보아야 한다.

이건 테일즈에만 특유하게 있는 문제는 아니다. 윈도우로 VPN이나 토르 브라우저를 켜서 성인물을 보더라도 이 문제는 똑같이 있다. VPN이나 토르 브라우저를 켠다는 게 곧 성인물을 본다는 신호가 되지 않는가.

이런 의문을 가지는 사람이 있을 수 있다. 'VPN이나 토르를 켜는 게 문제라면, VPN도 토르도 쓰지 않고 그냥 주소창에 HTTPS만 쳐서 들어가면 해결되지 않을까?' 전혀 그렇지 않다. 오히려 VPN이나 토르를 쓸 때보다 문제가 더 심각해진다. HTTPS는 특정 사이트와 '어떤 내용의 통신을 하는지'를 암호화해 주는 도구일 뿐, '어떤 사이트와' 통신하는지를 암호화해 주는 도구는 아니다. 따라서 예를 들어 https://hitomi.la/에 들어가서 만화를 보면, ISP (로컬 네트워크 관리자도 포함[* ISP가 할 수 있는 공격은 거의 항상 로컬 네트워크 관리자도 할 수 있다.])는 내가 https://hitomi.la/에 들어가서 만화를 봤다는 사실을 안다. 조금 더 구체적으로 설명하면, 내가 주소창에 https://hitomi.la/를 치면 웹브라우저는 ISP의 DNS서버로, '내가 hitomi.la라는 도메인에 들어가려고 하는데 이 도메인에 해당하는 IP주소가 어떻게 돼요?'라는 질문을 전송한다. 그래서 DNS서버로부터 예를 들어 185.145.129.33이라는 답이 돌아오면, 브라우저는 185.145.129.33에 위치한 서버와의 사이에 HTTPS로 암호화된 통신을 시작한다. 그러니 제아무리 HTTPS 암호화를 사용하더라도, ISP는 내가 히토미에 들어간다는 사실을 모를 수가 없는 것이다. 차라리 토르를 사용하는 것이 낫다. 그러면 ISP는 내가 토르를 사용했다는 사실만 알 수 있을 뿐 그걸로 무슨 사이트에 들어갔는지까지는 알 수 없지만, 토르 없이 HTTPS만 사용하면 ISP는 내가 아무 랜덤한 사이트가 아니라 바로 '히토미'에 들어갔다는 사실을 알 수 있기 때문이다.[* 물론 이 경우에도 히토미와의 통신내용은 HTTPS로 암호화되어 있기 때문에, ISP는 내가 히토미에서 구체적으로 어떤 만화를 봤으며, 그 만화의 몇 페이지에 가장 오래 머물렀는지까지는 쉽사리 알아낼 수 없다. 참고로 HTTPS가 아닌 그냥 HTTP로 접속하면 ISP는 이것까지도 쉽게 알 수 있다. 어떤 경우에든, 토르 >>>>> VPN >>>>> HTTPS >>>>> HTTP이다.]

토르에도 나름대로의 한계점은 있지만, 우리가 가진 옵션들 중에서는 토르를 사용하는 것이 그나마 최선이라는 얘기다.

아래에서는 테일즈(+토르 브라우저)를 사용하는 것을 전제로 하여 살펴보자.

우리의 인터넷 사용기록을 들여다 볼 수 있는 공격자는 크게 (1) 로컬 네트워크 관리자(가령 집에 설치된 무선공유기를 부모님이 관리한다면 그 부모님, 원룸 인터넷을 이용 중이라면 그 원룸 주인, 카페 인터넷을 이용 중이라면 그 카페 등), 그리고 (2) ISP (케이티, SK, LG, 지역인터넷 회사 등 인터넷 접속을 제공하는 회사)의 두 종류로 나뉜다. 이들은 내가 인터넷 접속에 사용하는 단말기(스마트폰, 노트북, 데스크탑 등)의 hostname이나 MAC address를 비롯하여, 단말기에서 전송하는 패킷들의 TCP/IP헤더, Ethernet 헤더, 패킷 사이즈, 패킷의 목적지의 IP주소 및 포트넘버, 특정 패킷이 전송된 정확한 시각 등을 들여다 볼 수 있다.[* 토르 브라우저를 이용한다고 가정했으므로 공격자는 '패킷의 내용'은 들여다 볼 수 없다. 토르가 패킷의 내용을 암호화해 버리기 때문. 하지만 그렇다 해도 패킷의 내용이 아닌, 위와 같은 메타데이터들은 전부 들여다 볼 수 있다.]

한편, 토르는 '토르 이용자가 토르에 접속해서 정확히 뭘 했는지'를 숨기는 데에는 매우 탁월한 성능을 발휘지만, '어떤 이용자가 토르에 접속했다는 사실 그 자체'에 대해서는 숨기려는 노력을 아예 하지 않는다(디폴트 세팅 하에서는). 따라서 위와 같은 정보를 들여다 볼 수 있는 공격자는 방어자가 정확히 언제 토르 네트워크에 접속해서 대략 어느 정도 용량의 데이터를 다운받았는지 등을 알아내거나 기록으로 남길 수 있다.

대응방안

몇 가지 대응방안을 고찰해 본다.

LTE나 학교 와이파이 이용하기

로컬 네트워크 관리자(부모님 명의로 된 인터넷을 사용하는 부모님의 집에 얹혀 사는 경우 그 부모님, 원룸에 사는 경우 원룸 주인, 기숙사에 사는 경우 그 기숙사를 운영하는 학교 또는 회사 등)만을 공격자로 상정하는 경우, 자기 명의로 LTE 무제한 요금제에 가입하고 휴대폰에서 와이파이 핫스팟을 켜서 테일즈로 부팅한 노트북에서 그 핫스팟에 연결해서 인터넷을 하는 방법도 있다. 이렇게 하더라도 LTE 네트워크를 운영하는 ISP (SKT, KT, LG 등)는 내가 언제 테일즈를 이용했는지 알지만, 부모님이나 원룸 주인은 (쉽게는) 알아내지 못할 것이다.

대학생이 대학교 와이파이에 접속해서 테일즈를 이용하는 것도 마치 LTE를 이용하는 것과 거의 비슷하다. 대학교 와이파이는 대학교 계정으로 로그인해서 사용하는 것이므로, 대학교 네트워크 관리자는 '내가' '특정 시점에' 대학교 내에서 토르 네트워크에 접속했다는 사실을(어쩌면 테일즈를 이용했다는 사실까지도) 알 수 있다. 물론 테일즈를 가지고 성인물을 다운받았는지 어쨌는지는 대학교 측도 알아낼 수 없다. 그런데 이렇게 한번 생각해 보자. 집 인터넷만 가지고 모든 인터넷 활동을 다 하는 경우, 공격자는 내 집 인터넷 기록 하나만 딱 들여다봄으로써 내가 언제 뭘 했는지를 속속들이 파악할 수 있다. 하지만 인터넷 활동의 일부분을 대학교 네트워크로 분산시키는 경우, 공격자는 내 집 인터넷 이용내역은 물론 대학교 인터넷 이용내역도 같이 봐야만 내 인터넷 활동내역의 진면모를 파악할 수 있다. 집 인터넷이든 대학교 인터넷이든 실명으로 인터넷을 이용하는 것이기는 마찬가지이긴 하나, 이렇게 정보를 '분산'시키는 것만으로도 보안성이 향상되는 효과가 있는 것이다.

자기가 다니는 회사 인터넷을 사용하지는 말자. 회사에서 토르 네트워크에 접속하면, 회사는 내가 회사 기밀을 몰래 유출하려는 것이 아닌가 의심하여 불이익을 가할 수도 있다. ~~잘못하면 진퇴양난에 처할 수도 있다. 기밀유출에 대한 무죄의 증거를 대려고 야동을 봤다는 사실을 까발려야 하는...~~

Pluggable transport 이용하기

플러거블 트랜스포트는 내가 토르 네트워크에 접속한다는 사실을 숨겨 주는 도구이다. 플러거블 트랜스포트에는 obfs3, obfs4, meek, ScrambleSuit 등 여러 방식이 있는데, 일반적으로 obfs4 방식이 권장된다. obfs4 없이 그냥 토르에 접속하면 외부 관찰자는 내가 토르에 접속했다는 사실을 매우 쉽게 알 수 있다. 중국 등 독재국가에서는 이러한 특성을 이용해 토르 접속 자체를 차단해 버리는 경우가 많다. 하지만 obfs4를 사용해서 토르에 접속하면 외부 관찰자 입장에서 봤을 땐 내가 정체불명의 서버와의 사이에 정체불명의(즉, 토르인지 뭔지 알 수 없는) 랜덤한 데이터를 주고받는 것처럼 보인다. 무슨 종류의 트래픽인지 알 수 없으니 국가 입장에서는 함부로 차단하기가 곤란하다. 그래서 obfs4를 사용하면 중국에 있는 유저도 차단조치를 우회해서 토르에 접속할 수 있다. 물론 그것도 중국 정도의 레벨이니까 그런 거고, 북한같이 아예 극단적으로 인터넷망 연결 자체를 틀어막고 당국이 허가한 프로토콜, 목적지, 이용자 이외에는 싸그리 금지시키는 곳에서는 얄짤없다. 그런 데서는 당국이 허락하지 않은 정체불명의 트래픽이란 이유로 차단을 먹인다. 중국의 인터넷 검열이 네거티브 규제 (XX만 금지!) 이라면 북한의 인터넷 검열은 포지티브 규제(OO만 허용!)이기 때문.

보안유지의 측면에서는 obfs4를 켜서 나쁠 것은 없다.[* 단, obfs4를 켜면 속도는 좀 느려지는 경우가 많다. 몇 안 되는 obfs4 브릿지에 사람이 많이 몰려서 느려지는 것이다. (obfs4가 컴퓨터 사양을 잡아먹어서 느려지는 것은 아니다.) 이것도 케이스 바이 케이스라 어떤 때는 obfs4를 켜면 더 빨라지기도 한다.] 하지만 그렇다고 딱히 무슨 도움이 되지도 않는다. 가령 일상적인 웹브라우징은 윈도우 + 크롬으로만 하고, 야동을 볼 때에만 테일즈 + obfs4 + 토르 브라우저를 쓰는 사람이 있다고 하자. 공격자 입장에서 봤을 때, 방어자가 예컨대 14:00부터 16:05까지는 마이크로소프트(윈도우는 주기적으로 마이크로소프트 서버와 통신한다), 카카오톡, 구글, 나무위키, 각종 커뮤니티 사이트 등과 트래픽을 주고받다가, 16:05에 갑자기 접속을 종료하더니 16:07에 다시 접속해서 16:07부터 16:37까지는 갑자기 다른 트래픽은 하~나도 없이 오로지 저 미국 구석탱이에 박혀 있는 정체불명의 서버하고만 정체불명의 프로토콜로 정체불명의 랜덤한 트래픽를 대량으로 주고받고, 16:37에 다시 접속을 종료하더니 16:38에 다시 윈도우로 들어와서 카카오톡, 나무위키, 구글 등등과 통신하기 시작했다고 하자. 머리가 있는 사람이라면 누구나 방어자가 16:07~16:37에 테일즈로 야동을 다운받았다는 사실을 손쉽게 추론해 낼 수 있을 것이다. 즉, 야동을 정확히 언제언제 봤는지를 숨긴다는 관점에서 봤을 때에는, obfs4만 단독으로 사용하는 것은 별 도움이 되지 않는다.[* 편의상 obfs4를 예로 들었으나, meek 등 다른 플러거블 트랜스포트를 사용한다고 해도 위 내용은 똑같이 적용된다.]

그러나 아래에서 설명할 다른 방법과 '함께' 사용했을 땐, obfs4는 꽤 강력한 무기가 될 수 있다.

obfs4의 구체적인 사용방법을 알아보자. 테일즈로 평상시처럼 부팅한 다음, 토르 브라우저로[* 꼭 토르 브라우저를 사용해야만 하는 것은 아니다. 하지만 이왕 테일즈로 부팅했으니 그냥 디폴트인 토르 브라우저를 쓰는 것. 윈도우가 깔린 노트북에서 인터넷 익스플로러로 들어가서 브릿지 라인을 얻은 다음 그걸 보고 테일즈 상에서 키보드로 일일이 따라 쳐도 상관은 없다. 하지만 매우 귀찮을 것이다. 그리고 이 경우에는 내가 노트북-윈도우로 주고받는 데이터를 엿볼 수 있는 프로그램(대표적으로 그 브릿지 라인을 얻을 당시에 켜져 있던 다른 모든 프로그램. 가령 PC카톡이나 백그라운드에서 돌아가는 은행거래용 보안프로그램-은행 사이트를 켜지 않아도 읜도우를 부팅할 때마다 자동으로 활성화된다-등은 기술적으로 아무 어려움 없이 내 모니터에 뜨는 모든 정보, 클립보드 위에 올라가 있는 모든 정보-명시적으로 '붙여넣기' 명령을 내리지 않더라도-를 엿볼 수 있다.)은 내가 정확히 어떤 브릿지 라인을 얻었는지를 알 수 있다. obfs4 브릿지를 이용함으로써 토르 접속사실을 숨기려면 브릿지 주소에 대한 기밀이 유지되어야 한다. 만약에 예를 들어 123.129.27.10:23917이라는 IP주소가 토르 obfs4 브릿지 서버 주소라는 사실이 만인에게 알려져 있다면, 네트워크 상의 관찰자는 내가 123.129.27.10:23917과의 사이에 어떤 정체불명의 프로토콜로 통신하든 상관없이 단순히 '내가 123.129.27.10:23917과 통신한다는 사실 그 자체'만 가지고도 '아, 쟤가 obfs4 브릿지를 이용해 토르에 접속하고 있구나!'라는 사실을 알아낼 수 있다. 그러므로 브릿지 주소는 특별한 사정이 없는 한 비밀에 부치는 것이 좋다. 브릿지 주소를 비밀에 부치기 위해서는 테일즈로 부팅해서 토르 브라우저를 통해서 브릿지 주소를 얻는 것이 가장 좋다.] [[12]]로 들어가 캡챠를 푼다. 그러면 화면에 obfs4로 시작하는 길다란 텍스트가 뜬다. 테일즈 화면 좌측상단의 Applications -> Accessories -> Text Editor를 눌러 메모장을 열고, 아까 그 obfs4로 시작하는 길다란 텍스트를 메모장에 복사-붙여넣기한다. 메모장 파일을 저장한다. 저장한 파일을 Persistence 폴더에 넣어 놓는다. 테일즈를 재부팅한다.

테일즈를 처음 부팅했을 때 나오는 Tails Greeter (Welcome to Tails)에서, Additional settings - Network Connection - Configure a Tor bridge of local proxy를 추가한다. 또한 Additional settings - Administration password를 눌러 admin password도 추가한다(패스워드는 아무렇게나 정하면 된다). 그리고 테일즈를 시작한다.

이제 두 가지 작업을 수행해야 한다. (1) 브릿지를 세팅한다. 인터넷이 연결돼 있다면 자동으로 Connect to Tor라는 창이 뜰 것이다. Connect를 누르면 obfs4 브릿지 없이 생으로 토르에 연결된다. obfs4를 사용하려면 Configure를 눌러 준다. Tor is censored in my country에 체크한다. 그러면 밑에 브릿지 라인을 입력할 수 있는 텍스트 박스가 뜬다. 아까 Persistence에 넣어 둔 메모장(txt) 파일에 있는 길다란 브릿지 라인(obfs4로 시작하는)을 그 텍스트 박스에 그대로 복사-붙여넣기한다. I use proxy to connect to the Internet에는 체크할 필요 없다. (2) 시계가 안 맞으면 obfs4 브릿지에 접속이 안 되기 때문에 시계를 맞춰야 한다. 우측 상단의 전원버튼을 누른 다음 드라이버와 스패너가 X자 모양으로 겹쳐져 있는 아이콘을 누르면 일종의 제어판이 뜬다. 거기에서 Date & Time으로 들어간다. 창 상단에 있는 Unlock 버튼을 클릭한다. 이 때 admin password를 요구하는데, 아까 설정한 패스워드를 치면 된다. 아래에서 Automatic Date & Time이 원래 ON으로 돼 있던 것을 OFF로 바꿔 준다. Date & Time을 클릭해서, 현재 내 휴대폰에 뜨는 정확한 한국시간에서 9시간을 뺀 시간으로 세팅해 준다. 예를 들어 휴대폰에 뜨는 시간이 오후 7:25이라면 테일즈 시간은 10:25로 세팅하고, 휴대폰에 뜨는 시간이 오전 7:25라면 테일즈 시간은 22:25로 세팅한다. 나머지 두 개의 옵션(Automatic Time Zone, Time Zone)은 건드릴 필요 없다. 특히 Time Zone이 원래 UTC로 되어 있는데 이것을 KST(한국시간)으로 바꾸지 않도록 유의한다. UTC로 설정된 상태 그대로 놔 두라는 얘기다.[* 테일즈를 부팅할 때마다 매번 시계를 맞추는 것이 귀찮다면 조금 간편한 방법도 있다. 윈도우로 들어가서 윈도우 시계를 한국시간에서 9시간을 뺀 시간으로 맞춰 두면 된다. 그러면 테일즈를 부팅할 때에도 자동으로 9시간 뺀 시간으로 맞춰진다. 이 경우 내 컴퓨터의 메인보드 시계에 접근할 수 있는 사람(가족과 공용으로 쓰는 컴퓨터인 경우 그 가족 등)은 메인보드 시계가 UTC 기준으로 맞춰져 있다는 사실을 알 수 있고, 이를 통해 누군가가 그 컴퓨터로 obfs4 브릿지에 주기적으로 접속하고 있다는 사실을 추론해 낼 수 있다.]

이제 그 상태로 브릿지 설정창 하단에 있는 Connect를 누르면 된다.

만약 테일즈를 부팅할 때마다 브릿지를 이용하고 싶다면, 매번 부팅할 때마다 위 두 가지 작업을 해 줘야 한다.

오프라인으로 테일즈 이용하기

인터넷을 끈 상태로 테일즈를 이용하는 방법이다. 테일즈 시작화면에서 맨 밑에 additional setting을 눌러, Network connection을 offline 내지 disable all networking으로 설정하고 테일즈로 들어가면 된다. 그러면 나는 테일즈를 언제 이용했다는 기록을 남기지 않고서도 persistence 또는 외장하드에 저장된 파일을 열어 볼 수 있다.

거의 완벽한 방어방법이지만, 두 가지 문제가 있다.

1. 테일즈를 오프라인으로 이용하더라도 '윈도우' 부팅시점과 종료시점은 공격자가 알 수 있다. 가령 1개의 컴퓨터만 이용하는 사람이 어느날 갑자기 윈도우를 종료하더니 한 30분 후에 다시 부팅했다고 하자. 이걸 본 공격자는, '아마 얘가 30분 동안 테일즈를 켜서 성인물을 감상했던 것이 아닐까?'라고 추측할 수 있다. 물론 그냥 윈도우로 하던 일을 마쳐서 종료한 것일 수도 있고, 그러다가 갑자기 컴퓨터로 할 일이 다시 생겨서 윈도우를 켠 것일 수도 있으므로, 이러한 추측에는 상당한 불확실성이 개재된다.

여기에 대해서는 조금 비싼 방어전략이 있다. 컴퓨터 두 개를 이용하는 것. 가령 방어자가 데스크탑과 노트북을 하나씩 갖고 있고, 평소에는 집에서는 데스크탑으로 유튜브 시청을 즐겨 한다고 가정하자. 데스크탑으로 컴퓨터를 하던 중 갑자기 야동이 보고 싶어지면, 데탑에는 유튜브 동영상을 재생시켜 놓은 상태로 노트북으로 오프라인으로 테일즈를 부팅해서 야동을 보면 된다. 물론 완벽한 방어법은 아니다. 액티브하게 컴퓨터로 이것저것 하는 상태에서의 트래픽 패턴과, 단순히 유튜브를 띄워 놓기만 하고 아무것도 안 하는 상태에서의 트래픽 패턴은 다를 것이기 때문. 하지만 그런 패턴을 꼼꼼하게 들여다보지 않는 나이브한 공격자를 상대하는 경우에는 이런 방법으로도 어느 정도 방어가 될 것이다.

컴퓨터 2개를 이용하는 전략을 쓰는 경우, 데탑 컴퓨터로 '항상' VPN을 사용하면 방어력을 향상시킬 수 있다. 여기서 '항상'이라는것은, 평소에는 VPN을 꺼 놓고 살다가 야동을 보는 등 뭔가 남사스러운 일을 할 때에만 VPN을 켜는 것이 아니라, 특별한 사정이 없는 한 항상 VPN을 켜 두는 생활습관을 가지고 있는 것을 말한다.[* 아래에서 설명할 VPN 공유기를 만들어 두는 것도 한 방법이다.] 예를 들어 방어자가 평소에 유튜브로 백그라운드에서 노래를 재생시켜 놓고 루리웹을 탐방하는 습관을 가지고 있다고 하자. VPN을 사용하지 않는 경우, 공유기 관리자나 ISP 등은 방어자가 youtube.com하고만 통신하는지 아니면 youtube.com + ruliweb.com하고 동시에 통신하는지를 살펴 봄으로써 얘가 적극적으로 컴퓨터를 사용 중인지 아니면 유튜브를 켜 놓고 딴짓 중인지를 쉽게 알 수 있다. 하지만 VPN이 켜져 있는 경우 공유기 관리자나 ISP레벨에서는 얘가 youtube.com하고 통신하는지 ruliweb.com하고 통신하는지를 알아내기가 약간 어려워진다.

2. 오프라인으로는 야동을 다운받을 수가 없다. 일단 다운받아 놓은 것이 있으면 오프라인으로 감상할 수 있겠지만, 최초 다운받는 것 자체는 인터넷에 연결돼 있어야 가능하다.

여기에 대처하는 방법에는 크게 두 가지가 있다.

(A) 인터넷을 켜고 야동을 한 번에 대량으로 다운받아 놓은 다음에, 나중에 실제로 감상할 땐 위와 같이 오프라인 모드로 켜서 조금씩 감상한다. 물론 이 경우 ISP와 공유기 관리자는 내가 그 시점(한 번에 대량으로 다운받아 놓는 시점)에 테일즈로 인터넷을 했다는 사실을 알게 되기는 한다. 하지만 그럼 뭐 어떤가. 그들은 내가 그 때 테일즈를 가지고 다운받은 파일들을 '정확히 언제 감상했는지'까지는 알아내지 못할 것이다.

즉, 이렇게 하면 '내가 가끔 한번씩 테일즈로 인터넷에 접속해서 뭔가를 한다는 사실'은 외부로 노출되지만(정확히 뭘 하는지는 쉽게 노출되지 않는다), '내가 야동을 얼마나 자주 감상하는지'는 누구에게도 노출되지 않는다(컴퓨터가 하드웨어/펌웨어 레벨에서 해킹당하지 않는 한).

(B) 만약 내가 가끔 한 번씩 테일즈를 이용했다는 기록조차도 남기고 싶지 않다면 어떨까. 그러면 집 인터넷 말고 공공장소 인터넷으로 테일즈를 이용하면 된다. 예를 들어 테일즈 USB를 들고 모텔로 간 다음(왜 모텔이냐면 피씨방에서 대놓고 성인물을 다운받을 수는 없으니까), 모텔 객실내 컴퓨터를 테일즈로 부팅시켜 필요한 파일들을 모두 다운받아서 persistence에 또는 외장하드에 저장해 놓는 것이다. 물론 ISP는 어떤 모텔 이용자가 테일즈를 이용했다는 사실을 알 수 있지만, 그 이용자가 바로 '나'라는 사실은 알 수 없다. (단, 모텔 운영자는 '내가' 토르 또는 테일즈를 이용했다는 사실을 알 수 있다. 이 리스크를 완화하기 위해서는 모텔비를 현금으로 결제하는 것을 추천한다.)

참고로 모텔비를 현금으로 결제하는 것은 '그 모텔 주인으로부터' 내 신원을 숨기는 방법에 불과하다. 내가 그 모텔에 갔다는 사실을 '아무도' 모르게 되는 것은 아니다. 예를 들어 내 스마트폰 위치정보를 실시간으로 수집하는 기업들, 가령 구글, 페이스북, 카카오, 네이버 등은 내가 그 모텔에 언제 들어가서 언제 나왔는지를 안다. 만약 내가 그 모텔에 갔다는 사실을 정말로 비밀로 하고 싶다면, 평소 집에 있는 시간에 '스마트폰, 스마트워치, 나이키플러스가 장착된 신발 또는 그 밖의 모든 스마트 기기' 및 '지갑'[* 지갑의 위치를 직접 트래킹하는 기술은 아직 존재하지 않는 것 같지만, 그래도 user error를 줄이기 위해서는 지갑도 집에 두고 나가는 것이 좋다. 지갑을 갖고 있으면 자기도 모르게 습관적으로 교통카드를 찍거나 편의점에서 신용카드를 꺼낼 가능성이 높아진다.]을 집에 두고, 맨몸에 현금만 가지고 집을 나선다. 그리고 현금으로 대중교통(익명성이 요구되는 상황에서는 버스, 택시, 지하철 순으로 선호된다)을 이용해 집과 좀 떨어진 곳으로 이동하며, 이동과정에서 담배나 음료수를 사먹을 때에도 현금결제를 한다. 그리고 모텔에서도 현금결제를 한다. 이렇게 하면, 내가 그 날 그 시간에 그 모텔에 갔다는 사실을 알 수 있는 사람은 내 이동동선 상에 다수의 CCTV를 촘촘하게 운영하는 자(대개 국가나 지방자치단체. 이동동선 위에 있는 모든 CCTV를 차례로 돌려 봄으로써 내 이동경로를 처음부터 끝까지 추적, 또는 끝부터 처음까지 역추적할 수 있음) 또는 내 이동동선 상에 안면인식 기술이 탑재된 CCTV를 1개 이상 운영하는 자(대개 국가나 지자체 또는 구글이나 페이스북 등 SNS 회사 또는 카카오 등 메신저 회사)[* 왜냐하면 CCTV에 찍힌 얼굴만 가지고 신원을 알아내기 위해서는 기본적으로 얼굴-신원이 매치된 데이터베이스를 보유하고 있어야 하는데, 그런 데이터베이스는 보통 국가나 SNS 회사나 메신저 회사가 보유하고 있으므로. SNS 회사는 가입자가 자신의 정확한 신상정보와 다양한 각도에서 찍은 얼굴사진을 올려 주므로 당연히 그런 데이터베이스를 갖게 되고, 메신저 회사도 프사를 통해 그 사람의 정확한 얼굴상을, 그리고 그 사람을 주소록에 추가해 놓은 다수의 사람들의 주소록 정보를 통해 그 사람의 이름을 포함한 정확한 신상을 보유하게 된다(내가 카톡 필명을 익명이나 가명으로 설정해 놓았더라도, 내 친구들이 자기 휴대폰에 내 번호를 내 실명으로 저장해 놓았다면, 주식회사 카카오는 당연히 내 실명을 알게 됨).]밖에 없게 된다.

한편, 모텔 컴퓨터로 테일즈를 이용하는 경우에는 테일즈 시작화면에서 additional settings를 눌러 MAC address spoofing을 '꺼짐(Don't spoof MAC addresses)'으로 바꿔 주는 것이 좋다. 반대로, 자기 노트북을 테일즈로 부팅한 다음 모텔 객실내/객실외 와이파이에(또는 다른 공공장소 와이파이에) 물려 사용하는 경우에는 MAC address spoofing을 디폴트로 켜져 있는 상태로 놔 두는 것이 좋다. (노트북이 있으면 굳이 모텔을 갈 필요 없이 카페 와이파이를 이용해도 된다. 단, 노트북 화면에 남사스러운 사진이 떠 있는 모습이 다른 사람 또는 천장에 있는 CCTV에 노출되지 않도록 유의할 것.)

그렇게 다운받은 파일이 들어 있는 테일즈 USB (또는 외장하드)를 집으로 가져온다. 이제 필요할 때마다 테일즈로 (오프라인으로) 부팅하여 파일을 감상하면 된다.

이렇게 하면 공격자는 '내가 최근에 테일즈를 다운받은 적이 있다는 사실'은 쉽게 알 수 있지만(집에서 테일즈를 다운받은 기록이 남아 있을 것이므로), '테일즈를 가지고 정확히 언제 인터넷에 접속하는지'는 쉽게 알 수 없다. 물론 완벽하게 은폐되지는 않는다. 위에서 언급한 CCTV기록 문제도 있지만, 설령 CCTV 기록 없이 네트워크 기록만 볼 수 있는 공격자라 해도 그렇다. 예를 들어 방어자가 야동을 다운받고 싶을 때마다 집 근처에 있는 모텔에 가서 테일즈를 이용한다고 하자. 아직 우리나라에 테일즈 이용자가 그렇게 많은 편은 아니므로, 방어자가 살고 있는 특정 지역(예를 들어 XX시 XX구 XX동)에서 최근 몇 개월 사이에 https://tails.boum.org에 접속한 기록이 있는 사람은 고작 1명 정도에 불과할 가능성이 높다. 그 1명을 김갑동이라고 하자. 그러면 공격자는 XX시 XX구 XX동에 있는 어떤 모텔에서 익명의 누군가가 테일즈를 이용해 토르에 접속할 때마다, '아, 김갑동이가 테일즈로 인터넷을 하고 있군!'이라고 추론해 낼 수 있다. 이러한 리스크를 회피하려면 집과 멀리 떨어진 곳에 있는 모텔이나 공공 와이파이 등을 이용해야 한다. 아예 고속버스를 타고 타 지역으로 가면 더 좋다. 물론 이동시 전자기기와 지갑은 집에 두고 현금만 갖고 가야 한다. 물론 이렇게 하더라도 CCTV 기록은 남는다.

이런 공격에 대응하기 위해서는 모텔 등지에서 테일즈를 사용할 때 obfs4 브릿지를 사용하면 된다. 지금 상황은 위에서 obfs4 브릿지가 별 도움이 안 된다고 말했을 때와는 좀 다르다. 공격자가 '나'를 표적으로 딱 찍고 '나의' 인터넷 활동내역을 지속적으로 감시하는 경우(또는 어딘가에 자동으로 로그기록으로 남겨 놨다가 나중에 한꺼번에 들여다보는 경우)에는 obfs4를 사용하든 말든 공격자는 그냥 내 인터넷 활동패턴에서 특이사항이 나타나는 시점을 찝어 냄으로써 내가 언제 테일즈를 사용했는지 추론해 낼 수 있다. 하지만 익명으로 랜덤한 모텔에 들어가서 테일즈를 사용하는 경우에는 네트워크 상의 공격자는 특정 타겟을 찍지 못하고, XX지역에서 발생하는 '모든' 트래픽을 감시하면서 '아, 저기서 누군가가 테일즈를 사용하고 있구나!'라는 것을 알아 내야 한다. 공격자는 매우 많은 양의 트래픽을 감시해야 하기 때문에, 그 중 하나의 트래픽을 분석하기 위해 투입할 수 있는 자원의 양은 상당히 제한된다. 이런 상황에서는 obfs4가 효과를 발휘할 수 있다(그래도 아주 높은 수준의 방어력을 제공하지는 못한다).

또는, 아래와 같이 테일즈를 익명으로 다운받는 것도 좋다. 그러면 공격자가 'XX지역의 어떤 모텔에서 누군가가 테일즈로 인터넷을 하고 있다는 사실'을 알아 내더라도, 그 누군가가 '김갑동'이라는 사실까지는 알아내지 못할 것이다.

(C) 만약 '내가 테일즈를 다운받은 적이 있다는 사실'마저도 숨기고 싶다면 어떨까. 몇 가지 방법이 있다. 가장 우수한 방법 순으로 나열한다.

첫째, 테일즈를 이미 쓰고 있는 친구에게서 테일즈를 복사해 건네받는다.[* 물론 우리나라에는 테일즈 이용자가 많지 않으므로, 그런 친구가 있을 확률은 매우 낮긴 하다. 하지만 만약 그런 친구가 있다면 이 방법이 최고다.] 이 경우 그 친구에게는 내가 테일즈를 쓴다는 사실이 노출된다. 만약 친구에게 그 부탁을 하면서 문자, 카카오톡, 스카이프 같은 서비스를 이용했다면, 통신사, 주식회사 카카오, 마이크로소프트(스카이프를 쓴 경우), 구글(내 폰이나 친구의 폰 둘 중 하나라도 안드로이드인 경우), 애플(내 폰이나 친구의 폰 둘 중 하나라도 아이폰이고, 아이클라우드 백업을 활성화해 놓은 경우), 폰에 깔려 있는 각종 앱 회사(친구와 SMS로 통신하였고, 나 또는 친구 둘 중 하나라도 폰에 깔려 있는 앱에 SMS 읽기 권한을 준 경우[* SMS 권한을 요청하는 앱은 매우 많다. 그리고 사람들은 앱이 무슨 권한을 요청하든 상관없이 다 허용해 주는 경우가 대부분이다.]) 같은 자들에게도 노출된다. 또한, 만약 친구의 집에 방문해서 오프라인으로 말로 부탁했는데 마침 내가 또는 친구가 안드로이드 스마트폰, 또는 페이스북 앱이 설치된 아이폰을 주머니에 넣고 있었다면 구글 또는 페이스북에도 노출된다(구글과 페이스북은 스마트폰 마이크로 들어오는 음성을 인식해서 광고 타겟팅에 활용한다[* [[13]]]).

가장 좋은 방법은 친구를 오프라인으로 만나서, 폰이 다른 방에 있는 상태[* 만약 내 폰이 안전하다는 데 대해 어느 정도 확신이 있다면, 예를 들어 어떠한 앱에도 마이크 권한을 주지 않고 iOS 자체의 음성인식 기능도 꺼 놓은 애플 아이폰을 사용하고 있다면, 내 폰은 그 자리에 있어도 상관없다.]에서 말로 부탁하는 것이다.[* 사실 이론적으로는 그 자리에서 종이에 연필로 써서 부탁하는 것이 더 좋다(종이에 쓰여진 글씨를 읽을 수 있는, 해상도가 높고 각도가 잘 세팅된 몰카가 없다는 전제 하에). 하지만 무슨 첩보요원도 아니고 그냥 친구한테 뭘 부탁하면서 그렇게 한다는 게 현실적으로 가능할까?]

둘째, 야동 다운로드뿐만 아니라 테일즈 다운로드도 익명으로 집과 멀리 떨어진 피씨방이나 카페(와이파이) 등지로 가서 한다. 위 (B)항목에서 살펴본 것과 똑같은 방법으로.

이 때 피씨방에서 그냥 https://tails.boum.org로 접속하는 대신, 먼저 피씨방 컴퓨터에 VPN Gate 등의 무료 VPN을 설치한 다음 그 VPN을 이용해서 다운받는 방법도 한번 고려해 볼 만하다. 이렇게 하더라도 '피씨방 주인에게는' 내가 그 피씨방 컴을 이용해서 테일즈를 다운받는다는 사실이 숨겨지지 않는다. 관리 프로그램으로 피씨에서 일어나는 모든 일을 다 들여다볼 수 있기 때문. 하지만 어쩌면 ISP 기록에만 접근할 수 있는 공격자에 대해서는, 그 시간에 그 피씨방에서 누군가가 테일즈를 다운받았다는 사실을 숨길 수 있을지도 모른다.

유료 VPN을 결제해서 평소에 쓰는 사람인 경우, 피씨방에서 그 유료 VPN을 설치해서 자기 VPN계정으로 로그인하는 일은 피해야 한다. 애초에 피씨방에 간 이유가 테일즈를 익명으로 다운받기 위해서가 아니었는가? 자기 VPN계정으로 로그인하는 순간 익명성은 깨지고 만다. 무료 VPN을 이용하거나, 아예 VPN 없이 그냥 다운받는 것이 낫다.

셋째, (내가 테일즈 이용자라는 사실은 숨겨야 하지만, 토르 브라우저 이용자라는 사실은 노출돼도 상관없는 경우) https://torproject.org로 접속해 윈도우용 토르 브라우저를 깔고, 그 토르 브라우저를 이용해 테일즈를 다운받는다. 이렇게 하더라도 내가 테일즈를 다운받았다는 사실이 '모두에게' 숨겨지는 것은 아니다. 윈도우 제조사인 마이크로소프트, 그리고 테일즈 다운시점에 윈도우 상에 켜져 있던 다른 프로그램(PC카톡, 크롬, 백신프로그램, 은행사이트에서 자동으로 깔아주는 보안프로그램 등) 제조사들은 그 사실을 알 수 있다. ISP 등 네트워크 상의 관찰자에게만 숨겨질 따름이다. 그래서 별로 추천하고 싶은 방법은 아니다.

만약 동거가족 등 내 컴퓨터에 물리적으로 접근할 수 있는 사람으로부터 테일즈 파일의 흔적을 숨기려면 HDD/SSD를 완전히 포맷하고 윈도우를 재설치해야 한다(단순히 CCleaner 따위를 돌리는 것만으로는 소용없다). 물론 이렇게 하더라도 마이크로소프트, 백신/보안프로그램 회사 등은 여전히 안다.

넷째, (내가 토르 이용자라는 사실은 숨겨야 하지만, VPN 이용자라는 사실은 노출돼도 상관없는 경우) 그럭저럭 믿을 만한 VPN 회사(아쉽게도 유료인 경우가 많다)를 골라 그 회사의 VPN을 컴퓨터에 깐다. VPN을 켜고 웹브라우저로 테일즈를 다운받는다. 물론 토르 브라우저를 이용할 때에 비하면 익명성은 현저히 떨어진다. 당장 VPN 서버가 위치한 데이터센터(모든 VPN 회사는 세계 각지의 데이터센터에서 서버를 임차해서 사용한다) 회사는 실제 IP주소가 드러난 '나'가 https://tails.boum.org에 접속했다는 사실을 기록으로 남긴다(데이터센터가 기록을 남기는 이상, 그 데이터센터에서 서버를 임차한 VPN 회사가 자체적으로 no-logs policy를 취하고 있었는지 어쩄는지는 아무 상관 없다). 애초에 VPN은 익명성 유지를 위한 도구가 아니다. 단지 VPN조차도 안 쓰는 것보다는 VPN이라도 쓰는 것이 티끌만큼이라도 낫기 때문에 부득이하게 이용하는 것이다. 만약 구글 크롬으로 다운받았다면 구글코리아 주식회사도 그 사실을 안다. 테일즈 다운시점에 윈도우상에 켜져 있던 다른 프로그램들의 제조사들도 물론 안다. 동거가족 등으로부터 파일의 흔적을 숨기려면 하드를 포맷하고 윈도우를 재설치해야 하는 것은 물론이다. 사실 VPN에만 의존하는 방법은 전혀 추천하고 싶은 방법이 아니다.

부득이하게 VPN을 써야만 하는 경우에는 되도록이면 2개 이상의 서버를 경유하는, 즉 멀티홉(multihop) 기능을 제공하는 VPN을 쓰는 것이 좋다. 그러면 위에서 말한, VPN 서버를 임대해 준 데이터센터나 그 데이터센터에 인터넷 접속을 제공하는 ISP가 내 신상과 내 목적지 웹사이트 주소를 동시에 알게 되는 결과를 어느 정도 방지할 수 있다. 멀티홉을 지원하는 VPN의 예로는,[* 단순히 VPN회사에서 제공하는 클라이언트 프로그램이 자체적으로 멀티홉 기능을 제공하기만 하면 다 나열했다. 특별히 품질이 우수하거나 보안성이 뛰어난 VPN을 선별하지는 않았다. 사실 VPN을 쓰면서 보안성이나 익명성을 찾는 것은 넌센스다. 그런 게 필요하면 토르를 써라.] [[14]],[* double VPN이라는 이름. 참고로 유료 중에서는 제일 싼 VPN이기도 하다.] [Privacy],[* Multi-VPN 내지 cascading이라는 이름.] [[15]],[* VPN chains라는 이름.] [[16]], [[17]],[* Secure Core라는 이름. 멀티홉을 이용하려면 한달에 5달러를 더 내야 함.] [[18]], [[19]][* 멀티홉을 이용하려면 한달에 5달러를 더 내야 함.] 정도가 있다(전부 유료 서비스다).

사실 VPN 프로그램 자체에서 멀티홉을 지원하지 않더라도 수동으로 멀티홉 세팅을 하는 것이 가능하다. 예를 들어 아래에서 소개할 VPN 공유기를 만들면 쉽게 그렇게 할 수 있다. 공유기에 갑 회사의 VPN을 깔아서 그 공유기를 지나는 모든 트래픽이 갑 VPN으로 향하도록 세팅해 둔 다음, 컴퓨터상에는 을 회사의 VPN을 깐다. 그 상태로 인터넷을 하면 '내 컴퓨터 - 갑 VPN - 을 VPN - 인터넷'[* 이 순서는 언제나 트래픽이 암호화되는 순서와 정반대다. 내 컴퓨터에서 나가는 트래픽은 먼저 컴퓨터상에 있는 을 VPN으로 암호화된 다음, 공유기상에서 재차 갑 VPN으로 암호화될 것이다. 즉, 암호화되는 순서는 을 -> 갑이다. 트래픽이 실제 거치는 루트의 순서는 암호화 순서의 반대, 즉 갑 -> 을이다. 만약 이렇게 VPN을 세팅한 상태로 윈도우 컴퓨터 상에서 토르 브라우저를 이용하는 경우에는, 트래픽이 거치는 루트의 순서는 '내 컴퓨터 - 갑 VPN - 을 VPN - 토르 네트워크 - 인터넷'이 된다.]의 구조가 된다. 멀티홉 기능을 따로 지원하지 않는 VPN (무료인 것 포함)을 가지고도 이런 구조를 만들 수 있다.

한편, 내가 VPN 이용자라는 사실조차도 숨겨야 하는 경우에는 '둘째' 방법, 즉 익명으로 멀리 떨어진 피씨방에 가서 다운받아 오는 방법을 쓰는 수밖에 없다.

VPN 공유기 만들기

공유기에 VPN을 설정해 두어, 그 공유기를 거치는 모든 트래픽이 VPN으로 향하도록 하는 방법이다. 이건 보안과 프라이버시의 측면에서 봤을 때 장점만 있고 단점은 거의 없는 방법이기 때문에, 뭐부터 해야 할지 잘 모르겠다면 일단 VPN 공유기부터 만들어 보는 것을 추천한다.

VPN 공유기의 단점이 아예 없는 것은 아니다. (1) 아무래도 해외에 있는[* VPN 회사 중에는 한국 서버를 제공하는 회사도 있으나, 한국 서버로 접속할 거면 VPN을 쓰는 의미가 거의 없다.] VPN 서버를 한 번 거쳐서 인터넷으로 연결되기 때문에, 그냥 생으로 인터넷을 할 때에 비해 대역폭(bandwidth, 즉 다운로드 속도)이 줄어들고 지연시간(ping)이 높아진다. 일반적인 웹브라우징이나 카카오톡 같은 것을 할 땐 전혀 문제가 되지 않으나, 저녁 시간에 유튜브로 1080p 60fps 영상을 보거나(대역폭이 문제),[* 한국 유튜브는 해외 사이트가 아니다. 한국에서 VPN 없이 곧장 유튜브에 접속하면 한국에 위치한 서버에서 동영상을 다운받으므로 해외망 이슈가 발생하지 않는다. 그러나 가령 일본 VPN을 거쳐 유튜브에 접속하면 일본에 위치한 서버에서 유튜브 영상을 다운받는다. 이 경우 국내 통신사들의 해외망이 일종의 병목으로 작용할 수 있다.] 순간적인 반응속도가 중요한 롤 같은 게임을 하는 경우(핑이 문제)에는 불편함이 느껴진다. 물론 유튜브로 고화질 영상을 보거나 게임을 할 땐 VPN을 잠깐 껐다가, 작업이 끝나면 다시 VPN을 켜면 되기는 한다.[* 또는, 한국 서버를 제공하는 VPN을 쓰는 경우 잠깐 한국 서버를 이용하게 세팅했다가 작업이 끝나면 다시 해외 서버를 이용하게 세팅한다든지.] 근데 쪼오오금 귀찮다. (2) 국내 웹사이트 중에는 해외에서의 접속을 차단하는 사이트가 간혹 있다. 그런 사이트에 들어가려면 VPN을 잠깐 끄든지, 잠깐 동안만 VPN 서버 중 한국 서버를 이용하도록 세팅하든지, 스마트폰으로 LTE로 접속하든지 해야 한다. 하지만 전반적으로 봤을 때 이런 단점들이 그렇게 큰 단점이라고 생각되지는 않는다.

VPN 공유기를 사용하는 경우, 내가 공유기에 VPN을 설정해서 사용 중이라는 사실 그 자체는 네트워크 상의 관찰자에게 노출된다. 이걸 숨기는 방법은 없다.

VPN 공유기의 구체적인 장점은 무엇일까. 일단은 아주 단순한 버전으로 설명해 본다. 테일즈를 사용하는 경우에는, VPN 공유기가 없으면 '내 컴퓨터 - 토르 - 인터넷'이 되지만, VPN 공유기가 있으면 '내 컴퓨터 - VPN 서버 - 토르 - 인터넷' 이 된다. 한편 테일즈를 사용하지 않는 경우에는, VPN 공유기가 없으면 '내 컴퓨터 - 인터넷' 이 되지만, VPN 공유기가 있으면 '내 컴퓨터 - VPN 서버 - 인터넷' 이 된다. VPN 공유기가 없는 경우에는, 내 컴퓨터에 직접 드나드는 트래픽을 관찰할 수 있는 사람(원룸 주인, ISP 등)은 내가 인터넷에 곧바로 접속하는지 아니면 토르에 접속하는지를 관찰함으로써 내가 언제언제 테일즈를 썼는지를 알 수 있다. 하지만 VPN 공유기가 있는 경우에는 윈도우를 쓰든 테일즈를 쓰든 관찰자 입장에서 봤을 땐 언제나 내가 VPN 서버하고 통신하는 걸로만 보인다. 그래서 관찰자는 내가 정확히 언제 테일즈를 사용하는지 쉽게 알아낼 수 없다.

단, 위와 같은 설명은 완벽하지 않다. VPN은 패킷의 내용을 암호화해 주기는 하지만 패킷의 사이즈(용량)를 바꿔 주지는 않는다. 토르 트래픽은 그 특유의 패킷 사이즈를 가지고 있어서, 좀 세심한 관찰자는 패킷이 VPN으로 암호화돼 있든 말든 상관없이 그냥 패킷 사이즈만 보고 얘가 언제 토르에 접속하는지를 높은 확률로 추론해 낼 수 있다. 하지만 VPN 공유기가 있으면 다음과 같은 방법으로 카운터를 시도해 볼 수 있다. 우선 윈도우에서 일상적인 웹브라우징을 할 때에도 토르 브라우저를 사용한다. 그리고 테일즈로 부팅해서 인터넷을 할 땐 스마트폰을 VPN 공유기에 연결해서 유튜브 등 뭔가 트래픽을 발생시키는 활동을 한다. 그러면 관찰자 입장에서는, 내가 윈도우를 사용할 때에도 토르와 non-토르 트래픽을 함께 보게 되고, 내가 테일즈를 사용할 때에도 토르와 non-토르(스마트폰에서 나오는) 트래픽을 함께 보게 된다. 따라서 내가 정확히 언제 테일즈를 사용하는지를 가려 내기가 상당히 어려워진다.

이 전략은 VPN 공유기가 있을 때에만 써먹을 수 있는 전략이다. 공유기에 VPN 세팅이 돼 있지 않은 경우에는 이 전략이 통하지 않는다. 외부 관찰자는 특정 패킷의 TCP/IP 헤더 등을 보고 그 트래픽이 PC에서 나온 트래픽인지 스마트폰에서 나온 트래픽인지를 분간해 낼 수 있다. PC에도 VPN 클라이언트를 깔고, 스마트폰에도 똑같은 VPN 클라이언트를 깔아서 똑같은 VPN 서버로 접속한다 해도 마찬가지다. 관찰자는 특정 VPN 서버로 향하는 특정 패킷이, PC에서 나온 패킷인지 스마트폰에서 나온 패킷인지 가려낼 수 있다. 하지만 VPN 공유기가 있으면 그럴 수 없다. PC에서 나온 트래픽이든 스마트폰에서 나온 트래픽이든, 관찰자 입장에서는 전부 똑같이 VPN 공유기에서 나온 트래픽으로만 보인다.[* 단, 여기에서는 내 집에서 나오는 트래픽만 들여다볼 수 있는 사람(원룸 주인, 내 ISP 등)만을 공격자로 상정하고 있다. VPN 서버의 ISP 등 다른 공격자는 더 많은 정보를 얻어낼 수도 있다. 아니면, 평소에는 스마트폰으로 전혀 유튜브를 보지 않고 오로지 테일즈를 이용할 때에만 스마트폰으로 유튜브를 본다면, 구글도 내 야동감상 시각을 속속들이 다 알게 되는 셈이다.]

이 전략을 쓰는 경우, 윈도우용 토르 브라우저 및 테일즈에 똑같은 obfs4 브릿지를 세팅해 놓으면 방어력이 향상될 수 있다.

윈도우용 토르 브라우저로는 웬만하면 야동감상 등 뭔가 숨기고 싶은 활동은 하지 말자.[* 물론 윈도우용 크롬(...)으로 하는 것보다는 차라리 윈도우용 토르 브라우저로 하는 게 훨씬 낫다...] 그런 건 테일즈로 하는 게 좋다.

이 방어전략이 효과를 발휘하려면 특별한 사정이 없는 한 '항상' 공유기 VPN을 켜 놓아야 한다. 평소에는 VPN을 끄고 살다가 야동 볼 때만 VPN을 켜는 건 소용 없다. VPN을 켠다는 게 곧 야동 본다는 신호가 되지 않는가. '항상' VPN을 킬 게 아니라면, 야동을 볼 때가 아닌 다른 때도 일부러 VPN을 장시간 사용하여 일종의 연막전술을 시도하는 것도 좋다. 예를 들어 VPN을 사용하여 웹 사이트를 돌아다니거나, 유튜브를 VPN으로 접속하여 이용하거나 (로그인은 하지 않는 것이 좋을 수도 있다) 해외 넷플릭스를 이용하는 등의 활동등을 말이다. 실제로 많은 유료 VPN의 사용 목적은 지역락이 걸린 유튜브 및 넷플릭스 컨텐츠의 이용으로 알려져 있다.[* 유튜브의 경우에는 동영상 게시자 또는 유튜브가 특정 국가에서만 재생하거나 재생할 수 없도록 설정할 수 있으며, 넷플릭스의 경우에는 국가마다 제공하는 컨텐츠가 모두 동일하지 않다. 그래서 특정 국가에서만 제공되는 컨텐츠를 보기 위해 VPN으로 외국 넷플릭스에 가는 경우가 흔하다]. 이렇게 하면 항상 VPN을 사용하는 것보다는 덜 안전하겠지만, 적어도 공격자(ISP)는 당신이 그저 지역락을 우회하려는 유저인 줄 알고 크게 관심을 가지지 않을 수 있다.

VPN 공유기 만드는 방법

VPN 공유기를 만들려면 ASUS 공유기를 사는 것이 제일 간편하다. 일반적인 아수스 공유기는 가격이 매우 비싸지만, 티모바일 브랜드를 달고 나오는 아수스 공유기는 (성능에 비해) 가격이 매우 싸다. 돈이 부족하다면 티모바일이 붙은 아수스 공유기를 사는 것을 추천한다. 공유기를 샀으면 인터넷 검색으로 티모바일 아수스 공유기에 Asuswrt-Merlin (이른바 멀린 펌웨어)를 까는 방법을 찾는다. 블로그 같은 데에서 한글로 된 설명을 쉽게 찾을 수 있다. 그걸 따라하면서 멀린을 깐다. 멀린을 깔았으면 적당한 VPN 회사를 골라잡아(적당한 VPN 회사들의 목록은 [[20]] 참조), 멀린펌 또는 아수스펌에 OpenVPN을 설정하는 가이드(예를 들면 [[21]])를 참조하면서 세팅을 하면 된다(멀린펌 세팅법이나 아수스펌 세팅법이나 똑같다). 그러면 VPN 공유기가 완성된 것이다. 아주 간단하다.

컴퓨터 - 공유기1 - 공유기2 - 인터넷 이런 식으로 공유기를 다중으로 연결하는 경우, 각 공유기의 IP주소가 겹치지 않도록 유의해야 한다. 가령 원룸에 거주하는 경우, 원룸 중앙 공유기가 192.168.0.1을 사용하고 있다면, 내가 새로 설치하는 공유기는 192.168.5.1 같은 걸로 바꾼 다음에 연결해 줘야 한다. 안 그러면 인터넷이 잘 안 되는 수가 있다. [* 간혹 인터넷에는 원룸에 공유기를 설치하려면 공유기를 '공유기 모드'가 아닌 '허브 모드'로 세팅해 줘야 한다고 주장하는 글들이 있으나 사실이 아니다. 일반적으로는 디폴트인 '공유기 모드' 상태로 놔 두는 게 좋다.]

VPN 관련 몇 가지 고려사항

일반적으로 VPN 서비스는 굳이 익명으로 가입하려고 애쓸 필요는 없다. 익명으로 가입에 성공하더라도(우편으로 현금을 보내서 결제한다든지), 어차피 가입 후 VPN을 이용하는 과정에서 VPN 회사(그리고 특정 국가의 VPN 서버를 물리적으로 관리하는 데이터센터 및 그 센터에 인터넷 접속을 제공하는 ISP)는 내 집 주소 IP를 비롯한 여러 정보들을 알게 되고 내 ISP는 내가 특정 VPN 서버로 접속한다는 사실을 알게 된다.

그리고 보통 우리나라에서 VPN 쓰는 사람들은 가까워서 속도가 제일 빠를 거라는 이유로 일본 서버를 고르는 경우가 많다. 어느 정도는 사실이기도 하다. 그러나 일본 서버가 '항상' 제일 빠른 것은 아니다. 때에 따라서는 미국 등 다른 나라에 있는 서버가 더 빠를 때도 있다.

테일즈를 일상적으로 이용하기

성인물 시청뿐만 아니라 그냥 일상적인 활동도 (윈도우 말고) 테일즈에서 하는 방법이다. 그러면 '테일즈 이용 = 야동 봤음'이라는 등식이 깨지므로, 공격자가 방어자의 테일즈 이용시점을 특정해 내더라도 그로부터 방어자가 야동을 언제 봤는지를 추론해 내기는 어려울 것이다. 웹서핑, 페이스북, 웹툰 감상, 유튜브/트위치 감상, 인터넷 쇼핑, 이메일 주고받기, 워드나 엑셀 작업 정도는 테일즈에서도 할 수 있다. 윈도우로만 할 수 있는 일을 하려는 경우(컴퓨터 게임, 아래아한글 문서 작성, 정부기관 사이트 들어가기, PC카톡 등)에만 윈도우로 부팅하면 된다.

이 전략은 VPN 공유기가 있든 말든 상관없이 항상 효과가 있다.

주의사항

서로 연관되지 않았으면 하는 활동들을 동시에 하지는 않는 것이 좋다. 예를 들어 테일즈에서 토르 브라우저를 사용하면서, 페이스북에 실명으로 로그인한 상태에서 새 탭을 열어 야동 사이트(페이스북에서 제공하는 트래커를 사용 중일 가능성이 높은)에 들어가는 것은 일반적으로 권장되지 않는다.

테일즈에서 공식적으로 권장하는 방법은 새로운 identity가 필요할 때마다, 즉 서로 연관되지 않았으면 하는 활동들을 분리시키고 싶을 때마다 테일즈를 완전히 종료했다가 다시 부팅하는 것이다.[* [[22]]] 다만 재부팅하는 것이 너무 귀찮거나, 내가 테일즈를 재부팅한다는 사실을 공유기 관리자나 ISP가 알게 되는 것이 꺼려지는 경우에는 토르 브라우저의 양파모양 아이콘에 있는 'New Identity' 기능을 활용해 볼 수도 있다.

또한 테일즈 재부팅이 '완벽한' identity seperation을 제공해 주지는 않는다는 점도 염두에 두어야 한다. 김갑동이라는 사람이 16:05부터 실명으로 페북을 하다가 16:45에 접속을 종료하더니, 16:46에 Like 버튼 또는 그 밖의 페이스북 관련 트래커가 있는 야동 사이트에 들어가 17:14까지 야동을 감상하고, 17:15에 다시 실명으로 페북에 로그인했다고 하자. 그러면 Facebook Inc.는 김갑동이 16:46~17:14에 야동을 감상한 사람과 동일인이 아닐까 하고 짐작할 수 있을 것이다. 이러한 패턴이 장기간에 걸쳐 계속 반복된다면 그 짐작에 더욱 확신이 생길 것이다.

테일즈 FAQ

암호화된 자료를 지인에게 들키면?

테일즈 USB나 LUKS로 암호화된 외장하드를 가족/친구에게 걸리면 어떡하나?

그냥 적당히 둘러대면 된다. '혹시 저거 야동 보는 데 쓰는 거 아냐?'라고 의심할 수도 있겠지만, 그러면 뭐 어떤가. 방어자가 성인물을 주기적으로 본다는 사실 자체는 누구나 다 막연히 짐작은 하고 있다. '직접적으로' 걸리지만 않으면 되는 것이다.

그리고 사실 윈도우나 맥을 주 운영체제로 사용 중인 경우에는 이런 걸 걱정할 필요도 딱히 없다. 윈도우나 맥은 리눅스용으로 포맷된 드라이브인 테일즈 USB나 LUKS로 암호화된 외장하드를 꽂아도 자동으로 인식하지 않는다. '포맷이 안 돼 있으니 포맷을 하라'는 경고문이 뜰 뿐이다. 따라서 공격자가 그 USB/외장하드에 수상한 데이터가 들어 있을 거라고 의심 중인 상황이 아니라면, 그들은 그냥 '아직 포맷인 안 된 USB인가 보다.'라고 생각하고 포맷을 할 가능성이 높다. 따라서 여러분이 친구한테서 '이 암호화된 외장하드에는 뭐가 들었니?'라는 질문을 받을 일은 사실 없다.

물론 이 상황에서 그들이 포맷을 진행하게 내버려두면 그 안에 든 데이터는 전부 날아간다. 암호화된 데이터는 복구도 불가능하다.

테일즈를 쓰면 철컹철컹의 걱정 없이 아청물을 볼 수 있는가?

택도 없는 소리다. 애초에 인터넷은 마법의 4차원 공간이 아니며, 정말 간단하게 개념도를 잡아보자면 다음과 같다: 철수와 영희의 컴퓨터가 서로 연결된 것 자체가 웹이고 여기서 상대방의 IP 주소를 매번 주소창에 치는게 불편하니 DNS 서버라는 IP주소에 도메인을 연결해주는 서버만 들려다가 여러분의 컴퓨터로 가는거다. ISP는 그 상대방이랑 당신의 컴퓨터 사이에 있어야 할 전선을 깔아주고 관리하는 양반들이고.

여기서 TOR니 VPN이니 하는걸 써봤자 어차피 본질은 웹 연결에 해당하는 철수와 영희간의 연결이다.

HTTPS, 그러니까 SSL은 ISP나 ISP로 가는 길목에 있는 이들이 이 전선을 타고 전송되는 데이터에 관심을 가지고 까보려고 드니까 이 전선은 그대로 쓰되 전선을 타고 흐르는 데이터를 암호화 시켜서 중간에서 못 까보게 하자는 이야기고, VPN이나 VPN을 이용해 격리된 망을 이용하는 TOR란 그렇게 암호화된 연결을 이용해서 마치 철수의 컴퓨터가 영희의 공유기에 연결되어 있는 양 영희의 공인 아이피 주소로 또 다시 영희의 컴퓨터와 연결된 훈이네 컴퓨터에 영희네 컴퓨터 주소로 접속하게 해주는 것이다. 두 경우 다 결국엔 영희를 조져놓으면 철수도 조져지게 되어있다.

아청물을 가져다가 쏴주는 인간들은 도대체 누구일까? 이 세상 천지 전세계에 아청물이 합법인 나라는 단 한 군데도 없다. 당장은 ISP가 데이터를 까보다가 아청물이 전송되는 걸 보고 식겁해서 경찰에 고발해서 내일 아침 뉴스에 외투로 얼굴 가리느라 애쓰는 한심한 모습이 전국에 나오는 건 피할지 몰라도 결국엔 인터폴은 수사공조로 그 아청물을 뿌리던 인간말종을 조지게 될거고, 그 조져진 인간말종의 서버에는 높은 확률로 여러분을 역추적할 단서가 남겨져 있다.

이 뿐만이 아니라 애초에 단순히 테일즈고 나발이고 웹 연결을 사용하는 시점에서 소위 일반인들이 착각하는 감쪽같은 완벽한 보안이 달성되지는 않는다. 아청물 감상 등 불법행위를 하면서 '난 테일즈를 쓰니까 경찰수사로부터 안전해'라고 착각하지는 말자.[* 물론 테일즈조차도 안 쓰는 것보다는 '상대적으로' 더 안전하기는 하다.] 그런 걸 전문용어(?)로는 false sense of security 내지 illusion of privacy라고 부른다. 그냥 아청물 볼 생각을 하지 말자.

다만 어디까지나 기술적인 면만 따졌을 때, 상대적으로 공권력의 연락을 받을 걱정을 조금 덜어둘 수 있다고는 말할 수 있을 것이다. 경찰도 사람이고, 연쇄살인이나 은행강도와 같이 아청법 위반자를 위반자 따위로 만드는 더욱 중요한 수사사건이 있다면 당연히 거기에 더욱 총력을 기울인다. 그러니까 영희를 조지면 철수까지 조질 수는 있지만 국소적으로는 중앙집중형인 인터넷 구조상[* 그러니까 전체적, 거시적으로는 인터넷은 대등한 관계로 연결된 그물망이지만, 좀 더 확대해 보면 부분적으로는 서버-클라이언트라는 중심점과 주변이 구분되고, 그런 국소적, 미시적인 면에서는 중앙집중적이라는 이야기다. 당장 최소 수십만명의 사람들이 나무위키 서버라는 중앙 서버 1대에 다닥다닥 들러붙어서 이 문서를 읽고 있잖는가. 물론 인터넷 세상엔 그러한 서버가 셀 수 없이 많지만, 이런 국소적인 면에서 보면 중앙집중적이다.] 영희 한 명에 철수 수십만 명의 구도라서, 보통은 영희 한 명과 철수 중에서 영희와 자주 내통하고 영희에게 많은 자료를 제공(업로드)한 주요 철수만 골라서 조지고, 나머지 마이너한 단순 다운로더들은 몇십명 정도만 잡기 쉬운 놈들 위주로 랜덤으로 돌려서 본보기로 처형(...) 하는 게 일반적이다. 물론 재수없이 무작위로 잡아 족치다가 당신이 걸렸으면 별 수 없는 거고.

하지만 위에 적었듯 당신이 헤비업로더가 아니라면 테일즈에 토르에 VPN에 이중삼중으로 일거리만 늘려놓은 당신을 잡기 귀찮아서 그냥 내비둘 수도 있다는 거다. 수십, 수백만 명을 일일히 수사해서 감방에 처넣는다는게 생각보다 현실적으로 쉬운 문제가 아니기 때문이다. 이는 굳이 아청물이 아니라 불법 다운로드나 불법 주정차, 신호위반, 쓰레기 불법 투기같은 다른 경우에도 해당되는 문제다. 서울 시내의 경찰들이 수시로 단속을 나오고 몰래 설치한 위장된 감시카메라가 달린 대규모 사거리에서 신호위반을 하면 딱지가 직행으로 날아오지만, 시골 산골짜기 저 어디 이면도로 사거리에서 신호위반을 하면 우연히 순찰하던 경찰들이나 파파라치 보는 앞에서 대놓고 하지 않는 이상 굳이 당신을 머리 끝까지 추적해서 잡아 족치지는 않는 것처럼.

당장 나무위키만 해도 여기다가 자기 IP 다 까발리면서 불법적인 서술을 하더라도[* 단순 명예훼손과 모욕과 같이 업무방해성 내용을 담은 것부터, 선을 아슬아슬하게 타기 시작하는 수위인 폭발물 제조 방법이나 은행강도 방법을 적는 등.] 도가 너무 지나치지 않다면[* 군사기밀 유출 등], 어지간한 사안으로는 신고를 넣어도 귀찮아서, 아니면 다른 일거리가 많기에 신고자에게는 기술적으로 잡기 어려워서 못잡는다고 둘러대고 사건 종결내리는 게 일반적이다. 당신이 그 수십만 명 중에 한 명인 단순 사용자라면 말이다. 소라넷같은 불법 사이트의 헤비업로더나 운영자라면 얄짤 없다.

상대적으로 사소한(?) 단순소지자까지 다 잡아처넣을려면 당장 교도소 수용인원부터 터져서 감빵부터 새로 지어야되는데 지을려고 부지 선정을 하려 보면 주변 지역주민들이 가만 있을까? 그렇게까지 많을 가능성은 적지만, 수백명~1천만명 수준이라면 더더욱 심해서 그 인원들 다 잡아처넣었다가 경제규모가 축소되고 대한민국 GDP가 하락할 가능성도 있다. 물론 그러려면 아청물 여부에 관계없이 야동 시청 자체를 갖고 징역살이를 시키는 수준이 되어야 겠지만.

Tor 브라우저로 네이버 등에 로그인하면?

토르 브라우저로는 꼭 성인물 관련된 것만 탐색해야 하는가? 가령 토르 브라우저로 기존 네이버, 구글, 페이스북 아이디에 로그인하면 위험해지는가?

그렇지 않다. 페이스북에 글을 올리거나 인터넷 쇼핑몰에서 물건을 주문하는 것을 포함하여, 토르 브라우저를 크롬이나 파이어폭스 등 일반적인 브라우저와 똑같이 이용해도 전혀 문제될 것이 없다. 따지고 보면 토르 브라우저라는 것도 결국 파이어폭스 브라우저에 몇 가지 세팅값을 변경하고 애드온을 몇 개 추가해 놓은 브라우저일 뿐이다.

Tor를 쓰면 해킹을 당하나?

다크 웹은 일반인들이 상상도 할 수 없는 그야말로 무시무시한 것들이 우글거리는 공간이라고 들었다. 토르 브라우저를 쓰면 딥웹의 공격에 노출되는 것이 아닌가?

아니다. Tor 브라우저는 구글 크롬이나 모질라 파이어폭스 등 일반적인 브라우저와 똑같다. 크롬을 쓰면 다크 웹으로부터 안전하고 토르 브라우저를 쓰면 다크 웹의 공격을 받는 그런 건 아니다.

토르 브라우저를 사용하면 .onion으로 끝나는 주소를 가진 사이트에 접속할 수 있는 것은 사실이다. 그러나 많은 사람들이 생각하는 것과 달리, .onion으로 끝나는 주소에 함부로(?) 접속한다고 큰일이 나는 것은 아니다. 못 믿겠다면 직접 토르 브라우저로 [[23]], [[24]], [[25]], [[26]], [아카이브], [[27]]에서 운영하는 onion 주소에 접속해 보라. 그냥 평범한 사이트라는 사실을 확인할 수 있을 것이다. (민감한 정보, 예를 들어 페이스북 아이디/비밀번호를 입력하기 전에 링크를 타고 들어간 onion 주소 사이트가 '진짜'인지 확인하는 것이 좋다. 누군가가 페이스북 메인 페이지와 똑같이 생긴 피싱 사이트를 만들어 놓고 위 링크를 그 피싱 사이트로 향하는 링크로 수정해 놓았을 수도 있기 때문이다. 위키는 '아무나' 수정할 수 있는 사이트라는 점을 명심하자. 주소가 진짜인지 여부는 구글 등 검색엔진에 그 onion 주소를 검색해 보면 알 수 있다. 만약 '진짜' 페이스북 어니언 주소에 들어갔다면 거기서는 자기 페이스북 아이디/비번으로 로그인해도 안전하다. 그 어니언 주소는 페이스북 회사가 공식적으로 운영하는 것이기 때문이다.)

위 문단에서 예로 든 사이트와 달리, 일반적인 주소 없이 오로지 onion으로 끝나는 주소만 사용하는 사이트들도 있다. 예를 들어 [Answers]라는 사이트가 그렇다. 직접 들어가 보면 생각보다 멀쩡한 사이트라는 사실을 알 수 있을 것이다.

한편, 어니언 주소의 특징 중 하나는 서버의 물리적인 위치를 노출시키지 않고도[* '상대적으로' 그렇다는 것이다. 경찰이 시간과 돈을 들여 수사를 시작하면 결국 드러나게 되어 있다.] 웹사이트를 운영할 수 있다는 것이다. 그래서 정부에서 불법으로 규정한 내용을 담고 있는 웹사이트, 예를 들어 대마초 기타 마약류를 거래하는 사이트는 어니언 주소를 이용하는 경우가 많다. 하지만 그럼 뭐 어떤가? 어니언이 아닌 일반 웹사이트 중에도 불법적인 내용을 담고 있는 사이트, 예를 들어 불법도박, 토토 사이트 같은 것들은 많다. 하지만 그럼에도 불구하고, 어떤 사람이 인터넷을 자주 이용한다는 이유만으로 그 사람을 도박 중독자로 취급해도 되는 것은 아니다. 또한 (어니언이 아닌) 일반 인터넷에는 일베라든가 메갈리아 같은 사이트도 존재하지만, 인터넷을 이용한다고 자동으로 일베 또는 메갈리아 이용자가 되는 것도 아니다. 마찬가지로, 토르 네트워크 상에는 대마초 거래 사이트가 존재하지만, 토르 브라우저를 이용한다고 자동으로 대마초 중독자가 되는 것은 아니다. 자기가 그런 행위를 의도적으로 하지 않는 이상 넷상에 그런 사이트가 존재하든 말든 그런 건 아무 상관이 없는 것이다.

참고로 토르 네트워크를 거치는 [트래픽] 중 [사이트로 가는 트래픽]의 비율은 1% 미만이다. 전체 어니언 사이트 중 가장 많은 사람들이 이용하는 어니언 사이트는 (불법 사이트가 아니라) [[28]], [[29]], [[30]] 등 합법적인 사이트일 가능성이 높은 점을 고려하면, 토르 네트워크 이용자들 중 불법 사이트에 자주 접속하는 사람의 비율은 그리 높지 않은 셈이다.

또한 일반인들 중에는 딥웹(?)에서는 살인청부 거래가 공공연히 이루어진다거나 하는 망상적인 생각을 하는 사람들도 많다. 일단 마약류 거래 사이트는 어니언 네트워크 상에 실제로 존재한다. 그러나 살인청부 사이트라든가 일반 웹에는 돌아다닐 수 없을 정도의 엽기적인 야동/고어물이 올라오는 사이트 같은 것들은 어니언 네트워크에도 존재하지 않는다.

어니언 사이트도 결국 사람이 운영하는 것이고, 그런 웹사이트에 접속하는 자들도 결국 사람이다. 따라서 사람 사는 사회에서 통하는 상식들은 딥웹(?)에서도 그대로 통한다. 가령 내가 살인청부 의뢰를 받고 수십억 원의 대가를 선불로 지급받았다고 생각해 보자. 나는 그 살인행위를 실제로 해야 할까? 전혀 그렇지 않다. 어니언 주소를 사용하는 사이트들의 특징은 익명성이다. 의뢰인은 내 신상에 대해 아는 것이 없으므로 내가 수십억 원을 들고 그대로 날라 버린다 해도 의뢰인은 나에게 보복하지 못한다. 그보다는 의뢰를 실제로 수행했을 때 사법기관에 의해 처벌받을 위험이 훨씬 크다. 반대로 내가 후불 요금제로 살인청부 의뢰를 하는 의뢰인이라고 생각해 보자. 청부살인업자가 실제로 살인을 성공시켰다면, 나는 그 대가를 지급해야 할까? 청부업자는 내 신상에 대해 아는 것이 없으므로 내가 당초의 약속을 깨고 날라 버리더라도 청부업자는 나에게 보복하지 못한다. 괜히 돈을 줘서 돈도 날리고 money trail도 남겨서 나중에 살인교사죄로 처벌될 위험을 높이느니, 차라리 입 싹 씻고 잠적해 버리는 것이 훨씬 이득이다.

그러면 살인청부 거래를 하기 전에 서로 신상을 밝히고 시작한다면 어떨까? 그러면 위와 같은 배신의 인센티브는 비교적 줄어들겠지만,[* 그렇다고 배신의 인센티브가 아예 없어지는 것은 아니다. 내가 살인청부업자(를 가장한 사기꾼)에게 거액의 선불금을 지급했는데 그 업자가 돈만 먹고 날라 버렸다고 하자. 업자의 신상을 안다고 해도, 일반인인데다가 전재산을 선불금으로 날려서 이제 돈도 없는 사람이 어떻게 살인청부업자에게 보복을 할 수 있겠는가? 현실적으로 불가능하다.] 그렇다고 문제가 해결되는 것은 아니다. 살인을 청부하는 의뢰인이, 도통 누군지도 모르는 익명의 사람에게 자기 신상을 함부로 밝힐 수 있겠는가? 경찰이 살인청부업자로 가장해서 홍보글을 올렸을지도 모르는 일이다. 반대로 살인청부업자가 누군지도 모르는, 실제 살인청부를 할 생각이 있는지 없는지조차 알 수 없는 익명인에게 자기 신상을 먼저 밝히는 것도 지나치게 위험부담이 크다. 경찰이 청부인으로 가장해서 나를 접촉했을지도 모르는 일이다.

따라서 딥웹(?)을 통해 익명의 살인의뢰자와 청부업자가 만나서 살인거래를 하는 일은 현실에서는 거의 일어나지 않는다.[* 반대로 딥웹(?)이 아닌 일반 웹에서는 가끔 실제로 살인거래가 일어난다. 예를 들어, 단란주점 지배인, 택시기사, 광케이블 설치기사, 용접공 등의 직업을 전전하던 어떤 사람은 1년 6개월 가량 직업을 구하지 못하여 돈이 궁하게 되자 2005년 초순 네이버에 '킬러 카페'를 개설하여 살인교사자를 모집했고, 몇 달 후 어떤 의뢰인에게 900만원에 의뢰를 받아서 1명을 살해하고 얼마 후 붙잡혀 법원에서 무기징역을 선고받았다. 수원지방법원 2006. 1. 11. 선고 2005고합137 판결. 당연한 얘기지만, 네이버 카페는 딥웹(?)이 아니다.] 살인청부업체를 가장한 사기 사이트[* [[31]]]만 존재할 뿐이다. 과거 딥웹(?) 최대의 마약류 거래 사이트였던 Silk Road를 창립한 Ross Ulbricht도 무려 730,000 달러나 써 가면서 6번의 살인의뢰를 했다고 하지만(일단 검사는 그렇게 주장했다) 실제로 살해당한 사람은 한 명도 없었다. 그 악명높은(?) Ross Ulbricht조차도 딥웹(?)에서 진짜 살인청부업자를 찾을 수 없었던 것이다.

야동도 그렇다. 만약 딥웹(?)에서 엽기적인 야동을 본 적이 있다면, 아마 그 야동은 일반 웹에도 똑같이 올라와 있을 것이다. 야동 제작자는 자기가 만든 야동을 최대한 많은 수의 고객에게 노출시키거나 홍보하고 싶어한다. 그런데 전체 인터넷 인구 수에 비해 토르 브라우저 이용자의 수는 극히 적다. Tor Metrics에 의하면, 전 세계에서 토르 네트워크를 거치는 트래픽은 2018년 기준 110 Gbps 정도다.[* [[32]]] 위키피디아에 의하면 총 인터넷 트래픽은 2018년 기준 102,960 PB/month 정도라고 한다. 단위를 똑같이 맞춘 다음 비교해 보면 토르 트래픽은 총 인터넷 트래픽의 0.0034615%, 즉 28889분의 1에 불과하다는 계산이 나온다. 그런데 토르 트래픽 중 1% 미만만이 어니언 사이트로 향하고, 어니언 사이트들 중 가장 많은 트래픽을 잡아먹는 사이트들은 일반 URL도 동시에 가지고 있는 대중적인 사이트(가령 덕덕고, 페이스북 등)일 가능성이 높다는 점[* 똑같은 사이트가 어니언 URL과 일반 URL을 동시에 가지고 있는 경우, 많은 토르 이용자들은 어니언 URL로 접속하는 것을 선호한다.]을 감안하여, 토르 트래픽 중 한 0.1% 정도가 '진짜' 딥웹(?)으로 향한다고 가정해 보자. 그러면 딥웹(?)의 규모는 일반 인터넷의 0.0000034615%, 즉 28,889,000분의 1에 불과하다는 말이 된다. 자기가 만든 야동을 일반 인터넷 이용자들에게는 노출시키지 않고, 그보다 28,889,000배나 적은 딥웹(?) 이용자들에게만 노출시키기를 원하는 야동 제작자가 있겠는가.

또한 딥웹(?)에서는 경찰에 붙잡힐 걱정 없이 웹사이트를 운영하거나 불법물건을 거래할 수 있다더라 하는 관념도 실은 모두 허상이다. 1세대 마약류 거래 사이트인 실크로드는 이미 FBI에게 털렸고 창립자는 감옥에 가 있으며, 2세대 마약류 거래 사이트들 중 규모가 가장 컸던 AlphaBay와 Hansa Market도 2017년 중순경 FBI에게 털렸다. 특히 Hansa 같은 경우에는 경찰이 사이트 접수사실을 외부로 공표하지 않고 몇 달 동안 마치 기존 사이트가 정상적으로 돌아가는 것처럼 운영함으로써 그 사이트에서 마약류 등을 거래하는 판매자/구매자들의 신상을 확보하기도 하였다. 아동 포르노 사이트와 같이 경찰의 어그로를 심하게 끄는 사이트는 훨씬 잘 털린다. FreedomHosting을 비롯하여 많은 사이트들이 이미 털렸다.

요컨대 딥웹(?)은 무법지대가 아니다. 불법적인 정보가 오가는 어니언 사이트들이 계속 운영되고 있는 것은 경찰에게 그걸 털 의지가 없어서일 뿐이다. 미국 절반 정도의 주에서 이미 대마초가 합법화된 마당에, FBI가 굳이 시간과 돈을 들여 대마초 거래 사이트를 털고 싶어 하겠는가. 절대로 어니언 사이트 운영자들이 기술적으로 FBI보다 우위에 있어서 안 털리고 있는 것이 아니다. 그래서 요즘은 불법물건 거래가 이루어지는 어니언 사이트에서도 경찰의 어그로를 끌 수 있는 물건들(예를 들어 총기, 독극물, 펜타닐 등)은 자체적으로 거래를 제한하고 있는 추세다.

딥웹(?)에 들어가면 뭐가 어떻다더라 하는 얘기들은, 옛날 00년대에 돌아다니던 '인터넷에 절대 검색하면 안되는 검색어가 있다더라'와 같은 도시전설에 불과하다. 이와 관련하여 [[33]]와 [[34]]에도 좋은 기사가 올라와 있으니 참고하라.

참고로 '딥웹'이나 '면웹' 같은 용어를 사용하면 왠지 좀 무식해 보이는 인상, 위와 같은 도시전설을 실제로 믿는 사람일 것 같은 인상을 준다. 요즘은 '다크넷', '클리어넷'이라는 용어가 비교적 중립적인 어감으로 받아들여진다.

토르 브라우저를 쓰면 해킹 당하는가?

토르 브라우저는 커스터마이징이 가해진 파이어폭스, 정확히는 [ESR] 브라우저다. 토르 브라우저를 쓰다가 해킹당할 확률은 파이어폭스 ESR을 쓰다가 해킹당할 확률과 똑같다. 일단은.

조금 더 엄밀하게 따져 보면 토르 브라우저가 파이어폭스 ESR보다 더 위험하다. 파이어폭스 ESR의 릴리즈 시점과 토르 브라우저의 릴리즈 시점 사이에는 시간차가 존재한다. 즉, 최신 파이어폭스 ESR에서 패치돼서 없어진 취약점이 토르 브라우저에는 며칠 내지 몇 주 동안 더 잔존하고 있을 수 있다는 것이다.

또한 파이어폭스 ESR은 일반 파이어폭스보다 더 위험하다. 모질라는 파이어폭스의 취약점을 critical, high, moderate, low의 4단계로 구분한다.[* [[35]]] Critical 및 high 취약점에 대한 패치는 일반 파이어폭스 및 파이어폭스 ESR에 똑같이 제공된다. 그러나 moderate 및 low 취약점에 대한 패치는 일반 파이어폭스에만 제공되고, 파이어폭스 ESR에는 ESR의 다음 단계 메이저 릴리즈가 나올 때까지 수 개월간은 제공되지 않는다.

결론적으로, 최신버전의 토르 브라우저를 쓰면 최신버전의 파이어폭스를 쓸 때보다는 해킹에 약간 더 취약해진다. (하지만 적어도 인터넷 익스플로러를 쓰는 것보다는 토르 브라우저를 쓰는 게 훨씬 안전하다.)

위 내용은 똑같은 환경(예컨대 윈도우)에서 최신버전의 토르 브라우저를 쓸 때와 최신버전의 파폭을 쓸 때를 비교한 것임에 유의해야 한다. 윈도우에서 파폭을 쓸 때와 테일즈에서 토르 브라우저를 쓸 때를 비교했을 때 어느 쪽이 더 보안성이 우수할지는 잘 모르겠다.

같이 보기

• 리넠스 (Linux)
• 야한 동영상/좋은 은폐 방법
• 후닠스 (Whonix)
• 아이투피 (I2P)

• 아이투피디 (i2pd)

• 자유 조선 (천리마 민방위)
• 이프레디아OS (이프레디아; IprediaOS; Ipredia)