NordVPN은 안전한가? 감시, 암호화 및 개인정보 보호 검토
NordVPN은 안전한가? 독립 감시 결과, 2018년 서버 사건, 파나마 관할권 분석, 암호화 프로토콜, 킬 스위치 테스트.
가장 안전한 VPN
NordVPN은 안전한가?
예. NordVPN은 AES-256 암호화를 사용하며 개인정보 보호 친화적인 파나마의 관할권 아래에서 운영되고 Deloitte의 완전한 무로그 검증을 포함한 여러 독립 감시를 통과했습니다. 2018년의 단일 서버 사건에서는 사용자 데이터가 노출되지 않았습니다. NordVPN은 전체 인프라를 RAM 전용 서버로 이전하여 보안 태세를 크게 강화하는 것으로 대응했습니다.
이 페이지는 보안을 깊이 있게 다룹니다. 전반적인 서비스 성능과 가격 책정에 대해서는 NordVPN 검토를 참조하세요.
2018년 서버 사건: 실제로 무엇이 일어났는가
2018년 3월, 권한이 없는 당사자가 핀란드의 단일 NordVPN 서버에 접근했습니다. 공격자는 데이터 센터 제공업체가 활성화한 원격 관리 도구를 악용했습니다. NordVPN은 이 도구를 설치하지 않았습니다. 데이터 센터가 NordVPN에 알리지 않고 설치했습니다.
공격자는 서버 자체에 접근했습니다. 사용자 자격 증명, 브라우징 활동 또는 계정 정보에는 접근하지 못했습니다. 서버는 NordVPN의 무로그 정책으로 인해 활동 로그가 없었기 때문에 활동 로그를 보유하지 않았습니다.
NordVPN은 내부 감시 중에 위반을 발견하고 2019년 10월에 공개적으로 공개했습니다. 지연은 비판을 초래했습니다. 회사는 격차를 인정하고 광범위한 인프라 변경의 촉매제로 사용했습니다.
NordVPN의 대응 방식
NordVPN은 핀란드 데이터 센터와의 계약을 즉시 종료했습니다. 그 후 회사는 세 가지 주요 이니셔티브를 시작했습니다:
RAM 전용 서버 마이그레이션. NordVPN은 전체 네트워크를 디스크리스(RAM 전용) 서버로 이전했습니다. 이러한 서버는 지속적으로 데이터를 저장할 수 없습니다. 모든 재부팅이 모든 것을 삭제합니다. 서버를 물리적으로 압수하더라도 유용한 것은 없습니다.
버그 바운티 프로그램. NordVPN은 HackerOne과 파트너십을 맺어 독립적인 보안 연구원들이 지속적으로 시스템을 조사하도록 했습니다. 연구원들은 공격자가 발견하기 전에 취약점을 발견한 것에 대한 보상을 받습니다.
독립 감시 프로그램. NordVPN은 정기적인 제3자 보안 감시를 약속했습니다. 이는 일회성 보증이 아닌 지속적인 외부 책임을 만들었습니다.
2018년 사건은 수천 개 서버 중 하나에 영향을 미쳤습니다. 사용자 데이터가 유출되지 않았습니다. 그러나 NordVPN은 이를 인프라를 처음부터 다시 구축할 이유로 여겼습니다. 그 대응이 사건 자체보다 더 중요합니다.
NordVPN 감시 타임라인
검증 없는 신뢰 주장은 의미가 없습니다. NordVPN은 존경받는 사이버보안 회사의 여러 독립 감시를 받았습니다.
VerSprite 애플리케이션 보안 감시
VerSprite는 NordVPN의 애플리케이션 보안 평가를 수행했습니다. 감시는 VPN 클라이언트의 취약점, 코드 약점 및 잠재적 공격 벡터를 조사했습니다. VerSprite는 복잡한 소프트웨어의 일반적인 문제를 발견했습니다. NordVPN은 이를 수정했습니다. 이 과정은 지속적인 애플리케이션 보안 테스트를 위한 기준을 확립했습니다.
Cure53 인프라 평가
Cure53[1](베를린 기반 보안 회사)은 인프라 수준의 감시를 수행했습니다. 그들의 팀은 NordVPN의 서버 구성, 네트워크 아키텍처 및 백엔드 시스템을 검토했습니다. Cure53는 개선할 영역을 파악하고 핵심 인프라가 안전하게 운영되었음을 확인했습니다. NordVPN은 결과를 공개적으로 발표했습니다.
Deloitte 무로그 검증 (2022)
이 감시는 개인정보 보호 중심 사용자에게 가장 큰 무게를 실어줍니다. Big Four 회계 회사인 Deloitte는 NordVPN의 무로그 주장에 대한 완전한 검사를 수행했습니다. Deloitte는 서버 구성을 검사하고, 기술적 제어를 검토하고, 직원을 인터뷰했습니다. NordVPN은 Deloitte 감시 결과[2]를 공개적으로 발표했습니다.
결론: NordVPN의 서버 인프라는 무로그 정책과 일치하게 운영됩니다. 회사는 연결 타임스탐프, 세션 기간, IP 주소, 브라우징 데이터 또는 대역폭 사용을 저장하지 않습니다.
지속적인 투명성
NordVPN은 정부 데이터 요청에 대한 세부 정보를 담은 정기적인 투명성 보고서[3]를 발표합니다. 이러한 보고서는 지속적으로 동일한 결과를 보여줍니다: NordVPN은 제공할 데이터가 없습니다. 보고서는 또한 삭제 요청, 보증 카나리 상태 및 국가 보안 편지를 다룹니다.
파나마 관할권이 사용자 개인정보 보호
NordVPN의 모회사인 Tefincom S.A.는 파나마 법률에 따라 운영됩니다. 이는 세 가지 구체적인 이유로 중요합니다.
의무 데이터 보유 없음. 파나마는 VPN 제공자에게 사용자 활동 또는 연결 데이터를 저장하도록 요구하는 법률이 없습니다. 많은 유럽 및 북미 국가는 6개월에서 24개월의 보유 기간을 의무화합니다. 파나마는 그렇지 않습니다.
정보 공유 동맹 외부. 파나마는 Five Eyes, Nine Eyes, Fourteen Eyes 감시 협약 외부에 있습니다. 이러한 동맹은 회원국 간에 정보 데이터를 공유합니다. 미국, 영국, 캐나다 또는 호주에 기반을 둔 VPN은 강제 공개의 가능성에 직면합니다. NordVPN은 그렇지 않습니다.
데이터 요청에 대한 실제 영향. 외국 법 집행 기관은 자신의 법률 시스템을 통해 파나마 회사가 기록을 생성하도록 강요할 수 없습니다. 그들은 파나마 법원을 통해 일해야 합니다. 그렇다 하더라도 NordVPN은 제공할 로그를 유지하지 않습니다. 관할권은 기술적 차단 위에 구조적 장벽을 추가합니다.
AES-256 암호화 및 프로토콜 옵션
NordVPN은 모든 트래픽을 AES-256으로 암호화합니다. 이는 미국 정부가 기밀 정보에 사용하는 동일한 암호화 표준입니다. AES-256을 브루트 포스 공격할 수 있는 알려진 공격은 없습니다. 현재 추정치에 따르면 기존 컴퓨팅 능력으로 수십억 년이 걸릴 것입니다.
NordLynx 프로토콜
NordLynx는 NordVPN의 기본 프로토콜입니다. 4,000줄의 간결한 코드베이스를 통해 높은 속도를 제공하는 WireGuard를 기반으로 합니다. WireGuard 자체는 개인정보 보호 제한이 있습니다: 서버에 정적 IP 주소를 저장해야 합니다.
NordVPN은 더블 NAT(Network Address Translation) 시스템으로 이를 해결했습니다. 더블 NAT는 각 세션에 동적 인터페이스 주소를 할당합니다. 세션이 끝나면 주소가 사라집니다. 이는 개인정보 보호 절충 없이 WireGuard의 속도 향상을 제공합니다.
성능 벤치마크는 NordLynx가 기가비트 연결에서 730Mbps 이상의 속도를 달성함을 보여줍니다. 지연 시간은 낮게 유지됩니다. 프로토콜은 스트리밍, 게임 및 대용량 다운로드를 병목 현상 없이 처리합니다.
OpenVPN
OpenVPN은 검증된 프로토콜을 선호하는 사용자에게 계속 사용 가능합니다. TCP와 UDP 모두에서 실행됩니다. TCP는 제한적인 네트워크에 안정성을 제공합니다. UDP는 일반적인 사용을 위해 더 빠른 속도를 제공합니다. OpenVPN의 오픈 소스 코드베이스는 20년에 걸쳐 보안 커뮤니티에 의해 광범위하게 감시되었습니다.
IKEv2/IPsec
IKEv2/IPsec은 모바일 장치에서 잘 작동합니다. Wi-Fi와 셀룰러 네트워크 간에 전환할 때 빠르게 다시 연결됩니다. NordVPN은 AES-256 암호화와 쌍을 이룹니다. 이 프로토콜은 네트워크 간을 자주 이동하는 사용자에게 적합합니다.
킬 스위치가 드롭 중 데이터 유출 방지
VPN 연결이 끊어질 수 있습니다. 그럴 때 보호되지 않은 트래픽이 ISP로 빠져나갈 수 있습니다. NordVPN의 킬 스위치는 이를 방지합니다.
킬 스위치는 VPN 연결을 지속적으로 모니터링합니다. 터널이 드롭되면 즉시 모든 인터넷 트래픽을 차단합니다. VPN이 다시 연결될 때까지 데이터가 장치에서 나가지 않습니다. NordVPN은 두 가지 킬 스위치 모드를 제공합니다:
앱 수준 킬 스위치. 이는 VPN이 연결 해제될 때 특정 애플리케이션에 대한 인터넷 접근을 차단합니다. 다른 앱은 정상적으로 계속 작동합니다.
시스템 수준 킬 스위치. 이는 장치 전체의 모든 인터넷 트래픽을 차단합니다. VPN 없이는 아무것도 통과하지 않습니다. 이는 개인정보 보호가 중요한 작업을 위한 더 안전한 옵션입니다.
DNS 유출 보호는 쿼리를 비공개로 유지
DNS 요청은 도메인 이름을 IP 주소로 변환합니다. 보호 없이 이러한 요청은 VPN에 연결되어 있어도 ISP로 유출될 수 있습니다. NordVPN은 모든 DNS 쿼리를 자신의 암호화된 DNS 서버를 통해 라우팅합니다.
이는 ISP가 어떤 웹사이트를 방문하는지 확인하는 것을 방지합니다. 또한 제3자 DNS 제공자가 브라우징 패턴을 기록하는 것을 차단합니다. 독립적인 DNS 유출 테스트는 NordVPN의 보호가 광고된 대로 작동함을 지속적으로 확인합니다.
위협 보호는 악성 소프트웨어 및 추적기 차단
위협 보호는 네트워크 수준에서 작동합니다. 알려진 악성 도메인이 로드되기 전에 차단합니다. URL에서 추적 매개변수를 제거합니다. 악성 소프트웨어 다운로드를 식별하고 중지합니다.
위협 보호는 VPN 서버에 연결되어 있지 않을 때도 작동합니다. 지원되는 플랫폼에서 독립형 보안 계층으로 기능합니다. AV-TEST(독립적 보안 연구소)는 위협 보호의 악성 소프트웨어 차단 기능을 인증했습니다.
이 기능은 다운로드 중 파일을 스캔합니다. 지속적으로 업데이트되는 위협 데이터베이스에 대해 URL을 확인합니다. 종종 악성 소프트웨어 배포 벡터로 작동하는 방해하는 광고를 차단합니다.
Sources
자주 묻는 질문
NordVPN은 실제로 안전하게 사용할 수 있는가?
예. NordVPN은 AES-256으로 트래픽을 암호화하고 데이터 보유 의무가 없는 파나마의 관할권 아래에서 운영되며 VerSprite, Cure53, Deloitte의 2022년 무로그 검증으로부터 독립적인 감시를 통과했습니다. 2018년 핀란드의 단일 서버 침해라는 유일한 보안 사건에서는 저장된 로그가 없었기 때문에 사용자 자격 증명이나 브라우징 데이터가 노출되지 않았습니다.
NordVPN의 2018년 침해에서 정확히 무엇이 일어났으며 지금 이것이 걱정되어야 하는가?
공격자는 NordVPN의 지식 없이 핀란드 데이터 센터가 활성화한 원격 관리 도구를 악용하여 수천 개 서버 중 하나에 접근했지만 사용자 자격 증명, 브라우징 로그 또는 계정 데이터는 포함되어 있지 않았습니다. NordVPN은 2019년 10월에 이를 공개했고, 전체 네트워크를 RAM 전용 서버로 마이그레이션하고, HackerOne 버그 바운티를 추가했으며, 반복적인 제3자 감시를 약속했습니다.
어떤 독립 회사가 NordVPN의 보안 및 무로그 주장을 감시했는가?
지금까지 세 개 회사입니다. VerSprite는 코드 취약점 및 공격 벡터에 대한 NordVPN의 애플리케이션을 평가했고, Cure53은 서버 구성 및 백엔드 인프라를 감시했으며, Deloitte는 2022년 완전한 무로그 검증을 수행하여 NordVPN이 연결 타임스탐프, IP 주소, 세션 기간 또는 대역폭 데이터를 저장하지 않음을 확인했습니다. 모든 결과는 NordVPN 사이트에 공개적으로 발표됩니다.
NordVPN이 파나마에서 운영되는 이유는 무엇이며 이 관할권이 실제로 보호하는 것은 무엇인가?
NordVPN의 모회사인 Tefincom S.A.는 파나마에 기반을 두고 있습니다. 그 이유는 파나마가 의무적 데이터 보유 법률이 없고 Five Eyes, Nine Eyes, Fourteen Eyes 정보 공유 동맹 외부에 있기 때문입니다. 외국 법 집행 기관은 기록을 강제하기 위해 파나마 법원을 통해 요청해야 하며, 무로그 정책에 따라 검증된 바와 같이 NordVPN이 제공할 로그를 유지하지 않더라도 마찬가지입니다.
NordVPN이 사용하는 암호화는 무엇이며 실제로 깨질 수 있는가?
NordVPN은 모든 프로토콜에서 미국 정부가 기밀 정보에 적용하는 것과 동일한 표준인 AES-256을 사용합니다. AES-256을 브루트 포스로 깨뜨릴 수 있는 알려진 방법은 없습니다. 현재 추정치에 따르면 최신 컴퓨팅 능력으로도 브루트 포스 시도는 수십억 년이 걸리므로 암호화 자체는 현재 기술로 효과적으로 깨질 수 없습니다.
NordLynx란 무엇이며 WireGuard의 주요 개인정보 보호 결함을 어떻게 해결하는가?
NordLynx는 NordVPN의 기본 프로토콜이며 속도를 위해 WireGuard의 간결한 코드베이스를 기반으로 하지만 WireGuard의 핵심 약점인 서버에 정적 IP 주소를 저장해야 하는 부분을 해결하도록 수정되었습니다. NordVPN의 더블 NAT 시스템은 각 세션에 임시 주소를 할당하고 연결 해제 시 사라지게 하여 지속적인 식별자를 남기지 않으면서 WireGuard의 성능을 제공합니다.
NordVPN의 킬 스위치가 연결이 끊어질 때 데이터 유출을 실제로 어떻게 중지하는가?
NordVPN의 킬 스위치는 VPN 터널을 지속적으로 모니터링하고 연결이 즉시 끊어질 때 모든 인터넷 트래픽을 차단하므로 연결이 복구될 때까지 아무것도 보호되지 않은 상태로 장치를 떠나지 않습니다. 선택한 애플리케이션만 차단하는 앱 수준 모드와 모든 장치 트래픽을 차단하는 시스템 수준 모드를 제공하며 후자는 금융 데이터 처리와 같은 개인정보 보호가 중요한 세션을 위한 더 엄격한 옵션입니다.
NordVPN이 ISP에 대한 브라우징을 노출할 수 있는 DNS 유출로부터 보호하는가?
예. NordVPN은 모든 DNS 쿼리를 ISP의 기본 확인자가 아닌 자체 암호화된 DNS 서버를 통해 라우팅하므로 공급자 또는 제3자 DNS 서비스가 방문하는 사이트를 기록하는 것을 방지합니다. NordVPN의 보안 문서에서 참조된 독립적인 DNS 유출 테스트는 이 보호가 광고된 대로 작동하며 테스트 중에 유출이 감지되지 않음을 지속적으로 확인합니다.
NordVPN의 위협 보호는 무엇을 차단하며 VPN에 연결하지 않은 상태에서도 작동하는가?
위협 보호는 알려진 악성 도메인이 로드되기 전에 차단하고, URL에서 추적 매개변수를 제거하며, 다운로드한 파일에서 악성 소프트웨어를 스캔하며, 모든 것이 네트워크 수준에서 작동합니다. VPN 서버에 연결되지 않은 상태에서도 작동합니다. 지원되는 플랫폼에서는 독립형 보안 계층으로 기능합니다. 독립적인 보안 연구소인 AV-TEST는 악성 소프트웨어 차단 기능을 인증했습니다.
NordVPN의 보안이 비슷한 가격대의 ExpressVPN 및 ProtonVPN과 비교하여 어떻게 되는가?
세 개 모두 비슷한 가격으로 시작하며(NordVPN 및 ExpressVPN은 월 $3.49부터, ProtonVPN은 월 $2.49부터) 30일 환불 보장이 있지만 감시 깊이는 다릅니다. NordVPN의 Deloitte 무로그 검증 및 Cure53 인프라 감시는 ExpressVPN의 PwC 및 Cure53 감시와 스위스 관할권의 ProtonVPN Securitum 감시와 함께합니다. NordVPN은 독립 랩에서 집계한 속도 테스트에서 22개 중 1위입니다. ExpressVPN은 8위, ProtonVPN은 12위입니다.
약속하기 전에 NordVPN의 보안 주장을 위험 없이 테스트할 방법이 있는가?
예. NordVPN은 모든 계획에 30일 환불 보장을 제공하므로 킬 스위치, DNS 유출 보호 및 위협 보호를 직접 테스트할 수 있는 전체 한 달을 제공합니다. NordVPN의 보안 기능이 해당 기간 내에 직접 테스트에 부응하지 않으면 장기 약정 없이 환불을 요청할 수 있습니다.
단일 NordVPN 계정에서 여러 장치를 보호하는 것이 개인정보 보호를 약화시키는가?
아니오. 단일 NordVPN 계정은 10개의 동시 장치 연결을 포함하며 각 연결은 동일한 AES-256 암호화, 킬 스위치 및 DNS 유출 보호를 독립적으로 실행합니다. 장치를 추가해도 보안이 약화되지 않습니다. 2022년에 Deloitte에서 검증한 NordVPN의 무로그 정책은 장치 수로 위험을 확대하기보다는 모든 연결된 장치에 균등하게 적용되기 때문입니다.
NordVPN의 킬 스위치가 실제로 나를 보호하고 있음을 어떻게 확인할 수 있는가?
NordVPN 서버에 연결한 후 Wi-Fi를 갑자기 끊거나 세션 중간에 이더넷을 뽑아서 연결을 강제로 드롭시킵니다. 작동하는 킬 스위치는 보호되지 않은 연결로 폴백하는 대신 모든 인터넷 트래픽을 즉시 차단합니다. NordVPN의 시스템 수준 킬 스위치는 모든 장치 트래픽을 차단하고 앱 수준 버전은 선택한 앱만 제한하므로 의존할 계획인 모드를 테스트하세요.
NordVPN의 2018년 스타일의 서버 사건이 반복될까봐 걱정된다면 어떻게 해야 하는가?
NordVPN의 대응이 근본 원인을 처리했기 때문에 많은 조치가 필요하지 않습니다. 전체 네트워크를 매 재부팅마다 데이터를 초기화하는 RAM 전용 서버로 마이그레이션했고, 지속적인 취약점 테스트를 위해 HackerOne 버그 바운티를 추가했으며, 반복적인 제3자 감시를 약속했습니다. 우려된다면 NordVPN의 발표된 투명성 보고서를 확인하세요. 보고서는 제공할 데이터가 없음을 보여줍니다.