해설 글
“독립적으로 감사받음”이라는 표현은 서로 매우 다른 작업을 가리킬 수 있습니다. 이 페이지에서는 감사의 종류, 각 감사가 보여줄 수 있는 내용, 그리고 감사 결과로 프로바이더에 대한 생각을 바꾸기 전에 물어야 할 질문을 다룹니다.
감사는 특정 시점에 지정된 당사자가 정해진 시스템을 조사하고 발견한 내용을 보고했다는 사실을 보여줍니다. 이는 유용하지만, 첫 화면에 쓰인 “독립적으로 감사받음”이라는 표현이 암시하는 것보다 범위가 훨씬 좁습니다.
감사 결과로 프로바이더에 대한 판단을 바꾸기 전에 감사의 종류, 대상 범위, 실시 시점, 보고서를 직접 읽을 수 있는지를 알아야 합니다.
| 종류 | 보여줄 수 있는 내용 | 보여줄 수 없는 내용 |
|---|---|---|
| 로그 미보존 평가 | 검토 대상 시스템이 검토 기간에 해당 기록을 보존하도록 설정되지 않았다는 사실 | 그 기간이나 해당 시스템 밖에서 어떤 일이 일어나는지 |
| 클라이언트 또는 코드 감사 | 검토한 앱이나 코드의 보안 결함 | 서버가 어떻게 운영되는지 또는 회사가 무엇을 저장하는지 |
| 인프라 감사 | 조사한 서버와 시스템이 어떻게 구성되어 있는지 | 조사하지 않은 서버도 같은 방식으로 구성되어 있는지 |
| 침투 테스트 | 합의된 한도 안에서 테스터가 침입할 수 있었던 대상 | 다른 어떤 대상도 침입할 수 없었다는 사실이나 로깅에 관한 내용 |
| 인증 | 회사의 프로세스가 명시된 범위 안에서 지정된 표준을 충족한다는 사실 | 그 범위에 포함되지 않는 한 사용자의 트래픽에 관한 어떤 내용도 |
어떤 주장이 사실이어도 여러분의 질문과는 다른 질문에 답하는 것일 수 있습니다. 앱을 검토한 결과에 문제가 없다는 사실만으로는 회사가 세션을 특정 개인과 연결할 수 있는지 알 수 없습니다.
감사는 이미 끝난 기간에 대해 보고합니다. 감사인이 떠난 다음 날 구성이 바뀔 수 있으며, 보고서의 어떤 내용도 그 변화를 보여주지 않습니다.
감사는 회사가 보여주는 내용에도 의존합니다. 감사인은 시스템을 검사하고 직원에게 질문할 수 있지만, 자신들에게 숨겨진 상태로 유지되도록 만들어진 것을 찾아낼 수단은 제한적입니다. 또한 프로바이더가 보통 작업 비용을 지불하고 감사 범위에 동의합니다. 그렇다고 감사가 무가치해지는 것은 아니지만, 감사가 여러 종류의 근거 중 하나라는 점은 분명해집니다.
프로바이더가 주선하지 않은 사건에서도 다른 근거를 얻을 수 있습니다. 압수된 서버나 아무것도 찾아내지 못한 법원 명령이 그 예입니다. 이런 일은 드물고, 역시 한 시점의 상황만 보여줍니다.
레지스터는 감사를 다음과 같은 속성을 가진 근거로 취급합니다. 누가 실시했는지, 어떤 표준을 적용했는지, 얼마나 많이 공개됐는지, 얼마나 오래됐는지입니다. 질문과 답변 및 방법론에는 각 요소가 얼마나 반영되는지와 시간이 지나면서 그 가중치가 어떻게 줄어드는지가 설명되어 있습니다.
레코드는 각 값의 근거가 된 감사를 출처와 함께 제시하고 날짜도 표시하므로, 사용자가 직접 원문을 열어볼 수 있습니다. 인용할 근거가 없는 프로바이더가 많은 만큼 레코드는 그 사실도 표시하며, 점수에도 반영합니다.
감사인이 조사 기간에 검토 대상 시스템에서 확인한 내용을 보여줍니다. 그 이전이나 이후에 어떤 일이 있었는지, 또는 조사하지 않은 시스템에서 어떤 일이 있었는지는 보여줄 수 없습니다. 좋은 근거이지만 입증에는 미치지 못합니다.
보통 프로바이더가 지불합니다. 감사 업체도 자체 평판을 걸고 있으므로 이것이 작업을 무가치하게 만들지는 않지만, 프로바이더가 업체를 선택하고 범위에 동의하며 보고서 중 어느 정도를 공개할지 결정하는 경우가 많습니다.
반드시 그렇지는 않습니다. 감사가 없다는 것은 독립적인 누군가가 확인하지 않았다는 뜻이므로, 프로바이더의 말을 믿어야 한다는 의미입니다. 위험이 낮을 수도 높을 수도 있지만, 근거가 없으면 어느 쪽인지 알 수 없습니다.
다음으로
모든 해설 글은 자신이 스치기만 한 내용을 실제로 다루는 페이지를 알려주며 끝난다.
HTTPS가 이미 전송하는 정보 대부분을 보호하므로 공용 Wi-Fi는 광고에서 말하는 것만큼 위험하지 않습니다. 그래도 VPN은 어떤 사이트에 접속하는지 숨겨 주지만, VPN으로 막을 수 없는 실제 위험도 남아 있습니다.
DNS 누출은 VPN이 트래픽을 전달하면서도 이름 조회는 VPN을 우회해, 네트워크에 방문한 사이트가 드러나는 현상입니다. 이 페이지에서는 DNS 누출이 발생하는 이유와 확인 방법을 설명합니다.
킬 스위치는 VPN 터널이 끊어졌을 때 트래픽을 차단해, 사용자가 알아차리지 못한 채 보호되지 않은 상태로 계속 전송되지 않게 합니다. 킬 스위치는 차단 범위가 서로 다르며, 이러한 차이로 실제로 도움이 되는 시점이 결정됩니다.
둘 다 다른 주소에서 요청을 보냅니다. VPN은 일반적으로 기기의 모든 트래픽을 전달하고 암호화하지만, 프록시는 보통 하나의 앱만 처리하며 전혀 암호화하지 않을 수도 있습니다. 어떤 것을 사용 중인지 구분하는 방법을 알아보세요.
많은 사람에게는 필요하지 않습니다. VPN은 몇 가지 특정한 문제는 잘 해결하지만 나머지에는 아무런 도움이 되지 않으므로, 필요한지는 어떤 문제를 겪고 있는지에 따라 달라집니다. 이 페이지에서는 흔한 경우를 살펴봅니다.
VPN은 한 회사만 신뢰하도록 요구합니다. Tor는 연결을 세 개의 릴레이로 나누어 어느 하나도 사용자가 누구인지와 어디로 가는지를 동시에 알 수 없게 합니다. 둘은 서로 다른 문제를 해결하며, 어느 한쪽도 다른 쪽을 대신할 수 없습니다.
VPN이 켜져 있을 때 기기와 웹사이트 사이에서 패킷에 어떤 일이 일어나는지 설명합니다. 핸드셰이크, 터널, 이름 조회, 출구를 살펴보고 각 단계에서 VPN이 작동하지 않을 수 있는 한 가지 방식도 설명합니다.
세계 대부분의 지역에서 VPN 사용은 합법입니다. 일부 국가에서는 VPN을 제한하거나 허가제로 운영하거나 차단하며, VPN을 통해 무엇을 하는지는 어디서나 별개의 문제입니다. 이 페이지는 그 현황을 정리한 지도이지 법률 자문이 아닙니다.
VPN을 운영하려면 매달 비용이 들기 때문에 무료 VPN도 무언가로 대가를 치릅니다. 이 페이지에서는 그 대가가 보통 무엇인지, 실제로 어떤 문제가 발생했는지, 그리고 체험판과 비즈니스 모델을 구분하는 방법을 설명합니다.
VPN은 경로의 한 구간, 즉 기기에서 VPN 서버까지를 보호합니다. 이 페이지에서는 브라우저와 계정부터 악성 코드, 끊긴 터널, 광고에 담긴 주장까지 그 구간 밖의 모든 것을 다룹니다.
기기와 인터넷 사이의 암호화된 한 번의 경유. 이 페이지는 이 경유가 하는 일, 누구로부터 사용자를 숨기는지, 대신 누구에게 그 모습을 넘기는지, 그리고 이를 둘러싼 약속 중 어떤 것이 실제 작동 방식과 맞물려도 유효한지를 다루는 섹션의 출발점입니다.
해설 글이 아니라 모델 그 자체다 — 이 페이지 끝까지 읽고 판정이 어떻게 내려지는지 알고 싶은 독자를 위한 것이다.
레지스터가 이 시장 전체에 대해 아는 것과 모르는 것 — 모든 수치는 색인에서 나오며 설문에서 나온 것은 하나도 없다.