NordVPN 등 VPN 서비스들 줄줄이 해킹당했다

HTTPS 연결은 안전

NordVPN, TorGuard VPN, VikingVPN 등의 일부 서버가 해킹됐었던 사실이 뒤늦게 드러났다. 사건들은 2018년 초 비슷한 시기에 일어났다. 이들은 그동안 입을 다물고 있다가, 몇몇 전문가들의 트윗에 의해 해당 사실이 알려지자 뒤늦게 인정했다.

나는 VPN 서비스의 신뢰성에 대해 의문을 품은 지 오래됐다(관1).

VPN 서비스는 고객의 인터넷 트래픽을 자신들의 서버를 통과하도록 한다. 이렇게 해서 통신을 암호화하고, IP 주소와 접속 위치를 숨겨준다. 이들은 보통 이런 서버를 전세계 각지에 걸쳐 수 천대씩 운영한다.

고객의 트래픽을 암호화하는 데는 SSL/TLS 인증서가 필요하다. 각각의 VPN 서버에는 이런 인증서들이 있는데, 해커가 이를 탈취할 경우 고객의 통신 내용을 엿볼 수 있다. 다만 https 연결을 사용하는 사이트는 자체적으로 SSL/TLS 인증서를 사용해 통신 내용을 암호화하므로, VPN 서버의 인증서를 탈취해도 엿볼 수가 없다. 또한 다른 VPN 서버의 통신 내용은 엿볼 수 없다.

NordVPN 서버의 인증서 탈취

NordVPN은 가장 인기있는 VPN 서비스 중의 하나다. 2018.3월 수 천대의 서버 중에서 핀란드에 있는 1대의 서버가 해킹당했다. 이것은 제3자 데이터 센터에서 렌트한 것인데, NordVPN 측에 알리지 않은 원격 제어 시스템이 숨겨져 있었다. 즉 숨겨진 백도어(backdoor)가 있었던 것이다. 해커는 이를 통해 루트 권한을 얻었다. NordVPN은 2018.10월 해킹 사실을 안 즉시, 문제의 데이터 센터와 계약을 해지하고, 그 곳에 있던 서버들을 자사 네트워크에서 제거했다.

노드VPN은 고객의 활동에 대한 어떠한 로깅도 하지 않는다고 밝혔다. 또한 VPN 접속을 위한 credential(자격증명, 즉 ID와 password)도 저장하지 않는다. 따라서 해커가 해당 서버를 완전히 통제하더라도 탈취할 만한 정보는 없다는 것이다.

그러나 인증서의 개인키 3개를 탈취당했다고 밝혔다. 회사가 해킹 사실을 내부적으로 인지하고 탈취당한 인증서를 무효화한 것은 2018.10월이니까, 7개월 정도는 해커가 통신 내용을 엿볼 수 있었던 셈이다. 이런 도청은 점령한 서버에서 직접 실행할 수도 있고, 탈취한 인증서로 중간자 공격(MITM attack)을 할 수도 있다.

NordVPN에 따르면, 설령 해커가 도청에 성공하더라도 이를 특정 고객의 것으로 연결시킬 수는 없다고 한다. 그러나 고도로 정교한 중간자 공격을 통해 특정한 연결만을 가로챌 가능성은 있다고 인정했다. 결국 표적 공격이 어렵긴 하지만 불가능하지는 않다는 것이다. 결론적으로 고객의 위험은 크지 않다는 것이 노드VPN 측의 입장이다.

TorGuard VPN 해킹

토르가드는 2018년 초에 제3자 호스팅 업체에서 임대한 서버 1대가 해킹당했다고 밝혔다. 이와 관련해 NordVPN과 소송을 진행 중인데, 위의 사건과 관련이 있는 것으로 추측되고 있다.

토르가드는 외부 세력에 의해 해킹을 당한 것이 아니라고 주장하고 있다. 또한 'secure PKI management'를 하고 있기 때문에, 인증서 키는 VPN 서버에 저장되지 않는다고 설명했다. 고객에게 아무런 위험이 없다는 것이다.

한편, VikingVPN은 여전히 함구하고 있다.


관련 자료

1. VPN은 보안회사의 것을 이용해야 한다

참고 자료

1. NordVPN Breach FAQ – What Happened and What's At Stake?
2. Hacker Breached Servers Belonging to Multiple VPN Providers