Mozilla, 영국 규제당국에 "VPN은 필수 보안 도구"라고 직격탄

영국에서 벌어지는 VPN 논쟁

요즘 영국에서 인터넷 규제 이야기가 뜨거워요. 배경부터 짚어볼게요. 영국은 온라인 안전법(Online Safety Act)이라는 법을 시행하고 있는데, 이게 뭐냐면 성인 콘텐츠나 유해 정보로부터 미성년자를 보호한다는 명분으로 사이트들이 강력한 나이 인증을 도입하도록 강제하는 법이에요. 신분증이나 얼굴 인식 같은 걸로 사용자가 성인임을 증명해야 특정 콘텐츠를 볼 수 있게 만든 거죠.

그런데 이 법이 시행되니까 사람들이 어떻게 반응했냐면, VPN(Virtual Private Network) 사용량이 폭발적으로 늘었어요. VPN이 뭐냐면, 내 인터넷 연결을 다른 나라 서버를 거치도록 우회시키는 도구예요. 영국에서 접속해도 미국이나 일본에서 접속한 것처럼 보이게 만들 수 있죠. 그러니까 영국의 나이 인증을 우회하는 수단이 된 거예요.

이 상황을 본 영국 규제당국 Ofcom과 일부 정치인들이 "VPN도 규제해야 하는 것 아니냐"는 이야기를 꺼내기 시작했어요. 여기에 Mozilla가 공식 입장문을 내놨다는 게 이번 뉴스의 핵심이에요.

Mozilla의 주장: VPN은 우회 도구가 아니라 보안 도구다

Mozilla가 강조한 핵심은 명확해요. VPN은 일부 사용자가 나이 인증을 우회하려고 쓰는 부수적 용도가 있을 뿐, 본질적으로는 프라이버시와 보안을 지키는 필수 인프라라는 거예요.

구체적인 사례를 들어볼게요. 카페나 공항의 공용 와이파이를 쓸 때 VPN을 안 쓰면 같은 네트워크에 있는 누군가가 내 통신을 엿볼 수 있어요. 기자, 인권 활동가, 내부고발자에게는 VPN이 신변 안전과 직결된 도구고요. 해외 출장 중인 직장인이 회사 내부망에 접속할 때, 망명자가 검열 국가에서 자유로운 정보에 접근할 때, 모두 VPN이 필요해요. 가정폭력 피해자가 가해자에게 위치를 들키지 않으려고 쓰기도 하고요.

Mozilla는 또 "VPN을 규제하기 시작하면 정말로 보호받아야 할 사람들이 가장 큰 피해를 본다"고 지적해요. 범죄나 우회를 진짜 작정한 사람들은 더 음성적인 수단을 찾아내겠지만, 평범한 사용자는 합법적인 보호 수단을 잃게 된다는 거죠. 보안 기술을 막는 건 일종의 "대문은 잠그면서 모든 열쇠 가게도 같이 폐쇄"하는 격이라는 비유가 적절할 거예요.

게다가 영국이 VPN을 규제하면 글로벌 인터넷 표준에 균열이 생겨요. 다른 권위주의 국가들이 "영국도 한다"는 명분으로 자국 검열을 정당화할 위험도 크고요. 실제로 중국, 러시아, 이란 등에서 VPN을 통제하는 방식이 있는데, 민주주의 국가가 비슷한 길을 가는 건 위험한 선례라는 거예요.

더 큰 흐름: 암호화와 프라이버시 vs 안전 논쟁

이번 사안을 더 넓게 보면, 최근 몇 년간 계속되는 "end-to-end 암호화 약화 vs 아동 보호" 논쟁의 연장선이에요. 영국은 이미 온라인 안전법 안에 "필요하면 메시지 앱이 암호화된 통신도 스캔하라"는 조항을 넣어서 Signal, WhatsApp 같은 서비스와 충돌한 적이 있어요. Signal은 "그러면 영국에서 서비스를 철수하겠다"고 강하게 맞섰죠.

비슷한 흐름이 EU의 "채팅 컨트롤(Chat Control)" 제안, 미국의 EARN IT Act 등 여러 나라에서 동시에 진행 중이에요. 명분은 "미성년자 보호"인데, 기술적으로는 모든 사용자의 통신을 들여다보는 백도어를 요구하는 셈이라 보안 전문가들이 거의 만장일치로 반대하고 있어요.

Mozilla, Signal, EFF(전자프런티어재단) 같은 단체들이 한목소리로 외치는 메시지는 단순해요. "보안은 켜고 끄는 스위치가 아니다"예요. 한 번 약화시키면 그 구멍은 누구나 들어올 수 있고, 결국 모두를 위험에 빠뜨린다는 거죠.

한국 개발자에게 주는 시사점

한국도 남의 일이 아니에요. 우리도 게임 셧다운제, 청소년 본인 인증, n번방 방지법 같은 규제를 겪었거든요. 매번 "보호"라는 명분과 "프라이버시·표현의 자유"라는 가치가 충돌했죠.

개발자 입장에서 봤을 때 몇 가지 생각해볼 점이 있어요. 우선 서비스 설계 단계에서 사용자 익명성과 데이터 최소화 원칙을 진지하게 고려해야 해요. 수집하지 않은 데이터는 유출될 수도, 정부에 제공될 수도 없으니까요. 또 글로벌 서비스를 만든다면 각 나라의 규제 환경이 빠르게 변하고 있다는 걸 염두에 두고 아키텍처를 짜야 해요. 특정 국가에서 차단되거나 추가 의무가 부과될 가능성을 미리 고려해야 한다는 뜻이죠.

그리고 사내 개발자가 출장 가서 코드 푸시할 때, 원격 근무하면서 사내 시스템에 접속할 때, VPN은 이미 우리의 일상 도구잖아요. "VPN = 의심스러운 사람들이 쓰는 것"이라는 프레임 자체에 경각심을 가질 필요가 있어요.