노로그 VPN 팩트체크: 외부 감사(Audit) 순위

내가 사용하는 VPN이 얼마나 안전한가? 서비스를 제공하는 업체를 얼마나 신뢰할 수 있는가? VPN 선택에 있어서 가장 중요한 노로그(No-Log)가 핵심인 부분입니다. 다들 자신의 회사가 가장 안전하다고 노로그(No log)라고 홈페이지 및 광고 문구에 써놓기 때문에 사용자로서는 누구 말이 진짜인지 확인하기가 어렵습니다. 어떻게 ‘검증’할 것인가? 믿을 수 있는 외부 기관으로부터 No Log 감사를 제대로 받았는지를 확인해 보면 알 수 있을 것입니다. 수사 당국에 Log를 제공했다가 발각된 곳들이 있기 때문에 평판과 검증은 매우 중요합니다.

No Log 뜻은 그대로 기록이 없다는 말입니다. 사용자 개인정보와 사용 기록을 저장하지 않는다는 뜻으로 ‘로그 미보관’으로 해석할 수 있으며, 현대 VPN의 존재 이유이자 핵심이라고 할 수 있습니다. 온라인 브라우징 및 데이터 전송 중에 최대한의 개인 정보 보호 및 익명성을 보장합니다. 우리의 VPN 사용 목적이 ‘익명성’, ‘보안’, ‘디지털 사생활 보호’이기 때문에 가장 중요한 요소라고 볼 수 있습니다.

우리가 수사 기관의 연락을 받아야 할 행동을 하고 말고를 떠나서, 한국처럼 ‘검열’이 심한 국가의 경우 ISP를 통해 정부가 ‘지나친 기준’으로 들여다보고 수색, 통제하고 있으니, 인터넷을 통해 내가 뭘 해도 모든 활동이 수집되는 것 같아 찝찝한 게 사실입니다. 그리고 공공장소에서 타인의 공유기를 통해 인터넷을 사용해도 보안성을 확보할 수 있는 좋은 수단이기도 하구요. 서버에 정말 아무것도 저장이 되어있지 않으면 수사 당국은 물론 해커같은 제3의 침입자가 발생해도 우리를 특정할 수 없어 안전할 수 있습니다.

자사 홈페이지에 ‘노로그’라고 크게 써붙인 기업들은 모두 약속을 지키기 위해 자발적으로 정기적이고 독립적인 전문가 집단으로부터 기술 평가를 맡겨서 개인 정보 보호 정책을 실제로도 명확히 준수하는지 확인 후 소비자들에게 상세한 노로그 리포트를 제공해 투명성을 입증해야합니다.

최고의 No-Log VPN 요약

살짝 애매한데 하나 더 끼워넣음.

노로그 VPN 검증 누구에게 받았나

(업데이트:2024년 9월)

소규모 VPN까지 포함하면 거의 40개 이상을 사용해봤는데, 이 중에서 정상적인 Audit 리포트를 발간하는 곳은 소수이며 이 중에서도 노로그 검증을 여러번 제대로 받은 곳은 극소수 입니다. 결론부터 말씀드리면 ExpressVPN, NordVPN에게 최고의 점수를 줄 수 밖에 없습니다. 아래는 각 VPN 회사를 감사한 회사들이 어떤 곳인지 간단한 설명과 함께 나열했습니다. 그리고 지역적인 부분까지 포함하면 추가점까지 얻게됩니다.

아래에 등장할 VPN 감사(Audit) 회사 간단 소개

• Cure53 : 독일의 사이버 보안 회사로서 한국 정부가 만든 쓰레기 앱 중 하나인 ‘스마트 보안관’을 국제적으로 맹비판하여 없애준 고마운 회사 입니다. 2007년에 설립되었으며 앱, 온라인 서비스, 암호화 도구, 라이브러리 등 다양한 분야에서 수백 건의 침투 테스트를 수행하고 보고서를 제공했습니다.
• PwC : PricewaterhouseCoopers의 약자 입니다. 세계 4대 회계법인 중 하나이며, 영국 런던에 본사를 둔 매출액 기준 세계 1위의 다국적 회계 감사 기업입니다. 보증 서비스, 자문 위원회, 세금 자문, 전략 컨설팅, 자료 & 분석, 경영 컨설팅, 투자 자문, 보험 계리, 법 컨설팅 등을 맡습니다. 2022년 기준 PwC 전체 직원수가 무려 328,000명 이라고 합니다. 1849년에 창립된 프라이스 워터하우스 + 1854년에 쿠퍼스 & 라이브랜드가 1998년에 합병하여 지금의 이름이 되었습니다.(참고로 1849년이면 한국에서는 조선 철종이 즉위 할 때 입니다.;; 김정호 대동여지도 간행이 1861년이라고 합니다..) 아래 ExpressVPN 감사를 맡은 곳은 PwC 스위스 지사입니다.
• F-Secure : 핀란드 헬싱키에 본사를 두고 있는 글로벌 사이버 보안 및 개인정보 보호 회사이며 1988년 Data Fellows로 설립했다가 1999년에 F-Secure로 바뀌었습니다. 미국, 영국 덴마크, 핀란드, 프랑스, 독일, 인도, 이탈리아, 일본, 말레이시아, 네덜란드, 노르웨이, 폴란드, 스웨덴에 지사를 두고 있고 무려 100개국 이상에 진출해 있는 상황이라고 합니다. 안티바이러스(백신) 제품로도 꽤 유명했습니다. NASDAQ OMX Helsinki에 상장되어있으며 직원은 350명이 넘는 규모라고 합니다.
• KPMG : 1897년에 설립된 Marwick, Mitchell & Company로 시작되어 1987년에 ‘Peat Marwick International(PMI)’ and ‘Klynveld Main Goerdeler(KMG)’가 합병하면서 KPMG가 되었습니다. 전세계 직원수는 265,000명이고 한국에서는 삼정 회계법인과 파트너쉽을 맺어 삼정KPMG(2021년 4월~ 2022년 3월 매출액이 7610억원)로 영업하고 있습니다. KPMG 전체 매출액은 40조원정도라고 하네요. 영국에서 출범하였으나 현재 본사는 네덜란드 Amstelveen이라는 인구 8만명 정도의 소도시에 자리잡고 있습니다.
• Deloitte : 1845년 영국 런던에서 창립되어 현재는 미국 뉴욕에 본사가 있습니다.(록펠러 센터 30) 전 세계 700개 이상의 지역에서 사업을 운영 중이며 직원 수 415,000명으로 딜로이트 역시 탑클래스 회계법인답게 어마어마한 규모 입니다. 한국에서는 안진회계법인과 파트너쉽을 맺어 ‘딜로이트 안진회계법인’이란 이름으로 영업중입니다.
• Securitum : 2009년에 설립된 35명 규모의 폴란드 회사 입니다. 프로톤VPN은 여기에서 두번 받았는데 보고서 둘중 하나는 ㅇㅇ 괜찮음 수준의 한장짜리라 조금 당황했습니다. 그래도 유럽에서는 꽤 유명한 보안 회사인 것 같습니다.
• Sec Consult : 2002년에 설립되었으며 홈페이지를 보면 150명 이상의 전문가가 일하고 있다고 합니다.

위에 소개해드린 회사 중 PwC, KPMG, Deloitte는 Ernst & Young까지 포함해서 세계 4대 회계 법인이며 해당 분야에서 오랜기간 최고의 위치를 놓치지 않는 글로벌 대기업입니다. 언스트 엔 영을 제외하고 3개 기업은 모두 1800년대부터 시작했다는 공통점이 있네요. 이왕이면 이런 공신력있는 기업으로부터 검증을 받는다면 더 신뢰가지 않을까하는 생각에 소개해드렸습니다.

노로그 Audit 상세 리포트

NordVPN

NordVPN 역시 데이터 보존법이 없는 Panama에 위치. 가장 많은 노로그 검증

2012년 2월부터 서비스를 시작해 벌써 13년째 가장 안전한 VPN 회사로 평가받고 있습니다. 111개 국가에 위치한 6400개가 넘는 서버들은 모두 RAM 서버로 운영되며 시스템부터 직원까지 외부 감사를 철저하게 받아 신뢰성은 최상급입니다.

Double VPN은 유일한 경쟁사인 ExpressVPN가 가지지 못한 무기 중 하나입니다. 2개의 서버를 거쳐가지만 속도는 일반 VPN 서버 사용시와 크게 다르지 않아서 클릭 한번으로 훨씬 강력하게 프라이버시를 보호할 수 있습니다. Onion Over VPN 서버를 통해 Obfuscated Server, Anti Virus, MeshNet, DarkWeb Monitoring, 그리고 WireGuard를 이중 NAT 기술로 한층 더 안전하게 보완한 NordLynx 프로토콜까지 보안과 관련된 옵션들은 타사 대비 가장 우월한 수준으로 갖추고 있습니다.

• 계정 로그인 후 보고서 탭으로 들어가시면 각 내역들을 볼 수 있습니다.
• 2018년 11월 : PwC – No-Log 정책에 대한 PricewaterhouseCoopers AG 감사 보고서 (위 링크)
• 2020년 5월 : PwC – 위와 같은 감사를 1년 6개월 뒤 한번 더 받음
• 2020년 12월 : VerSprite – VPN 클라이언트 보안 테스트
• 2021년 3월 ~ 6월 : VerSprite 각 클라이언트 보안 테스트 (NordVPN_ClientsSecurityTesting_RetestReport)
  • iOS
  • Linux
  • macOS
  • Windows
  • Android
  • NordVPN VPN 클라이언트 보안 테스트에 대한 VerSprite 인증서
• 2022년 : Deloitte – No Log, Obfuscated, Double VPN , Standard VPN, Onion Over VPN, P2P 서버 종합 테스트 / 한글 설명
  • 8월 7일 : 앱, 웹 서비스/API 및 추가 기능의 보안
  • 10월 9일 : 서버 및 인프라 보안
  • 12월 : No Log 정책 2022년 검증
• 2023년 12월 13일 : 딜로이트 – No Log 2023년 검증

상세 내용이 궁금하신은 보안 보고서 풀버전 요약 글을 참고하세요.

ExpressVPN

데이터 보존법이 없는 관할권인 BVI에 위치해 No Log에 가장 적합한 VPN

2009년에 회사가 설립되어 벌써 15년이 되었네요. VPN을 오래 써오신 분들 중 ExpressVPN의 안정성을 의심하시는 분들 아마 없을 것입니다. TrustedServer 기술로 RAM 기반 안전한 서버의 기준을 제시하고 타사보다 먼저 구축한 회사입니다. 자사 서버를 해킹하는 사람에게 상금을 주겠다며 $100,000의 버그 바운티를 발표하기도 했습니다.

터키 주재 러시아 대사관 암살 사건으로 터키 당국이 ExpressVPN 서버를 압수했을 당시 Log를 찾지못하게 되면서 브랜드 가치가 급격하게 상승했습니다.

105개국 서버 모두 의심할 여지없이 빠르고 안전합니다. WireGuard보다 더 적은 코드 수와 WolfSSL 기반으로 만들어진 독자 개발 Lightway 프로토콜은 안정적이고 빠른 속도를 시장에서 검증받았습니다.

6개월 마다 투명성 리포트를 발간합니다.

• 로그인 후 보고서를 보실 수 있습니다.
• 2018년 11월 : Cure53 – 브라우저 확장 프로그램
• 2019년 6월 : PwC Switzerland – ExpressVPN 개인 정보 보호 준수 및 내부 기술
• 2020년 6월 : PwC Switzerland – ExpressVPN 빌드 검증 프로세스
• 2021년 8월 : Cure53 – Lightway
• 2022년
  • 3월 : F-Secure – Windows v10 앱
  • 4월 : F-Secure – Windows v12 앱
  • 5월 : Cure53 – TrustedServer(ExpressVPN의 내부 VPN 서버 기술)
  • 7월 : Cure53 – Aircove 공유기
  • 7월 : Cure53 – macOS 앱
  • 8월 : Cure53 – Linux 앱
  • 8월 : Cure53 – Andoid 앱
  • 9월 : KPMG – ExpressVPN 로그 미보관(No Log) 정책
  • 9월 : Cure53 – iOS App
  • 10월 : Cure53 – Browser Extention
  • 10월 : Cure53 – Key Browser Extension
  • 11월~12월 : Cure53 – Lightway Protocol
• 2023년 12월 : KPMG – 개인정보 보호정책 평가
• 2024년 4월 : Nettitude – DNS 유출에 대한 감사 보고서 (*분할터널링과 DNS 이슈가 있었는데 그에 대한 수정과 검증)
• 2024년 5월 : Cure53 – Pentest ExpressVPN VPN Browser Extension

세부 내역까지 궁금하시면 감사 상세 내용 정리한 것을 읽어보세요.

Surfshark

Surfsahrk는 VPN 업계 역사상 가장 빠르게 성장해 최고의 자리에 오른 회사일 것입니다. 2018년에 시작할 당시만 하더라도 새로 생긴 수 많은 회사 중 하나겠구나.. 라고 생각했지만 ‘기기 무제한 접속’과 ‘최저 수준의 가격’을 무기로 성장이 눈에 보일 정도로 빠르게 시장 점유율을 차지했습니다. 거기에 빠른 속도까지 장착한데다 회사 설립 초기에는 BVI에 위치해있었기 때문에 수직 상승 수준으로 빠르게 치고올라왔습니다.

Surfshark 역시 100% RAM-only Server를 운영하고 있으며, 100여개국에 3200개 이상의 서버가 모두 안전하게 관리되고 있습니다. 저렴한 가격에 빠른 스피드와 안전한 오픈소스 Wireguard 프로토콜, NordVPN과 합병하며 회사의 신뢰도까지 갖춰서 앞으로도 Surfshark의 자리를 뺏을 수 있는 경쟁자는 나오기 힘들거라고 생각합니다.

분기별 투명성 보고서 발간

• 2018년 11월 : Cure53 – Surfshark VPN Extension(확장프로그램)
• 2021년 4월 : Cure53 – Security Assessment of Surfshark Management Summary
• 2022년 11~12월 : Deloitte – No Log 정책 준수 (서버 구성, 배포 프로세스, VPN 서버 구성, API, SDN, 직원)
• 2023년 12월 : Mobile App Security Assessment (MASA) Audit 통과

PureVPN

PureVPN이 의외로 No Log 검증을 다수 받았습니다. 오래전 수사 협조로 크게 신뢰를 잃고난 뒤 2021년에 데이터 스토리지가 필요없으며 어떤 종류의 데이터도 저장할 법적 의무가 없는 ExpressVPN과 동일한 지역인 BVI로 회사를 옮긴 뒤 평판 회복을 위해서 꾸준하게 노력은 하고 있었네요. 그리고 2023년에 정보 보안 관리 시스템 국제 표준 중 하나인 ISO 27001 인증을 받았고 PureVPN은 아래의 Log는 절대 저장하지 않으며 제3자로 인해 검증.

• 저장하지 않는 것
  • 연결 로그
  • 브라우징 기록
  • 브라우징 활동
  • VPN 세션 타임스탬프
  • 할당된 VPN IP
  • 원본 IP
  • DNS 쿼리
• 투명성 보고서 (2024년 9월 기준)
  • 법원 명령을 받지 않았음.
  • 어떠한 소환장도 받지 않았음.
  • 긴급 공개 보고 받지 않았음

본사 위치도 좋고 노로그 검증도 받았으며 가격도 괜찮은 편인데 유저의 선택을 덜 받게 되는 이유는.. 평판입니다. 평판이라는게 유리같아서 한번 깨져버리면 다시 붙이기가 정말 힘든 것 같아요. 대신 편견없이 현재의 모습만 본다면 괜찮은 선택 옵션 중 하나가 될지도 모르겠습니다.

ProtonVPN

ProtonMail로 유명한 Proton이 만든 VPN 서비스 입니다. 2017년에 시작해서 후발주자이지만 익명 이메일로 먼저 기반을 다져놓은 이미지를 통해 유저 유입이 비교적 빨랐습니다. 현재는 캘린더, 드라이브, 패스워드 관리자, 월릿 등 다양한 보안 분야의 앱을 판매하고 있습니다. Secure Core 서버로 추가적인 보안 계층을 기대할 수 있으며 112개 국가에 6500개 이상의 서버를 보유하고 있는데 기존의 HDD 하드디스크 서버를 LUKS aes 256 암호화로 안전하게 보호하고 있다며 램서버를 운영하지 않는 이유를 밝히기도 했습니다.

• 2019년 11월: VPN 앱 소스코드 리뷰
  • Windows
  • iOS
  • Android
• 2021년 9월 : Securitum – 조금 당황스러울 정도로 성의없는 보안 테스트 보고서
• 2022년 2월~3월 : Securitum – ProtonVPN’s No-Logs policy – regarding VPN activity
• 2023년 4월~5월 : Securitum – Security report

Mullvad

확실한 No Log Audit Report를 찾고싶은데 전용 감사 보고서는 없고 “테스트 중에 사용자 활동 데이터의 로깅을 찾지 못했습니다.”, “고객 데이터의 정보 유출 또는 로깅을 발견하지 못했습니다.”의 말로 대신합니다.

스웨덴에 위치한 Mullvad VPN은 2009년에 시작해 벌써 15년이나 되었지만 지금의 인지도를 가지게 된 것은 얼마되지 않았습니다. 무료 오픈 소스 소프트웨어 라이선스인 GPLv3로 배포되는 앱과 Tor Project 팀과 협업해 만든 웹 브라우저도 긍정적으로 평가합니다. Mullvad 회사에도 스웨덴 경찰이 찾아온적이 있었는데 서버 압수까지 이루어지진 않았고 Log 정책에 대해서 ‘설명’했더니 그냥 갔다고 합니다. 약속 대련도 아니고.. 왔다가 “아 아무것도 없다구요? 수고하세요~” 하고 그냥 간건가..

45개국가에 위치한 총 693개의 비교적 작은 서버 네트워크를 가지고 있고 높은 가격대가 아쉬운 부분입니다.

• 2020년 : APP(윈도우, macOS, 리눅스, 안드로이드, 아이폰) 보안 테스트
• 2021년 : Cure53 – 인프라
• 2022년
  • 2월 : Assured AB – VPN 서버 및 DNS 서버
  • 10월 : Atredis Partners – APP 보안 감사
• 2023년
  • 2월 : 계정 및 결제 서비스 보안 감사
  • 5월 : Leta 검색 서비스 감사
  • 8월 : RoS(Radically Open Security) – 인프라 감사
• 2024년 : Cure53 – 인프라 감사 : OpenVPN, Wireguard 서버 테스트

CyberGhost

딜로이트 루마니아 지사를 통해 No log 감사를 받았다고 밝혔는데요. 당황스럽게도 보고서를 확인하려면 CERORomania@DELOITTE.COM 여기로 메일을 보내라고 하네요. 허허… 간략한 내용은 No Log 정책과 그 구현, 그리고 변경 관리, 구성 관리, 사건 관리, 전용 IP 토큰 기반 시스템 등을 검증 받았다고 합니다.

CyberGhost는 Log 부분과는 별개로 상품 계약 약관에 일반적이지 않은 부분이 있습니다. 분명 14eyes를 피해있는 루마니아 회사라고 소개하고 있지만 VPN 상품 구독시 계약은 미국 법인과 체결되며 영국법을 따른다는 이해하기 어려운 구조로 되어있습니다.

PIA(Private Internet Access)

1차 2차 모두 Deloitte에게 감사 받았습니다. CyberGhost와 같은 회사의 소유라 PIA도 동일하게 Deloitte Romania로부터 받았습니다.

• 2022년 : 1차 No Log 검증
• 2024년 : 2차 No Log 검증? 아래 설명

눈여겨봐야할 부분이 있습니다. 2024년 4월 25일에 발표한 자료에 의하면 “VPN 서버 네트워크 및 관리 시스템을 검토하고 제로 로그 VPN 서비스를 유지하는 방법을 리뷰했다.”라고 하는데 No Log System Audit을 했다!가 아닌 유지하는 방법을 리뷰했다는 애매한 표현으로 이야기 합니다. 보고서 링크 조차도 없고요. Cyberghost 로그 시스템과 정책을 분석한 루마니아 지사 하나로 미국 법인까지 작업을 했는지도 제 눈에는 의심스럽게 보입니다.

그 외

• Hotspot Shield, Zenmate, IPVanish, PureVPN 이런 회사들도 유명하지만 ‘저의 기준’으로는 따로 언급할 가치가 없다고 생각하기 때문에 제외했습니다. (젠메이트는 사이버고스트에 통합 됨)
• Ivacy : 한때 가성비로 밀어 붙이더니 감사 보고서도 안보이고 좀 어중간 해졌어요. PureVPN과 같은 서버를 쓰다 걸렸는데 이해관계가 있습니다. 같은 모회사를 가지고 있어요.
• VyprVPN : 2018 보고서 이후로는 보이지 않습니다. 이유는 변경사항이 없기 때문이라고;
• TunnelBear : 2023년에 7차 보안 감사를 받았습니다. 하지만 여기에 No Log Audit은 포함되어있지 않네요.
• WindScribe : 무료 VPN으로 꽤 유명하기 때문에 궁금했는데 여기도 아직 없는 것 같네요.
• VPN unlimited : 보안 감사 페이지가 있어서 들어가봤더니, 자신들이 받은 리포트가 아닌 ‘중요성’에 대한 글만 써놨네요. 당황스러웠습니다.
• HMA : VerSprite를 고용해 Audit을 진행했다고 하는데 링크가 없습니다.

결론

로그 없는 VPN 중에서 어떤 회사를 가장 신뢰할 수 있을지 알아봤습니다.

수 년간 강조해온 VPN 제공 업체의 본사의 위치는 ‘No Log’ 정책의 이행에 영향을 미칠 수 있습니다. 예를 들어, 미국이나 영국 그리고 한국과 같이 수사 당국으로부터의 요청이 빈번한 국가에 기반을 둔 VPN 업체는 법적 요구에 따라 로그를 제공해야 할 가능성이 높습니다. 그리고 VPN 회사 시스템에 결정적인 영향을 주기도 합니다. TorGuard, Norton VPN 두 미국 VPN 회사는 P2P 트래픽을 허용하지 않습니다. 특히 토르가드는 미국 영화 제작사 등 저작권자들로부터 소송까지 당했기 때문이죠.

반면, 이러한 요구가 상대적으로 덜한 국가에서는 회사 운영이 좀 더 쉬워지겠죠. NordVPN, ExpressVPN이 위치한 파나마, BVI의 경우에는 데이터 기록법 자체가 없기 때문에 훨씬 유리한 위치에서 회사 운영이 가능해지게 되는 것 입니다. 그래서 Cyberghost 또한 계약은 미국으로 넘기면서 루마니아 회사라고 강조하는 것이겠죠.

외부 기관으로부터 ‘노로그 검증’을 받는데에도 큰 투자를 하는 회사가 더 믿을만하지 않을까?라고 생각합니다. 스스로 판단하시어 좋은 선택하시길 바랍니다.

저의 선택은 여전히 아래 두 회사 입니다. 그리고 이 블로그를 만든 이후 처음으로 NordVPN을 1위로 추천드리고 있습니다. 제가 하이라이트 해놓은 부분을 보시면 No Log 자체 검증도 NordVPN만큼 많이 받은 곳이 없습니다.

둘이 최고라 뭘 고르셔도 좋지만 장단점을 간단히 비교해드릴게요.

여기에 Surfshark라는 옵션이 하나 더 붙는데, 정리해드리면 혼자 쓰실거면 NordVPN으로 가세요. 본인이 토렌트 등 다운로드 양이 상당히 많고 속도가 정말 중요하다 하시면 좀 더 비싼 익스프레스VPN이 맞습니다. 그런데 같이 사용할 친구나 지인들이 많다면 같이 돈 모아서 Surfshark 구매하시면 이길 가성비가 없을 정도로 가장 좋습니다.

메뉴 ‘VPN’ 탭에서 경쟁사 순위와 장단점 분석을 보실 수 있습니다.