해외 공공 와이파이, 안전할까?

“공공 와이파이, 안전할까?”라는 질문은 사실 두 가지 질문이 한 벌 옷을 입고 있는 것과 같다. 둘을 나누면 막연한 불안은 사라진다. 두 질문의 답이 서로 완전히 다르기 때문이다.

• 트래픽 보안: 대체로 해결됐다. 웹 트래픽의 약 95%가 종단 간 암호화된다. 카페 주인이라도 당신의 메일함이나 은행 세션, 메시지를 들여다볼 수 없다.
• 앱 데이터: 대체로 해결됐다. 은행·메신저·메일 앱은 자체적으로 연결을 검증하거나 고정한다. 2012년식 “공공 와이파이에서 로그인 정보 탈취” 시연은 요즘 스마트폰에서는 재현되지 않는다.
• 인증서 경고는 여전히 작동한다. 최신 HTTPS 세션 중간에 끼어들려는 네트워크는 조용히 성공하는 대신 경고창을 띄운다.

• 신원 노출: 그 어느 때보다 심하다. 이제는 접속하기도 전에 로그인부터 해야 하고, 그 페이지는 성, 객실 번호, 이메일이나 전화번호를 요구한다.
• 로컬 노출: 달라진 게 없다. 확인할 방법이 없는 네트워크에, 같은 건물의 다른 모든 사람과 함께 접속하게 된다.
• 접속 기록: 남는다. 접속한다는 것은 특정 기기가 — 흔히는 특정 인물이 — 그 건물에 있었다는 타임스탬프 기록이다.

한 가지만 기억해야 한다면 이것이다: 위험은 내용에서 메타데이터로 옮겨갔다. 암호화는 앞의 것을 해결했다. 무료 핫스팟의 그 무엇도 뒤의 것은 해결하지 못한다.

다들 반복하는 공공 와이파이 괴담은 특정 시대의 산물이다. 2010년 무렵에는 웹의 대부분이 암호화되지 않았고, 세션 쿠키가 평문으로 오갔으며, 같은 카페의 노트북 한 대가 브라우저 확장 기능만으로 그것을 공중에서 낚아챌 수 있었다. 그 시대는 끝났다.

이를 막아낸 것은 세 가지 변화이며, 모두 기본값으로 켜져 있다:

• 어디서나 암호화. 이제 브라우저는 평문 HTTP를 페이지를 불러오는 정상적인 방식이 아니라 경고해야 할 예외로 취급한다.
• 엄격한 전송 규칙. 주요 사이트들은 브라우저에게 미리, 자신들의 비암호화 버전은 절대 받아들이지 말라고 못 박아 둔다 — 그래서 그 유명한 다운그레이드 수법은 시작도 못 하고 실패한다.
• 암호화된 이름 조회. 최신 브라우저와 스마트폰은 점점 더 도메인 이름 조회 자체를 암호화된 채널 안에서 처리하며, 이는 그 매장의 라우터를 아예 논외로 만든다.

네 가지는 아직 해결되지 않았다. 어느 것도 암호화의 문제가 아니기 때문이다.

이 중 어느 것도 특별하지 않다. 만난 적도 없는 누군가가 운영하는, 인증되지 않은 네트워크에 접속한다는 것 — 그것이 바로 “무료 와이파이”의 의미이며, 이런 결과는 그저 당연한 대가일 뿐이다. 그 대가는 대부분 돈이 아니다. 다음 섹션에서 다루는 바로 그것이다.

무료 와이파이는 무료가 아니다. 대가는 문 앞에서 걷어가는 식별자이며, 대개는 바꿀 수도 없는 것들이다: 성, 객실, 실제 전화번호.

마지막 줄이야말로 곱씹어 볼 만하다. SIM 등록이 의무인 국가에서 “SMS로 본인 확인”은 편의 절차가 아니라, 이미 끝난 신원 확인 위에 또 하나의 신원 확인을 얹는 것이다. SIM 등록 의무화 국가 가이드에서 어떤 나라들이 해당되는지, 여권 스캔이 실제로 어디에 연결되는지 확인할 수 있다.

몇몇 국가에서는 신원 확인이 매장의 마케팅 선택이 아니라, 애초에 공공 인터넷 접속을 제공하기 위한 규정 자체에 박혀 있다. 여행자로서는 매번 같은 벽에 부딪힌다: 포털은 현지 휴대폰 번호를 요구하는데, 당신에게는 그것이 없다.

• 중국 — 공공 핫스팟은 대개 중국 번호로 보내는 SMS 코드로 본인 확인을 하며, 대부분의 방문객은 그 번호를 받을 수 없다.
• 러시아 — 공공 와이파이는 2014년부터 이용자 신원 확인을 요구해 왔으며, 보통 전화번호로 확인한다.
• 인도 — 공항과 카페 포털은 흔히 인도 번호로 일회용 코드를 보낸다.
• 아랍에미리트 — 호텔 접속은 객실과 투숙객 기록에 묶여 있으며, 일부 공공 네트워크는 현지 번호를 요구한다.
• 튀르키예, 인도네시아, 그리고 걸프 지역 상당수 — 개방형 네트워크에서는 SMS 인증이 기본 패턴이다.

결과적으로 이것은 하나의 딜레마다: 현지 번호를 만들려면 인터넷이 필요하고, 인터넷을 쓰려면 현지 번호가 필요하다. 출발 전에 미리 설치해 둔 여행용 프로필은 이 문제를 아예 비켜 가는데, 같은 원리는 검열과 차단 앱 가이드에서도 다룬다. 국가별 구체적인 내용은 중국, 인도, 아랍에미리트 페이지에 정리되어 있다.

VPN은 흔히 나오는 조언이고, 그 범위 안에서는 좋은 조언이다. 다만 그 범위가 정확히 어디까지인지는 짚어 볼 가치가 있다.

• 매장으로부터 트래픽을 숨긴다. 네트워크 입장에서는 목적지 목록 대신 단 하나의 주소로 향하는 암호화된 터널만 보인다.
• 매장 라우터를 이름 조회 과정에서 배제한다. 이는 악의적인 포털이 쓸 수 있었을 리다이렉션 수법을 원천 차단한다.
• 이름만 그럴듯한 네트워크를 무력화한다. 터널만 제대로 뜬다면, 그 접속점을 누가 운영하는지는 훨씬 덜 중요해진다.

• 당신이 누구인지는 지워주지 않는다. 포털이 먼저다. 성, 객실 번호, 전화번호 — 이 모든 것은 터널이 생기기도 전에 이미 넘겨졌다.
• 기기를 로컬 네트워크에서 빼내주지 않는다. 여전히 접속된 상태이고, 여전히 발견 가능하며, 노트북이 공유하도록 설정된 것은 무엇이든 여전히 공유된다.
• 꺼져 있는 동안에는 도움이 안 된다. 캡티브 포털은 VPN이 켜진 상태에서는 로딩을 거부하는 경우가 잦아서, 결국 접속 해제 → 로그인 → 재연결 깜빡하기라는 루틴이 반복된다.
• 접속 기록 자체는 막지 못한다. 네트워크는 여전히 언제, 얼마나 오래 어떤 기기가 접속했는지를 기록한다.

앞서 말한 문제들은 모두 같은 지점에서 시작된다: 남의 네트워크에, 그들이 정한 조건으로 접속한다는 것. 모바일 데이터는 이 단계 자체를 없앤다. 로그인할 포털도, 공유되는 구역도, 넘겨줄 이름도 없다 — 도착하는 순간 그냥 인터넷에 연결되어 있을 뿐이다.

1. 01
   출발 전에 미리 구매한다

   목적지를 고르고 암호화폐로 결제하면, 약 2분 만에 QR코드가 발급된다. 계정도, 이메일도, 신분증도 필요 없다.

2. 02
   집 와이파이에서 미리 설치한다

   신뢰할 수 있는 네트워크에 있을 때 QR코드를 스캔한다. 유효기간은 설치 시점이 아니라 해외에서 첫 접속하는 순간부터 시작된다.

3. 03
   도착해서 켜기만 하면 된다

   데이터는 여행용 회선으로, 통화와 문자는 그대로 원래 SIM으로 남겨 둔다. 공항 와이파이는 그냥 지나쳐도 되는 것이 된다.

자세한 절차는 암호화폐로 eSIM 구매하는 법과 eSIM 설치와 활성화에 정리되어 있다. 원래 번호는 그대로 남아 있다 — WhatsApp, iMessage, 은행 인증코드는 원래 SIM에서 계속 작동한다.

이 표를 솔직하게 읽으면 이렇다: 호텔 와이파이 위에 얹은 VPN은 트래픽 항목만 해결하고 신원 항목은 그대로 남긴다. 나만의 데이터 회선은 신원 항목을 해결한다 — 단, 그 회선 자체가 애초에 나와 연결된 적이 없어야 한다는 조건이 붙으며, 이것이 바로 no-KYC eSIM의 핵심이다. 국가별 가격은 목적지 페이지에서 확인할 수 있다.

때로는 선택지가 없다: 컨퍼런스가 자체 네트워크로만 스트리밍하거나, 데이터가 다 떨어졌거나, 호텔이 신호 하나 안 잡히는 콘크리트 박스일 때. 실제로 도움이 되는 짧은 목록이다:

• 포털에는 최소한만 준다. 이메일을 요구하면 포털 전용으로만 쓰는 주소를 준다. 객실 번호와 성은 피할 수 없지만, 그 외 대부분은 실제로는 선택 사항이다.
• 나올 때 네트워크를 삭제한다. 이 한 단계만으로 몇 달 뒤 다른 나라에서 벌어질 조용한 재접속을 막을 수 있다.
• 접속 전에 공유 기능을 끈다. AirDrop은 연락처만 허용하고, 파일·프린터 공유는 끄며, Windows에서는 네트워크를 “공용”으로 지정한다.
• 인증서 경고는 절대 무시하고 넘어가지 않는다. 최신 사이트에서 이는 우회해야 할 사소한 오류가 아니라, 여전히 의미가 있는 유일한 경보다.
• 포털 로딩 후에도 VPN을 계속 켜 둔다. 로그인과 재연결 사이의 그 틈에서 세션 전체가 새어 나간다.
• 민감한 작업은 모바일 데이터로 처리한다. 은행 업무, 문서 업로드, 회사 로그인 — 2분만 나만의 회선으로 전환했다가 다시 돌아오면 된다.

예전에는 그랬고, 그 생각 때문에 사람들이 애초에 공항 와이파이 앞에 줄을 서는 것이다. 하지만 이제는 사실이 아니다. 원래 통신사 요금제로 로밍하면 여전히 많은 곳에서 하루 $5–15가 들지만, 선불 여행용 프로필은 여행 전체를 통틀어 몇 달러면 충분하다 — 그리고 비교 대상이었던 그 “무료” 와이파이도 막상 비행기 안이나 비즈니스 호텔에서는 하루 $8–25인 경우가 많다.

• 일주일 치 지도, 메신저, 이메일은 1GB 안에 여유 있게 들어간다.
• 영상 통화와 스트리밍이야말로 실제로 용량을 잡아먹는 주범이지, 웹서핑이 아니다.
• 호텔 와이파이는 여전히 제 몫을 한다 — 백업과 다운로드에서는. 요점은 아예 쓰지 않는 것이 아니라, 거기에 의존하지 않는 것이다.

구체적인 계산은 eSIM과 로밍 비교에, 용량을 얼마나 잡아야 하는지는 해외에서 필요한 데이터 용량에 정리되어 있다.

이 가이드가 판매 문구에서 멈춘다면 정직하지 못한 것이다. 카페의 네트워크를 나만의 회선으로 바꾸는 것은 특정 문제 하나를 옮길 뿐, 나머지는 그대로 남겨 둔다.

• 이동통신망은 여전히 기지국에 접속한 기기를 본다. 대략적인 위치 정보는 셀룰러 서비스에 딸려 오는 것이며, 그것 없는 모바일 데이터란 존재하지 않는다.
• 계정은 여전히 당신을 드러낸다. 새 회선에서 평소 쓰던 이메일에 로그인하는 순간, 그 서비스 제공자에게는 똑같이 확실하게 신원이 드러난다.
• 앱은 여전히 본사로 신호를 보낸다. 회선이 바뀐다고 해서 스마트폰 안 소프트웨어가 무엇을 전송하기로 선택하는지는 달라지지 않는다.
• 이것은 암호화가 아니다. 나만의 회선은 TLS나 VPN을 대체하는 것이 아니라, 그 아래를 받치는 층일 뿐이다.

통신사가 무엇을 추론할 수 있고 없는지를 포함한 전체 위협 모델은 프라이버시의 한계 가이드와 eSIM은 추적 가능한가?에 정리되어 있다.