Obscura VPN 출시: 릴레이와 Mullvad 출구를 나눠 로그를 남길 수 없는 2자 릴레이 구조

나 VPN 업체들을 꽤 회의적으로 보는 편인데, 그래도 Mullvad 공식 파트너라는 건 확실히 긍정적인 신호임. 이메일 없이 무작위 계정번호만 쓰는 방식을 다른 프라이버시 제품도 채택했으면 좋겠는데.

무작위 계정번호 흐름이 아이디어가 좋다고 봐서 그대로 했고, 마지막 자릿수에 Verhoeff 체크섬을 넣어 오타를 잡게 했음. 다만 번호를 안 적어둔 사람이 가끔 있는데 그건 도와줄 방법이 없음.

결국 Mullvad VPN을 중간에서 재판매하는 구조 아닌가? Mullvad가 계약을 깨버리면 연결이 끊기고 환불을 기대해야 하는데, 이 제품의 단일 실패지점이 Mullvad와 그 경영진의 변심임.

Obscura 자체도 하나의 실패점이기는 함. 그 위험까지 포함해서 봐야 됨.

왜 이걸 써야 하는지 모르겠음. 랜딩 페이지 혜택 중 상당수가 Mullvad에도 이미 있고, Mullvad가 더 성숙하고 평판도 좋고 클라이언트도 전부 오픈소스임. 게다가 Obscura 출구 서버를 돌리는 게 Mullvad인데 뭘 더 주는 거임?

Mullvad는 스웨덴 회사라 프라이버시 법이 더 강한 반면 Obscura는 뉴욕 소재 회사임. 미국 법 아래서는 비밀 법원 명령으로 특정 사용자 대상 로깅이나 소프트웨어 변경을 통지 없이 강제할 수 있어서, Obscura가 의미 있는 시나리오는 Mullvad가 이미 털린 경우뿐임.

Mullvad CEO가 외레브로의 극우 정당에 직접 자금을 대고 있어서 꽤 많은 사람이 떠나는 중임. 나는 그게 맞는 행동이라고 봄.

Mullvad가 좋은 프라이버시 도구라서 파트너로 삼은 거임. 다른 점은 우리가 멀티파티 릴레이라는 것. 전통 VPN은 단일 당사자 릴레이라 한 곳이 악의적이거나 털리면 끝인데 우리는 그 구조를 없앰.

그럼 Obscura랑 Mullvad가 둘 다 추적 데이터를 모아뒀다가 필요할 때 조인하는 걸 어떻게 막는 거임? 증명이 안 되는 거 아님?

그건 증명하지 못 함. 대신 아무리 털려도 인터넷 프라이버시를 해치려면 단일 당사자 하나만 뚫으면 되는 구조는 아니게 만들었음.

그냥 NordVPN 같은 걸로 Mullvad에 접속하는 것보다 나은 게 뭔지 모르겠음.

'우리 vs 남들' 식 비교는 마케팅 수법이라 별로임. Mullvad는 Obscura가 지금 하는 걸 수년 전에 했고, 도대체 누가 게이미피케이션한 VPN이 필요하겠음.

OHTTP를 UDP 트래픽에 적용한 것 같은데 MASQUE CONNECT-UDP를 쓰는 건가? 그리고 Tor 수준의 익명성이라고는 주장하지 않지만 일반 독자는 그렇게 읽을 여지가 있음.

정확히는 WireGuard over QUIC Unreliable Datagrams임. MASQUE는 아님.

WireGuard 연결 끝단에서는 어차피 트래픽이 복호화되는 건데, 이게 뭐가 달라지는지 모르겠음.

결국 2홉 구조임. 첫 홉은 IP만 보고 두 번째 홉은 사이트만 보는 방식이라 Apple iCloud Private Relay랑 비슷함. 근데 둘 다 로그를 남기면 조인으로 신원이 털림.

멀티홉 원리는 Apple iCloud Private Relay부터 Tor까지 수십 년간 나왔던 것과 같음. 우리도 몇 년 전에 이 일반 원리를 다룬 Decoupling Principle 연구 논문을 썼음.

VPN 회사는 돈 내고 쓰는 MITM 공격 표면임.

'로그를 남길 수 없는 첫 VPN'이라는 문구는 Zero Knowledge Systems를 모르고 하는 소리 같음.