Mullvad, RAM-only VPN 인프라 전환 완료

 (mullvad.net)
1P by GN⁺ | ★ favorite | 댓글 1개
  • Mullvad는 VPN 인프라에서 디스크 사용 흔적을 모두 제거해 서버가 RAM-only 배포 방식으로만 운영되도록 전환함
  • 이 작업은 2022년 초 stboot 부트로더 기반의 디스크 없는 인프라 마이그레이션을 발표한 뒤 이어진 결과임
  • 해당 구성은 2022년과 2023년에 두 차례 감사를 받았고, 앞으로의 VPN 서버 감사도 RAM-only 배포만 대상으로 진행됨
  • 서버는 mainline 커널 개발을 따라가는 맞춤형 경량 Linux 커널을 사용해 최신 기능·성능 개선을 반영하고 불필요한 요소를 제거함
  • 재부팅이나 최초 프로비저닝 때 새 커널, 로그 파일 흔적 없는 상태, 완전히 패치된 OS를 확보하는 운영 방식이 핵심임

디스크 없는 VPN 인프라로 전환

  • Mullvad는 VPN 인프라에서 디스크 사용 흔적을 모두 제거했다고 발표함
  • 2022년 초 stboot 부트로더를 사용하는 디스크 없는 인프라로의 마이그레이션 시작을 알린 뒤 전환을 진행해 옴
  • 이 구성의 VPN 인프라는 두 차례 감사를 받음
  • 앞으로의 VPN 서버 감사는 RAM-only 배포만 대상으로 진행됨

커널과 부팅 OS 구성

  • 모든 VPN 서버는 맞춤형으로 크게 줄인 Linux 커널을 계속 사용함
  • 커널 개발은 mainline 브랜치를 따라가며, 최신 버전을 가져와 새 기능과 성능 개선을 반영함
  • 불필요한 커널 요소는 제거해 경량 구성을 유지함
  • 배포 전 부팅 운영체제 크기는 200MB를 조금 넘는 수준임
  • 서버가 재부팅되거나 처음 프로비저닝될 때 다음 상태를 확보함
    • 새로 빌드된 커널
    • 로그 파일 흔적 없음
    • 완전히 패치된 OS

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 정말 멋지다. 보안과 투명성을 신경 쓰는 VPN 업체라면 Mullvad처럼 행동하길 기대하게 됨
    어떤 업체는 인플루언서에게 돈을 쏟아부어 “보안을 중시한다”고 말하게 만들고, 어떤 업체는 실제로 보안을 개선하는 데 집중함
    참고로 전부 오픈 소스임: https://github.com/system-transparency/stboot

    • 이와 조금 별개로, 대형 VPN 업체들이 마치 사용자가 방문하는 사이트 대부분이 HTTPS가 아닌 것처럼 말하고, HTTPS가 이미 메우는 빈틈을 자기들이 채우는 게 핵심 이점인 것처럼 광고하는 게 늘 거슬림
      HTTPS가 만능은 아니지만, YouTube 광고를 하는 큰 VPN 회사들의 공포 마케팅은 커피숍에서 Amazon에 접속했다는 이유만으로 누군가 신용카드를 훔쳐갈 것처럼 보이게 함
      Tom Scott만이 이 주제에 대해 제대로 된 영상을 만든 걸 봤음 [0]
      [0] https://www.youtube.com/watch?v=WVDQEoe6ZWY
    • stboot와 지원 구성요소, 문서 작업은 별도 GitLab으로 옮겨졌음: https://git.glasklar.is/system-transparency/core/stboot

  • 뻔한 반응을 유도하려는 건 아니지만, 기술력이 있는 VPN 업체들이 디스크리스 운영, 커널 커스터마이징, 더 강한 보안 같은 요구사항이 있는데도 BSD보다 Linux를 쓰는 점이 흥미로움

    • 내 입장에서는 Linux를 속속들이 아는 사람을 채용할 수 있는 풀이 훨씬 큼. 인식되는 보안 이슈를 감수할 만큼 이점이 큼
      디스크리스 측면에서는 고도로 커스터마이즈한 Ubuntu로 25,000대 이상 iPXE 배포를 디스크리스 블레이드 서버에서 운영해봤고, 아주 훌륭했음
      운영체제 선택과 무관하게 디스크리스는 꽤 좋음. 보안 이슈가 있거나 업그레이드가 필요하면 재부팅하면 됨. 다만 25,000대 서버를 재부팅하는 데는 gigE에서도 시간이 꽤 걸림
      이를 안정적으로 처리하는 스케줄링 시스템을 만드는 데는 손이 많이 갔지만 결과는 꽤 좋았음
    • 이런 용도에서 더 나은 BSD가 있나?

  • “로그를 남기거나 저장하지 않는다”고 말하는 VPN들이 궁금함. 실제로 그럴 수도 있지만, 자기들이 저장하는 대신 법 집행기관이나 정보기관 등에 실시간 데이터 스트림을 보내고 있을 수도 있음
    그러면 “우리는 로그를 남기지 않는다”고 말하는 건 technically 맞게 됨

    • 나쁜 행위자는 필연적으로 있을 수 있음
      하지만 OVPN처럼 “로그 없음”이 진짜라는 걸 법정에서 입증한 회사도 있음[1]
      [1] https://www.ovpn.com/en/blog/ovpn-wins-court-order
    • 정직한 회사라도 압박은 두 갈래임. 하나는 보안이고 하나는 법적 압박임
      시스템은 보안 취약점과 사회공학, 그리고 돈·이념·약점·자존심 같은 전형적인 심리전 수단을 포함한 강압으로 뚫릴 수 있음
      또는 정부의 법적 명령을 받을 수 있음. 전 세계 거의 모든 정부가 자금세탁과 테러 방지, 즉 AML/CFT 명목으로 어떤 주체든 데이터를 넘기게 하는 법과 운영 관행을 갖고 있음
      이런 공격에 강하게 방어하려면 비용이 매우 비쌈. 월 5달러 요금으로 통상 운영비와 이런 사건 대응까지 감당하는 실행 가능한 사업 모델은 잘 보이지 않음
      덧붙이면, 이미 쓰고 있을 기본 기술에 내장된 백도어도 있음. 이번 주에 드러난 Cavium HSM 같은 사례가 그런 것임
    • Houston Police Department든 어느 도시 경찰이든, NSA식 광섬유 백본 데이터 흡입 작전을 꾸릴 만큼 정교하다고 보진 않음
      NYPD가 불법적인 백만 달러짜리 휴대전화 감청 장비를 산 것으로 알려져 있긴 하지만, 미국 최대급 지자체 법 집행기관이 도달하는 수준도 대체로 그 정도가 한계임
      애초에 그게 어떻게 작동하겠나? 법원의 함구 명령이 없다면 몇 주 안에 내부 소문이 새어나갈 것임
      휴대전화 관련 장비가 준비밀 상태였던 건 경찰서 직원들만 관여했기 때문인데, VPN 업체에는 그런 방식이 불가능함. 이들은 CIA나 NSA, 때로는 FBI가 받는 부당한 특권도 없음
      내가 할 수 있는 일 중 법 집행기관의 호기심을 살 만한 것은 연방 정보기관의 관심사보다 훨씬 아래임. 물론 당신 인생은 더 흥미로울 수도 있음
    • 합법 감청 시스템은 1990년대부터 이런 식으로 작동해왔음
      VPN 업체에 영향을 주는 합법 감청 의무가 있는지는 해당 관할권 법을 봐야 함. 아니면 Mullvad가 명확히 해줄 수도 있음
      스웨덴은 모든 통신 장비에 합법 감청 요구사항이 확실히 있지만, VPN에 대해서는 잘 모르겠음
    • 그건 로그 기록을 꽤 독특하게 해석한 것 같음
      내가 보기엔 고객 활동을 VPN이 기록한 뒤, 다른 곳에 보내 저장하게 하는 것임

  • 늘 VPN에 대해 궁금했던 게 있음
    예를 들어 소아성애자가 Mullvad를 써서 금지된 이미지를 받으면 VPN이 책임을 지는 건가?
    법 집행기관은 IP가 Mullvad 사무실에서 나온 것으로 볼 테니, 그들이 한 일이라고 가정하지 않나? 이걸 어떻게 피하는지 궁금함
    바보 같은 질문일 수도 있지만 실제로 궁금함

    • Mullvad는 실제로 비슷한 사건으로 경찰 압수수색을 받은 적이 있고, 여기 설명돼 있음:
      https://mullvad.net/en/blog/2023/5/2/update-the-swedish-auth...
      “하지만 그들이 무언가를 가져갔다고 해도, 어떤 고객 정보에도 접근할 수 없었을 것이다.”
      “스웨덴에서 프라이버시 중심 VPN 서비스를 운영할 수 있게 하는 국내법은 다음과 같다.”
    • 변호사는 아니지만, 내 이해로는 보통 Section 230 범주에 들어감. Comcast, AT&T 등 자기 인프라 위로 바이트가 지나가게 하는 업체에도 같은 논리를 적용할 수 있기 때문임
    • 그러면 수사는 VPN 서비스에 영장이나 소환장을 보내 해당 계정의 사용자 세부정보와 로그 같은 관련 자료를 요구하는 방향으로 이어질 뿐임
      여기서 “우리는 아무 로그도 남기지 않는다”는 문구와 RAM에서만 실행하는 구조가 중요해짐
      영장이 하드웨어 반출을 허용하더라도 전원이 꺼지면 모든 데이터가 사라짐. 법 집행기관은 배터리를 잔뜩 가져와야 할 것임
    • 피하지 못함. 그래서 한때 경찰 압수수색을 당했고, 더 이상 포트 포워딩을 제공하지 않게 된 것임
    • 그런데 당신이 그 VPN에 로그인해서 자녀용 아동 스웨터를 검색하고 세션을 켜둔 상태라고 해보자. 그 사이 법 집행기관은 이전 활동과 연결된 IP를 조회하는데, 그 IP가 이제 당신에게 할당돼 있음
      경찰에게 VPN과 IP 주소를 설명해야 한다면 행운을 빌어야 함. 이게 내 두려움임

  • “그들”은 그냥 장비에 액체질소를 뿌리고 랙에서 빼낸 뒤, DRAM을 액체질소가 든 보온병에 넣어 가져가 천천히 데이터를 읽으면 됨
    https://ieeexplore.ieee.org/document/8388826

    • 현대 암호화 프로토콜에서는 그렇게 해도 아무것도 얻지 못함
      이 기능은 순방향 비밀성이라고 부르며, 나중에 키가 유출되더라도 과거 트래픽을 보호함
      Mullvad가 쓰는 WireGuard가 이를 지원함. 어떤 이유에서인지, 그 추측은 독자에게 맡기지만 Wi-Fi의 WPA는 아직도 그렇지 않음
    • AMD 프로세서는 SME라는 암호화 RAM을 지원함[1]
      키는 CPU 내부에 있고 부팅 때마다 무작위화됨. 동작 중인 RAM 칩을 스니핑하거나 완벽하게 보존된 냉각 RAM을 읽어도 아무것도 얻지 못함
      Xbox One이 해킹되지 않았던 큰 이유이기도 함
      AMD 기반 비즈니스 노트북과 AMD EPYC 서버에서는 BIOS에서 SME를 켤 수 있음
      1. https://www.amd.com/content/dam/amd/en/documents/epyc-busine...
    • 여기서 “그냥”이라는 단어가 많은 걸 떠안고 있음
      이걸 “그냥” 하려면 요원이 Mullvad가 반응하기 전에 건물 인프라를 거의 완전히 장악해야 하는데, 말처럼 쉽지 않음
      설령 사소한 일이라 해도 경쟁 VPN 서비스들과 비교하면 여전히 몇 단계는 더 높은 수준임
    • 그건 SSD를 뽑아서 로그 파일을 읽는 것보다 훨씬 더 많은 작업이고, 실수 가능성도 훨씬 커 보임

  • 그래도 하드웨어 기반 백도어나, 메모리 주입, 공급망 같은 다른 종류의 백도어로 실시간 데이터를 빼가는 공격까지 막아주지는 못함
    “서버가 재부팅되거나 처음 프로비저닝될 때 새로 빌드된 커널을 받는다는 확신을 가질 수 있다”고 했는데, 그 주기가 어느 정도인지 궁금함
    매일인지, 매주인지, 혹은 한 시간마다인지? 주기가 길수록 일부 공격 벡터의 가능성은 낮아짐

  • 북미와 유럽에서는 VPN이 법적으로 VPN 사용 기록, 즉 방문 사이트나 가입 이메일 등을 1~2년 보관해야 함
    대부분의 VPN 회사는 브라우징 로그를 보관하지 않는다고 광고함
    그렇다면 유럽과 미국 법을 위반하는 셈임
    그래서 디스크리스 VPN을 어떻게 봐야 할지 모르겠음

  • 댓글에서 나온 좋은 포인트인데, 가상 머신은 전체 메모리 상태를 스냅샷으로 남길 수 있음. 이 점도 유의해야 함

  • “새로 빌드된 커널, 로그 파일 흔적 없음, 완전히 패치된 OS”라면, 디스크를 읽기 전용 모드로 쓰는 것만으로도 같은 효과가 나지 않나?

    • 요즘 디스크에는 항상 읽기 전용 스위치가 있는 것도 아님. 플로피 디스크의 물리적 홈이 그립긴 함
      그리고 제3자가 그 스위치가 올바르게 설정됐다는 걸 감사로 증명하기도 어려움

  • “우리의 모든 VPN 서버는 계속 커스텀하고 크게 줄인 Linux 커널을 사용하며, 커널 개발의 메인라인 브랜치를 따라간다”고 했는데, 커스텀 서버는 보안상 틈새 지점임
    일반 서버는 계속 연구되고 패치되지만, 이런 서버에도 같은 걸 기대할 수는 없음
    누군가 보안 구멍을 찾으면 공격자가 그걸 사들일 수 있고, 시스템이 침해됐다는 사실을 아무도 모르게 될 수 있음

답변달기