Tails OS
1. 개요
익명성 기능에 특화된 데비안 계열의 리눅스 운영체제.
2. 익명성 특화 편의성
# 비용도 거의 들지 않고 난이도도 일반인이 쉽게 따라할 수 있을 정도로 쉽다. 그러면서도 상당히 높은 수준의 보안이 달성된다. 가성비가 좋은 방어방법이라고 할 수 있다.
TrueCrypt와 같은 암호화 프로그램 하나만 달랑 쓰는 것은 전혀 안전하지 않다. 물론 트루크립트 암호화를 직접 깨는 것은 현재 기술로는 FBI, CIA, NSA, GCHQ가 와도 불가능하다.[1] 그건 분명한 사실이다. 하지만 아래 2번 항목에 친절하게 설명돼 있는 바와 같이, 파일 자체가 암호화돼 있다고 일이 다 해결되는 게 아니다. 예를 들어 윈도우, mac OS, 우분투와 같은 운영체제는 파일에 접근하기 위해 트루크립트 컨테이너를 마운트했을 때 그 안에 있는 파일들의 정보, 또는 트루크립트로 암호화시키기 전에 가지고 있던 원본 파일에 관한 정보를 인덱싱할 수 있다.[2] 또한 ISP나 로컬 네트워크 관리자는 내가 인터넷으로 어떤 파일을 다운받았다는 사실에 관한 로그기록을 보유하고 있으며, 이는 일단 다운받은 파일을 내 컴퓨터에서 사후적으로 트루크립트로 암호화시킨다고 해서 자동으로 지워지지 않는다. 이런 상황에서는 파일 그 자체가 제아무리 단단하게 암호화돼 있다고 한들 아무 소용이 없다. 어쩌면 '보안이 유지되고 있다는 착각'(false sense of security)을 불러일으킬 위험마저도 있다. 자신의 개인정보를 효과적으로 지키고 싶다면 웬만하면 아래에 설명된 것처럼 테일즈를 사용하는 것이 좋다.
파일을 탐지하려는 사람(이하 '공격자')은 파일을 은폐하려는 위키러(이하 '방어자')의 취향을 크게 네 가지 경로를 통해 알아 낼 수 있다.
1) 파일 자체를 찾아낸다.
2) 파일을 저장하였거나 실행한 흔적('최근 본 문서' 목록, 윈도우 탐색기에서 자동으로 생성되는 썸네일 등)을 찾아낸다.
3) 파일을 다운받거나 스트리밍으로 보기 위해 어떤 사이트에 접속하였는지 등 인터넷 이용내역을 살펴본다.
4) 방어자가 파일을 작업 중일 때 갑작스레 문을 열고 들이닥친다.
테일즈를 이용하면 이 네 가지 공격방법 모두에 대해 일정 수준의 이상의 방어력을 갖출 수 있다.
2.1. 파일 자체가 숨겨짐
어떠한 파일의 내용을 가장 쉽고 확실하게 숨기는 방법은 암호화를 하는 것이다. 암호화는 단순히 컴퓨터에 로그인 비밀번호를 설정하는 것과는 전혀 다르다.
가령 "The quick brown fox jumps over the lazy dog"이라는 내용의 텍스트 파일을 하드에 저장해 놓고, 윈도우에 로그인 비밀번호를 설정해 두었다고 하자. 이 경우 하드에는 "The quick brown fox jumps over the lazy dog"라는 문장이 그대로('평문으로') 남아 있기 때문에 공격자는 단순히 방어자의 컴퓨터 본체를 열고 하드를 뚝 떼어서 공격자 자신의 컴퓨터에 연결하거나 자신의 USB에 윈도우, macOS, 리눅스 등을 설치해 와서 그 USB로 부팅하는 방법으로 하드의 내용을 손쉽게 들여다 볼 수 있다.
그러나 이 파일을 암호화시켜서 저장해 놓은 경우라면 다르다. 공격자가 하드를 뚝 떼어서 자기 컴퓨터에 연결하더라도 공격자는 "e3ceqAHKc69Pk4gFMNbkRLQTqLJRMePnXzL6QJg"와 같은 암호화된 데이터만 보게 될 따름이다. 이 암호화된 데이터를 "The quick brown fox jumps over the lazy dog"라는 평문(cleartext)으로 해석해 내기 위해서는 암호화에 사용된 암호화 키(encryption key)가 필요하다. 암호화 키란 곧 암호화를 시킬 때 암호화 프로그램에 입력하는 비밀번호를 말하는 것이라고 이해하면 된다.[3]
단순히 윈도우에 로그인 비밀번호만 설정해 놓았을 때와 달리, 파일을 암호화해 둔 경우에는 (방어자가 설정해 둔 비밀번호를 알지 못하는 한) 공격자가 그 파일을 해독하는 것은 불가능하다.
테일즈를 이용하면, 테일즈가 설치된 USB 안에 저장되는 파일은 자동으로 LUKS(Linux Unified Key Setup)로 암호화된다. USB 용량이 부족해 외장하드를 저장용으로 이용하는 경우에도 테일즈는 그 외장하드를 GUI에서 간편하게 LUKS로 암호화시킬 수 있는 옵션을 제공한다. 요컨대 테일즈는 암호화와 친하다. 구체적인 방법 설명은 아래로 미룬다.
2.2. 파일의 흔적이 숨겨짐
파일을 암호화된 상태로 저장해 놓는다고 문제가 다 해결되는 것은 아니다. 공격자는 암호화된 파일 자체는 들여다 볼 수 없겠지만, '최근 본 문서' 목록에서 파일 이름을 알아낼 수도 있고, 탐색기가 자동으로 생성한 썸네일도 볼 수 있고, 브라우징 히스토리도 볼 수 있고, 시스템이 파일 검색 속도를 올리기 위해 파일들을 인덱싱해놓은 자료도 볼 수 있다. 내가 본 파일들의 파일명과 썸네일, 그리고 내가 그 파일을 다운받기 위해 들어간 웹페이지의 URL, 그 웹페이지에 접속한 시간 따위가 공격자에게 고스란히 노출된다면, 그 파일의 구체적인 내용이 비밀로 남는다고 해 봐야 도대체 무슨 소용이겠는가?
흔히 '데이터보다 메타데이터가 더 중요하다'고 말하는 게 바로 이런 맥락에서다. 물론 이것도 케바케겠지만, 데이터 그 자체는 별 가치 없는 경우가 많다. 사실 파일명이 노출된 이상 그 파일의 '구체적인 내용'이 비밀로 남는다고 보기도 어렵다. 파일명을 아는 공격자는 인터넷에서 그 파일을 손쉽게 찾아 내용을 들여다볼 수 있을 것이기 때문.
여기에 대해서는 '썸네일이나 브라우징 히스토리도 어차피 C드라이브에 저장되는 거니까 C드라이브를 통째로 암호화해 버리면 해결되지 않나?'라는 의문이 제기될 수 있다. 그러나 C드라이브를 통째로 암호화한다고 해도 이러한 리스크는 회피하기 어렵다. 윈도우의 BitLocker, 맥오에스의 FileVault, 리눅스의 LUKS 등 파티션 전체를 통째로 암호화하는(full-disk encryption) 기술들은 그 파티션이 마운트돼 있지 않은 상황에서만, 즉 C드라이브를 기준으로 본다면 '컴퓨터 전원이 완전히 꺼져 있는 상황에서만' 보호기능을 제공한다. 직접 C드라이브에 BitLocker 암호화를 걸어 보면 쉽게 알 수 있다. 컴퓨터가 완전히 꺼져 있는 상태에서는 BitLocker 비밀번호를 제대로 입력하지 못하면 하드에 저장된 내용을 볼 수 없지만, 일단 BitLocker 비밀번호를 제대로 한 번 입력하고 윈도우를 완전히 부팅시키고 나면 그 후로는 C드라이브에 있는 어떠한 파일이든 (따로 비밀번호를 입력하지 않아도) 그냥 바로 열리지 않는가? 풀 디스크 인크립션이란 그런 것이다. 컴퓨터를 항상 꺼 놓고 살 것이 아닌 이상, C드라이브에 풀 디스크 인크립션을 걸어 놓는 것은 근본적인 해결책이 되지 않는다. 게다가 각종 안티바이러스나 구글 크롬 등의 프로그램들은 주기적으로 C드라이브에 있는 파일들을 스캔해서 자기네 회사 서버로 보내기도 한다.
이러한 문제는 윈도우 대신 테일즈를 이용하면 간단히 해결된다. 테일즈는 USB에 설치되고 램(RAM)에서만 구동되기 때문에 하드에는 흔적을 남기지 않는다. 램은 휘발성 메모리이므로 성인물 시청을 마치고 컴퓨터를 끄면 램에 있던 흔적은 완전히 사라진다.
또한 테일즈는 그와 유사한 다른 은폐방법과 비교했을 때에도 몇 가지 이점을 가진다. 가령 성인물 전용 노트북을 마련해서 그 노트북에 풀 디스크 인크립션을 걸어 놓고, 작업을 할 때에만 노트북을 켜서 보는 방법을 생각해 보자. 이걸 하려면 일단 전용 노트북을 마련해야 하므로 돈이 많이 든다. 크기가 크므로 숨기거나 휴대하기도 불편하다. 또는 스틱 PC를 마련해서 필요할 때마다 TV에 꽂아 쓰는 방법도 생각해 보자. 스틱 PC는 그 조그만 하우징 안에 탑재된 저성능의 CPU를 이용하므로 속도가 느린 반면, 테일즈는 컴퓨터 본체에 탑재돼 있는 고성능 CPU를 이용하므로 웹페이지 로딩속도도 빠르고 고화질 영상도 원활하게 재생된다.
2.3. 인터넷 이용내역이 숨겨짐
KT, SK, LG 등의 인터넷 회사(ISP)들은 이용자들이 자사의 인터넷망으로 몇 년 몇 월 며칠 몇 시 몇 분 몇 초에 어떤 사이트에 들어가서 무엇을 했는지를 세세하게 기록으로 남긴다. (본인 명의가 아닌) 가족 명의로 된 인터넷을 사용할 경우, 그 명의자인 가족이 ISP에 연락해서 인터넷 이용내역을 뽑아달라고 할 가능성이 존재한다. ISP뿐 아니라 인터넷에 접속하기 전에 거치는 각종 네트워크를 들여다 볼 수 있는 사람(가령 원룸에서 기본으로 제공하는 인터넷을 사용하는 경우 그 원룸 주인 및 같은 원룸에 사는 다른 세입자, 스타벅스 와이파이를 사용하는 경우 스타벅스 회사 및 같은 와이파이망에 접속해 있는 다른 손님, 집 공유기에 연결된 컴퓨터를 사용하는 경우 가족 구성원 중 그 공유기를 만질 줄 아는 사람 및 집 공유기 와이파이에 비번을 걸어놓지 않은 경우 그 와이파이에 접속해 있는 다른 사람)도 마음만 먹으면 아주 쉽게 이용자들의 인터넷 이용내역을 세세하게 기록할 수 있다.
한편, 웹사이트 운영회사들도 이용자들의 웹사이트 이용내역을 기록하는 것은 마찬가지다. 가령 구글에서 19금 관련 단어를 검색하면, 내가 그 날 그 시간에 구글에서 그 단어를 검색했다는 사실이 구글 서버에 영구히 기록으로 남는다. 만약 가족의 구글 아이디로 로그인된 상태에서 그렇게 했다면, 그 가족은 구글의 my activity 페이지에 들어가서 자신의 검색 기록을 조회하는 방법으로 그 사실을 손쉽게 알아 낼 수 있다.
인터넷 이용내역을 숨기는 도구로서 가장 흔히 쓰이는 것은 VPN이다. 그러나 VPN은 생각만큼 안전하지 않다. VPN는 인터넷 회사(ISP)가 내 인터넷 이용내역을 들여다보는 것을 막아 줄 뿐이다. 웹사이트 운영회사가 내 인터넷 이용내역을 들여다보는 것은 제아무리 VPN을 쓰더라도 피할 수 없다. 가령 VPN을 통해 구글에 접속해 19금 단어를 검색하더라도, 구글은 '내가'(browser fingerprinting을 통해) VPN을 거쳐 자사의 웹사이트에 접속하여 19금 단어를 검색했다는 사실을 알게 된다. 게다가 website fingerprinting이라는 것이 있기 때문에 VPN을 쓴다고 꼭 ISP로부터 안전해지는 것도 아니다. 가령 어떤 차단된 페이지를 로딩할 때 브라우저가 패킷을 특정한 패턴으로 주고받는다는 사실이 알려져 있다고 하자. VPN을 쓰는 경우, ISP는 이용자가 자사의 DNS서버에 그 페이지의 도메인에 해당하는 IP주소가 어디인지 물어본다는 사실도 알 수 없고, 이용자가 해당 페이지의 IP주소에 접속하고 있다는 사실도 알 수 없지만, 그 대신 이용자가 VPN 서버와의 사이에 패킷을 특정한 패턴으로 주고받고 있다는 사실은 알 수 있다. 만약 이 패턴이 해당 페이지 접속시 나타나는 패턴과 유사하다면, ISP는 '이 이용자가 VPN을 통해 그 페이지에 접속하였구나!'라고 추론할 수 있다.[4]
VPN보다는 Tor[5] Browser를 이용하는 것이 낫다. 토르 브라우저는 browser fingerprinting에 대한 약간의 방어능력이 갖추어져 있으므로, 토르 브라우저를 가지고 구글 검색을 하면 구글은 '어떤 익명의 토르 브라우저 이용자가' 그 검색을 했다는 사실은 알 수 있지만 '정확히 누가' 그 검색을 했는지는 쉽게 알 수 없다.
또한 토르는 그동안 website fingerprinting에 대해서도 VPN보다는 나은 방어능력을 보여 왔다.[6] 웹사이트 핑거프린팅을 방어하기 위한 기능들이 계속 추가되는 중이기도 하다. 예를 들면 https://blog.torproject.org/tor-0317-now-released 등. 테일즈에는 토르 브라우저가 기본으로 깔려 있다.
2.4. 급습에 대한 대처능력이 뛰어남
테일즈로 비밀스러운 작업을 하던 중 갑자기 공격자가 들이닥칠 경우, 컴퓨터에서 테일즈 USB를 뽑기만 하면 곧바로 모니터가 까매지고 컴퓨터가 종료된다. 컴퓨터 부품이나 테일즈 USB에 무리(?)가 갈까봐 걱정할 필요는 없다. 테일즈 개발사에서 공식적으로 인정하는 종료방법이다.
3. 사용방법
정확한 최신 정보를 원한다면 이 항목보다는 테일즈 공식 홈페이지를 참조하는 것이 낫다. 하지만 테일즈 공식 홈피에는 한국어로 된 설명이 없으므로, 영어를 잘 하지 못한다면 나무위키의 이 항목을 주로 참조하는 수밖에 없을 것이다.
3.1. 설치 및 세팅
1. 일단 USB가 필요하다. 용량은 16기가 이상을 권장한다. 용량이 크게 중요하지는 않다. USB의 용량이 크면 그만큼 USB 안에 더 많은 파일을 저장할 수 있을 테지만(요즘은 128기가나 256기가짜리 USB도 저렴하게 구할 수 있다), USB의 용량이 작더라도 외장하드에 따로 보관하면 된다. 다만 외장하드를 사용하는 경우에는 동영상을 보려면 테일즈 USB + 외장하드 이렇게 총 2개의 디바이스를 컴퓨터에 꽂아야 하므로 약간 귀찮아지기는 한다. 128기가로 다 해결할 수 있는 사람이라면 그냥 128기가짜리 USB를 사서 테일즈를 깔자.
만약 (외장하드가 아닌) 테일즈 USB 자체에 파일 등을 저장할 계획이라면, USB 3.0 이상으로 마련하는 것이 좋다. USB 2.0이든 USB 3.0이든 테일즈 부팅 시간은 별로 차이나지 않지만, 부팅이 이루어진 다음 탐색기에서 파일을 탐색할 때에는 확실히 3.0이 썸네일이 뜨는 속도라든가 반응속도 같은 것이 빠르다.
2. USB를 준비했다면 이제 테일즈 공식 홈페이지인 https://tails.boum.org/에 들어가서 테일즈 ISO파일을 다운받고 설치방법에 대한 설명을 따라한다. 영어를 잘 하지 못하더라도 그림을 보면서 인터넷 검색질을 하면 대충 따라하는 데에는 무리가 없을 것이다.
3. 이제 그 Tails가 깔린 USB로 부팅한다. 구체적인 방법은 네이버 같은 데 'USB 부팅 방법' 따위로 검색하면 잘 나온다. 윈도우를 재설치할 줄 아는 사람이라면, 윈도우를 재설치할 때 윈도우 설치 USB로 부팅하는 것과 똑같이 하면 된다. 방금 부팅한 USB가 바로 우리가 앞으로 사용할 Tails USB이다.
4. 이제 Tails (이하 그냥 '테일즈')에서 persistence storage를 활성화시킬 차례다. Persistence storage는 테일즈 부팅 USB 안에 있는 하나의 파티션이다. 16기가짜리 USB에 테일즈(4.5기가 정도 차지)를 깔고 나면 11.5기가가 남지 않는가? 그 남는 공간에 데이터 파티션을 하나 만들어 둔 것이 persistence라고 이해하면 된다.
테일즈로 부팅한 다음, 좌측 상단의 Applications →
Tails → configure persistent volume을 누른다. 그러면 비밀번호를 정하는 창이 뜬다. 앞으로 persistence storage 안에 저장되는 데이터는 그 비밀번호로 암호화된다. 비밀번호를 모르는 공격자는 데이터를 볼 수 없지만, 비밀번호를 아는 공격자는 (당연하게도) 데이터를 볼 수 있다.
비밀번호는 지금까지 쓰던 것 말고 새롭게 만드는 것이 좋다. 평소에 쓰던 비밀번호는 이미 가족, 친구 등이 (어떤 경로로든) 알고 있을 가능성이 높기 때문이다. 또한 당연하게도, 비밀번호는 강력해야 한다. 1Qaz2Wsx!같은 것은 영 좋지 않다.
기억하기도 쉽고 입력하기도 쉬우면서도 강력한 비밀번호를 어떻게 만들어야 하는지가 문제된다. 일반적으로, 기억 및 입력의 편의성과 비밀번호의 강력함은 서로 대척되는 관계에 있다. 1Qaz2Wsx!은 기억하기도 쉽고 입력하기도 쉽지만, 강력하지는 않다. (대문자, 소문자, 숫자, 특수문자가 모두 포함된 8자리 이상의 비밀번호라고 해서 반드시 강력한 것은 아니다!) 반대로 R:mU8uE2z1w.|HFr=y5{lrT/CS4h)A은 강력하지만, 기억하기도 어렵고 입력하기도 어렵다.
이러한 딜레마를 해결하는 방법이 있다. 서로 관련 없어 보이는 '단어' 6개 이상을 골라 아무렇게나 배열함으로써 비밀번호를 만드는 것이다. 예를 들어 '종교사회학 광고주 갈매기 도미니카 공소시효 까막눈'을 통째로 비밀번호로 사용한다고 생각해 보자(비밀번호에 띄어쓰기를 포함해도 된다. 프로그램은 띄어쓰기도 하나의 문자로 인식한다). 기억하기도 쉽고 입력하기도 쉬우면서도 나름대로 강력하다. 단어를 선택할 땐 되도록이면 단어들 간에 서로 관련 없는, 그리고 나 자신과도 관련 없는 단어를 선택하는 것이 좋다. 예를 들어 '김영삼 김대중 노무현 이명박 박근혜 문재인'은 명목상으로는 6단어로 된 비밀번호이지만, 실질적으로는 랜덤하게 고른 6개의 단어에 비해 추측해 내기가 훨씬 쉬울 것임을 알 수 있다. 자기의 생년월일이나 출신학교나 출신동네 이름을 넣는다거나, 자기가 소중히 여기는 사람이나 동물이나 가치관의 이름을 넣는다거나, 자신의 직업상 자주 접하게 되는 개념 또는 사람의 이름을 넣는다거나 하는 것도 비밀번호의 추측가능성을 증대시키는 요인이 된다. 최대한 랜덤해 보이게 만드는 것이 좋다.
귀차니즘을 감수할 용의가 있다면 진짜로 랜덤하게 고르는 것이 더 좋다. 인간이 직접 고른 단어는 겉보기에는 랜덤해 보이더라도 실제로는 일정한 패턴이 있을 수 있고, 이러한 패턴은 요즘 한창 뜨는 빅데이터니 인공지능이니 하는 것에 의해 노출될 수 있다. 패턴이 노출되면 비밀번호를 추측해 내기도 그만큼 쉬워진다. 비밀번호를 랜덤하게 고르는 방법에는 여러 가지가 있을 수 있겠지만 일단 한 가지 예시를 들어 본다. 우선 국어사전을 하나 준비한다. 이제 테일즈에서 Applications → KeePassX를 실행시키고 New Database를 클릭하여 아무 데이터베이스나 하나 만든다. Add entry에서 Gen을 클릭하여 패스워드 생성기를 열고, character types에서 영문자와 특수문자를 선택 해제하고 오로지 숫자만 선택되게 함으로써 pseudo-random한 길다란 숫자를 하나 만든다. 이 때 Exclude look-alike characters 옵션이 해제 돼 있어야 한다. 만약 그게 체크돼 있으면 1이 없는 숫자열이 생성된다. 아무튼 그렇게 만든 숫자의 첫 4개 자리를 읽어서 국어사전의 해당 페이지로 이동한다. 해당 페이지가 없으면 length를 조절하든지 하여 새로운 랜덤숫자를 만든다. 예를 들어 내가 가진 국어사전이 3157페이지까지 있다고 할 때, 랜덤숫자가 084559761875932875라면 845페이지로 이동하고, 621394264802798라면 내가 가진 사전에는 6213페이지가 없으므로 랜덤숫자를 새로 만든다. 그렇게 이동한 페이지에서 아무 단어나 골라 내 비밀번호의 첫 번째 단어로 활용한다. 2번째, 3번째, ..., 6번째 단어도 똑같은 방법으로 랜덤하게 골라 비밀번호를 완성한다. 만약 영어에 능숙하다면 국어사전 대신 영한사전(영어+한글)을 가지고 해도 좋다. 그러면 단어 슬롯 하나에 들어갈 수 있는 단어 후보의 수가 늘어나 비밀번호가 더 강력해진다. 마지막으로는 이렇게 랜덤하게 고른 단어에다가 자기 마음대로 조금씩 변형을 가하거나, 임의로 추가하고 싶은 단어를 추가한다. 자기가 마음대로 추가한 부분이므로 기억하기도 쉽고, 공격자 입장에서는 단순히 사전에 있는 단어뿐 아니라 그 변형물까지 고려해야 하기 때문에 공격이 더 어려워진다.
테일즈 좌측 상단의 Applications → Favorites → Text editor (윈도우의 메모장과 같은 기능)을 열면 다양한 비밀번호를 직접 쳐 보면서 고르거나 연습할 수 있다. 키보드로 한글을 입력하려면 우측 상단에 en 부분을 눌러 Korean을 선택한다. 그러면 이제 한영키로 한글과 영문을 자유롭게 왔다갔다 하면서 입력할 수 있다. 만약 한영키가 먹지 않는다면, 아까 그 en이 있던 부분(이제 A라고 돼 있을 것)을 눌러서 뜨는 메뉴에서 Setup을 눌러 IBusHangul Setup 창을 띄운다. 거기에서 Hangul toggle key에 Add를 누른 다음, 자기 키보드의 한영키를 타건하여 그 키를 Hangul toggle key의 하나로 등록한다. 그러면 이제 한영키가 먹을 것이다.
비밀번호를 확정했으면 그걸 종이에다가 펜으로 옮겨적어 놓고 지갑이나 어디 자기만 알 수 있는 곳에 보관한다. 새 비밀번호에 익숙해지기 전에 까먹거나 헷갈릴 수 있어서다. 새 비밀번호에 완전히 숙달되면 종이는 폐기하면 된다. 스마트폰 메모장에 적어 놓는 것도 나쁘지는 않지만, 스마트폰 메모장에 적은 내용은 클라우드(구글, 애플 등)에 동기화되는 경우가 많다는 데 유의해야 한다. 만약 구글이나 애플 또는 그들로부터 정보를 넘겨받을 수 있는 사람에게 내 비밀번호를 노출시키고 싶지 않다면 그냥 종이에 적도록 하자.
이제 그렇게 정한 비밀번호를 persistence storage의 비밀번호로 삼는다. 이 비밀번호는 오직 테일즈에만 사용하고, 일반 웹사이트에 회원가입하거나 할 땐 사용하지 않는 것을 추천한다.
비밀번호를 설정하고 확인 버튼을 누르면, 'specify the files that will be saved in the persistent volume'이라면서 Personal Data, GnuPG, SSH Client 등 다양한 것을 설정할 수 있는 창이 뜬다. 이 설정은 어차피 나중에 바꿀 수 있으니 지금은 크게 고민하지 않아도 된다. 일단은 Personal Data 및 Browser Bookmarks 이렇게 2개에 체크해 놓는 것을 추천한다.
3.2. 윈도우, masOS와의 병용
윈도우로 들어가고 싶을 땐 테일즈 USB를 뺀 상태로 컴퓨터를 켜면 된다. 테일즈로 들어가고 싶을 땐 처음 설치할 때 했던 것처럼 테일즈 USB를 꽂은 상태로 컴퓨터를 켜면서 바이오스로 들어가서 부팅순서를 알맞게 바꿔 주면 된다.
맥북은 부팅할 때 키보드의 옵션(알트) 키를 누르고 있으면 뭘로 부팅할지 고르는 메뉴가 뜬다. 거기에서 원하는 것을 고르면 된다. 그런데 맥북은 희한하게도 그 부팅 디스크 고르는 창에서 테일즈를 선택하면 컴퓨터가 얼어 버리는 경우가 있다. 이럴 땐 전원 버튼을 길게 눌러 강제종료했다가 다시 시도하면 된다. 다시 시도해도 역시나 얼어 버리는 경우가 있는데, 이럴 땐 또다시 재시도하기를 몇 번 더 반복하면 결국은 된다. 상식(?)과는 달리, 전원버튼을 눌러 컴퓨터를 강제종료한다고 컴퓨터 부품에 무리(?)가 가거나 하지는 않으니 계속 반복적으로 이렇게 해도 된다.
3.3. 시작 화면(Tails Greeter)
테일즈로 부팅하면 Welcome to Tails!라면서 이것저것 설정하는 창이 뜬다. Persistent storage의 비밀번호 입력하는 부분은 말 그대로 비밀번호를 입력하면 된다.나머지는 건드리지 않아도 된다.
비밀번호를 꼭 입력해야 하는 것은 아니다. 비밀번호를 입력하지 않고 테일즈를 부팅하는 것도 가능하기는 하다. 단, 이 경우에는 persistent storage에 있는 데이터에 접근할 수 없다. 그 데이터를 열어보려면 테일즈를 재부팅해서 비밀번호를 입력해 줘야 한다.
3.4. 노트북과 호환성 문제
데스크탑 컴퓨터는 테일즈를 구동하는 데 아무 문제가 없는 경우가 대부분이다. 하지만 노트북은 알 수 없는 이유로 테일즈 부팅이 잘 안 되거나, 부팅은 정상적으로 되는데 키보드/와이파이/사운드 등의 드라이버를 못 잡아서 키보드가 안 먹거나 와이파이 접속이 안 되거나 소리가 안 나오거나 하는 경우가 있다. 부팅이 안 되거나 소리가 안 되는 경우에는 마땅한 해결책이 없다.
알려진 호환성 이슈에 관한 테일즈 공식사이트의 설명도 참조하라.
3.5. 한글 입력
키보드로 한글을 입력하려면 우측 상단에 en 부분을 눌러 Korean을 선택한다. 그러면 이제 한영키로 한글과 영문을 자유롭게 왔다갔다 하면서 입력할 수 있다. 만약 한영키가 먹지 않는다면, 아까 그 en이 있던 부분(이제 A로 바뀌어 있을 것)을 눌러서 뜨는 메뉴에서 Setup을 눌러 IBusHangul Setup 창을 띄운다. 거기에서 Hangul toggle key에 Add를 누른 다음, 자기 키보드의 한영키(또는 내가 한영키로 삼고 싶은 아무 키)를 타건하여 그 키를 Hangul toggle key의 하나로 등록한다. 이제 한영키가 먹을 것이다.
테일즈는 시스템 종료를 한 번 할 때마다 persistence에 저장돼 있는 것을 제외한 모든 것이 사라지고 초기화되는 특성을 가지고 있다. 설정파일도 초기화된다. 따라서 한글을 입력하려면 테일즈를 켤 때마다 매번 이렇게 해 줘야 한다.
3.6. 웹서핑
테일즈에는 2가지 브라우저가 기본적으로 탑재되어 있다. 하나는 토어 브라우저이고 다른 하나는 Unsafe Browser이다. 특별한 사정이 없는 한 웬만하면 토르 브라우저로 웹서핑하는 것을 추천한다. Unsafe Browser로 웹서핑하는 것도 가능은 하지만, 그러면 토르나 VPN이나 프록시를 거치지 않은 그냥 생 인터넷 상태로 접속이 이루어지므로 사용하는 의미가 없다.
한편, 테일즈에 VPN을 깔아서 Unsafe Browser로 VPN을 통해 웹서핑을 하면 좋지 않겠냐고 생각하는 사람도 있을 수 있다. 토르는 속도가 느려서 답답하니까 속도가 빠른 VPN을 사용하겠다는 것이다. 나쁜 방법은 아니다. 하지만 앞서 언급한 바와 같이 테일즈는 한 번 껐다 켤 때마다 모든 설정이 초기화되므로 이걸 하려면 OpenVPN 클라이언트 설치를 비롯해 VPN 세팅도 매번 다시 해 줘야 한다.[7] 그리고 당연하게도 토르 브라우저를 쓸 때보다 익명성이 현저히 떨어지는 것은 감수해야 한다. 세 가지 측면에서 그렇다. (1) 접속하는 사이트(destination) 입장에서 봤을 때 더 눈에 띄는 유저가 된다. 토르 브라우저의 익명성은, 웹사이트 입장에서 봤을 때 모든 토르 브라우저 이용자들이 다 똑같아 보이게 함으로써 달성되는 것이다. Unsafe Browser를 가지고 VPN IP를 통해 접속하는 것은 이와 같은 '똑같아 보이는 성질'을 포기하는 것이다. (2) 내가 인터넷에 접속할 때 사용하는 ISP 입장에서는 내가 어떤 사이트에 방문하는지를 알아내기가 더 쉬워진다. 앞서 언급한 website fingerprinting 이슈다. (3) 나의 실제 신상정보와 내가 방문하는 사이트 정보를 동시에 아는 사람이 존재하게 된다. 토르 브라우저를 사용할 땐 '내 컴퓨터 - 노드1 - 노드2 - 노드3 - 목적지' 이런 식으로 3단계의 노드를 거치기 때문에 나의 신상정보 및 내가 어떤 사이트에 방문하고 있는지에 관한 정보를 동시에 아는 사람은 거의 존재하지 않게 된다. 하지만 VPN을 사용할 땐 '내 컴퓨터 - VPN - 목적지' 이런 식으로 되기 때문에 VPN 회사는 내가 어떤 사이트에 방문하는지를 손쉽게 알 수 있다. 설령 VPN 회사가 no-logs policy를 철저하게 지킨다 해도, VPN 회사에 서버를 렌트해 준 데이터센터 운영자, 그리고 그 데이터센터에 인터넷 접속을 제공하는 ISP는 당연히 로그를 보유하고 있다. 생각해 보자. 내가 내 컴퓨터에서 브라우징 히스토리를 완전히 삭제한다 해도, 내 ISP는 여전히 그 브라우징 히스토리를 보유하고 있지 않는가? VPN도 마찬가지다. VPN 회사가 자기네 VPN 서버에서 로그를 완전히 삭제한다 해도, 그 VPN 서버의 ISP (또는 데이터센터)는 로그를 여전히 보유하고 있는 것이다. 즉, VPN의 ISP는 내 실제 IP와 내가 접속하는 사이트의 IP(및 도메인[8])을 동시에 로그기록으로 남길 수 있는 지위에 있다. 실제로 경찰은 no-logs policy로 운영되는 EarthVPN 이용자를, EarthVPN 서버가 위치한 데이터센터의 로그기록을 확보함으로써 추적해 낸 바 있다. 결론: 특별한 사정이 없다면 그냥 얌전히 토르 브라우저를 쓰자.
다만 2010년대 들어 또 고려해 봐야될 것이, 토르 브라우저를 사용하는 그 자체가 인터넷 검열, 그리고 국내,국제 정보기관 사찰/감시망의 타겟이 된다는 것이다.
딥웹 문서를 보면 알겠지만, 애초에 음지가 왜 음지겠는가. 그만큼 경찰이나 정보기관이 싫어할 만한 내용들이 아주 그득그득하다.[9] 그러니 당연히 여러 기관의 어그로도 잔뜩 끈다. 물론 토르 브라우저가 딥웹에 접속하는 데만 사용되는 프로그램은 아니다. 하지만 야한 동영상의 은폐와는 관련없이, 딥웹에 접근하기 위해 쓰이는 가장 유명한 프로그램 중 하나고, 그만큼 전세계의 정보기관의 주목과 관심을 한몸에 다 받는 것이 Tor 네트워크 망이자 Tor 프로토콜이다.
그러므로 '''Tor 프로토콜를 이용하는 것 자체가 국정원이나 NSA같은 기관, 혹은 가볍게는 경찰청의 사이버범죄 관련 모니터링 부서, 혹은 황금방패같은 검열 프로토콜의 어그로를 왕창 끈다.''' 그러니까 쉽게 말해서 야동 하나 숨기려다가 국제적으로 '''사이버 위험요소, 위험분자로 찍히는 수'''가 있다는 소리다. 실제로 이러한 부분은 Tor문서에도 언급되어 있다.
물론 어디까지나 선택은 자유. 무시무시하게 적어놓긴 했지만, 이런저런 '''트래픽 감시나 메타데이터 수집, 빅데이터 분석 같은 여러 검열, 사찰 프로토콜에 당신의 익명(혹은 정보기관의 기술력에 따라 익명이 아닐 수도 있는) 트래픽이 포함'''된다는 것 뿐이며, 어디까지 감시/검열이 가능한 지는 알려지지 않았지만, 테러를 모의한다던지 하는 것이 아닌 어지간한 수준의 단순 Tor 브라우저 사용은 당장 집에 경찰이나 국정원 직원이 쳐들어온다던지 할 정도의 중대 사안은 아니기에, 여러 정보기관이나 검열기관의 관심거리가 될 순 있지만 딱 그정도('''현실로 치면, 신원조회 or 사상검증 정도''') 까지만의 리스크가 있다고 생각하면 되겠다.
다만, 주의할 점이라면, '''중국 내에 체류하고 있으면서 Tor 브라우저를 사용하는 경우에는 바로 위의 내용을 다시 읽고 좀 더 깊게 고민할 필요'''가 있다. 중화인민공화국 정부는 황금방패를 위시한 '''자국의 인터넷 검열 프로토콜을 회피하려는 시도 그 자체를 범법행위로 규정'''하기 때문에, 일이 귀찮아질 수 있다. 물론 야동 싸이트 정도는 외국인이라면 가볍게는 구두 경고에서 심해봐야 강제 추방이나 재입국 금지 정도로 끝날 가능성이 높지만. 애초에 외국인 전용 회선 같은 경우엔 검열을 풀어주기도 한다. 단지 중국 현지인도 같이 쓰는 회선(ex: 동네 카페 Wi-Fi 혹은 PC방 등.) 이나 PC에서 쓰게 되면 공안이 찾아올 수도 있다는 거다.
만약 persistence를 설정할 때 북마크 부분에도 체크를 해 두었다면, 토르 브라우저의 북마크(즐겨찾기)는 테일즈를 껐다 켜도 그대로 남는다. 편리한 기능이니 적극 이용하자.
양파 아이콘에서 security settings를 눌러 보면 security slider라는 것이 나와서 보안 레벨을 3단계로 설정할 수 있다. 디폴트는 가장 낮은 레벨이다. 높은 레벨로 설정해 놓으면 보안성은 높아지지만 그 반대급부로 제대로 작동을 안 하는 사이트가 늘어난다. 웬만하면 그냥 낮은 레벨로 하는 것을 추천한다. (아니면 높은 레벨로 웹서핑을 하다가, 잘 작동하지 않는 사이트를 마주치면 그 때 가서 낮은 레벨로 바꾸고 새로고침을 해도 된다.) 앞서 언급한 바와 같이 테일즈를 껐다 켜면 모든 설정이 초기화되므로, 테일즈를 껐다 켜면 security slider도 자동으로 가장 낮은 레벨로 내려간다.
토르 브라우저의 속도가 느리다면 양파 아이콘에서 New Tor circuit for this site를 클릭하여 어떤 Tor node를 거쳐 갈지를 바꿔 보자. 속도가 느린 노드가 걸리면 느려지고, 속도가 빠른 노드가 걸리면 빨라진다. 요즘은 토르 네트워크의 속도가 예전보다 많이 빨라졌다.[10] 보통 200-1000 kB/s 정도 나오는 것 같다.
'어떤 ISP를 이용하는지' 및 '접속 시간대'도 토르 브라우저의 속도에 영향을 준다. 알 사람은 다 아는 사실이지만, KT의 초고속인터넷은 해외망이 잘 돼 있어서 해외 사이트로의 접속이 빠른 반면, SK의 초고속(?)인터넷은 해외망이 부실해서 해외 사이트로의 접속이 느리다(LG에 대해서는 사람마다 평이 갈리는 것 같다). 낮에는 해외망이 부실한 ISP를 쓰더라도 체감이 잘 안 되지만, 수많은 사람들이 해외망으로 몰리는 저녁 시간대가 되면 크게 체감된다. 그런데 토르 네트워크에 접속하려면 당연하게도 해외망을 거쳐야 한다. 결국, 토르 네트워크 자체는 빠른데 국내 통신사의 해외망이 병목(bottleneck)으로 작용하여 토르 브라우저의 속도가 느려진다. 사실 토르 유저의 대부분은 미국이나 유럽 등 서구권 사람들이고, 토르의 노드(node)들도 대부분 서구권 국가에 위치한다. 아직까지는 우리나라를 포함한 동아시아 국가들에는 토르를 쓰는 사람이 그리 많지 않다. 그럼에도 우리나라 기준으로 아침이나 낮(미국 기준으로 저녁 시간대)에는 토르가 빠르고 저녁(미국 기준으로 오전 시간대)에는 토르가 느린 이유가 무엇이겠는가? 해결방법은 (1) 테일즈를 재부팅하여 노드1이 위치한 국가를 바꿔 보거나(큰 도움은 안 되는 경우가 많지만, 약간은 도움이 될 수도 있다), (2) 아침~오후 시간대를 이용하거나, (3) ISP를 KT로 바꾸거나, (4) 집이 아닌 다른 곳(가령 모텔)에서 토르로 접속하면 된다. 모텔 객실에는 대부분 컴퓨터가 한두 개씩 있다. 물론 모텔에 가더라도 운 나쁘게 해외망이 부실한 ISP를 이용 중인 모텔을 골랐다면 돈만 날리는 꼴이 되겠지만. 참고로 해외망이 부실한 ISP의 경우, 요금제를 '기가인터넷'으로 업그레이드한다고 해서 저녁 시간대의 해외사이트 속도가 빨라지지는 않는다. 국내사이트에서의 다운로드 속도만 빨라질 뿐이다.
구글의 CAPTCHA를 이용하는 사이트에 토르 브라우저로 접속하면, 캡챠가 아예 문제를 풀 기회도 주지 않고 그냥 접속을 차단해 버리는 경우가 있다. 그럴 땐 New Tor circuit for this site를 눌러서 다시 시도하면 된다. 사이트마다 다르지만, 아주 여러 번 시도해야 하는 경우도 있다.
3.7. 익명으로 회원가입 하기
일부 사이트는 '실명으로' 회원가입을 하기는 조금 꺼려지는 것이 사실이다. 할 수만 있다면 누구나 익명으로 가입하고 싶을 것이다. 그런데 생각을 해 보자. 꼭 '정식으로' 실명인증 절차를 거치지 않더라도, 내가 항상 쓰는 아이디, 항상 쓰는 비밀번호, 항상 쓰는 이메일을 이용해 회원가입을 하면 그게 곧 실명으로 가입하는 거나 마찬가지가 아니겠는가? 가령 내 아이디와 이메일을 아는 친구가 장난 삼아 유명 성인 사이트에 들어가 '비밀번호 찾기'에서 그 아이디와 이메일을 입력한다고 해 보자. '해당 이메일 주소와 일치하는 회원이 없습니다'라는 메시지가 뜨는 대신, '해당 이메일 주소로 임시 비밀번호가 발급되었습니다'같은 메시지가 뜬다면, 내가 그 사이트에 가입했다는 사실이 친구에게 걸린 것이다. 또는 성인 사이트가 해킹을 당해 가입자의 아이디와 이메일 주소를 포함한 계정들의 리스트가 대중들에게 노출될 수도 있다.
요컨대 꼭 실명인증을 하지 않더라도, 내가 항상 쓰는 아이디와 비밀번호와 이메일 주소 등으로 가입한다면 그건 실질적으로 실명 가입이나 마찬가지다.
아래에서는 익명으로 회원가입하는 방법에 대해 알아본다. 이렇게 한다고 완벽한 익명성이 보장되는 것은 전혀 아니지만, 그래도 종전보다는 익명성을 한 단계 업그레이드할 수 있다.
3.7.1. KeePassX의 사용
우선, 이메일을 인증할 필요 없이 그냥 아이디와 비밀번호를 설정하는 것만으로 회원가입이 완료되는 사이트(예를 들어 Xvideos, xHamster 등)에 가입한다고 가정해 보자. 아이디와 비밀번호를 지금까지 쓰던 것과 완전히 다르게 만들면서도 그걸 일일이 기억하려면 부담스럽다. 다행히 테일즈에는 윈도우용 KeePass라는 패스워드 매니저와 유사한 리눅스용 프로그램인 KeePassX가 기본으로 탑재되어 있다. Applications → KeePassX (이하 '키패스')를 실행시켜 보자. 키패스 메뉴에서 Database → New database를 눌러 새로운 데이터베이스 파일을 만든다. 데이터베이스 비밀번호를 설정하는 창이 뜨는데, 앞으로 이 데이터베이스에 저장할 아이디/비밀번호 내역들이 지금 설정하는 데이터베이스 비밀번호로 암호화된다고 생각하면 된다. 이 데이터베이스 파일을 어디 드랍박스 같은 데 올릴 계획이 아니라면, 지금 이 데이터베이스 비밀번호는 굳이 강력하게 만들 필요가 없다. 그냥 1234 정도로 지정해도 충분하다. 어차피 테일즈 persistence에 저장되는 모든 파일은 LUKS로 암호화되기 때문이다.
비밀번호를 설정했으면, Database → Save database를 눌러 방금 만든 데이터베이스를 파일 형태로 저장하되, persistence 폴더 안에 저장한다(persistence 밖에 저장하면 테일즈를 종료하는 순간 날라가므로). 파일 이름은 아무렇게나 해도 상관없지만, 편의상 keepassx.kdbx라고 저장하면 좋다.
이제 Entries → Add new entry를 누른다. (나중에 실제로 키패스를 사용할 땐 이렇게 일일이 메뉴를 들어가서 누르기보다는 금색 열쇠모양 아이콘이나 Ctrl + N이라는 단축키를 더 자주 사용하게 될 테지만, 여기에서는 설명의 편의상 그냥 메뉴를 가지고 설명한다.) Title에는 가입할 사이트의 이름을, Username에는 그 사이트의 아이디를, Password에는 그 사이트의 비밀번호를, Repeat에는 똑같은 비밀번호를, URL에는 그 사이트의 주소를 적으면 된다. 지금은 시험 삼아 그냥 각각의 항목에 키보드로 아무거나 입력하고 OK를 눌러 보자. 그러면 방금 만든 entry가 리스트에 추가돼 있는 모습을 볼 수 있을 것이다.
이제 변경내용을 저장하고 프로그램을 닫을 차례다. 창을 닫기 전에, Tools → Settings로 들어가 Automatically save after every change에 체크가 돼 있는지 확인해 보자. 만약 거기에 체크가 돼 있다면 변경내용은 이미 자동으로 저장되어 있으므로 따로 뭘 할 필요 없이 창을 닫아도 상관없다. 만약 체크가 되어 있지 않다면, 수동으로 체크를 해 주고 Ctrl + S를 눌러 저장을 하고 창을 닫으면 된다.
한편, 키패스에는 '비밀번호 생성기'라는 유용한 기능이 있다. (꼭 키패스가 아니라도 password manager라면 다들 갖추고 있는 기능이다.) Entries → Add new entry를 눌러 보자. Repeat 항목 옆에 Gen.이라는 버튼이 보일 것이다. 그걸 누르면 랜덤한 비밀번호가 하나 생성된다. Exclude look-alike characters 및 Ensure that the password contains characters from every group 항목은 특별한 사정이 없는 한 체크하지 '않는' 것이 좋다. 그래야 더 강력한 비밀번호가 생성된다. '이 비밀번호를 어떻게 키보드로 치나' 하는 걱정은 하지 않아도 좋다. 어차피 복붙으로 입력할 것이다. 생성된 비밀번호가 마음에 들면 아래에 있는 Accept 버튼을 누르면 된다.
키패스 프로그램 사용법을 다 익혔으니 이제 실제 회원가입 상황을 상정해 보자.
우선 아이디를 정해야 할 텐데, 아이디도 직접 정하는 것보다는 방금 말한 비밀번호 생성기를 이용해서 랜덤하게 생성시키는 것이 더 간편하고 좋다. 아이디에는 특수문자를 허용하지 않는 사이트들이 많으므로, Character types에서 A-Z, a-z, 0-9만 선택하고 /*-_...는 선택하지 않은 상태로 적당한 길이의 문자열이 생성되도록 한 후, 그 문자열을 복사해서 위 Username 부분에 붙여넣기 한다. 아이디를 정했으니 이제는 비밀번호를 정할 차례다. 사이트마다 비밀번호 글자수 제한이 다른데, 웬만하면 사이트가 허용하는 한도 내에서 최대한 길게 만드는 것이 좋다. 12자 제한인 곳이라면 12자, 20자 제한인 곳이면 20자로 만드는 식으로. 무제한인 곳이라면 한 16자 정도로 하면 무난할 듯하다. 겉으로는 무제한인 것처럼 보이지만 실제로는 유저 몰래 16자 제한을 걸어 둔 곳이 많아서 그렇다. 비밀번호도 정했으면 Title과 URL을 입력하고 OK를 눌러 저장한다.
이제 가입하고자 하는 사이트의 회원가입 페이지로 들어가 본다. 요즘은 회원가입 페이지에 구글 캡챠 (I'm not a robot에 체크하고 그림문제 푸는 것)를 걸어 놓은 사이트가 많다. 아이디/비밀번호를 치기 전에 캡챠 먼저 푸는 것을 추천한다. 만약 구글이 캡챠를 풀 기회도 주지 않고 차단해 버리면 New Tor circuit for this site 버튼을 누르고 다시 시도해 본다. 캡챠를 풀었으면 Entries → Copy username을 누른 후 사이트의 '아이디' 부분에 붙여넣기하고, Entries → Copy password을 누른 후 사이트의 '비밀번호' 부분에 붙여넣기하여 회원가입을 완료한다.
나중에 로그인할 때에도 같은 방법으로 아이디, 비밀번호를 복붙하면 된다. 그런데 간혹 회원가입시 설정한 아이디, 비밀번호를 정확히 복붙했는데도 '비밀번호가 틀렸습니다'라는 메시지가 나오는 경우가 있다. 이 문제는 주로 그 사이트에 비밀번호 글자수 제한이 '숨겨져' 있었던 경우에 발생한다. 회원가입할 때 키패스로 한 30자리 비밀번호를 만들어서 입력할 땐 아무런 에러 메시지도 뜨지 않고 정상적으로 회원가입이 완료됐지만, 실제로는 사이트가 유저 모르게 그 30자리 중 맨 앞 16자리까지만 비밀번호로 삼고 뒤에 있는 나머지 14자리는 그냥 짤라 버린 경우이다. 이 경우 키패스에 저장돼 있는 30자리 비밀번호 중 앞 16자리만 복붙해서 로그인을 시도하면 정상적으로 로그인이 된다. 문제는 이 사이트가 앞 16자리를 사용했는지 12자리를 사용했는지 20자리를 사용했는지 어디 정확히 나와 있는 데가 없다는 것이다. 보통 16, 20, 12인 경우가 많으니 차례로 시도해 보자. 그래도 안 되면 '비밀번호 찾기'를 하거나, 12자 정도의 짧은 비밀번호로 재가입해 보자.
사족: KeePassX의 랜덤 패스워드 생성기능을 사용하면 실수로 인해 익명성이 깨질 위험을 낮출 수 있다. 토르 브라우저를 이용해 익명으로 회원가입을 하면서 본인이 머리로 직접 만들어낸 아이디와 비밀번호를 사용하는 경우, 토르 브라우저를 사용하지 않는 '실명상태'에서 그 사이트에 그 아이디와 비밀번호로 로그인하는 것이 가능해진다. 한 번이라도 그렇게 로그인하는 순간 익명성은 깨진다. 지금까지 그 익명(?) 아이디로 한 모든 활동 내역이 이제 실명 상태인 나에게 귀속되는 것이다. 반면, 랜덤 아이디/비밀번호를 만들어서 테일즈 키패스에만 저장해 놓고 항상 복사-붙여넣기로만 로그인하는 경우에는 그런 실수를 할 가능성이 아예 없어진다.
3.7.2. 이메일 인증이 필요한 경우
회원가입시 이메일 인증을 요구하는 사이트들이 많다. 따라서 이런 사이트에 익명으로 회원가입을 하려면 먼저 새로운 이메일 주소부터 만들어야 한다. 그런데 익명으로 회원가입을 받아주는 이메일 서비스는 생각보다 찾기 힘들다. 네이버나 다음 등 국내 서비스는 물론 지메일과 야후 메일도 가입할 때 휴대폰 인증을 요구한다. 아니면 최소한 다른 이메일 주소를 인증할 것을 요구한다. 여기에 대해서는 두 가지 방법으로 대처할 수 있다.
하나는 그냥 지메일 등의 서비스에 실명으로 새로 가입하는 것이다. 예를 들어 지메일에서 휴대폰 인증을 거쳐 asdzxc556@gmail.com이라는 메일주소를 새로 만들었다고 하자. 이 때, 그 메일주소가 '나'의 것이라는 사실을 아는 사람은 구글뿐이다. 가족이나 친구도 모르고, 그 이메일 주소로 가입을 받아 준 사이트도 모른다. 휴대폰 통신사는 구글에서 보낸 인증코드 문자내역을 들여다볼 수 있으므로 내가 그 시점에 지메일에서 새로운 메일계정을 하나 만들었다는 사실을 알지만, 내가 만든 계정이 정확히 'asdzxc556'이라는 사실은 모른다.
다른 하나는 익명으로 가입을 받아 주는 무료 이메일 서비스를 찾아내는 것이다. 익명으로 사용할 수 있는 임시 이메일을 발급해 주는 곳으로는 Guerrilla Mail, Mailinator, Email On Deck 정도를 꼽을 수 있다. 정식으로 장기간 사용할 만한 메일은 아니지만, 회원가입시 이메일 인증메일 1개 정도를 받는 용도로는 적합하다. 게릴라메일이나 메일리네이터는 워낙 유명한 서비스라 그 메일주소를 입력하면 가입을 거절하는 사이트들이 많다. 이메일온덱은 게릴라메일이나 메일리네이터에 비해 가입을 거절당할 확률이 훨씬 낮다. 되도록이면 이메일온덱을 이용하는 것이 좋다.
원래 임시 이메일로 쓰라고 나온 건 아닌데 실질적으로 임시 이메일처럼 쓸 수 있는 서비스로는 Countermail이 있다. 캡챠만 풀면 익명으로 회원가입 가능하며, 체험판 명목으로 무료로 7일 동안 사용할 수 있다. 계속 사용하려면 유료결제를 해야 한다.
만약 익명으로 무료로 가입할 수 있으면서도 지메일처럼 장기간 안정적으로 사용할 수 있는 이메일을 찾는다면 Tutanota,[11] Disroot.org, 오픈메일박스, 아웃룩[12]이 좋다. 가입 과정에서 구글 캡챠를 풀어야 하기는 하지만, 그 밖에 다른 이메일 주소 인증이나 휴대폰 번호 인증을 요구하지는 않는다. 토르 브라우저만 가지고 순수하게 익명으로 가입이 가능하다. 물론 여기에 가입할 때 사용하는 아이디/비밀번호는 평소 쓰던 것과 전혀 다르게 만들어야 하며, KeePassX에 등록해 놓음으로써 까먹지 않도록 해야 한다.
프로톤메일은 익명으로 가입하려면 좀 복잡하다. 그냥 생 아이피를 노출시키면서 가입을 시도하거나, 토르 브라우저가 아닌 일반 VPN을 이용해서 가입을 시도하면 따로 개인정보를 제공하지 않고 구글 캡챠만 풀어도 쉽게 가입이 가능하다. 하지만 생 아이피를 그대로 노출시키면서 가입하는 것은 물론, VPN을 이용해서 가입하는 것도 익명가입이라고 할 수 없다.[13] 토르 브라우저로 접속해서 가입을 시도하면 운 나쁜 경우에는 휴대폰 인증 또는 신용카드 인증만 가능하고(당연히 휴대폰이나 신용카드 인증을 하는 순간 토르로 접속했든 어떻든 상관없이 실명으로 가입하는 것이 된다), 운 좋은 경우에는 이메일 인증도 가능하다. 이메일 인증이 열려 있는 경우에는 익명으로 가입할 수 있다. 먼저 프로톤메일이 아닌 다른 서비스(아웃룩 등)에서 익명으로 이메일주소를 하나 만든 다음, 프로톤메일 가입할 때 그 이메일주소를 인증용으로 활용하면 된다.
LTE, 3G 등 통신사 IP로 회원가입을 시도하진 말자. 수시로 바뀌는 아이피 이긴 하지만 시간 대조와 기타 로그 대조 방식을 통해 아주 쉽게 추적 가능하다. 물론 이또한 ISP가 경찰에 공조를 해줘야 가능하지만 혹여라도 신원노출이 될 가능성이 있다.
익명성 유지와 관련해서 유의할 점이 하나 있다. 만약 사이트1에서 활동하는 사람과 사이트2에서 활동하는 사람이 동일인이라는 사실을 남들에게 노출시키고 싶지 않다면, 사이트1에 가입할 때 사용하는 이메일과 사이트2에 가입할 때 사용하는 이메일을 다르게 해야 한다. 이메일 서비스에 익명으로 2번 가입해야 하는 것이다.
3.8. 다운받은 파일 persistence에 보관하기
(윈도우 토르 브라우저로 파일을 다운받을 때와 달리) 테일즈 토르 브라우저로 파일을 다운받을 땐 다운경로를 마음대로 지정할 수 없다. 테일즈 토르 브라우저가 접근 가능한 폴더는 amnesia의 Tor Browser 폴더, 그리고 persistence의 Tor Browser 폴더 이렇게 2개뿐이다. 물론 일단 다운이 완료된 후에는 탐색기에서 아무 폴더로나 자유롭게 이동, 복사 가능하다.
Persistence에 있는 파일을 제외한 다른 모든 것은 테일즈를 종료하는 순간 전부 날아가므로, 다운받은 파일을 장기간 보관하고 싶다면 persistence로 옮겨 줘야 한다. (처음부터 persistence에 있는 Tor Browser 폴더에 다운받은 경우에는 굳이 옮기지 않고 그대로 두어도 계속 남는다.)
3.9. 외장하드 이용하기
테일즈로 부팅된 상태에서 외장하드, 외장SSD, 테일즈 USB가 아닌 다른 그냥 USB 메모리 등(이하 그냥 외장하드라고 통칭)을 컴퓨터에 꽂으면 테일즈가 자동으로 인식한다. 그 외장하드에도 자유롭게 파일을 옮겨 담을 수 있다. 윈도우에서 외장하드 연결해서 쓰는 것과 똑같다.
그러나 암호화되지 않은 상태의 외장하드에 파일을 옮겨담으면, 그 파일은 (당연하게도) 암호화되지 않은 상태로 외장하드에 들어간다. 이것도 윈도우에서 외장하드 연결해서 쓰는 것과 똑같다. 공격자는 그 외장하드를 자기 컴퓨터에 꽂기만 하면 안에 든 파일을 다 열어볼 수 있다.
따라서 외장하드에 파일을 보관하고자 하는 경우에는 먼저 그 외장하드를 암호화부터 해 놓아야 한다. 구체적인 방법은 다음과 같다. (1) 외장하드에 기존에 들어있던 파일 중 보관할 가치가 있는 것들을 어디 다른 데다가 백업해 놓는다. (2) 테일즈로 부팅하고, 외장하드를 컴퓨터에 연결한다. (3) Applications → Utilities → Disks로 들어가서 왼쪽에 있는 디바이스 목록에서 그 외장하드에 해당하는 디바이스를 선택한다. 디바이스 이름, 용량 등을 보고 판단하면 된다. (4) 우측 상단에 가로줄 3개 모양 아이콘을 눌러서 Format Disk를 선택한다. 위에 거는 Don't overwrite existing data (Quick), 아래 거는 Compatible with modern systems and hard disks > 2TB (GPT)를 선택한다. 이제 창 중간쯤에 있는 +모양 아이콘을 누른다. 그러면 Create Partition이라는 창이 뜨는데, Erase는 'Don't overwrite existing data (Quick)', Type은 'Encrypted, compatible with Linux systems (LUKS + Ext4)', Name은 그 외장하드의 이름으로 삼고 싶은 단어 아무거나 입력, Passphrase는 그 외장하드를 암호화시킬 비밀번호(테일즈의 persistent storage를 만들 때 썼던 비밀번호와 똑같은 비밀번호로 하는 것을 추천한다)를 입력한다. 지금 이 passphrase로 설정한 비밀번호를 아는 사람은 그 외장하드의 내용을 쉽게 들여다볼 수 있다는 점에 유의하라.
끝났으면 이제 그 외장하드에 자유롭게 파일을 넣으면 된다. 테일즈로 부팅한 상태에서 그 외장하드를 꽂으면 비밀번호를 입력하라는 창이 뜰 것이다. 거기에 비밀번호를 넣으면 외장하드의 내용을 읽을 수 있다. LUKS + Ext4는 리눅스 전용 파일시스템이기 때문에, 윈도우로 부팅한 상태에서는 (별도의 프로그램을 깔지 않는 한) 외장하드의 내용을 읽을 수 없다.
이 외장하드는 되도록이면 테일즈 전용으로 쓰도록 하자. 이 외장하드의 내용을 테일즈가 아닌 다른 리눅스 운영체제에서 읽거나, 윈도우에서 별도의 프로그램을 깔아서 읽는 것은 가능하기는 하다. 그러나 추천하지는 않는다. 외장하드 안에 있는 파일들의 흔적이 그 운영체제 곳곳에 남을 수 있기 때문이다(썸네일 등). 테일즈로 부팅한 상태에서만 외장하드를 연결하는 것이 좋다.
3.10. 토렌트
테일즈에서 토렌트를 돌리는 것은 권장되지 않는다. 애초에 토르 망 위에서 토렌트를 돌리는 행위 자체가 민폐중의 상 민폐고 또 그런다고 해서 당신의 익명성이 확실하게 보장되는 것도 아니다. 토렌트를 이용하려면 테일즈가 아닌 다른 방법을 찾는 것이 좋다. 개인적으로는 그냥 토렌트를 포기하고 스트리밍으로 보거나 사이트에서 직접 다운받는 것을 추천한다.
3.11. 사용 후
테일즈 USB를 뽑는다. 테일즈 USB가 꽂혀 있는 상태로 윈도우로 부팅하거나, 윈도우로 부팅된 상태에서 테일즈 USB를 꽂는 것은 되도록이면 피하는 것이 좋다.
4. 테일즈를 쓰면 철컹철컹의 걱정 없이 아청물을 볼 수 있는가?
'''택도 없는 소리다.''' 애초에 인터넷은 마법의 4차원 공간이 아니며, 정말 간단하게 개념도를 잡아보자면 다음과 같다: 철수와 영희의 컴퓨터가 서로 연결된 것 자체가 '''웹'''이고 여기서 상대방의 IP 주소를 매번 주소창에 치는게 불편하니 DNS 서버라는 IP주소에 도메인을 연결해주는 서버만 들려다가 여러분의 컴퓨터로 가는거다. ISP는 그 상대방이랑 당신의 컴퓨터 사이에 있어야 할 전선을 깔아주고 관리하는 양반들이고.
여기서 TOR니 VPN이니 하는걸 써봤자 어차피 본질은 웹 연결에 해당하는 철수와 영희간의 연결이다.
HTTPS, 그러니까 SSL은 ISP나 ISP로 가는 길목에 있는 이들이 이 전선을 타고 전송되는 데이터에 관심을 가지고 까보려고 드니까 이 전선은 그대로 쓰되 전선을 타고 흐르는 데이터를 암호화 시켜서 중간에서 못 까보게 하자는 이야기고, VPN이나 VPN을 이용해 격리된 망을 이용하는 TOR란 그렇게 암호화된 연결을 이용해서 마치 철수의 컴퓨터가 영희의 공유기에 연결되어 있는 양 영희의 공인 아이피 주소로 또 다시 영희의 컴퓨터와 연결된 훈이네 컴퓨터에 영희네 컴퓨터 주소로 접속하게 해주는 것이다. '''두 경우 다 결국엔 영희를 조져놓으면 철수도 조져지게 되어있다.'''
아청물을 가져다가 쏴주는 인간들은 도대체 누구일까? 이 세상 천지 전세계에 아청물이 합법인 나라는 단 한 군데도 없다. 당장은 ISP가 데이터를 까보다가 아청물이 전송되는 걸 보고 식겁해서 경찰에 고발해서 내일 아침 뉴스에 외투로 얼굴 가리느라 애쓰는 한심한 모습이 전국에 나오는 건 피할지 몰라도 결국엔 인터폴은 수사공조로 그 아청물을 뿌리던 인간말종을 조지게 될거고, 그 조져진 인간말종의 서버에는 '''높은 확률로 여러분을 역추적할 단서가 남겨져 있다.'''
이 뿐만이 아니라 애초에 단순히 테일즈고 나발이고 웹 연결을 사용하는 시점에서 소위 일반인들이 착각하는 감쪽같은 '''완벽한''' 보안이 달성되지는 않는다. 아청물 감상 등 불법행위를 하면서 '난 테일즈를 쓰니까 경찰수사로부터 안전해'라고 착각하지는 말자.[14] 그런 걸 전문용어(?)로는 false sense of security 내지 illusion of privacy라고 부른다. 그냥 아청물 볼 생각을 하지 말자.
다만 어디까지나 기술적인 면만 따졌을 때, 상대적으로 공권력의 연락을 받을 걱정을 조금 덜어둘 수 있다고는 말할 수 있을 것이다. 경찰도 사람이고, 연쇄살인이나 은행강도와 같이 아청법 위반자를 '''위반자 따위로 만드는''' 더욱 중요한 수사사건이 있다면 당연히 거기에 더욱 총력을 기울인다. 그러니까 영희를 조지면 철수까지 조질 수는 있지만 국소적으로는 중앙집중형인 인터넷 구조상[15] 영희 한 명에 철수 수십만 명의 구도라서, 보통은 영희 한 명과 철수 중에서 영희와 자주 내통하고 영희에게 많은 자료를 제공(업로드)한 주요 철수만 골라서 조지고, 나머지 마이너한 단순 다운로더들은 몇십명 정도만 잡기 쉬운 놈들 위주로 랜덤으로 돌려서 본보기로 처형(...) 하는 게 일반적이다. 물론 재수없이 무작위로 잡아 족치다가 당신이 걸렸으면 별 수 없는 거고.
하지만 위에 적었듯 당신이 헤비업로더가 아니라면 테일즈에 토르에 VPN에 이중삼중으로 일거리만 늘려놓은 당신을 잡기 귀찮아서 그냥 내비둘 수도 있다는 거다. 수십, 수백만 명을 일일히 수사해서 감방에 처넣는다는게 생각보다 현실적으로 쉬운 문제가 아니기 때문이다. 이는 굳이 아청물이 아니라 불법 다운로드나 불법 주정차, 신호위반, 쓰레기 불법 투기같은 다른 경우에도 해당되는 문제다. 서울 시내의 경찰들이 수시로 단속을 나오고 몰래 설치한 위장된 감시카메라가 달린 대규모 사거리에서 신호위반을 하면 딱지가 직행으로 날아오지만, 시골 산골짜기 저 어디 이면도로 사거리에서 신호위반을 하면 우연히 순찰하던 경찰들이나 파파라치 보는 앞에서 대놓고 하지 않는 이상 굳이 당신을 머리 끝까지 추적해서 잡아 족치지는 않는 것처럼.
당장 나무위키만 해도 여기다가 자기 IP 다 까발리면서 불법적인 서술을 하더라도[16] 도가 너무 지나치지 않다면[17], 어지간한 사안으로는 신고를 넣어도 귀찮아서, 아니면 다른 일거리가 많기에 신고자에게는 기술적으로 잡기 어려워서 못잡는다고 둘러대고 사건 종결내리는 게 일반적이다. 당신이 그 수십만 명 중에 한 명인 단순 사용자라면 말이다. 소라넷같은 불법 사이트의 헤비업로더나 운영자라면 얄짤 없다.
5. 같이 보기
[1] 사실 FBI나 CIA는 암호화 해독을 전문으로 하는 기관이 아니다. FBI는 우리나라로 치면 경찰청에 불과하고, CIA는 휴민트에 주력하는 첩보기관이다. 암호화 관련 전문기관은 아무래도 NSA.[2] 맥의 경우, 터미널을 키고 qlmanage –r cache를 입력하면 미리보기 캐싱을 제거할 수 있다. 이 기사에 따르면 이 미리보기 캐싱이 포렌식 주요 수단이라고 한다. 실제로 기사에서도 VeraCrypt를 이용해서 암호화한 내용물의 정보를 캐싱된 정보를 통해서 그 디스크가 마운트되지 않은 상태에서도 알 수 있었음을 보여주었다.[3] 구체적으로는 비밀번호를 PBKDF2, scrypt 등 key derivation function에 통과시켜서 나온 해쉬값을 가지고 keystore에 저장된 master key candidates를 복호화시킨 다음, 복호화된 master key를 가지고 실제 데이터를 복호화시키는 것. 하지만 유저 입장에서는 그냥 "비밀번호 = 암호화 키"라고 이해하면 충분하다.[4] 그러니까 꼭 외국에 있는 VPN 서버 운영자의 협조가 있어야만 VPN 이용자를 추적(이른바 "역추적")할 수 있는 것은 아니다. 우리나라에 있는 ISP, IT기업들도 얼마든지 VPN 이용자를 추적해 낼 수 있다.[5] 간혹 대문자로 TOR라고 표기하는 사람들이 있는데 잘못된 표기다.[6] https://core.ac.uk/download/pdf/11541711.pdf[7] 단, 아래에서 설명할 VPN 공유기를 만든 다음 그 공유기에 유선 또는 무선으로 접속해서 Unsafe Browser를 사용하면 테일즈 상에서 따로 뭘 설정하지 않아도 자동으로 VPN을 통해서 접속이 된다.[8] VPN의 ISP는 목적지 웹사이트의 IP뿐만 아니라 도메인, 즉 주소도 알 수 있다. 설령 그 웹사이트에 HTTPS로 접속한다 해도, 그리고 VPN 회사가 자체 DNS를 운영한다 해도 마찬가지다.[9] 딥웹 세계에서 야동 같은 건 그냥 가벼운 경범죄 수준이고, '''마약류 암거래나 불법 총기, 폭발물, 화학물질 제조방법,판매에 관한 내용 혹은 그런 내용으로 가장한 랜섬웨어, 컴퓨터 바이러스 유포용 사이트, 그다음에 반체제, 반정부성 사이트(뭐 다양한 부류가 있겠지만, 공산주의자들의 커뮤니티나 탈북자들의 커뮤니티, 天安門 天安门 法輪功 李洪志 Free Tibet 劉曉波 같은 부류들을 예시로 생각하면 되겠다.) 등'''이 있다고 한다.[10] 이게 뭘 시사하는지에 대해서는 좀 생각해 볼 필요가 있다. 토르 네트워크의 속도가 빨라졌다는 것은 넓은 대역폭을 갖춘 토르 노드(서버)가 많아졌다는 뜻이다. 그런 노드를 지속적으로 운영하려면 많은 돈이 든다. 그 돈이 다 어디서 나왔을까? 토르 이용자를 감시하고자 하는 국가기관(e.g., three-letter agencies)들이 배후에 있을 가능성이 낮지 않다. 그러니까 토르 브라우저로도 아청물은 보지 마라. 토르를 사용하는 것만으로 국가기관보다 더 우위를 점할 수 있는 것이 결코 아니다.[11] 계정 생성하는 데 매우 오래 걸린다. 그리고 토르 브라우저를 통해 익명으로 가입한 경우 계정이 생성은 되지만 스팸방지 명목으로 사용불가 처리가 되는 경우가 종종 있다.[12] Outlook.com은 대기업 이메일로서는 특이하게도 토르 브라우저를 통한 익명가입을 받아 준다. 단, 이메일 사이트의 익명가입 유저에 대한 정책은 수시로 바뀐다. 나무위키에 적힌 내용이 지금 현재도 들어맞지는 않을 수도 있다. 또한 가입은 무사히 되더라도, 계속 토르 브라우저로 접속하면 사후적으로 막힐 수도 있다. 거기까지는 테스트해 보지 못했다.[13] VPN은 애초에 (목적지 웹사이트에 대한) 익명성 유지를 위해 만들어진 도구가 아니다.[14] 물론 테일즈조차도 안 쓰는 것보다는 '상대적으로' 더 안전하기는 하다.[15] 그러니까 전체적, 거시적으로는 인터넷은 대등한 관계로 연결된 그물망이지만, 좀 더 확대해 보면 부분적으로는 서버-클라이언트라는 중심점과 주변이 구분되고, 그런 국소적, 미시적인 면에서는 중앙집중적이라는 이야기다. 당장 최소 수십만명의 사람들이 나무위키 서버라는 중앙 서버 1대에 다닥다닥 들러붙어서 이 문서를 읽고 있잖는가. 물론 인터넷 세상엔 그러한 서버가 셀 수 없이 많지만, 이런 국소적인 면에서 보면 중앙집중적이다.[16] 단순 명예훼손과 모욕과 같이 업무방해성 내용을 담은 것부터, 선을 아슬아슬하게 타기 시작하는 수위인 폭발물 제조 방법이나 은행강도 방법을 적는 등.[17] 군사기밀 유출 등