Tor 출구 노드 설명: 항상 위협은 아닙니다
Tor 출구 노드는 Tor 회로의 마지막 릴레이로, Tor 사용자가 웹사이트에 접속할 때 웹사이트가 보게 되는 공개 IP 주소를 가진 서버입니다. 출구 노드의 트래픽은 설계상 익명화되어 있어 특이해 보이지만 자동으로 악의적인 것은 아니며, 그렇게 취급하면 많은 정당한 사용자를 차단하게 됩니다.
Tor 회로의 작동 방식
Tor는 세 개의 릴레이로 회로를 만듭니다. 입구 가드는 사용자의 실제 IP 주소를 알지만 목적지는 모릅니다. 중간 릴레이는 이웃 릴레이만 압니다. 출구 릴레이는 마지막 계층을 복호화하여 요청을 목적지 서버로 보내므로, 목적지는 알지만 누가 요청하는지는 모릅니다. 각 홉이 암호화 계층을 하나씩 더하는데, 여기서 어니언 라우팅이라는 용어가 나왔습니다. 어떤 릴레이도 대화의 양 끝을 모두 보지 못합니다.
사이트 운영자에게 미치는 결과는 보이는 클라이언트 주소가 사용자가 아니라 출구 릴레이의 주소라는 것입니다. 출구는 동시에 수천 명의 트래픽을 실을 수 있으므로, 하나의 주소가 몇 분 사이에 여러 나라의 사이트를 탐색하는 것처럼 보일 수 있고, 그 주소의 국가나 도시 조회가 방문자가 아니라 릴레이의 호스팅 위치를 설명하는 이유도 여기에 있습니다. 위치가 사람이 아닌 네트워크를 설명하는 이유에 대해서는 IP 위치가 사람에 대해 틀리는 이유를 참고하세요.
실제로 누가 Tor를 사용하는가
기자는 취재원을 보호하기 위해, 제한적인 국가의 사람들은 차단된 사이트에 접속하기 위해, 개인정보에 민감한 개인은 추적을 피하기 위해 Tor를 사용합니다. 이러한 사용자는 Tor 트래픽의 의미 있는 비중을 차지하며, 네트워크 전체를 거부하는 규칙은 그들이 선택한 도구 때문에 그들을 용의자로 취급합니다. 악용도 존재합니다. 크리덴셜 스터핑, 스크래핑, 스팸 모두 무료이고 쉬운 Tor를 사용할 수 있습니다. 솔직한 요약은 이 네트워크가 뒤섞여 있고, 플래그는 경로에 대해 알려 줄 뿐 의도에 대해서는 알려 주지 않는다는 것입니다.
Tor 트래픽 탐지
출구 릴레이는 Tor 네트워크 디렉터리의 일부로 공개되므로, 탐지는 현재 출구 주소 목록에 대한 조회입니다. 문제는 최신성입니다. 정적 Tor 출구 목록이 금방 낡는 이유에서 다루듯 릴레이는 끊임없이 합류하고 이탈합니다. ipto의 IP 조회는 is_tor 플래그를 반환하며 위협 피드는 6시간마다 갱신되고, VPN, Tor, 프록시 검사기에서 주소를 테스트할 수 있습니다. 음성 결과는 "Tor로 알려지지 않음"을 뜻하며 보장은 아닙니다.
같은 응답에는 is_abuser, is_vpn, is_datacenter와 함께 asn과 소유 조직도 포함됩니다. 이들을 함께 읽는 것이 핵심입니다. is_tor: true이면서 is_abuser: false인 경우는 알려진 나쁜 이력이 없는 프라이버시 경로를 설명하며, 악용 피드에도 나타나는 Tor 주소와는 다른 대우가 필요합니다. IP 악용 검사기는 그 평판이 하나의 소스에 의존하지 않고 여러 소스에 걸쳐 어떻게 교차 검증되는지 보여 줍니다.
출구 릴레이 운영하기
출구 운영자는 특별한 부담을 집니다. 사용자가 하는 모든 행위에 대한 악용 신고가 운영자의 주소로 접수되기 때문입니다. 많은 운영자는 릴레이의 IP 주소에 Tor 출구이며 운영자가 트래픽을 통제하지 않는다는 안내문을 게시하고, 신고를 레지스트리 연락처 데이터를 통해 처리합니다. 출구 주소에서 발생한 악용을 조사하는 경우, IP whois 조회는 보통 호스팅 제공업체이거나 알고서 릴레이를 운영하는 조직인 블록의 레지스트리 기록과 악용 신고 연락처를 보여 줍니다. 운영자는 개별 사용자가 누구인지 볼 수 없으므로, 그곳에 사건을 신고하는 것이 다른 어디로 에스컬레이션하는 것보다 유용합니다.
Tor 트래픽을 현명하게 다루기
올바른 정책은 무엇을 보호하려는지에 달려 있습니다. 공개 뉴스 사이트는 Tor 방문자를 다른 방문자와 달리 취급할 이유가 거의 없지만, 결제 양식이나 계정 복구 흐름은 마찰을 추가할 강한 이유가 있습니다. 허용과 거부 사이의 선택지는 다음과 같습니다.
- 로그인, 가입, 검색 엔드포인트에서 Tor 주소에 더 엄격한 속도 제한을 적용합니다.
- 요청을 거부하는 대신 민감한 작업에 챌린지를 보여 주거나 2차 인증을 요구합니다.
- 읽기 전용 탐색은 허용하되 계정 생성이나 결제는 제한합니다.
- Tor 플래그를 단독으로 쓰지 말고 사기 점수 검사기의 0-100 값 같은 종합적인 판단에 반영합니다.
- 오탐을 검토할 수 있도록 각 결정으로 이어진 신호를 기록합니다.
규제나 계약상의 필요 때문에 익명화 네트워크를 차단해야 하는 경우도 있으며, 예를 들어 라이선스나 제재 준수가 그렇고, 이는 정당한 비즈니스 결정입니다. 다만 잘못한 것이 없는 사람들도 배제된다는 점, 그리고 낡은 목록에 기반한 차단은 양쪽 방향으로 틀릴 것이라는 점을 알고 신중하게 결정하세요.