Tor 브라우저 완전 가이드 — 원리부터 한계까지

VPN을 켰는데도 불안하다. 통신사가 못 보는 건 알겠는데, VPN 회사는 내 기록을 볼 수 있지 않나? 그래서 “Tor”라는 걸 검색하게 됐을 거다.

아니면 다크웹이라는 단어를 어디선가 봤거나. 기자가 취재원 보호에 쓴다는 얘기를 들었거나. 어떤 경로든, “진짜 익명”이 가능한지 궁금해서 여기까지 왔을 거다.

결론부터 — Tor는 현존하는 가장 강력한 익명 도구다. 하지만 “완벽한 익명”은 아니다. 어디까지 보호되고 어디서 뚫리는지, 구조부터 뜯어본다.

양파 라우팅이 뭔가?

Tor는 The Onion Router의 약자다. 이름 그대로, 양파처럼 암호화를 여러 겹 씌운다.

일반 인터넷 접속은 이렇다:

내 PC → ISP(통신사) → 목적지 서버

Tor를 쓰면 이렇게 바뀐다:

내 PC → 입구 노드(Guard) → 중간 노드(Middle) → 출구 노드(Exit) → 목적지 서버

데이터가 3개의 중계 서버를 거친다. 핵심은, 각 노드가 전체 경로를 모른다는 것이다.

• 입구 노드: 내 IP는 알지만, 내가 어디에 접속하는지 모른다.
• 중간 노드: 앞뒤 노드만 알고, 나도 목적지도 모른다.
• 출구 노드: 목적지는 알지만, 요청이 누구에게서 왔는지 모른다.

비유하면 이렇다. 편지를 세 겹 봉투에 넣는다. 첫 번째 배달부는 바깥 봉투를 뜯어서 두 번째 배달부에게 전달한다. 두 번째는 그 안의 봉투를 뜯어서 세 번째에게 넘긴다. 세 번째가 마지막 봉투를 열어 편지를 목적지에 전달한다. 어떤 배달부도 “누가 보냈고, 어디로 가는지”를 동시에 알지 못한다.

2025년 기준 Tor 네트워크에는 약 8,000개의 릴레이가 운영되고 있다. 이 중 약 2,500개가 출구 노드, 5,300개가 입구 노드다. 전부 자원봉사자가 운영하는 서버다.

출구 노드에서 뭐가 새나?

양파 라우팅의 암호화는 Tor 네트워크 안에서만 적용된다. 출구 노드에서 목적지 서버까지는 일반 인터넷이다.

목적지가 HTTPS 사이트라면 — 출구 노드가 봐도 암호화된 데이터만 보인다. 문제없다.

목적지가 HTTP 사이트라면 — 출구 노드 운영자가 트래픽 내용을 그대로 볼 수 있다. 로그인 정보, 입력한 텍스트, 전부 평문이다.

이게 이론이 아니다. 실제로 악의적인 출구 노드 운영자들이 HTTP 트래픽을 감시한 사례가 여러 번 보고됐다. 2020년에는 전체 출구 노드의 23%가 단일 그룹에 의해 운영되고 있었다는 분석도 있었다.

🟢 일반 사용자: Tor 브라우저를 쓸 때 주소창에 자물쇠(HTTPS)가 있는 사이트만 이용하면 출구 노드 위험은 사실상 없다.

🔴 OPSEC 필요: .onion 주소(양파 서비스)를 쓰면 출구 노드를 아예 거치지 않는다. 트래픽이 Tor 네트워크 안에서 시작하고 끝나기 때문이다.

Tor가 뚫린 적 있나?

있다. 그것도 법 집행기관에 의해서.

독일 경찰의 타이밍 분석 (2021년 수사, 2024년 보도)

독일 연방경찰(BKA)이 아동 성착취물 사이트 ‘Boystown’ 운영자를 Tor 네트워크에서 특정하고, 2022년 유죄 판결을 받아냈다. 이 수사 기법이 공개된 건 2024년 9월, 독일 공영방송 Panorama와 STRG_F의 보도를 통해서다. 방법은 **타이밍 분석(timing analysis)**이다.

원리는 단순하다. Tor 네트워크에 데이터가 들어가는 시점과, 나오는 시점의 패턴을 비교한다. 특정 시간에 특정 크기의 패킷이 들어갔는데, 거의 동시에 비슷한 패턴의 패킷이 출구에서 나왔다면 — 같은 사용자일 확률이 높다.

독일 경찰은 통신사 텔레포니카(O2)의 협조를 받아, 특정 Tor 노드에 접속한 모든 고객 데이터를 확보했다. 수개월간 Tor 릴레이를 감시하면서 트래픽 패턴을 대조한 끝에, 용의자를 특정하고 체포했다.

다만, Tor 프로젝트 측은 이 공격이 2019~2021년 사이에 발생했고, 피해자는 이미 퇴역한 Ricochet 앱의 구버전을 사용하고 있었다고 밝혔다. 현재 Tor에는 Vanguards-lite 같은 방어 기능이 추가돼 같은 공격이 훨씬 어려워졌다.

FBI와 카네기멜론 대학 (2014~2015년)

FBI가 카네기멜론 대학(CMU) 소프트웨어 공학 연구소에 연구비를 지급하고, Tor 사용자를 식별하는 공격을 수행했다는 의혹이 2015년에 터졌다. Tor 프로젝트가 직접 블로그에서 “FBI가 대학에 돈을 주고 사용자를 공격했느냐”라는 제목으로 성명을 냈다.

핵심 — 누가 뚫렸나

공통점이 있다. 뚫린 대상은 전부 중범죄 수사 대상이다. 아동 성착취물 운영자, 대규모 마약 거래자. 수사기관이 수개월~수년간 자원을 투입해서 타이밍 분석을 수행한 케이스다.

일반인이 Tor로 뉴스를 읽거나, 프라이버시를 위해 검색하는 수준에서 이런 자원이 투입될 가능성은 현실적으로 없다.

Tor가 못 막는 것

Tor는 IP를 숨긴다. 하지만 IP만으로 사람을 추적하는 시대는 이미 지났다. Tor를 쓰면서도 신원이 노출될 수 있는 경로가 있다.

브라우저 핑거프린팅

화면 해상도, 설치된 폰트, 브라우저 플러그인, 시간대 설정 — 이런 정보를 조합하면 브라우저마다 고유한 “지문”이 만들어진다. Tor 브라우저는 모든 사용자가 동일한 창 크기(letterboxing)와 설정을 쓰도록 해서 지문을 통일시킨다.

문제는 사용자가 이걸 깨는 경우다. 브라우저 창 크기를 최대화하거나, 확장 프로그램을 설치하거나, 시스템 폰트를 바꾸면 — 지문이 고유해진다.

2026년 4월에는 IndexedDB API를 이용해 Tor 브라우저에서도 세션 내 핑거프린팅이 가능한 취약점(CVE-2026-6770)이 발견됐다. “새 ID” 버튼을 눌러도 브라우저를 완전히 재시작하기 전까지 추적이 가능했다. Tor 15.0.10에서 패치됐다.

🟢 일반 사용자: Tor 브라우저 창 크기를 건드리지 말고, 확장 프로그램을 설치하지 마라. 기본 설정 그대로 쓰면 핑거프린팅 위험은 크게 줄어든다.

JavaScript 익스플로잇

Tor 브라우저는 Firefox 기반이다. Firefox에 제로데이 취약점이 발견되면, Tor 브라우저도 같이 뚫린다.

2013년 FBI는 Freedom Hosting이라는 .onion 호스팅 서비스를 압수하면서, 해당 서버에 JavaScript 악성코드를 심었다. 이 코드가 Tor 브라우저의 Firefox 취약점을 이용해 사용자의 실제 IP와 MAC 주소를 FBI 서버로 전송했다.

Tor 브라우저에서 JavaScript를 완전히 끄면 이런 공격을 막을 수 있다. 하지만 대부분의 웹사이트가 작동하지 않게 된다.

🟡 민감한 상황: Tor 브라우저의 보안 슬라이더를 “Safest”로 설정하면 JavaScript가 기본 차단된다. 사이트가 깨져도 감수할 수 있는 상황이라면 이 설정을 쓴다.

사용자 실수

가장 흔한 노출 경로다.

• Tor 브라우저에서 개인 이메일에 로그인한다 → IP는 숨겨졌지만, 이메일 계정으로 신원이 특정된다.
• Tor로 접속한 사이트에서 실명이 포함된 파일을 업로드한다.
• Tor를 끈 상태에서 같은 사이트에 접속한 적이 있다 → 쿠키나 세션으로 연결된다.

Tor는 기술적 보호막이지, 행동적 보호막이 아니다.

VPN + Tor — 어떻게 조합하나?

두 가지 방식이 있다. 순서가 다르고, 보호하는 것도 다르다.

Tor over VPN (VPN → Tor)

VPN을 먼저 켜고, 그 상태에서 Tor 브라우저를 연다.

• ISP(통신사)는 Tor를 쓴다는 사실 자체를 모른다. VPN 트래픽만 보인다.
• 입구 노드에 내 실제 IP 대신 VPN 서버 IP가 찍힌다.
• 단점: VPN 제공자는 “이 사용자가 Tor에 접속했다”는 사실을 안다.

대부분의 사용자에게 적합한 조합이다. NordVPN, ProtonVPN 같은 서비스가 “Onion over VPN” 기능을 별도로 제공하기도 한다.

VPN over Tor (Tor → VPN)

Tor를 먼저 켜고, Tor 위에서 VPN에 접속한다.

• VPN 제공자가 내 실제 IP를 모른다 — Tor 출구 노드 IP만 본다.
• 출구 노드에서 트래픽이 VPN으로 암호화되므로, 출구 노드 감시를 막는다.
• 단점: 설정이 복잡하고, 이걸 지원하는 VPN이 거의 없다. 속도는 바닥을 친다.

🔴 OPSEC 필요한 경우에만 의미 있다. 일반 사용자가 쓸 이유가 없다.

그냥 Tor만 쓰면?

ISP가 “이 사용자가 Tor를 쓰고 있다”는 사실을 안다. Tor 접속 자체가 불법인 나라(중국, 이란 등)가 아닌 이상, 이것 자체가 문제되지는 않는다. 한국에서 Tor 사용은 합법이다.

다만 ISP가 Tor 트래픽을 감지하면 속도를 제한(throttling)하는 경우가 있다. 이때 VPN을 먼저 켜면 우회된다.

속도는 왜 이렇게 느린가?

Tor가 느린 이유는 구조적이다.

1. 3개 노드 경유 — 데이터가 최소 세 번 우회한다. 서울 → 독일 → 브라질 → 캐나다 같은 경로가 잡힐 수 있다.
2. 암호화 연산 — 각 노드에서 암호화 레이어를 벗기는 연산이 추가된다.
3. 자원봉사 네트워크 — 약 8,000개 릴레이가 전 세계 수백만 사용자의 트래픽을 처리한다. 대역폭이 넉넉하지 않다.

체감 속도는 일반 인터넷의 1/10~1/5 수준이다. 영상 스트리밍은 사실상 불가능하고, 일반 웹서핑도 페이지 로딩에 수 초가 걸린다.

Tor는 속도를 희생하고 익명성을 얻는 도구다. 빠른 인터넷이 필요하면 VPN을 쓰면 된다. Tor는 속도보다 익명성이 우선인 상황에서만 쓰는 거다.

내 상황에 맞는 수준은?

🟢 일반 사용자 — Tor까지 필요 없다

검색 기록 숨기기, 와이파이 보안, 지역 제한 우회 — 이 정도는 유료 VPN이면 충분하다. Tor는 속도를 너무 많이 희생한다. 일상 브라우징에 Tor를 쓰는 건 파리 잡는 데 대포를 쏘는 거다.

🟡 민감한 상황 — Tor over VPN

스토킹 피해자가 가해자 모르게 법률 상담을 검색하는 경우. 가정폭력 피해자가 대피소 정보를 찾는 경우. 성소수자가 관련 커뮤니티에 접근하는데 네트워크 관리자나 가족에게 알려지면 안 되는 경우. VPN을 먼저 켜고 Tor를 쓰면, ISP에게도 VPN 제공자에게도 접속 내용이 노출되지 않는다.

🔴 OPSEC 필요 — Tor + 추가 보안

내부고발자, 분쟁 지역 NGO 활동가, 적대적 정부 환경의 기자. Tor over VPN에 더해, Tails OS(USB에서 부팅하는 일회용 운영체제) 사용, 공용 와이파이에서만 접속, 개인 계정 일체 사용 금지 — 이 수준까지 가야 한다. 이 글의 범위를 넘어서는 영역이다.

Tor 브라우저, 지금 쓰고 싶다면

1. torproject.org에서 다운로드한다. 반드시 공식 사이트에서만. 서드파티 사이트에서 받으면 악성코드가 심어져 있을 수 있다.
2. 설치 후 실행하면 “Connect” 버튼이 나온다. 누르면 Tor 네트워크에 연결된다.
3. 브라우저 창 크기를 절대 최대화하지 마라. 기본 크기가 핑거프린팅 방어를 위해 의도적으로 설정된 거다.
4. 확장 프로그램을 설치하지 마라. NoScript가 기본 탑재돼 있다 — 그걸로 충분하다.
5. Tor 브라우저에서 개인 계정(Gmail, 카카오, 네이버)에 로그인하지 마라. IP를 숨겨도 계정으로 신원이 드러난다.

다만, 선은 분명히 있다

Tor는 도구다. 망치로 집을 지을 수도 있고, 유리를 깰 수도 있다.

프라이버시를 지키려는 건 당연한 권리다. 뭘 검색하든, 어떤 사이트에 들어가든, 그건 개인의 영역이고 이 글이 판단할 일이 아니다. Tor를 쓴다는 것 자체가 뭔가 나쁜 걸 하고 있다는 뜻이 아니다 — 에드워드 스노든도 썼고, 기자들도 쓰고, 인권 활동가들도 쓴다.

선은 다른 데 있다. 아동 성착취물 유통, 리벤지 포르노 배포 — 이건 익명이든 아니든 피해자가 존재하는 범죄다. Tor가 IP를 숨겨줘도, 위에서 본 것처럼 수사기관은 수개월간 자원을 투입해서 대상을 특정한다. 독일 Boystown 사건이 그 증거다.

“추적이 어렵다”는 건 일반적인 브라우징에 해당하는 이야기지, 중범죄 수사에는 해당되지 않는다.

정리

Tor는 현존하는 가장 강력한 익명 도구다. 양파 라우팅으로 IP를 3중 우회하고, 어떤 단일 노드도 전체 경로를 알지 못한다.

하지만 완벽하지 않다. 출구 노드 감시, 타이밍 분석, 브라우저 핑거프린팅, JavaScript 익스플로잇, 그리고 무엇보다 사용자 본인의 실수 — 이 다섯 가지가 Tor의 익명성을 깨는 현실적 경로다.

대부분의 사람에게 Tor는 필요 없다. 유료 VPN이면 충분하다. Tor가 필요한 상황이라면, 그 상황의 심각성만큼 사용자의 행동 규율도 따라와야 한다. 도구는 도구일 뿐이다 — 도구를 쥔 손이 흔들리면 도구가 아무리 좋아도 소용없다.