🧅 [클래식] Tor: The Second-Generation Onion Router — 중계자들은 서로를 못 믿어도, 회선은 나를 지킨다

논문 정보

한 줄 요약 — '누가 누구와 말하는지'를 지우려면, 한 명의 중계자도 믿지 않으면 된다

인터넷 패킷에는 출발지와 목적지가 적혀 있다. 익명 통신의 문제는 그 표지를 지우면서도 지연(latency)을 감당 가능한 수준으로 유지하는 것이다. 1981년 Chaum의 믹스넷(mix-net)은 메시지를 모아 섞고 재정렬해 이 문제를 이론적으로 풀었지만, 그 방식은 웹 브라우징·SSH·채팅처럼 즉답이 필요한 저지연 트래픽에는 너무 느렸다. 1세대 Onion Routing(1996)은 '양파(회선마다 한 번에 다중 암호화)'를 제안했으나 단일 실패점·상태 플러딩·취약한 핸드셰이크가 발목을 잡았다. 이 논문(2004)은 그 위에 전방향 비밀성(perfect forward secrecy), 텔레스코핑(telescoping) 경로 구축, 서명된 디렉터리, 무결성 검증, 설정 가능한 출구 정책, 랑데부 기반 숨은 서비스를 얹어 2세대 익명망을 완성하고, 그것을 실세계에 배포했다. 핵심 설계 하나만 기억하면 된다 — 어떤 단일 노드도 '출발지와 목적지'를 동시에 알지 못한다.

"Tor는 회선 기반의 저지연 익명 통신 서비스다. … 특권도 커널 수정도 필요 없이 실제 인터넷에서 동작하며, 노드 간 동기화나 조정을 거의 요구하지 않고, 익명성·사용성·효율 사이의 합리적 절충을 제공한다." — 논문 초록

배경 — 익명 통신의 세 가지 난제와 1세대의 실패

• 난제 ① 지연(latency): Chaum의 믹스넷은 지연을 의도적으로 크게 만들어 강한 익명성을 얻지만, 그 대가로 대화형 트래픽(웹·SSH·채팅)을 사실상 불가능하게 만든다. 높은 지연은 전역 관찰자를 막아주지만 사용자는 그걸 견디지 못한다 — 저지연 익명성은 훨씬 어려운 문제다.
• 난제 ② 전역 수동 관찰자: 통신 양 끝(진입·이탈)의 타이밍과 볼륨을 동시에 보는 관찰자는 암호를 전혀 깨지 않고도 "누가 누구와 말하는지"를 상관분석으로 알아낸다. Tor도 이 끝단 상관(end-to-end) 공격을 완전히 해결하지는 못한다고 스스로 인정한다.
• 난제 ③ 신뢰할 수 없는 중계자: 자원봉사자로 돌아가는 분산망에서는 어떤 노드도 신뢰할 수 없다. 노드가 늘고 지형이 바뀌는데, 클라이언트가 네트워크 전체 구조를 알아야 회선을 만들 수 있다는 것 자체가 공격 표면이다.
• 1세대 Onion Routing(1996)의 한계: 회선마다 '양파'를 통째로 쌓아 올렸고(공개키 연산 폭증), 경로를 만들다 실패하면 시작부터 다시 해야 했다. 상태 정보는 네트워크에 플러딩됐고, 호스트 노드 하나가 모든 트래픽을 기록하면 이후 노드가 노출될 수 있었다(전방향 비밀성 부재).
• 그래도 남은 교훈: 초기 Onion Routing의 공개 PoC는 단일 머신에서 돌던 취약한 프로토타입이었는데도 전 세계 6만 개가 넘는 서로 다른 IP에서 하루 약 5만 건의 연결을 처리했다 — 수요는 이미 증명돼 있었다. 문제는 설계였지 수요가 아니었다.

핵심 1 — 2세대가 1세대 위에 얹은 다섯 가지

• ① 완전 전방향 비밀성(perfect forward secrecy): '양파 한 덩어리' 대신 텔레스코핑(telescoping) 경로 구축을 쓴다. 출발점(Alice)이 회선의 각 홉과 하나씩 세션 키를 협상하고, 키를 쓰고 나면 삭제한다. 그 뒤 어떤 노드가 장악돼도 과거 트래픽을 복호화할 수 없다. 부수 효과로 재전송(replay) 탐지가 불필요해지고, 실패한 홉을 그 지점에서 교체할 수 있어 경로 구축이 훨씬 안정적이 된다.
• ② 디렉터리 서버: 1세대의 상태 플러딩 대신, 소수의 잘 알려진 신뢰 노드가 서명된 디렉터리(모든 노드의 키·주소·대역폭·출구 정책)를 발행한다. 논문 당시 디렉터리 서버 3대(네트워크가 커지면 최대 9대), 클라이언트는 이 서명된 목록을 받아 회선을 만든다. 서명된 디렉터리는 다른 노드가 캐시할 수 있어 확장성도 확보한다.
• ③ 무결성 검증: 각 relay 셀에 SHA-1 기반 digest(4바이트)를 실어, 도중에 셀을 변조하는 태깅(tagging) 공격을 노드가 즉시 탐지하고 회선을 끊는다(48비트면 우연한 충돌 확률이 하드웨어 고장보다 낮다고 논문은 각주로 덧붙인다).
• ④ 설정 가능한 출구 정책(exit policy): 각 노드는 "어떤 호스트·포트로 나가줄지"를 광고한다. 자원봉사자는 남용 위험을 감수할 필요가 없고, 사용자는 목적지에 맞는 출구를 고를 수 있다. Tor의 기본 출구 정책은 SMTP(25번)를 거부한다 — 스팸 중계 악용을 막기 위해서다.
• ⑤ 랑데부 기반 숨은 서비스: 응답자 익명성(responder anonymity)을 위해, 서버의 IP를 숨긴 채 서비스를 제공하는 랑데부(rendezvous) 메커니즘을 내장했다(뒤 핵심 3).

핵심 2 — 512바이트 고정 셀, 그리고 '새는 파이프'

• 모든 트래픽은 똑같은 크기의 셀로 흐른다: 셀 하나는 정확히 512바이트 = 헤더 + 페이로드. 헤더에는 회선 식별자 circID가 들어간다. 크기가 고정이므로 패킷 길이로 내용을 추측할 수 없다.
• 두 종류의 키: 각 onion router(OR)는 장기 신원키(TLS 인증서와 라우터 설명자 서명)와 단기 양파키(사용자 요청 복호화)를 유지한다. OR들은 서로 TLS 연결을 맺고, OR 자체는 특권 없는 일반 사용자 프로세스로 돈다 — 커널 수정이 필요 없다.
• 홉별 암호화: 회선을 따라가며 relay 셀의 헤더와 페이로드가 노드마다 함께 복호화된다. 암호 스트림 생성은 128비트 AES-CTR, 핸드셰이크의 키 교환은 RSA(메시지를 RSA 공개키로 암호화해 g^x를 전달)로 이뤄진다 — "각 계층이 세션 키와 다음 서버 주소를 담은 양파 껍질"이 바로 이것이다.
• '새는 파이프(leaky pipe)' 위상: 회선 내 in-band 신호로, 출발점이 트래픽을 회선 중간쯤의 노드에서 내보낼 수 있게 한다. 단일 회선에서 여러 목적지로 나갈 수 있어 효율이 오르고, 회선-대-회선 트래픽 모양이 흐려진다.
• 혼잡 제어: 회선 단위와 스트림 단위로 end-to-end ACK와 relay sendme 셀을 주고받아 흐름을 조절한다(패키징 윈도 기준 10셀 등). 노드가 혼잡·플러딩을 감지하면 데이터를 줄여, "익명성을 유지한 채" 폭주를 억제한다.
• 경로 길이: Alice는 적어도 3개의 노드를 (자기 자신·목적지와 무관하게) 골라 회선을 만든다. 진입(guard)·중간·출구가 각각 다른 노드이므로, 어느 하나도 "나와 목적지"를 함께 알지 못한다.

핵심 3 — 랑데부와 숨은 서비스: '.onion'의 원형

• 문제: 서버도 익명이어야 할 때 — 웹서버를 돌리는 Bob이 자기 IP를 드러내지 않고 접속을 받을 수 있는가?
• 소개 지점(introduction points): Bob은 자신의 서비스를 대표할 공개키를 정해 몇몇 OR을 '소개 지점'으로 지정하고, 그 키로 메시지에 서명해 남이 소개 지점을 가로채지 못하게 한다. Alice는 (별도 경로로) 그 서비스의 설명을 얻는다.
• 랑데부(rendezvous): Alice는 임의의 OR 하나를 랑데부 지점으로 정해 비밀 쿠키를 남기고, 소개 지점을 통해 Bob에게 알린다. Bob은 그 랑데부 지점으로 회선을 열고, Alice·Bob은 서로의 IP를 전혀 모른 채 그 지점에서 만나 통신한다. 이때 쓰이는 서비스 주소가 훗날 .onion 주소의 원형이다.
• 설계의 긴장: 소개 지점은 DoS 표적이 되기 쉬워, Bob은 여러 지점을 두거나 신뢰하는 사용자에게만 비공개 소개 지점을 알려주는 식으로 노출을 줄인다.
• 1세대 대비: 초기 설계의 '회신 양파(reply onion)'를 대체한다. 랑데부 방식은 회선을 미리 알 필요가 없고, 응답자 익명성을 더 깔끔하게 분리한다.

핵심 4 — 위협 모델과, 논문이 스스로 인정한 한계

• 전제하는 적: 가장 흔한 가정은 전역 수동 관찰자(global passive adversary)다. Tor의 목표는 "관찰자가 모든 링크를 도청하더라도 양 끝을 잇지 못하게" 하는 것이다.
• 끝단 공격은 해결 못 한다(명시): 논문은 Tor가 end-to-end 타이밍/교차(intersection) 공격을 완전히 막지 못한다고 분명히 밝힌다. 양 끝을 동시에 보는 관찰자 앞에서는 상관분석이 여전히 유효하다.
• 패딩·교란 없음(의도적): 1세대가 가정한 배칭·재정렬·링크 패딩·트래픽 셰이핑은 성능 비용이 크고, 무엇보다 상수 대역폭 트래픽 셰이핑은 자원봉사자가 감당할 수 없다. 논문은 "입증된 트래픽 셰이핑 설계가 나올 때까지 이 전략들은 뺀다"고 선언한다 — 익명성과 실용성의 명시적 트레이드오프다.
• 공격 목록을 스스로 열거: 태깅(tagging), 재전송, 내부자 변조(malleability), 선수(predecessor) 공격, 교차 공격, 순회 타협(roving adversary가 회선을 따라 노드를 차례로 장악), DoS, 디렉터리 서버 조작(디렉터리 과반을 장악하면 가짜 노드를 목록에 넣을 수 있음) 등을 논문 7절에서 정직하게 정리한다.
• 설계 목표가 아닌 것(non-goals): P2P 시스템이 아니며, 전역 관찰자나 끝단 공격에 대한 완전한 방어를 주장하지 않는다. "무엇을 못 하는지"를 명시하는 이 태도가 오히려 후속 연구의 좌표가 됐다.

핵심 5 — 실측과 배포: '돌아간다'를 증명하다

• 지연 실험: 1GHz Athlon 한 대에서 돌린 4-노드 테스트망으로, debian.org에서 60MB 파일을 30분마다 54시간(108회) 다운로드. Tor 경유 평균 약 300초 vs 직접 다운로드 210초 — 실사용 가능한 지연 수준임을 보였다.
• 실배포: 2003년 10월 가동. 2004년 5월 중순 기준 32개 노드(미국 24 · 유럽 8), 매주 새 노드가 합류. "느린 성장이 오히려 기능 추가·버그 수정·사용자 니즈 파악의 시간을 준다"고 저자들은 적었다.
• 남용 통제가 실제로 통했다: 제한적 기본 출구 정책(예: SMTP 거부)과 낮은 프로필 덕에, 2003년 10월 배포 이후 남용 문제가 없었다고 보고한다.
• 계보와 병렬 연구: 뿌리는 Chaum의 믹스넷(1981)과 1세대 Onion Routing(1996, Goldschlag·Reed·Syverson). 동시대에 Tarzan, MorphMix, Cebolla, Herbivore, p5 등이 같은 문제를 풀려 했고, 랑데부 아이디어는 Ian Goldberg의 선행 설계(2000)에서 출발했다.

시사점 — 20년 뒤, 이 설계가 남긴 것

• '설계 논문'이 인프라가 된 드문 사례: 대부분의 학술 프로토타입은 논문으로 끝나지만, Tor는 그대로 구현되어 오늘날 Tor Browser · .onion 숨은 서비스 · 검열 우회 · 언론인/활동가 통신의 기반이 됐다. 논문의 '32개 노드'는 이후 수천 개 자원봉사 릴레이로 성장했다.
• 익명성은 '암호'가 아니라 '시스템'의 문제다: Tor의 안전성은 어떤 강력한 암호 하나가 아니라 경로 위상 + 디렉터리 합의 + 무결성 + 출구 정책 + 혼잡 제어가 맞물린 시스템 설계에서 나온다. 익명성은 개별 링크가 아니라 전체 네트워크 관찰에 대한 성질이다.
• 메타데이터는 '부산물'이 아니라 '자산'이다: "누가 누구와 언제 얼마나" 말했는지 — 이 논문은 그 메타데이터를 1급 보호 대상으로 끌어올렸다. 오늘날 모든 트래픽 분석·프라이버시 논의의 출발점이다.
• 정직한 위협 모델의 가치: "우리는 이것을 못 막는다"를 명시한 논문은 방어 범위를 정확히 그려, 사용자가 과신하지 않게 한다. 완벽을 주장하는 보안 설계보다, 한계를 밝히는 설계가 오래 산다.

한계 · 유의점 · 의의

• 저지연의 근본적 딜레마: 지연을 줄이면 끝단 타이밍 상관에 취약해지고, 늘리면 사용성이 무너진다. Tor는 실용성을 택했고 그 대가를 논문이 명시했다.
• 트러스트의 집중: 소수 디렉터리 서버가 네트워크 뷰를 결정한다 — 그 과반이 장악되면 익명성의 토대가 흔들린다. 논문도 이 지점을 열린 문제로 남긴다.
• 당시의 배포 규모는 작다: 32개 노드는 실험이었고, 규모가 커질수록 진입 노드 선택·트래픽 지역 편중·자원봉사 유인 같은 새 문제가 등장한다.
• 의의: 이 논문은 익명성을 이론에서 실서비스로 옮긴 분기점이다. 저지연 익명 통신을 '돌아가는 시스템'으로 완성하고, 그 위에 숨은 서비스·검열 저항이라는 실전 응용을 얹었다. "익명성은 누구나 쓸 수 있어야 강하다"는 원칙 — 사용자가 많을수록 각자의 트래픽이 섞여 익명성 집합이 커진다는 발상 — 은 오늘날 프라이버시 기술의 기본 전제가 됐다.

출처

• 논문 원문: Roger Dingledine, Nick Mathewson, Paul Syverson, Tor: The Second-Generation Onion Router, 13th USENIX Security Symposium, 2004 — usenix.org (PDF) · tor-design.pdf 미러
• 계보의 뿌리: David Chaum, Untraceable Electronic Mail, Return Addresses, and Digital Pseudonyms, CACM 1981(믹스넷) · Goldschlag·Reed·Syverson, Hiding Routing Information, 1996(1세대 Onion Routing) · Ian Goldberg, 2000(랑데부 설계)
• 함께 읽기: 2026-09-14 Security Problems in the TCP/IP Protocol Suite(인터넷의 '신뢰 가정'을 무너뜨린 네트워크 보안의 창시 논문) · 2026-09-21 On the Security of Public Key Protocols(능동적 공격자 Dolev–Yao 모델) · 2026-10-07 Differential Power Analysis(관찰만으로 비밀을 캐는 부채널의 고전) · 2026-10-03 The Innocent Courier (LLMLeak)(네트워크 메타데이터로 은밀히 새는 정보의 현대판)