구독 링크가 비밀번호와 같은 이유
주요 프록시 프로토콜의 인증 필드는 몇 개 되지 않습니다. Shadowsocks는 암호화 방식과 비밀번호, Trojan은 비밀번호와 TLS, VMess와 VLESS는 UUID, Hysteria2와 TUIC는 QUIC을 사용하며 인증은 비밀번호 또는 UUID와 비밀번호로 이뤄집니다. 이 필드들은 결국 하나의 노드 링크에 기록되므로, 링크를 가진 사람이 곧 필드를 가진 사람입니다.
구독 링크는 여기서 한 단계 더 나아갑니다. 긴 토큰이 붙은 주소로, 클라이언트가 요청하면 Base64로 인코딩된 노드 목록이나 Clash / Mihomo용 YAML 설정을 돌려줍니다. 이 과정에서 계정 비밀번호를 입력할 필요가 없으며 링크 자체가 통행증입니다. 그래서 링크가 외부로 새어 나가면 비밀번호를 바꿔도 상대의 접속을 막을 수 없습니다.
구독 링크는 자격 증명과 같습니다. 단체 채팅방에 붙이거나, 스크린샷으로 찍어 보내거나, 제3자 변환 사이트에 넘기면 비밀번호를 넘긴 것과 같은 효과가 납니다. 차이는 비밀번호는 바꿀 수 있지만 링크는 직접 재설정해야 무효가 된다는 점입니다.
| 자격 증명 유형 | 유출 시 상대가 할 수 있는 일 | 자격 증명을 무효화하는 방법 |
|---|---|---|
| 계정 비밀번호 | 사용자 패널에 로그인해 주문과 사용량을 확인하고 구독을 다시 받을 수 있음 | 패널 비밀번호 변경 |
| 구독 링크 | 아무 클라이언트로나 모든 노드를 받아 사용하며 트래픽은 같은 요금제에 계상됨 | 패널에서 구독 재설정 |
| 개별 노드 링크 | 노드 하나만 사용하지만 마찬가지로 요금제 트래픽을 소모 | 구독 재설정 시 함께 무효화됨 |
| 클라이언트 설정 파일 | 모든 노드와 분할 라우팅 규칙을 포함하며 어떤 기기에든 가져올 수 있음 | 구독 재설정 후 다시 가져오기 |
본 서비스는 동시 접속 대수에 제한이 없습니다. 편의성에는 유리하지만 보안 측면에서는 다른 의미가 있습니다. 구독 링크가 타인에 의해 사용되어도 '기기 수 초과' 안내가 뜨지 않으므로 수동적으로 드러나지 않습니다. 이상 징후는 사용량 기록과 직접적인 교체로만 확인할 수 있습니다. 월 구독은 ¥9.9에 60GB부터, 트래픽 패키지는 ¥158 / 300GB부터이며, 링크 유출의 대가는 곧 트래픽으로 환산됩니다.
가입 단계: 입력하지 말아야 할 정보
VPNZM 가입에는 사용자 이름과 비밀번호만 필요하며 이메일 주소는 요구하지 않습니다. 필드가 하나 줄면 유출 지점도 하나 줄어듭니다. 이메일이 다른 곳에서 유출되면 공격자가 이를 다른 사이트에 대입해 보면서 VPN 계정까지 알아낼 수 있기 때문입니다. 사용자 이름과 비밀번호는 무엇을 넣느냐보다 어떻게 넣느냐가 더 중요합니다.
- ✅ 사용자 이름은 실명이나 자주 쓰는 소셜 ID와 무관한 문자열로 정해 특정 개인을 역추적할 수 없게 합니다.
- ✅ 비밀번호는 비밀번호 관리자로 생성하고 16자 이상으로 하며, 이메일·클라우드·결제 계정과 겹치지 않게 합니다.
- ✅ 결제는 사이트 내 알리페이 / 위챗 / USDT 채널을 이용하고, 주문은 계정에 연결되므로 낯선 사람이 알려준 주소로 송금하지 않습니다.
- ❌ 닉네임이나 메모에 실명, 회사명, 거주 도시를 적지 않습니다.
- ❌ 생일, 이름의 로마자 표기, 흔한 영어 이름을 사용자 이름이나 비밀번호 일부로 쓰지 않습니다.
- ❌ 구독 링크를 채팅 즐겨찾기, 공개된 클라우드 노트 링크, 브라우저 북마크 동기화에 저장하지 않습니다.
구독 링크 보관과 교체
보관의 목표는 하나입니다. 링크가 클라이언트 안에만 존재하게 하는 것. 복잡한 도구는 필요 없고 세 가지 습관이면 충분합니다. 공유하지 않기, 스크린샷 남기지 않기, 제3자 사이트를 거치지 않기. 기기를 바꿀 때는 채팅 기록에서 옛 링크를 찾지 말고 패널에서 새로 복사합니다.
- 사용자 패널에서 구독을 재설정하면 기존 링크는 즉시 무효가 됩니다.
- 클라이언트로 돌아가 옛 설정을 비활성화가 아니라 삭제한 뒤 새 링크를 가져옵니다.
- 기기마다 다시 가져오면, 연결되지 않는 기기가 곧 점검 목록이 됩니다.
- 요금제 사용량 기록을 며칠간 지켜보고, 비정상적인 증가가 있으면 옛 링크가 사용된 것입니다.
교체 주기는 위험도에 따라 정합니다. 링크를 본인 기기에만 가져왔다면 6개월에 한 번이면 충분하고, 단체 공유·스크린샷 전송·제3자 변환·기기 분실을 겪었다면 즉시 재설정합니다.
제3자의 '구독 변환', '온라인 속도 측정', '노드 검사' 페이지는 구독 링크를 폼에 붙여 넣어야 합니다. 링크가 내 기기를 떠난 뒤 보관되는지는 확인할 수 없습니다. 형식을 바꿔야 한다면 로컬 클라이언트에 내장된 파서를 쓰거나 자신의 기기에서 직접 변환을 실행하세요.
결론: 링크 유출과 비밀번호 유출은 별개의 문제입니다. 비밀번호 변경은 후자를, 구독 재설정은 전자를 해결합니다. 하나만 하면 다른 통로는 그대로 열려 있습니다.
공용 Wi-Fi에서의 실제 위험
공용 Wi-Fi의 위험은 암호화 알고리즘이 뚫리는 데 있지 않고, 연결이 이뤄지기 전후 몇 분에 있습니다. 같은 이름의 가짜 핫스팟, HTTP로 동작하는 캡티브 포털, 하이재킹된 DNS 조회가 그것입니다. 세 가지 모두 고급 기술이 필요 없고, 사용자가 '연결'을 눌러 주는 데서 시작됩니다.
| 상황 | 발생할 수 있는 일 | 대응 |
|---|---|---|
| 가짜 핫스팟(동일 SSID) | 상대 기기에 연결되어 트래픽이 그쪽을 먼저 거침 | 자동 연결을 끄고 핫스팟 이름을 직접 확인 |
| 캡티브 포털 로그인 페이지 | 페이지가 HTTP로 열려 위조 폼으로 바뀔 수 있음 | 포털 페이지에 계정 정보를 입력하지 않고, 연결 후 클라이언트를 켬 |
| DNS 하이재킹 | 도메인이 위조 사이트로 해석됨 | 클라이언트에서 TUN 모드를 켜 도메인 조회를 넘겨받음 |
| 같은 대역 스니핑 | 이웃 기기가 내 기기의 열린 포트와 서비스를 스캔할 수 있음 | 시스템 방화벽을 켜 두고 파일 공유를 끔 |
DNS 누출은 따로 짚을 만합니다. 트래픽이 이미 프록시를 통과하더라도 시스템이 여전히 로컬 네트워크에 도메인 조회를 요청하면, 어떤 사이트에 접속했는지가 Wi-Fi 제공자에게 그대로 노출되고 위조 주소가 반환될 수도 있습니다. 판별법은 간단합니다. 연결 후 사이트의 IP 조회 페이지를 열어 출구 주소와 지역이 선택한 회선과 일치하는지 확인하고, 클라이언트에서 DNS 조회가 같은 출구를 쓰는지 봅니다. 일치하지 않으면 TUN 모드로 전환해 클라이언트가 53번 포트를 넘겨받게 하세요.
HTTPS는 여전히 유효합니다. 인증서 검증을 통과한 사이트는 같은 대역의 기기가 내용을 읽을 수 없습니다. 실제로 피해야 할 것은 인증서 경고를 무시하는 일과 HTTP 페이지에 계정 정보를 입력하는 일입니다. 브라우저에 인증서 오류가 뜨면 먼저 이 네트워크에서 접속을 끊고 원인을 확인하세요.
기기 분실 후 처리 순서
순서의 핵심은 통로를 먼저 끊고 입구를 나중에 끊는 것입니다. 링크는 통로, 계정은 입구입니다. 기기를 잃어버렸다면 둘 다 해야 하지만, 링크만 유출된 경우라면 첫 단계만으로 충분합니다.
- 구독 링크를 재설정합니다. 기존 링크가 즉시 무효가 되어, 분실 기기의 클라이언트에 설정이 남아 있어도 접속할 수 없습니다.
- 패널 비밀번호를 변경합니다. 신뢰할 수 있는 다른 기기에서 로그인해 바꾼 뒤 주문과 사용량을 다시 확인합니다.
- 사용량을 점검합니다. 요금제 트래픽 기록에서 사용하지 않은 시간대에 증가가 있는지 봅니다.
- 나머지 기기에 새 링크를 다시 가져오고, 더 이상 쓰지 않는 기기의 설정은 함께 삭제합니다.
- 일주일간 관찰합니다. 이상 접속이 멈추면 조치가 제대로 된 것이고, 여전히 연결이 있다면 유출 지점이 한 곳이 아니라는 뜻입니다.
결론: 구독을 먼저 재설정하고 비밀번호를 나중에 바꿉니다. 순서를 바꾸면 링크가 살아 있는 그 시간이 그대로 공백기가 됩니다.
클라이언트 차이와 일상 습관
플랫폼별 클라이언트는 '설정을 어디에 두는지'가 다르고, 이것이 기기를 함께 쓸 때의 유출 면을 결정합니다.
- Windows: 설정이 대부분 평문 파일로 사용자 디렉터리에 저장되어, 같은 기기의 다른 계정이 읽을 수 있습니다.
- macOS: 클라이언트가 네트워크 확장 방식으로 동작하며 첫 설치 시 시스템 승인이 필요하고, 설정 역시 로컬에 저장됩니다.
- Android: VpnService로 터널을 만들고 앱별 분할을 지원하며, 설정은 앱 전용 디렉터리에 저장됩니다.
- iOS: NetworkExtension을 사용하고 설정은 앱 샌드박스를 따르므로 앱을 삭제하면 함께 지워집니다.
- Linux: 대부분 명령줄 클라이언트이며, 설정 파일 권한은 본인만 읽을 수 있도록 설정하는 것이 좋습니다.
분할 라우팅 규칙은 어떤 트래픽이 프록시를 통과할지 결정합니다. 규칙 순서가 잘못되면 내부망 주소나 결제 도메인까지 밖으로 나갈 수 있습니다. 연결 문제를 볼 때는 규칙 적용 순서를 먼저 확인하고, 그다음 DNS 조회가 클라이언트를 통해 이뤄지는지 봅니다. 각 운영체제의 가져오기 절차는 빠른 시작에 따로 정리되어 있으며, 가져오기에 실패하면 구독 형식과 클라이언트가 맞는지부터 확인하세요.
일상의 세 가지: 공용 기기나 빌린 기기에 구독을 가져오지 않기, 설정 디렉터리를 클라우드에 동기화하지 않기, 기기를 바꿀 때는 두 기기가 오래 같은 링크를 쓰는 대신 먼저 재설정하고 새로 가져오기.