법원, EFF 주장에 동의: 유타주 VPN 법은 기술적으로 불가능한 요구를 합니다

AI 요약

미 연방법원이 유타주 성인 웹사이트 연령 확인법 SB 73의 VPN 관련 조항 집행을 막았습니다. 법원은 사이트가 VPN 이용자의 실제 위치를 완벽하게 알아내야 책임을 피할 수 있지만, 현재 그런 지리 위치 판별 기술은 없다고 봤습니다. 이번 명령은 예비 금지명령으로, 본안 판단 전까지 해당 조항을 집행하지 못하게 합니다. 전자프런티어재단(EFF)은 법안과 시행 규칙이 프라이버시 보호 도구를 겨냥하고, 유타주 밖의 이용자에게도 감시와 차단을 강요한다고 주장합니다.

SB 73의 요구와 법원의 판단

올해 초 제정된 SB 73은 성인 웹사이트에 VPN 이용자를 차단하거나, VPN 등으로 네트워크 위치를 감춘 이용자의 실제 위치를 확인하라고 요구합니다. VPN 우회 방법을 안내하는 행위도 금지합니다. EFF에 따르면 주 법률이 연령 확인 절차를 피하려는 VPN 사용을 겨냥한 첫 사례입니다.

법원은 이 법이 유타주 밖의 이용자와 사업자에게도 부담을 준다고 판단했습니다. 사이트는 방문자가 유타주에 있는지 모두 확인해 해당 이용자를 차단하거나, 혹시 유타주 이용자가 섞여 있을 가능성에 대비해 모든 방문자의 나이를 확인해야 합니다. 법원은 법의 실제 위치 조항이 이용자 한 명이라도 위치를 숨기면 위법이 될 수 있는 구조라고 짚었습니다. 이에 따라 사업자는 유타주 미성년자의 성인 사이트 접근을 막는 데 필요한 범위를 넘어, 전 세계 이용자를 대상으로 조치를 해야 합니다.

법원은 법이 요구하는 수준의 완벽한 위치 판별이 현재 불가능하다고 봤습니다. 판결문은 Aylo가 법을 지키려면 솔트레이크시티뿐 아니라 보스턴, 뉴올리언스, 앵커리지, 호놀룰루 등 어디에 있는 이용자인지에 관계없이 2,800만 명을 확인해야 한다고 설명했습니다. EFF가 소개한 판결문은 Aylo 같은 사업자에게 이용자의 위치를 판별할 때 사실상 무과실 책임을 부과한다고 지적합니다.

VPN 탐지와 감시 우려

VPN은 중계 서버를 거쳐 웹 트래픽을 전달합니다. 방문 사이트에는 VPN 서버의 IP 주소가 보이므로, 접속이 솔트레이크시티에서 왔는지 시애틀이나 상하이에서 왔는지 안정적으로 판별하기 어렵습니다. 법을 엄격히 따르면 사이트는 모든 VPN 트래픽을 막거나 유타주 이용자에게 서비스를 중단해야 하는 상황에 놓입니다.

유타주 상무부가 제안한 시행 규칙은 사업자에게 상업적으로 합리적인 위치 위장 탐지 시스템을 요구했습니다. EFF는 연결 지연 시간이나 기기 시간대 같은 신호를 살펴보는 방식이 네트워크 상태에 따라 달라져 신뢰하기 어렵다고 주장했습니다. 이런 탐지가 오판을 일으키면 정상 이용자도 차단될 수 있고, 이를 피하려는 사업자가 더 많은 이용자 데이터를 모으고 감시할 수 있다는 우려도 제기했습니다. Aylo의 소송은 VPN 정보를 공유하는 방법을 웹사이트가 안내하지 못하게 한 조항까지 다루지는 않습니다.

SB 73은 2026년 5월 시행 예정이었으나 Aylo가 위헌 소송을 제기하면서 집행이 유예됐습니다. 주 정부는 구체적인 준수 기준을 담은 규칙을 마련했고, 해당 규칙은 2026년 10월 8일부터 시행될 수 있었습니다. 이번 예비 금지명령으로 법원 결정이 추가로 나올 때까지 VPN 관련 조항은 집행할 수 없습니다. 유타주 의원들은 다음 회기에 법 개정을 검토할 수 있다고 밝혔습니다.

Hacker News 반응

• @SoftTalker — 플랫폼이 접속이 VPN에서 왔는지 신뢰성 있게 알아낼 수 있나요? 누구나 임의의 호스팅 업체를 거쳐 프록시를 쓸 수 있습니다.
  • @ad_fontes — ‘신뢰성’을 어떻게 정의하느냐에 따라 다릅니다. 트래픽 패턴과 브라우저 지문을 함께 보면 상당히 높은 확률로 알아낼 수 있습니다. 이 분야에는 연구도 많지만, 완벽한 판별은 불가능합니다.
  • @ranger_danger — VPN을 어떻게 정의하느냐도 주관적입니다. 친구 집을 통해 프록시나 VPN을 쓰면, 그 접속이 친구가 아니라는 사실을 아무도 알아내지 못할 수 있습니다.
• @irenaeus — VPN에는 출구 중계 서버 목록이 있습니다. 접속 IP가 그 목록에 있으면 VPN에서 온 것이니 성인 웹사이트에 해당 접속을 차단하라고 요구하면 되지 않나요?
  • @gambiting — 완전한 VPN 출구 노드 목록을 만드는 일은 불가능합니다. 회사가 전체 목록을 공개하지도 않고, DigitalOcean에 OpenVPN 서버를 직접 설치해 접속해도 해당 주소가 VPN 서버인지 외부에서 알기 어렵습니다.
• @mahboi — DraftKings는 캘리포니아 방문자에게 위치 확인을 적용합니다. 이 법도 어떻게 불가능한지 모르겠습니다.
  • @compiler-guy — DraftKings는 완벽한 판별을 요구하지 않는 캘리포니아 법을 따르는 방식으로 운영합니다. 유타 법은 완벽한 판별을 요구합니다.
• @gchamonlive — 법은 유타주 주민에게만 적용된다고 해도, 웹사이트가 모든 방문자의 위치를 알아내거나 모두의 나이를 확인해야 한다면 유타주 밖 이용자에게도 부담을 줍니다. 기술적으로 법을 따르면서 헌법을 지키기는 어렵습니다.
• @gorgoiler — IP 주소에 핑을 보내고 자바스크립트 응답에도 핑을 보내면 됩니다. IP 응답은 30밀리초인데 스크립트 응답은 330밀리초라면 사용자가 주장하는 위치보다 300밀리초쯤 더 멀리 있는 것 아닐까요?
  • @zbentley — 컴퓨터가 다른 작업을 하거나 절전 모드일 수도 있고, 브라우저 확장 프로그램이 스크립트보다 먼저 실행될 수도 있습니다. 캐시가 비어 있거나 광고 추적 코드가 늦게 내려와도 응답이 느려집니다. 차단 여부를 결정하기에는 신호가 너무 불안정합니다.
• @semiquaver — 사이트가 보는 정보는 IP 주소뿐입니다. 누구나 저렴한 VPS에 개인용 VPN을 만들 수 있습니다. 법이 요구하는 일을 기술적으로 완수할 방법은 없고, 알려진 상용 VPN만 막는 근사치만 만들 수 있습니다.
• @codedokode — 접속이 의심스러우면 모두 막고, 오차로 차단된 사람은 관련 서류를 내도록 하면 되지 않나요?
  • @llama052 — 중국의 만리방화벽과 비슷하게 들립니다. 성인 웹사이트를 이용할 수도 있으니 인터넷 트래픽을 마구 막자는 말은 미국에서 나온 주장치고 놀랍습니다.

원문: EFF / 번역·요약: Trawling