튜토리얼
KYC나 신분증 없이 웹사이트를 익명으로 호스팅하는 방법
웹사이트를 익명으로 호스팅하는 일은 하나의 결정이 아닙니다 — 세 개의 서로 다른 계층에서 내려야 하는 세 가지 결정입니다. 하나를 제대로 해도 다른 하나를 놓치면 전체가 노출됩니다. 다행인 점은, 무엇을 해야 하는지만 알면 셋 다 어렵지 않다는 것입니다. 이 가이드는 빈 터미널에서 시작해 당신의 이름과 연결되지 않는 실제 운영 사이트에 이르기까지 전 과정을 다룹니다.
웹사이트가 신원을 노출하는 세 가지 지점
명령어를 입력하기 전에, 노출이 실제로 어디서 발생하는지부터 이해해야 합니다. 익명성이 깨진 사이트는 거의 예외 없이 이 중 하나에서 실패하며, 이 세 지점은 서로 독립적입니다 — 하나를 고쳐도 나머지에는 아무 영향이 없습니다.
- 호스팅 등록과 결제 — 카드나 실명 인증 계정을 사용하면 서버가 곧바로 당신의 은행 계좌와 법적 이름에 연결됩니다.
- 도메인 이름 — 대부분의 등록기관은 KYC 절차가 까다로우며, 당신의 정보를 공개하거나 보관합니다.
- 서버와 그 콘텐츠 — 서버 자체도 로그, 헤더, 분석 도구, 또는 업로드한 메타데이터를 통해 정보가 유출될 수 있습니다.
단계별 안내
- 01버너 이메일로 계정 생성하기BTCServers에서는 가입 시 이메일과 비밀번호만 있으면 됩니다. 일회용 주소(버너 메일 제공업체면 충분합니다)를 사용하세요 — 이름도, 전화번호도, 신분증도 요구하지 않습니다.
- 02암호화폐로 선불 잔액 충전하기Bitcoin, Monero를 비롯해 8종의 코인으로 잔액을 충전할 수 있습니다. 이것이 결제 계층입니다 — 카드도, 결제자 신원도 없습니다. 온체인 흔적을 전혀 남기지 않으려면 Monero로 충전하세요.
- 03VPS 배포하기요금제, 지역, OS 이미지를 선택하고 배포하세요. 약 1분이면 루트 액세스가 준비됩니다. 이것이 당신의 웹 서버입니다.
- 04도메인을 익명으로 취득하기암호화폐 결제를 지원하고 신분증을 요구하지 않는, 프라이버시 중심의 등록기관을 통해 등록하거나, WHOIS 정보를 대신 표시해 주는 제공업체를 이용하세요. 그런 다음 DNS를 당신의 VPS IP로 연결하면 됩니다.
- 05웹 서버와 TLS 설치하기nginx나 Caddy를 설치하고 사이트를 배포한 뒤, 무료 Let's Encrypt 인증서를 발급하세요. Caddy는 HTTPS를 자동으로 처리하며, nginx를 사용할 경우 certbot을 이용하면 됩니다.
- 06보안 강화 후 서비스 시작하기server tokens와 디렉터리 목록을 끄고, 신원을 드러내는 헤더를 제거하고, 외부로 정보를 전송하는 분석 도구를 모두 비활성화하세요. 그런 다음 공개하면 됩니다.
신원을 노출하지 않고 도메인 연결하기
완벽하게 익명인 서버라 해도 그 앞단의 도메인이 당신의 실명으로 등록되어 있다면 익명이 아닙니다. 암호화폐 결제를 받고 신분증을 요구하지 않는 등록기관을 선택하고 WHOIS 프라이버시를 활성화하세요(또는 등록기관이 대신 등록인이 되어주는 서비스를 이용하세요). 카드가 아니라 호스팅에 사용하는 것과 동일한 암호화폐로 결제하세요. 위협 모델이 심각하다면, 등록기관이 당신의 실제 IP조차 기록하지 못하도록 Tor를 통해 도메인을 등록하고 관리하세요.
서버 단단히 잠그기
결제와 도메인이 깨끗하더라도 서버 자체가 당신을 배신할 수 있습니다. 몇 분간의 하드닝만으로 흔히 발생하는 노출 지점을 제거할 수 있습니다:
- 서버 버전 배너를 비활성화해(nginx에서는 server_tokens off) 헤더가 당신의 기술 스택을 광고하지 않도록 하세요.
- 페이지를 로드할 때마다 외부 서비스로 신호를 보내는 서드파티 분석 도구와 폰트를 제거하세요.
- 업로드하는 모든 파일에서 EXIF와 문서 메타데이터를 제거하세요 — 이미지와 PDF에는 작성자와 기기 정보가 담겨 있습니다.
- 로그는 최소한으로 남기고 적극적으로 로테이션하세요. 남기지 않은 것은 유출될 수 없습니다.
이 방법이 막아주는 것 — 그리고 막아주지 못하는 것
제대로 해내면 이 방법은 일반적인 위협들 — 경쟁자, 스크래퍼, 표적을 찾는 저작권자, 호기심 많은 등록기관 — 을 무력화합니다. 다만 불법 콘텐츠를 합법으로 만들어주지는 않으며, 당신의 opsec이 흔들리는 순간 자원이 풍부한 국가 수준의 공격자로부터도 보이지 않게 해주지는 않습니다 — 집 IP로 서버에 접속하거나, 본인 명의의 KYC 거래소에서 산 코인으로 결제하면 나머지 노력은 모두 무의미해집니다. 실제로 누구를 상대로 숨는 것인지에 맞춰 노력의 수준을 정하고, 세 계층을 계속 분리해서 유지하세요.
