WebRTC 유출 테스트: 브라우저 통화가 내 IP 주소에 대해 드러내는 것

WebRTC 유출이란 무엇인가요?

WebRTC 통화를 시작하기 전에 브라우저는 ICE 후보라고 부르는 가능한 네트워크 경로를 모아 웹페이지에 넘기고, 페이지는 이를 상대편에 전달합니다. 각 후보에는 IP 주소가 들어 있거나, 숨긴 로컬 주소 대신 무작위 .local 이름이 들어 있습니다. 일반 웹사이트는 요청이 들어온 공인 주소만 보지만, WebRTC를 통하면 페이지가 더 많은 것을 알 수 있습니다^[1]. 이 목록에 공유할 생각이 없던 주소가 하나라도 있다면 그것이 유출입니다.

통화의 나머지 경로는 WebRTC, SIP, 전화망의 원리에서 설명했습니다. 유출에서 중요한 것은 후보 목록뿐입니다. MDN은 이 목록의 주소가 언제나 페이지에 노출된다고 설명합니다^[6].

IETF는 VPN 사례를 가장 심각한 경우로 꼽습니다. 익명을 유지하려고 VPN을 쓰는 사람들이 있기 때문입니다^[1]. 나머지 두 경우는 사설 주소가 드러나는 경우와, WebRTC의 연결 확인이 프록시를 우회해 실제 공인 주소가 드러나는 경우입니다^[1].

브라우저로 통화하면 내 IP 주소가 노출되나요?

통화 서비스에는 노출됩니다. 모든 웹사이트는 내 공인 주소를 보고^[1], 통화를 하면 서비스 서버와의 미디어 연결이 하나 더 생깁니다. 유선전화나 휴대전화로 전화를 받는 상대방에게는 노출되지 않습니다. 통화는 서비스 업체의 게이트웨이에서 인터넷을 벗어나고^[8], 전화망은 IP 주소가 아니라 발신 번호를 전달하기 때문입니다^[2]. 앱끼리의 통화는 두 기기를 직접 연결할 수 있습니다.

실제 전화번호로 거는 통화에서 따져야 할 것은 서비스가 무엇을 알고 무엇을 보관하느냐입니다. 상대방에게 대신 무엇이 보이는지는 브라우저로 전화하면 어떤 번호가 표시되는지에서 설명했습니다.

WebRTC 유출 테스트 하는 법

유출 테스트 페이지는 다이얼러가 통화 전에 하는 일을 그대로 합니다. WebRTC 연결을 열고, STUN 서버에 어떤 공인 주소가 보이는지 묻고, 모든 후보를 일반 HTTP로 보이는 주소 옆에 나란히 표시합니다. 전화를 거는 데 쓰는 브라우저마다, 먼저 VPN을 끈 상태로, 그다음 켠 상태로 실행해 보세요.

1. VPN 끄기: BrowserLeaks의 WebRTC Leak Test 같은 유출 테스트 페이지를 엽니다. 맨 위의 “Your Remote IP”와 “Your WebRTC IP” 아래의 “Public IP Address”가 같아야 합니다.
2. VPN 켜기: 페이지를 새로고침합니다. 이제 “Your Remote IP”에 VPN의 주소가 나와야 합니다.
3. WebRTC 항목에 여전히 ISP 주소가 나온다면 WebRTC가 터널을 우회하고 있는 것입니다^[1].
4. .local로 끝나는 로컬 항목은 주소가 숨겨졌다는 뜻이고^[3], 192.168. 또는 10.으로 시작하는 주소가 그대로 보인다면 숨겨지지 않은 것입니다.
5. 페이지에 마이크 확인 기능이 있다면 허용하고 다시 테스트하세요. 다이얼러에는 마이크 권한이 필요하고, 이 권한이 있으면 더 많은 주소가 드러날 수 있습니다^[1]. 테스트가 끝나면 사이트 설정에서 권한을 다시 삭제하세요^[12].

마이크를 허용하자 크롬에서 달라진 점

2026년 11월 1일에 저는 맥의 크롬 156에서 STUN 서버 없이 로컬 테스트 페이지를 열었기 때문에, 어떤 주소도 외부 서버로 나가지 않았습니다. 마이크 권한이 없을 때 페이지가 본 것은 .local로 끝나는 무작위 문자열 이름의 host 후보 하나였습니다^[3]. 마이크를 허용하자 페이지는 제 실제 로컬 IPv4 주소를 받았습니다.

이는 표준을 따른 결과입니다. 표준은 마이크 권한 같은 동의가 있을 때만 전체 주소 목록을 허용하며^[1], 사파리의 엔진인 WebKit도 2017년에 같은 규칙을 설명했습니다^[13]. 따라서 내가 허용한 다이얼러는 로컬 주소를 볼 수 있습니다. 그래도 공인 주소가 드러나는 것보다는 위험이 작습니다^[1].

WebRTC 유출을 줄이는 브라우저 설정

브레이브는 사용자용 WebRTC IP 설정을 안내합니다. 구글은 크롬의 제어 기능을 확장 프로그램과 관리자용으로, 마이크로소프트는 엣지의 제어 기능을 관리자 정책으로 안내합니다. 파이어폭스는 기본적으로 로컬 주소를 숨기고 about:config에 끄는 스위치를 두었습니다. 어디서나 통하는 규칙이 하나 있습니다. WebRTC가 통화를 실어 나르기 때문에 WebRTC를 끄면 브라우저 다이얼러도 멈춥니다^[14].

VPN은 브라우저 통화에서 무엇을 바꾸나요?

WebRTC를 포함한 모든 트래픽을 터널로 보내는 VPN을 쓰면, 통화 서비스에는 내 주소 대신 VPN의 주소가 보입니다. 스플릿 터널링 VPN에서는 WebRTC가 ISP 주소까지 찾아낼 수 있으므로^[1], VPN을 켠 상태에서 유출 테스트를 해야 합니다. VPN은 통화에도 부작용이 있습니다.

• VPN 사용을 제한하는 서비스가 있습니다. TextNow 약관에는 VPN 사용을 제한하거나 막을 수 있다고 적혀 있습니다^[21].
• Call2Friends처럼 IP 주소별로 무료 통화를 나눠 주는 무료 다이얼러도 있어서^[9], VPN을 쓰면 같은 출구 주소를 쓰는 다른 사용자와 그 무료 한도를 나눠 쓰게 될 수 있습니다.
• UDP를 전달하지 못하는 프록시로 미디어를 강제로 보내면 오디오가 TCP로 옮겨 가며, IETF는 이 경우 미디어 품질이 떨어진다고 설명합니다^[1].
• 서비스는 여전히 내 계정과 통화 기록을 봅니다. 예를 들어 구글은 통화한 번호, 시각, 통화 시간을 기록할 수 있습니다^[22].

통화할 때 IP 주소를 지키는 방법

통화 유형에 맞춰 대처하세요. 전화번호로 거는 통화에서는 상대방이 내 IP를 받지 않으므로, IP를 맡겨도 될 만큼 믿을 수 있는 서비스를 고르고 VPN을 점검하면 됩니다. 앱끼리의 통화에서는 상대방 기기가 내 기기에 직접 연결될 수 있으므로, 앱에 중계 설정이 있다면 켜 두세요.

1. 브라우저 통화: VPN을 켠 채 유출 테스트를 하고, 브레이브에서는 Default Public Interface Only를 고르세요^[15].
2. 마이크: 한 번만 쓰는 다이얼러에는 “이번만 허용”으로 권한을 주세요^[12]. 제가 크롬에서 확인했을 때, 이 권한을 가진 페이지는 로컬 주소를 볼 수 있었습니다.
3. WhatsApp: ‘통화에서 IP 주소 보호’를 켜세요. 도움말 페이지는 안드로이드, iOS, 맥을 다루고 웹은 다루지 않으며, 중계된 통화는 품질이 다소 떨어질 수 있다고 경고합니다^[5].

자주 묻는 질문

함께 읽을 글

• 해설

  VoIP 발신자 번호 표시: 브라우저로 전화하면 상대방에게 보이는 번호

  브라우저 통화의 VoIP 발신자 번호는 공용 번호, 서비스가 주는 번호, 인증한 내 휴대전화 번호 중 하나입니다. 각각 무엇이 보이고 누가 다시 걸 수 있는지 비교했습니다.

• 가이드

  컴퓨터로 911 걸기: 되는 것, 막힌 것, 대신 쓸 것

  컴퓨터로 911에 전화할 수 있을까요? 브라우저·인터넷 전화 서비스가 911, 112, 999에 연결되는지, 규정이 무엇을 요구하는지, 대신 무엇을 써야 하는지 확인했습니다.

• 해설

  5분, 1분 무료 통화: 체험 통화 시간으로 실제로 얻는 것

  5분 무료 통화는 보통 하루 2~3분 한도이거나 한 번뿐인 체험입니다. 지금도 남아 있는 무료 인터넷 전화 체험과 그 한도, 숨은 조건을 제가 직접 확인했습니다.