RFC 9230 "Oblivious DNS over HTTPS"가 2022년 6월 8일 발행되었습니다. 이 문서는 암호화된 DNS over HTTPS(DoH) 메시지를 프록시로 중계해 클라이언트가 DNS 리졸버에 자기 IP 주소를 드러내지 않게 하는 프로토콜, 오블리비어스 DoH(Oblivious DoH, ODoH)를 정의합니다. 핵심은 어느 서버 하나도 클라이언트 IP 주소와 DNS 질의·응답 내용을 함께 알 수 없게 하는 것입니다. 이 문서는 표준 트랙이 아닌 실험(Experimental) 문서입니다.
무엇이 발표되었나
DoH(RFC 8484)는 DNS 메시지를 TLS로 보호되는 HTTP 메시지에 실어 보내므로 도청자가 DNS 내용을 직접 읽지 못하게 합니다. 하지만 클라이언트가 서버와 질의·응답을 주고받으려면 자기 IP 주소, 곧 신원이나 위치를 짐작할 수 있는 정보를 서버에 보여 줄 수밖에 없습니다. ODoH는 DoH 위에 프록시를 거치는 해석(proxied resolution) 방식을 더해 이 문제를 줄입니다.
RFC는 세 주체를 정의합니다.
- 오블리비어스 클라이언트(Oblivious Client): 프록시를 거쳐 타깃에 DNS 질의를 보냅니다. 질의마다 어떤 프록시와 타깃을 조합할지는 클라이언트가 정합니다.
- 오블리비어스 프록시(Oblivious Proxy): URI 템플릿(URI Template, RFC 6570)으로 식별되는 HTTP 서버로, 클라이언트와 타깃 사이에서 암호화된 질의와 응답을 전달합니다. 완전한 HTTP 프록시가 아니라 ODoH 메시지 전달만 하는 전용 서버입니다.
- 오블리비어스 타깃(Oblivious Target): 프록시에서 받은 암호화 질의를 복호화하고, 암호화한 응답을 같은 프록시를 거쳐 돌려주는 HTTP 서버입니다. 타깃은 DNS 리졸버 자체일 수도 있고, 리졸버와 같은 곳에 둘 수도 있으며, 리졸버로 포워딩할 수도 있습니다.
질의는 타깃의 공개키로 암호화되므로 지정된 타깃만 복호화할 수 있습니다. ODoH로 오가는 메시지는 DoH와 마찬가지로 완전한 형태의 DNS 메시지입니다. 그래서 정확한 IP 주소는 숨기면서 자기 네트워크에 맞는 응답을 받고 싶은 클라이언트는 EDNS0 클라이언트 서브넷(ECS) 옵션(RFC 7871)으로 리졸버에 힌트를 줄 수 있다고 설명합니다.
영향 범위
- 이 문서는 IETF 밖에서 개발되어 독립 스트림(Independent Submission)으로 발행되었습니다. 발행 목적은 구현 지침 제공, 구현 간 상호운용성 확보, 대규모 실험 지원입니다. RFC 편집자는 이 문서의 구현·배포 가치에 대해 어떤 입장도 밝히지 않으며, 인터넷 표준 후보도 아닙니다.
- 배포하려면 최소한 URI 템플릿으로 식별되는 프록시, 타깃, 그리고 질의 암호화에 쓸 타깃 공개키가 하나 이상 있어야 합니다.
- 프록시와 타깃은 서로 공모하지 않는(non-colluding) 관계여야 합니다. 두 주체가 정보를 합치면 이 프로토콜이 주는 프라이버시 보호가 성립하지 않습니다.
- 프록시 URI 템플릿과 타깃 공개키를 찾고 배포하는 방법은 이 문서의 범위에 들어가지 않습니다.
운영자가 할 일
당장 기존 DNS 운영에서 바꿔야 할 것은 없습니다. ODoH를 검토하는 운영자는 다음을 확인하면 좋습니다.
- 이 프로토콜이 실험 단계 문서라는 점을 감안해 도입 범위와 시점을 판단합니다.
- 리졸버를 타깃으로 쓰거나 타깃 뒤에 둘 경우, 타깃에는 클라이언트 IP 대신 프록시 주소만 보인다는 점을 이해해야 합니다. 이를 바탕으로 클라이언트 IP 기반 정책이나 로그 분석에 어떤 영향이 있는지 미리 검토합니다.
- 프록시와 타깃을 운영하는 주체가 서로 공모하지 않는 관계인지 확인합니다.
- 키 배포와 프록시 탐색 방식은 RFC가 정하지 않으므로, 구현마다 어떤 방식을 쓰는지 따로 확인합니다.
자세한 내용은 RFC 9230 원문을 참고하시기 바랍니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.