ODoH(Oblivious DNS over HTTPS): DNS 개인 정보를 개선하려는 시도

도메인 이름 시스템(Domain Name System) 또는 DNS는 인터넷에 존재하는 모든 다른 웹사이트에 대한 분산된 이름 지정 시스템입니다. 인터넷의 필수 구성 요소 중 하나이며 30년 이상 사용되었습니다. 이 기간 동안 시스템은 구현 및 그에 따른 개인 정보 보호 문제에 대해 타당한 주장과 함께 비판을 받았습니다. 결과적으로 이러한 문제를 해결하기 위한 몇 가지 시도가 있었습니다.

그러한 입찰 중 하나는 — 그리고 아주 최근의 — DNS over HTTPS(DoH) 프로토콜의 도입입니다. 이 프로토콜은 DNS 통신을 암호화된 방식으로 전송하여 보안을 약속합니다. DoH는 이론적으로 유망해 보이고 DNS 문제 중 하나를 해결하지만, 무심코 또 다른 문제를 조명합니다. 이 문제를 해결하기 위해 Cloudflare, Apple 및 Fastly에서 공동 개발한 ODoH(Oblivious DNS over HTTPS)라는 또 다른 새로운 프로토콜이 있습니다. Oblivious DoH는 기본적으로 DNS 쿼리를 (사용자의) IP 주소에서 분리하여 DNS 확인자가 사용자가 방문하는 사이트를 알 수 없도록 하는 DoH 프로토콜의 확장입니다.

Cloudflare의 연구 책임자인 Nick Sullivan은 블로그에서 " ODoH는 누가 쿼리를 만들고 쿼리가 무엇인지에 대한 정보를 분리하는 것입니다 ."라고 말했습니다.

HTTPS(또는 ODoH)를 통한 모호한 DNS

ODoH가 무엇인지 바로 알아보기 전에 먼저 DNS가 무엇인지, 다음으로 DNS over HTTPS가 무엇인지, 그리고 이 두 가지가 초래하는 한계를 이해합시다.

DNS(도메인 이름 시스템)

도메인 이름 시스템 또는 DNS는 인터넷의 모든 웹 사이트에 대한 기록을 유지하는 분산 시스템입니다. 전화 가입자 및 해당 전화 번호 목록을 보유하고 있는 전화 번호의 저장소(또는 전화 번호부)로 생각할 수 있습니다.

인터넷 측면에서 DNS는 연결된 IP(인터넷 프로토콜) 주소를 기억할 필요 없이 도메인 이름만 입력하면 웹 사이트에 액세스할 수 있는 시스템을 구축하는 데 중요한 역할을 합니다. 이 때문에 주소 필드에 techpp.com을 입력하면 IP 주소를 기억하지 않고도 이 사이트를 볼 수 있습니다. 이 주소는 103.24.1.167[당사 IP가 아님]과 비슷할 수 있습니다. 장치와 액세스하려는 웹 사이트 간의 연결을 설정하는 데 필요한 IP 주소입니다. 그러나 IP 주소는 도메인 이름만큼 기억하기 쉽지 않기 때문에 DNS 확인자가 도메인 이름을 연결된 IP 주소로 해석하고 요청된 웹 페이지를 반환할 필요가 있습니다.

DNS 문제

DNS는 인터넷 액세스를 단순화하지만 몇 가지 단점이 있습니다. 그 중 가장 큰 것은 개인 정보 보호(및 보안)의 부족으로 사용자 데이터에 위험을 초래하고 ISP가 볼 수 있도록 노출되거나 일부 사용자가 도청합니다. 인터넷에 나쁜놈. 이것이 가능한 이유는 DNS 통신(DNS 요청/질의 및 응답)이 암호화되지 않았기 때문입니다. 즉, 일반 텍스트로 발생하므로 중간(사용자와 ISP 사이)에 있는 모든 사람이 가로챌 수 있습니다. .

DoH(HTTPS를 통한 DNS)

처음에 언급했듯이 DoH(DNS over HTTPS) 프로토콜은 이 (보안) DNS 문제를 해결하기 위해 도입되었습니다. 기본적으로 프로토콜이 하는 일은 DoH 클라이언트와 DoH 기반 확인자 간의 DNS 통신이 일반 텍스트로 발생하도록 하는 대신 암호화를 사용하여 통신을 보호하는 것입니다. 이를 통해 사용자의 인터넷 액세스를 보호하고 메시지 가로채기 공격의 위험을 어느 정도 줄일 수 있습니다.

DoH 문제

DoH는 DNS를 통한 암호화되지 않은 통신 문제를 해결하지만 DNS 서비스 공급자가 네트워크 데이터를 완전히 제어할 수 있도록 하는 것과 같은 개인 정보 보호 문제를 제기합니다. DNS 제공자는 귀하와 귀하가 액세스하는 웹사이트 사이에서 중개자 역할을 하기 때문에 귀하의 IP 주소와 DNS 메시지 기록을 보유하고 있습니다. 어떤 면에서 그것은 두 가지 우려를 불러일으킨다. 하나는 네트워크 데이터에 액세스할 수 있는 단일 엔터티를 남겨 둡니다. 그러면 해석기가 모든 쿼리를 IP 주소와 연결할 수 있고, 두 번째는 첫 번째 문제로 인해 통신이 단일 실패 지점(공격)에 쉽게 노출되도록 합니다. .

ODoH 프로토콜과 그 작동

Cloudflare, Apple 및 Fastly가 공동 개발한 최신 프로토콜인 ODoH는 DoH 프로토콜로 중앙 집중화 문제를 해결하는 것을 목표로 합니다. 이를 위해 Cloudflare는 사용자를 제외한 단일 엔터티가 두 정보를 동시에 볼 수 없도록 새 시스템이 DNS 쿼리에서 IP 주소를 분리할 것을 제안합니다.

ODoH는 두 가지 변경 사항을 구현하여 이 문제를 해결합니다. 클라이언트(사용자)와 DoH 서버 사이에 공개 키 암호화 계층과 네트워크 프록시를 추가합니다. 이렇게 함으로써 한 번에 DNS 메시지와 IP 주소 모두에 액세스할 수 있는 사용자만이 사용자임을 보장한다고 주장합니다.

간단히 말해서, ODoH는 다음을 달성하는 것을 목표로 하는 DoH 프로토콜의 확장과 같은 역할을 합니다.

나. 클라이언트의 주소를 제거하기 위해 프록시를 통해 요청을 전달하여 DoH 확인자가 어떤 클라이언트가 어떤 도메인 이름을 요청했는지 알 수 없도록 합니다.

ii. 프록시가 쿼리 및 응답의 내용을 알 수 없도록 하고 연결을 계층으로 암호화하여 확인자가 클라이언트의 주소를 알 수 없도록 합니다.

ODoH를 사용한 메시지 흐름

ODoH를 사용한 메시지 흐름을 이해하려면 프록시 서버가 클라이언트와 대상 사이에 있는 위의 그림을 고려하십시오. 보시다시피, 클라이언트가 쿼리(예: example.com)를 요청하면 프록시 서버로 이동한 다음 대상으로 전달합니다. 대상은 이 쿼리를 수신하고 암호를 해독한 다음 (재귀적) 확인자에게 요청을 보내 응답을 생성합니다. 돌아오는 길에 대상은 응답을 암호화하여 프록시 서버로 전달한 다음 프록시 서버에서 클라이언트로 다시 보냅니다. 마지막으로 클라이언트는 응답을 해독하고 요청된 쿼리에 대한 응답으로 끝납니다.

이 설정에서 클라이언트와 프록시, 프록시와 대상 간의 통신은 HTTPS를 통해 이루어지므로 통신 보안이 강화됩니다. 뿐만 아니라 두 HTTPS 연결(클라이언트-프록시 및 프록시-대상)을 통해 발생하는 전체 DNS 통신은 종단 간 암호화되어 프록시가 메시지 내용에 액세스할 수 없습니다. 그러나 이 접근 방식에서는 사용자 개인 정보와 보안이 모두 고려되지만 모든 것이 제안된 대로 작동한다는 보장은 프록시와 대상 서버가 공모하지 않는다는 궁극적인 조건으로 귀결됩니다. 따라서 회사는 "담합이 없는 한 프록시와 대상이 모두 손상된 경우에만 공격자가 성공합니다"라고 제안합니다.

Cloudflare의 블로그에 따르면 암호화 및 프록시가 보장하는 내용은 다음과 같습니다.

나. 대상은 쿼리와 프록시의 IP 주소만 봅니다.

ii. 프록시는 DNS 메시지에 대한 가시성이 없으며 클라이언트가 보내는 쿼리나 대상이 반환하는 응답을 식별, 읽거나 수정할 수 없습니다.

iii. 의도한 대상만이 쿼리의 내용을 읽고 응답을 생성할 수 있습니다.

ODoH 가용성

ODoH(Oblivious DNS over HTTPS)는 현재 제안된 프로토콜일 뿐이며 웹에서 채택되기 전에 IETF(Internet Engineering Task Force)의 승인을 받아야 합니다. Cloudflare는 지금까지 프로토콜 출시를 돕기 위해 프록시 파트너로 PCCW, SURF 및 Equinix와 같은 회사를 확보했으며 1.1.1.1 DNS 서비스에서 ODoH 요청을 받는 기능을 추가했다고 제안합니다. , 문제의 진실은 웹 브라우저가 기본적으로 프로토콜에 대한 지원을 추가하지 않는 한 사용할 수 없다는 것입니다. 프로토콜은 아직 개발 단계에 있으며 다양한 프록시, 대기 시간 수준 및 대상에서 성능을 테스트 중입니다. 그렇기 때문에 당장 ODoH의 운명을 조정하는 것은 현명한 행동이 아닐 수도 있습니다.

사용 가능한 정보와 데이터를 기반으로 프로토콜은 DNS의 미래에 대해 유망한 것으로 보입니다. 인터넷 기능에 중요한 역할을 담당하는 DNS가 여전히 개인 정보 보호 및 보안 문제로 어려움을 겪고 있음이 이제 매우 분명해졌습니다. 그리고 최근에 DNS의 보안 측면을 추가할 것을 약속하는 DoH 프로토콜이 추가되었음에도 불구하고, 그것이 제기하는 개인 정보 보호 문제로 인해 채택은 여전히 ​​멀게 보입니다.

그러나 ODoH가 개인 정보 보호 및 성능 측면에서 주장에 부응할 수 있다면 DoH와 함께 작동하면서 개인 정보 보호와 DNS의 보안 문제를 모두 해결할 수 있습니다. 그리고 결과적으로 오늘날보다 더 개인적이고 안전하게 만들 수 있습니다.