HPKE 기반 ODoH 구현으로 IP-질의 분리 및 DNS 익명성 확보

Show HN: Running the second public ODoH relay

2026년 5월 14일5분advanced

AI 요약

Context

기존 DoH/DoT는 전송 구간 암호화만 제공하여 리졸버 운영자가 사용자 IP와 질의 내용을 동시에 식별하는 구조적 한계 존재. iCloud Private Relay 등 제한적인 대안 외에 계정 없이 사용 가능한 범용적 익명 DNS 인프라 부족 상황 분석.

HPKE(RFC 9180)를 통한 Query 암호화로 Relay-Target 간 데이터 접근 권한을 분리한 ODoH(RFC 9230) 구조 채택
Relay는 사용자 IP만 식별하고 Target은 암호화된 질의 내용만 처리하게 하여 단일 운영자의 식별 가능성을 차단한 설계
SSRF 공격 방지를 위해 RFC 1035 ASCII 레이블 기준의 엄격한 Hostname Validator를 적용한 보안 강화
동일 운영자 간의 데이터 결합을 방지하기 위해 eTLD+1 기반의 Same-operator Check 로직을 통한 Relay-Target 독립성 보장
Rust 기반의 단일 바이너리로 Client와 Relay 모드를 모두 구현하여 배포 복잡도를 최소화한 아키텍처 구성

실천 포인트

1. 프록시 서버 설계 시 외부 요청 URL에 대한 정규식 기반의 엄격한 Hostname 검증 체계 구축 여부 확인

2. 개인정보 보호 설계 시 데이터 암호화뿐만 아니라 처리 주체 간의 운영적 독립성(Operator Diversity) 확보 전략 수립

3. 보안 민감 로직 구현 시 검증된 표준 라이브러리(예: odoh-rs)를 사용하여 구현 오류로 인한 취약점 가능성 제거

태그