앱 개발자가 보안, 프라이버시, 성능을 개선하는 기능을 추가하면 대체로 비난받는 일은 드뭅니다. 그런데 모질라(Mozilla)가 DNS over HTTPS(DoH) 기능을 도입한 것은 예외였습니다. 이 기능은 컴퓨터가 웹사이트 주소를 찾는 과정을 암호화하는 방식인데, 영국 인터넷 서비스 제공자 협회(ISPA)가 주관하는 '인터넷 악당(Internet Villains)' 순위 후보에 오르는 수모를 겪었고, 정부 기관으로부터도 비판적인 의견을 받았습니다.
그 이유는 무엇일까요? 이 기능은 컴퓨터가 웹사이트를 찾으려 할 때 보내는 요청을 암호화하기 때문입니다. 영국 ISP들은 인터넷 차단 및 추적 규정을 준수해야 하며, 이러한 규제의 상당수가 DNS 수준에서 구현됩니다. 따라서 사용자가 자신들의 필터를 우회할 수 있는 힘을 갖게 되는 것을 달가워하지 않는 것이죠.
하지만 인터넷 대다수는 ISPA의 입장에 동의하지 않습니다. 암호화된 DNS는 사실상 모든 면에서 더 나은 결과를 가져오기 때문입니다. 검색 기록을 더욱 사적으로 지켜주고, 사이버 공격을 예방하며, 심지어 일반 DNS보다 약간 더 빠르게 작동합니다.
DNS란 다시 무엇이며, 어떤 문제가 있을까?
일반 DNS(Domain Name Server)의 작동 방식을 간단히 짚어보겠습니다.
- 모든 웹사이트는 숫자로 된 IP 주소를 가지고 있지만, 사람이 외우기 어렵기 때문에 이름을 사용합니다.
- 입력한 이름과 숫자를 연결하려면 요청이 DNS 서버로 전달되어야 합니다. DNS 서버는 IP 주소와 도메인 이름의 매핑 목록을 관리합니다. 즉, 방문하려는 사이트의 실제 숫자 주소를 알려달라고 '전화번호부' 서버에 묻는 것이 DNS 요청입니다.
- 별도로 변경하지 않았다면 기본 DNS 서버는 ISP가 권장하거나 운영하는 서버입니다. 요청이 그곳으로 전달되면 서버는 여러 곳을 오가며 필요한 정보를 조합합니다.
- 몇 마이크로초 후 필요한 주소가 기기로 돌아오고, 이를 통해 원하는 웹사이트가 있는 서버와 연결을 설정할 수 있습니다.
이 과정은 본질적으로 복잡한 전화번호부 조회와 같으며, 불과 몇 밀리초 만에 완료된다는 점이 인상적입니다. 그러나 문제는 이 모든 정보가 평문(plain text)으로 전송된다는 것입니다. 누군가 이 정보를 들여다보면(보통은 ISP지만 공격자일 수도 있습니다) 사용자가 어디로 향하는지 알 수 있고, 연결을 차단하거나 잘못된 주소를 돌려보내 악성 웹사이트로 유도하는 등 개입도 가능합니다.
모질라의 린 클라크(Lin Clark)는 교실에서 누군가의 이름이 적힌 쪽지를 전달하는 것에 비유했습니다. 쪽지는 목적지에 닿겠지만, 이제 모두가 당신이 누구에게 쪽지를 전하는지 알게 되고, 원한다면 내용을 읽거나 변조할 수도 있습니다. 쪽지를 비밀 코드로 작성해 아무도 수신자가 누구인지 모르게 전달할 수 있다면 훨씬 좋지 않을까요? 바로 그것이 DNS over HTTPS입니다.
DNS over HTTPS는 어떻게 다른가?
HTTP(웹에서 데이터를 전송하는 기본 프로토콜)로 데이터를 보내면 평문이므로 사실상 누구나 읽을 수 있습니다(일반 DNS와 마찬가지입니다). 반면 HTTPS는 암호화되어 데이터를 가로채도 읽을 수 없습니다. DNS over HTTPS는 이름 그대로, DNS 요청을 쇼핑 사이트 결제 시 신용카드 정보를 전송하는 것과 동일한 보안 채널을 통해 네임 서버로 보내는 것입니다.
ISP를 포함해 아무도 그 안에 무엇이 들어 있는지 알 수 없습니다. 열어보려 해도 의미 없는 문자열로만 보입니다. 요청을 차단하거나 기록하기 어려워지므로 영국이나 중국 같은 국가들이 트래픽을 필터링하고 추적하기가 한층 까다로워집니다. 물론 완전히 추적 불가능해지는 것은 아닙니다. ISP가 최종 접속 주소는 여전히 볼 수 있기 때문입니다. 하지만 차단은 더 어려워지고, 사용자 활동에 대한 세부 정보는 상당 부분 가려집니다.
또한 파이어폭스는 Cloudflare와 협력하고 있습니다. Cloudflare는 파이어폭스 사용자에게 더 엄격한 프라이버시 기준을 적용하기로 약속했으며, 'QNAME 최소화(QNAME Minimization)' 기술도 활용합니다. 이 기술은 요청을 여러 조각으로 나눠 어느 한 서버도 조회하려는 전체 주소를 알지 못하게 합니다.
DNS over HTTPS 설정 방법
현재 파이어폭스에서 DNS over HTTPS는 기본적으로 활성화되어 있지 않지만, 설정은 매우 간단합니다.
1. 우측 상단의 햄버거 메뉴(≡)를 엽니다.
2. '설정(Options)'으로 이동한 뒤 '일반(General)' 섹션을 아래로 스크롤해 '네트워크 설정(Network Settings)'을 찾습니다.
3. 'DNS over HTTPS 사용(Enable DNS over HTTPS)'에 체크합니다. 기본값인 Cloudflare(추가 프라이버시 기능이 많아 권장)를 사용하거나 직접 입력할 수 있습니다.
이것으로 끝입니다! DNS Leak Test 사이트에서 제대로 작동하는지 확인할 수 있습니다. Cloudflare DNS 서버가 표시되면 성공입니다. 방금 프라이버시, 보안, 검열 저항 능력을 한 단계 끌어올린 셈입니다. 축하합니다!
크롬 사용자라면 구글이 해당 기능을 활성화할 때까지 기다려야 합니다. 언젠가는 지원할 가능성이 높지만, 그때까지는 시스템 DNS를 ISP보다 좀 더 프라이버시 친화적인 서비스로 변경해 두는 것도 좋은 방법입니다.
ISPA는 조용히 있었어야 했을까?
이 사건에는 스트라이샌드 효과(Streisand Effect)가 고스란히 드러납니다. 마음에 들지 않는 것을 억누르려다 오히려 더 널리 알리는 결과를 낳는 현상이죠. ISPA가 모질라를 망신 주려던 시도는, 오히려 모질라 스스로 할 수 있었던 것보다 DNS over HTTPS를 더 널리 홍보하는 결과로 이어졌습니다.
충분히 많은 사람이 이 기능을 사용하기 시작하면 DNS로 인터넷을 검열하는 국가들에게 분명 문제가 될 것입니다. 하지만 사이트 차단 방법이 DNS만 있는 것은 아니므로, 이것이 완벽한 해결책이라고 할 수는 없습니다. 검열이나 추적을 우회하는 데에는 여전히 VPN이 가장 확실한 방법이며, 정부와 ISP들이 감시 전략을 계속 진화시키는 한 앞으로도 그럴 것입니다.