1063. DoH / DoT (웹/전송 보안 계층 DNS 암호화)

핵심 인사이트 (3줄 요약)

본질: DoH / DoT는 성능 평가와 고급 분석에서 핵심 동작과 제약을 이해하게 해 주는 개념이다.

가치: DoH / DoT를 이해하면 측정 정확도과 모델 적합성 사이의 균형을 더 정확히 볼 수 있다.

판단 포인트: 설계 시에는 개념 자체보다 적용 조건, 운영 복잡도, 인접 기술과의 경계를 함께 판단해야 한다.

Ⅰ. 개요 및 필요성

511번 쌩얼 DNS 패킷은 포트 53번(UDP)을 타고 암호화 없이(Plaintext) 날아갑니다.
국가의 검열: 유저가 불법 사이트에 들어가려 할 때, 통신사(ISP)는 유저의 DNS 패킷을 중간에 까보고 "어? 불법 도메인이네?" 하고 가짜 IP 주소(경찰청 Warning.or.kr)를 던져주어 강제 차단시켰습니다. (DNS SNI 차단, SNI는 다음 1064번에서 설명)
1062번 DNSSEC을 켜도 주소가 안 바뀔 뿐이지, 남이 내 질문 내용을 훔쳐보는 것(스니핑)은 못 막았습니다.

[DNSSEC 존]
    │
    ▼
[DoH / DoT]
    │
    └──▶ [ESNI]

📢 섹션 요약 비유: DoH / DoT는 왜 필요한지 보여주는 교통 규칙 표지판과 같다. 문제가 생긴 배경을 알면 이후 선택도 쉬워진다.

Ⅱ. 아키텍처 및 핵심 원리

그래서 IETF는 DNS 패킷 자체를 철갑 암호화 터널 안에 집어넣는 두 가지 표준을 제정했습니다.

1. DoT (DNS over TLS) - "DNS 전용 암호화 고속도로"

개념: 은행 앱에서 쓰는 강력한 TLS(전송 계층 보안, 488번) 암호화 터널을 하나 뚫고, 그 껌껌한 터널 안으로 DNS 패킷을 던져버리는 기술입니다.
포트: 기존 53번 포트를 버리고, 아예 **전용 포트인 853번(TCP)**을 씁니다.
특징: 안드로이드 스마트폰에 기본 내장(Private DNS)되어 있습니다. 통신사는 내가 '어떤' 사이트에 가는지는 암호화되어 못 보지만, "아 얘가 853번 포트(DoT)를 썼으니까 지금 주소 물어보고 있네?"라는 사실 자체는 알 수 있습니다.

2. DoH (DNS over HTTPS) 🌟 최강의 스텔스 🌟

개념: TLS보다 한술 더 뜹니다. 아예 우리가 웹 서핑할 때 쓰는 HTTPS 프로토콜(포트 443번) 안에다가 DNS 패킷을 잘게 다져서 구겨 넣어버립니다.
포트: 유튜브, 네이버 들어갈 때 쓰는 443 포트를 똑같이 씁니다.
스텔스 기능 (검열 무력화): 크롬(Chrome)이나 파이어폭스 브라우저가 이 방식을 씁니다. 통신사(검열기)가 패킷을 까봐도 이게 네이버 뉴스를 보는 평범한 웹 트래픽(HTTPS)인지, 아니면 불법 사이트 주소를 물어보는 DNS 질문(DoH)인지 절대 구분할 수가 없습니다. 443 포트를 아예 다 차단하면 국가 전체의 인터넷이 죽어버리기 때문에 정부의 검열을 가장 빡치게 만드는 궁극의 우회/암호화 기술입니다.

[DNSSEC 존]
    │
    ▼
[DoH / DoT]
    │
    └──▶ [ESNI]

📢 섹션 요약 비유: DoH / DoT의 내부 원리는 기계의 톱니바퀴처럼 맞물려 돌아간다. 한 부분이 어긋나면 전체 효과가 떨어진다.

Ⅲ. 비교 및 연결

프라이버시의 승리: 구글(8.8.8.8), 클라우드플레어(1.1.1.1) 등 글로벌 퍼블릭 DNS들이 DoH를 완벽 지원하며 국가 검열은 무너졌습니다.
기업 보안팀의 비명: 회사 직원이 회사 PC에서 DoH 브라우저를 켜고 악성코드 도메인(명령 서버)에 접속합니다. 회사 방화벽 100억짜리 차단 장비가 이 암호화된 DNS 패킷을 까보질 못해서 악성 사이트 접속을 차단하지 못하고 랜섬웨어에 감염되는 대참사가 터집니다. (가시성의 상실)
DNSSEC: 해커가 가짜 주소로 **'조작'**하는 걸 막아주는 무결성(도장) 기술. (편지 내용물은 남이 읽을 수 있음)
DoH / DoT: 내 질문 내용을 남이 **'훔쳐보는 것'**을 막아주는 기밀성(암호화 터널) 기술. (편지 내용을 금고에 숨김)
현대 클라우드는 이 두 기술을 동시에 섞어 써야 비로소 완벽한 인터넷 주소록 보안이 달성됩니다.

DoH / DoT를 볼 때는 앞뒤 개념과의 경계를 함께 봐야 전체 흐름이 선명해진다. DNSSEC 존이 기반 조건을 만든다면, DoH / DoT는 그 위에서 핵심 메커니즘을 구현하고, ESNI는 이를 더 확장된 적용 단계로 연결한다. 따라서 단일 정의보다 측정 정확도과 모델 적합성에 어떤 차이를 만드는지 비교하는 것이 중요하다.

관점	선행 개념	현재 개념	확장 개념
초점	DNSSEC 존의 기반 정리	DoH / DoT의 핵심 동작	ESNI의 확장 적용
자원 관점	기본 조건 확보	측정 정확도 최적화	규모와 범위 확대
판단 포인트	도입 가능성 확인	현재 메커니즘의 적합성 판단	운영·확장 전략 연결

📢 섹션 요약 비유: 기존 쌩얼 DNS는 엽서 뒤에 "저기요! 포르노 사이트 주소 좀 알려주세요!"라고 대문짝만하게 적어서 우체통에 넣는 짓입니다. 우체부(통신사, 정부)가 편지를 나르다가 내용을 다 훔쳐보고 부끄러워하며 쓰레기통에 버립니다(차단). 이를 숨기기 위한 첫 번째 방법 **DoT(DNS over TLS)**는 이 엽서를 **'검은 봉투(TLS 암호화)'**에 밀봉하고 우표에 **'DNS 전용 마크(포트 853)'**를 찍어 보내는 겁니다. 우체부는 내용은 못 보지만 "아, 이놈 또 주소 물어보네?"라고 눈치는 챕니다. 두 번째 궁극의 방법 **DoH(DNS over HTTPS)**는 이 엽서를 아예 '일반 쇼핑몰 홈쇼핑 택배 박스(HTTPS 포트 443)' 안에 쇼핑몰 잡지들과 함께 숨겨서 택배로 부쳐버리는 미친 스텔스 작전입니다. 우체부가 택배 엑스레이를 찍어도, 이게 그냥 옷을 산 건지(일반 웹 서핑), 안에 음흉한 주소 질문 엽서(DoH)가 들어있는지 절대 구분할 수 없어서, 국가의 불법 사이트 검열망을 완벽하게 바보로 만들어버리는 인터넷 프라이버시 최후의 철갑탄입니다.

Ⅳ. 실무 적용 및 기술사 판단

실무에서는 DoH / DoT를 단독 개념으로 외우기보다 어떤 병목을 줄이기 위한 선택인지 먼저 따져야 한다. 특히 DNSSEC 존 수준의 기본 대책으로 충분한지, 아니면 DoH / DoT가 제공하는 메커니즘이 실제로 필요한지 구분해야 한다. 이후 확장 단계에서는 ESNI와 같은 후속 기술, 자동화 체계, 표준 호환성까지 함께 검토해야 한다.

실무 체크리스트

현재 문제의 핵심이 측정 정확도 부족인지, 모델 적합성 악화인지 먼저 분리한다.
DoH / DoT가 추가하는 복잡도와 운영 이득이 균형을 이루는지 확인한다.
도입 후에는 인접 기술인 ESNI와의 연계 방식을 함께 검증한다.

안티패턴

DoH / DoT의 장점만 보고 트래픽 패턴이나 운영 비용을 무시한 채 과도 도입하는 설계
DNSSEC 존와의 경계를 정리하지 않아 중복 투자나 정책 충돌을 만드는 설계
📢 섹션 요약 비유: DoH / DoT를 실제로 쓰는 판단은 도구 상자를 고르는 일과 비슷하다. 좋아 보이는 도구보다 지금 문제에 맞는 도구가 중요하다.

Ⅴ. 기대효과 및 결론

DoH / DoT는 성능 평가와 고급 분석을 이해할 때 핵심 축을 잡아 주는 개념이다. 올바르게 적용하면 측정 정확도 개선과 구조적 단순화에 기여하지만, 조건을 잘못 잡으면 오히려 복잡도와 운영 부담이 커질 수 있다. 앞으로는 ESNI, AI 기반 성능 예측, 자동화 운영과의 결합을 통해 더 정교하게 발전할 가능성이 크다. 따라서 이 개념은 정의 자체보다 “언제 쓰고 언제 다른 방법으로 넘길 것인가”의 관점으로 기억하는 것이 좋다. 향후에는 AI 기반 성능 예측 같은 자동화 흐름과 결합되어 더 정교한 형태로 확장될 가능성이 크다.

📢 섹션 요약 비유: DoH / DoT는 큰 흐름 속에서 기억해야 오래 남는다. 지금의 장점과 다음 확장 방향을 같이 보면 전체 그림이 선명해진다.

📌 관련 개념 맵

개념	연결 포인트
DNSSEC 존	현재 개념이 등장하기 전에 갖춰야 할 배경이나 인접 선행 개념이다.
처리량 (Throughput)	실제 전달 성능을 나타내는 대표 지표다.
지연 (Latency)	사용자 체감 품질을 좌우한다.
ESNI	현재 개념이 확장되거나 적용 단계로 이어질 때 자주 함께 언급된다.

📈 관련 키워드 및 발전 흐름도

[선행 개념: DNSSEC 존]
    │
    ▼
[현재 개념: DoH / DoT]
    │
    ├──▶ [확장 A: ESNI]
    └──▶ [확장 B: AI 기반 성능 예측]

DoH / DoT는 DNSSEC 존에서 출발해 현재 메커니즘을 정교화하고, 이후 ESNI와 AI 기반 성능 예측 같은 확장 흐름으로 이어진다고 보면 기억이 오래간다.

👶 어린이를 위한 3줄 비유 설명

달리기 시합에서 누가 얼마나 빨랐는지 재려면 초시계와 기록표가 필요해요.
이 개념은 네트워크가 어디서 느려졌는지 숫자로 찾아내는 도구예요.
그래서 막연히 고치는 대신 가장 중요한 곳부터 똑똑하게 손볼 수 있어요.