📬
기존 DNS 조회는 왜 노출될 수 있을까
일반 DNS 질의는 암호화 없이 평문(UDP 53번 포트)으로 오가기 때문에, 중간에서 어떤 사이트 주소를 물어보는지 볼 수 있습니다.
웹사이트에 접속할 때 브라우저는 먼저 도메인 이름을 IP 주소로 바꾸기 위해 DNS 서버에 질의를 보냅니다. 전통적인 DNS는 이 질의와 응답을 암호화하지 않은 평문으로 주고받기 때문에, 같은 네트워크에 있는 다른 기기나 ISP가 어떤 도메인을 조회하는지 손쉽게 들여다보거나, 심하면 중간에서 다른 IP 주소로 위조된 응답을 보내는 것도 이론적으로 가능합니다.
🔐
DoH(DNS over HTTPS)란
DNS 질의를 일반 웹 트래픽과 똑같은 HTTPS(443번 포트) 채널에 실어 암호화해서 보내는 방식입니다.
DoH는 DNS 조회 내용을 HTTPS로 감싸 전송합니다. 웹사이트 접속에도 쓰이는 443번 포트를 그대로 사용하기 때문에, 겉보기에는 일반 HTTPS 트래픽과 구분하기 어렵다는 특징이 있습니다. 크롬, 파이어폭스, 엣지 등 주요 브라우저들이 자체 설정에서 DoH를 지원하며, 클라우드플레어(1.1.1.1)나 구글(8.8.8.8) 같은 공개 DNS 사업자가 DoH 엔드포인트를 제공합니다.
🔒
DoT(DNS over TLS)란
DNS 질의를 TLS로 암호화하되, 웹 트래픽과는 별도로 전용 포트(853번)를 사용하는 방식입니다.
DoT는 DoH와 마찬가지로 TLS 암호화를 적용하지만, 일반 HTTPS와 같은 443번 포트를 쓰지 않고 DNS 전용으로 지정된 853번 포트를 사용합니다. 이 덕분에 네트워크 관리자가 DoT 트래픽만 따로 식별해 정책을 적용하기가 DoH보다 상대적으로 쉽습니다. 안드로이드의 "개인 DNS" 설정이 대표적인 DoT 지원 사례입니다.
🆚
DoH와 DoT의 핵심 차이
암호화 여부는 같지만, DoH는 443번 포트를 공유해 구분이 어렵고 DoT는 853번 전용 포트를 써서 식별과 차단이 더 쉽습니다.
두 방식 모두 DNS 질의 내용을 암호화해 도청과 위변조를 막는다는 목적은 같습니다. 차이는 전송 방식에 있는데, DoH는 일반 웹 트래픽에 섞여 들어가 네트워크 관리자가 DNS 트래픽만 따로 걸러내거나 차단하기 어렵게 만드는 반면, DoT는 별도 포트를 쓰므로 기업이나 학교 네트워크에서 정책적으로 허용·차단하기가 더 수월합니다. 이 때문에 기업 IT 부서는 DoT를, 개인 프라이버시를 중시하는 사용자는 DoH를 선호하는 경향이 있습니다.
⚖️
암호화 DNS의 장점과 한계
ISP나 공용 와이파이 관리자의 DNS 감청·조작을 막아주지만, DNS 뒤에 이어지는 실제 접속 IP 주소까지 숨겨주지는 않습니다.
DoH·DoT는 "어떤 도메인을 조회했는지"를 제3자로부터 감추는 데는 효과적이지만, 이후 실제로 해당 서버에 접속할 때 오가는 IP 주소나 SNI(서버 이름 표시) 정보까지 완전히 숨겨주는 것은 아닙니다. 또한 학교나 회사, 공유기 자체적으로 특정 사이트를 차단하는 정책이 있다면, DoH를 쓰는 기기는 이 차단을 우회하게 될 수도 있어 네트워크 관리자 입장에서는 오히려 골칫거리가 되기도 합니다.
⚙️
설정하는 방법
크롬·파이어폭스는 설정 메뉴에서 "보안 DNS"를 켜고 원하는 사업자를 고르고, 안드로이드는 "개인 DNS"에 호스트네임을 입력하면 됩니다.
크롬은 설정 > 개인정보 및 보안 > 보안 메뉴에서 "보안 DNS 사용"을 켜고 클라우드플레어·구글 등 제공업체를 선택할 수 있습니다. 파이어폭스는 네트워크 설정에서 "DNS over HTTPS"를 활성화합니다. 안드로이드는 설정 > 네트워크 > 개인 DNS 메뉴에서 DoT를 지원하는 서버의 호스트네임(예: dns.google)을 입력하면 기기 전체의 DNS 조회에 암호화가 적용됩니다.