구글 DNS 서버, DNS-over-TLS 지원
기존 DNS는 사생활 보호와 보안상 문제
1.9일 구글은 자사의 DNS 서버에 DNS-over-TLS를 지원한다고 밝혔다. DNS(Domain Name System)는 google.com, naver.com처럼 사람이 읽기 쉬운 URL을 실제 IP 주소로 변환하는 것이다. 문제는 기존 DNS 트래픽은 암호화되지 않아, 제3자가 중간에서 엿보거나 조작하는 중간자 공격(man-in-the-middle attack)이 가능하다는 것이다.DNS 요청과 응답을 엿보는 것은 그 사람이 어떤 사이트를 드나드는가를 알 수 있어, privacy에 관련된 문제를 야기한다. DNS 트래픽 조작은 엉뚱한 사이트로 유도하게 된다. 이것을 DNS hijacking이라고 하며, DNS poisoning, DNS spoofing이라고도 한다.
DNS-over-HTTPS(DoH)와 DNS-over-TLS(DoT) 지원
이런 문제를 해결하기 위해 DNS 트래픽을 암호화하는 것이 DoH와 DoT이다. 구글은 이미 DoH를 지원하고 있었는데, 이번에 DoT 지원을 추가했다. 그런데 이 둘은 무엇이 다른 걸까. HTTPS라는 것이 HTTP를 SSL, TLS 암호화한 것이라는 점에서 의아해 할 수 있다.DNS-over-HTTPS는 일반 HTTPS 통신이 사용하는 포트 443을 쓴다. 즉 일반 트래픽과 DNS 트래픽이 완전히 혼합되어 구별을 할 수가 없다.
DNS-over-TLS는 전용 853 포트를 쓴다. DNS 트래픽이 확연히 구별되는 것이다.
암호화된 트래픽에 대한 감청 필요성은 일정 부분 인정할 수밖에 없다. 불법적인 활동을 숨기는 데 악용될 수 있기 때문이다. 결국 문제되는 것은 법적으로 어느 정도까지 허용할 것이냐 하는 것인데, DoT는 아무래도 DoH보다 관리하기 쉽다. DNS 트래픽만을 선별적으로 제어할 수도 있기 때문이다.
이런 이유로 인권주의자들은 DoH를 옹호하고, 현실주의자들은 DoT를 옹호한다.
Google DNS 설정 방법
DNS 설정은 대개 통신사에 의해 자동으로 이뤄진다. 물론 수동으로 바꿀 수 있다. 공유기(라우터)에서 설정하면 연결된 모든 기기에서 이용하므로 편리하다. 개별 기기에서 설정할 수도 있다.Windows 10의 DNS 서버 설정
네트워크 설정에서 '어댑터 옵션 변경'을 선택한다.
사용 중인 네트워크 연결을 마우스 우클릭하여 '속성'을 선택한다.
IPv4를 선택한 후 '속성'을 클릭한다. IPv6를 사용하는 경우에는 이것도 설정한다. 선택할 때 왼쪽의 확인란을 건드리지 않도록 주의한다.
구글 DNS 서버의 주소를 입력한다.
공유기의 DNS 서버 설정
ipTIME 공유기의 설정 화면이다. 'DNS 주소 수동 입력'을 체크하면 입력할 수 있다.
Android 9 Pie의 Private DNS
구글 DNS 서버를 사용한다고 해서 자동으로 DoT, DoH 같은 특수 기능이 작동하는 것은 아니다. 운영체제나 브라우저가 지원하고 활성화해야 한다. 현재 Windows, Mac 등 주요 운영체제는 이를 지원하지 않는다. DoT, DoH를 사용하려면 별도의 프로그램을 구동하거나 proxy를 구성해야 한다.안드로이드 파이는 Private DNS라는 이름으로 DNS-over-TLS를 지원한다. 설정/네트워크/고급/Private DNS로 이동한 후 Private DNS provider hostname에 'dns.google'을 입력하면 된다.
브라우저 중에서는 파이어폭스가 지원한다.
DNS 하이재킹 완벽 방어는 어려워
DoH, DoT를 사용함으로써 프라이버시 보호는 확실히 효과가 있을 것이다. 보안상으로도 순수한 중간자 공격은 막을 수 있을 것이다. 그러나 최근 라우터(공유기)를 해킹하여 설정을 변경하는 악성코드가 많이 활동하고 있다. 이런 경우에는 DoT 자체가 해제된다. 결국 보안 면에서는 절반 이하의 효과만 있을 것 같다.서둘러 이들을 적용할 필요는 없다고 보며, 자신이 사용하는 운영체제나 브라우저가 기본적으로 지원할 때 설정하면 되겠다.
관련 자료
댓글
댓글 쓰기