Encrypted Client Hello (ECH)

개요

Encrypted Client Hello(ECH)는 TLS(Transport Layer Security) 핸드셰이크 과정에서 클라이언트가 서버에 전송하는 ClientHello 메시지를 암호화하여, 민감한 정보를 네트워크 관찰자로부터 보호하는 최신 보안 기술입니다. 특히 HTTPS 통신의 초입에서 노출되던 SNI(Server Name Indication) 정보를 보호함으로써, 트래픽 감시나 검열로부터 사용자의 프라이버시를 크게 강화합니다.

---

1. 개념 및 정의

항목	설명	비고
정의	TLS 핸드셰이크 시 ClientHello 메시지를 암호화하여 민감 정보 보호	TLS 1.3 확장 기술
목적	요청 도메인, 인증 옵션, 클라이언트 정보 등의 노출 차단	Man-in-the-middle 공격 완화
필요성	SNI 평문 노출 문제, 프라이버시 보호 필요성 증가	기존 ESNI(Encrypted SNI)에서 발전됨

ECH는 TLS 보안의 핵심 영역인 핸드셰이크 프라이버시를 직접적으로 개선합니다.

---

2. 특징

특징	설명	비교
SNI 암호화	요청하려는 도메인 정보 보호	기존 TLS는 평문 전송
E2E 프라이버시 향상	DNS + TLS 전 구간 암호화 가능	DoH/DoT와 함께 사용 시 효과 극대화
프론트 도메인 기반	동일 IP에서 프론트 도메인을 통해 ECH 교환	CDN, Cloudflare 등 적용 확대

ECH는 클라이언트가 실제 접속하고자 하는 도메인을 제3자가 알 수 없도록 설계되었습니다.

---

3. 구성 요소

구성 요소	설명	예시
ClientHelloOuter	외부에 노출되는 TLS ClientHello 메시지	무해한 프론트 도메인 정보 포함
ClientHelloInner	암호화된 실제 정보 포함	SNI, ALPN, 인증 정보 등
ECHConfig	서버가 배포한 ECH 키 및 구성 정보	DNS record로 전달 (HTTPS RR)
Hybrid Public Key Encryption (HPKE)	암호화 기법	TLS 1.3 기반 비대칭 키 암호 사용
DNS HTTPS RR	DNS를 통한 ECH 설정 전파 수단	DNSSEC와 함께 사용 시 보안 향상

이러한 구성요소는 ECH의 보안성과 호환성을 동시에 보장합니다.

---

4. 기술 요소

기술 요소	설명	관련 기술
TLS 1.3	ECH가 작동하는 기반 프로토콜	Zero RTT, Forward secrecy 지원
ESNI → ECH	기존 Encrypted SNI를 확장한 기술	Cloudflare 주도로 발전됨
DoH/DoT	암호화된 DNS와 결합 시 효과 상승	DNS over HTTPS/TLS
QUIC 지원	HTTP/3과 함께 ECH 활용 가능	UDP 기반 보안 트래픽에 적용 가능
Certificate-based Delegation	인증서 프론트 도메인 공유 구조	CDN 통합과 연계된 인증 모델 필요

ECH는 현대적 인터넷 환경에 맞춰 설계된 진보된 보안 확장입니다.

---

5. 장점 및 이점

장점	설명	기대 효과
사용자의 프라이버시 강화	요청 도메인 감시 차단	검열 우회, 콘텐츠 보호
트래픽 메타데이터 보호	패킷 크기, 요청 순서 기반 식별 방지	익명성 향상
CDN 및 멀티 호스트 보안 강화	동일 IP상 다중 서비스 보호 가능	인증서 복잡도 감소
DoH와의 통합 효과	DNS + TLS 통합 보안 환경 구축	종단 간 암호화 강화

ECH는 SNI 암호화를 중심으로 전체 보안 인프라의 프라이버시 수준을 끌어올립니다.

---

6. 주요 활용 사례 및 고려사항

활용 사례	설명	고려사항
개인 프라이버시 보호	브라우저 접속 도메인 암호화	클라이언트 및 DNS 서버 지원 필요
기업 보안 경계 우회 대응	기존 방화벽에서의 도메인 필터 회피 방지	정책 기반 보안 시스템 재설계 필요
CDN 통합 보안	동일 IP 내 서비스별 접근 통제 보호	인증서 관리 자동화 필요
검열 회피 기술	TLS 핸드셰이크 단계에서의 프라이버시 확보	국가 차원의 차단 회피 고려 필요

도입 시 ECH 구성 정보 배포, DNS 설정, 키 갱신 자동화가 핵심 과제가 됩니다.

---

7. 결론

Encrypted Client Hello(ECH)는 TLS 보안 체계의 진화를 상징하는 기술로, 인터넷 트래픽 상에서 유일하게 남아있던 개인정보 노출 지점을 해소하는 데 중점을 둡니다. 특히 DoH, HTTP/3, CDN 등 현대 웹 인프라와 결합될 때 사용자 프라이버시를 획기적으로 강화할 수 있으며, 향후 클라우드 보안과 국제 인터넷 검열 대응에서도 중요한 역할을 수행할 것입니다.