Oblivious HTTP (OHTTP)

개요

Oblivious HTTP(OHTTP)는 클라이언트가 서버에 HTTP 요청을 보낼 때, 중간 게이트웨이를 활용하여 서버로부터 클라이언트의 IP와 콘텐츠 요청을 분리함으로써 완전한 프라이버시 보호를 실현하는 기술입니다. 이를 통해 서버는 요청의 내용은 볼 수 있지만 요청한 사용자가 누구인지는 알 수 없고, 게이트웨이는 누가 요청했는지는 알지만 요청 내용은 보지 못하게 됩니다. IETF 표준화가 진행 중이며, 개인정보 보호 중심의 웹 환경을 구축하는 데 핵심 역할을 합니다.

---

1. 개념 및 정의

항목	설명	비고
정의	클라이언트 HTTP 요청을 암호화하여 프록시 게이트웨이 경유 후 서버에 전달하는 보안 프로토콜	IETF OHTTP draft 기준
목적	서버로부터 클라이언트 식별 정보를 보호	익명성, 추적 방지 실현
필요성	기본 HTTP 구조는 IP와 요청 내용이 함께 노출됨	트래킹, 프라이버시 침해 가능

OHTTP는 신뢰할 수 없는 네트워크 환경에서도 클라이언트 익명성을 보장하는 구조를 갖습니다.

---

2. 특징

특징	설명	비교
트래픽 분리	콘텐츠 요청과 IP 정보를 분리 처리	VPN과 달리 중앙 노드에 내용 노출 없음
암호화 기반 요청	요청 내용을 end-to-end로 암호화	HTTPS보다 프라이버시 수준 강화
단순 구조 통합	기존 HTTP/3 및 CDN과 통합 용이	SOCKS/HTTP Proxy보다 경량화됨

OHTTP는 프록시 서버를 신뢰할 필요 없이 구조적으로 프라이버시를 보장합니다.

---

3. 구성 요소

구성 요소	설명	예시
Client	HTTP 요청을 보내는 사용자	웹 브라우저, 앱 등
Gateway	요청을 받아 암호 해독 없이 서버로 전달	CDN, 익명화 중계 서버
Server	실제 HTTP 요청을 처리하는 대상	API 서버, 웹 서버 등
Request/Response	OHTTP 메시지 포맷으로 암호화 처리	binary format + AEAD 암호화
Public Key Distribution	게이트웨이를 통한 서버의 공개 키 전달	DNS, .well-known URI 통해 제공

클라이언트는 서버의 공개 키로 요청을 암호화하여 게이트웨이에 전달합니다.

---

4. 기술 요소

기술 요소	설명	관련 기술
HPKE (Hybrid Public Key Encryption)	비대칭 암호 기반의 콘텐츠 암호화 기법	TLS 1.3에도 사용됨
DNS RR for config	서버의 OHTTP 설정을 클라이언트가 탐지	HTTPS DNS 레코드 활용
HTTP/3 지원	높은 전송 효율성과 낮은 지연 시간	QUIC 기반 동작 가능
AEAD (Authenticated Encryption)	요청 위조 및 변조 방지	ChaCha20-Poly1305, AES-GCM 등
Oblivious DoH (ODoH)	DNS 요청에 OHTTP 적용한 형태	Cloudflare, Fastly 채택

OHTTP는 전체 인터넷 프라이버시 기술군에서 중요한 보안 모듈로 작동합니다.

---

5. 장점 및 이점

장점	설명	기대 효과
사용자 익명성 보장	IP와 요청 분리를 통해 서버 추적 차단	광고 추적, 통신 감시 우회
중간자 공격 방지	요청은 암호화되어 MITM 불가	안전한 인증/토큰 요청 가능
단일 게이트웨이 사용 가능	인프라 통합으로 운영 간소화	CDN과 통합 구축 용이
개인정보 보호 정책 대응	GDPR, CCPA 등 규제 대응 수월	개인 식별 정보(IP) 노출 없음

OHTTP는 사용자 신뢰를 확보하는 현대 웹 보안 전략의 핵심 도구가 됩니다.

---

6. 주요 활용 사례 및 고려사항

활용 사례	설명	고려사항
프라이버시 중심 브라우징	타사 요청 추적 차단	클라이언트 브라우저 지원 필요
메트릭 익명 수집	서비스 품질 데이터 수집 시 사용자 식별 회피	이벤트 타이밍과 메타데이터 분석 주의
클라우드 API 익명화	SaaS API 요청 시 사용자 IP 보호	리버스 프록시 구성과 연계 필요
IoT 통신 보호	디바이스가 직접 서버와 통신할 때 IP 은폐	게이트웨이/서버 구성의 경량화 고려

도입 시 OHTTP Gateway의 선택, 키 관리 정책, 캐싱 정책 등을 신중히 설계해야 합니다.

---

7. 결론

Oblivious HTTP(OHTTP)는 사용자와 서버 간 트래픽에서 프라이버시를 구조적으로 보장하는 획기적인 기술입니다. 특히 사용자 IP 추적, 네트워크 감시, 서버 로그 기반 식별 등 기존 HTTP의 프라이버시 문제를 해소하며, 클라우드 및 CDN 환경과도 유연하게 연동 가능합니다. 앞으로의 개인정보 보호 중심 인터넷 아키텍처에서 중요한 구성 요소로 자리 잡을 것입니다.