클라우드플레어, OHTTP 게이트웨이 출시로 개인 정보 보호 인프라 확장

새로운 OHTTP 게이트웨이 도입

클라우드플레어가 Oblivious HTTP(OHTTP) 게이트웨이를 출시하며 개인 정보 보호 인프라 제품군을 확장한다. 이 게이트웨이는 유료 애드온으로 제공되며, 고객은 몇 번의 클릭만으로 OHTTP 트래픽을 수신할 수 있다. 기존의 "프라이버시 게이트웨이"는 "클라우드플레어 OHTTP 릴레이"로 명칭이 변경되어 두 제품 간의 구분이 명확해진다.

OHTTP는 IETF 표준으로, 애플리케이션 백엔드가 사용자 IP 주소를 보지 않고 HTTP 요청을 받을 수 있도록 설계되었다. 클라우드플레어는 2022년에 OHTTP 릴레이 제품을 선보인 바 있으며, 이번 게이트웨이 출시는 OHTTP 아키텍처 구축에 필요한 신뢰 분리 원칙을 충족하는 두 가지 옵션을 제공한다.

개인 정보 보호 인프라 확장 배경

온라인 환경에서 최종 사용자는 개인 정보 보호에 대한 부담을 크게 안고 있다. 일반적인 클라이언트-서버 통신은 클라이언트의 IP 주소나 TLS 지문과 같은 사용자 데이터를 노출하며, 이는 앱 개발자에게도 과도한 가시성 부담이 될 수 있다. 클라우드플레어는 이러한 문제를 해결하기 위해 개발자가 앱에 개인 정보 보호 기능을 내장할 수 있는 인프라를 구축한다.

기존에는 클라우드플레어의 OHTTP 릴레이를 사용하려는 고객이 자체 게이트웨이를 구축해야 했다. 그러나 대규모로 안전하고 성능 좋은 OHTTP 게이트웨이를 구축하고 운영하는 것은 어려운 일로 확인되었다. 또한, 앱 서버가 이미 클라우드플레어 뒤에 있는 경우, 클라우드플레어 릴레이를 사용하면 OHTTP의 개인 정보 보호 모델이 깨질 수 있었다. 이러한 문제점들을 해결하고 개발자에게 더 접근하기 쉬운 개인 정보 보호 인프라를 제공하기 위해 OHTTP 게이트웨이가 개발되었다.

OHTTP 게이트웨이의 작동 방식

OHTTP는 요청이 릴레이와 게이트웨이라는 두 개의 독립적으로 운영되는 홉을 통해 이동하는 방식으로 작동한다. 릴레이는 암호화된 요청을 맹목적으로 전달하여 클라이언트 식별자를 앱 서버로부터 숨긴다. 게이트웨이는 암호화된 요청을 복호화하고 응답을 다시 암호화하는 암호화 작업을 수행하여 앱 서버가 일반 HTTP 요청처럼 OHTTP 요청을 처리할 수 있도록 한다.

이 과정에서 릴레이는 클라이언트의 IP 주소와 TLS 지문 같은 식별자를 보지만 요청 내용은 알지 못한다. 반대로 게이트웨이와 앱 서버는 요청 내용을 보지만 클라이언트 식별자를 알지 못한다. 이러한 릴레이와 게이트웨이 간의 신뢰 분리는 어떤 단일 당사자도 클라이언트 식별자와 요청 내용을 동시에 볼 수 없도록 보장하여 강력한 이중 맹검(double-blind) 개인 정보 보호 모델을 구현한다.

클라우드플레어 OHTTP 게이트웨이는 고객의 존(zone)에 기능으로 바인딩되어 `/.well-known/ohttp-gateway` 엔드포인트를 통해 OHTTP 요청을 수신한다. 표준 OHTTP와 청크(chunked) OHTTP를 모두 지원하며, 성능 향상을 위해 청크 OHTTP 사용을 권장한다. 게이트웨이는 요청을 가로채 복호화한 후 앱 서버로 서브 요청을 발행하고, 암호화된 응답을 클라이언트에 반환한다. 비(非) OHTTP 요청은 게이트웨이를 거치지 않고 서버로 직접 전달된다.

게이트웨이는 고객을 위해 모든 HPKE(Hybrid Public Key Encryption) 키를 완전히 관리하며, `/.well-known/ohttp-gateway`에 대한 GET 요청 응답으로 공개 키를 제공한다. 또한, 클라우드플레어 Access 제품과 통합되어 요청 복호화 전에 릴레이를 인증할 수 있다. 이를 통해 상호 TLS, 정적 서비스 자격 증명, 사용자 지정 외부 로직 등 표준 Access 정책을 사용하여 인바운드 트래픽을 보호하고 게이트웨이 오용을 방지한다.

개발자 및 사용자에게 미치는 영향

클라우드플레어 OHTTP 게이트웨이 출시는 개발자가 애플리케이션에 네트워크 수준의 개인 정보 보호 기능을 쉽게 통합할 수 있도록 돕는다. 개발자는 복잡한 OHTTP 게이트웨이 구축 및 운영 부담을 덜고, 클라우드플레어의 글로벌 엣지 네트워크를 활용하여 낮은 지연 시간으로 OHTTP 서비스를 제공할 수 있다. 특히 앱 서버가 클라우드플레어 CDN이나 Workers 뒤에 있는 경우, 게이트웨이와 앱 서버가 동일한 인프라에서 작동하여 게이트웨이-원본 서버 간 지연 시간을 최소화한다.

이 서비스는 개발자에게 OHTTP 아키텍처 선택의 폭을 넓혀준다. 앱 서버가 클라우드플레어 외부에 호스팅되는 경우 클라우드플레어 OHTTP 릴레이와 자체 게이트웨이를 사용할 수 있다. 반면, 앱 서버가 이미 클라우드플레어 뒤에 있거나, Apple의 LiveCallerID와 같은 서드파티 클라이언트로부터 OHTTP 요청을 받아야 하는 경우, 클라우드플레어 OHTTP 게이트웨이와 서드파티 릴레이 조합이 더 적합하다. 이는 OHTTP의 핵심인 신뢰 분리 원칙을 준수하면서도 유연한 배포를 가능하게 한다.

적용 조건 및 고려 사항

클라우드플레어 OHTTP 게이트웨이는 유료 애드온 서비스로 제공되며, 현재는 클로즈드 베타 형태로 운영된다. 사용을 원하는 개발자는 대기 목록에 등록해야 한다. OHTTP를 구현하려면 클라이언트 측에서 OHTTP 클라이언트를 구현해야 하며, `ohttp.info` 또는 샘플 클라이언트 라이브러리를 참고할 수 있다.

OHTTP는 네트워크 수준에서 개인 정보 보호를 제공하지만, 요청 본문에 사용자 이메일 주소나 사용자 이름과 같은 식별 정보를 포함하지 않는 것은 개발자의 책임이다. 또한, OHTTP의 신뢰 분리 모델을 유지하기 위해 릴레이는 클라이언트 식별자가 포함된 로그를 검사하지 않겠다는 약속을 검증 가능하게 제공해야 한다.

클라우드플레어는 OHTTP의 신뢰 분리 원칙을 보존하고 클라우드플레어가 클라이언트 식별자와 복호화된 내부 요청을 동시에 보지 않도록, 클라우드플레어 Workers 또는 클라우드플레어에 프록시된 호스트에서 전송된 요청은 게이트웨이에서 복호화를 거부한다. 이는 클라우드플레어 제품군 내에서 릴레이와 게이트웨이를 동시에 운영하여 개인 정보 보호 모델을 우발적으로 위반하는 것을 방지하기 위한 내재된 제약 사항이다.