Cloudflare, IP 노출 없는 OHTTP Gateway 클로즈드 베타 출시

Cloudflare가 Oblivious HTTP (OHTTP) 프라이버시 표준 구현을 돕는 유료 애드온 서비스 Cloudflare OHTTP Gateway의 클로즈드 베타를 출시했다. 이 서비스를 통해 앱 백엔드는 사용자 IP 주소나 TLS 지문 없이 HTTP 요청을 수신할 수 있으며, 이는 현재 최종 사용자와 개발자에게 부담으로 작용하던 프라이버시 문제를 해결한다.

OHTTP 작동 방식

OHTTP는 relay와 gateway라는 두 개의 독립적으로 운영되는 홉을 활용한 '더블 블라인드' 프라이버시 모델에 의존한다.

• relay는 암호화된 요청을 전달하며 앱 서버로부터 클라이언트 식별자를 숨긴다.
• gateway는 암호화 캡슐화 및 디캡슐화를 수행하여 앱 서버가 요청을 일반 HTTP로 처리할 수 있게 한다.
• 이 분리 구조로 인해 클라이언트 식별자와 요청 내용을 동시에 볼 수 있는 단일 주체는 존재하지 않는다.

Cloudflare는 이전에 OHTTP relay 제품(구 Privacy Gateway)을 출시했으며 현재 Cloudflare OHTTP Relay로 이름을 변경했다. 새로운 Gateway는 신뢰 분리 요구사항으로 인해 기존에 Cloudflare relay를 사용할 수 없었던, 이미 Cloudflare 뒤에 앱 서버를 둔 고객들을 위해 이 서비스를 보완한다.

주요 기능 및 아키텍처

OHTTP Gateway는 지연 시간을 최소화하기 위해 Cloudflare의 글로벌 엣지 네트워크에 배포된다. 주요 구현 세부 사항은 다음과 같다:

• Zone 통합: 고객 Zone의 기능으로 활성화되며 /.well-known/ohttp-gateway에서 요청을 수신한다.
• 키 관리: Cloudflare가 모든 HPKE 키를 관리하며 게이트웨이 엔드포인트에 대한 GET 요청을 통해 공개 키를 제공한다.
• 보안: Cloudflare Access와 통합되어 relay에서 들어오는 트래픽을 인증하며, 상호 TLS 및 기타 정책을 지원한다.
• 프라이버시 보호 장치: 신뢰 분리를 위반하지 않도록 Cloudflare Workers 또는 Cloudflare에서 프록시된 호스트에서 보낸 요청의 복호화를 거부한다.

사용 사례

Gateway는 다음과 같은 경우에 가장 적합하다:

• Cloudflare(CDN 또는 Workers)에서 앱 서버를 호스팅하는 개발자.
• Apple의 LiveCallerID와 같은 서드파티 relay에서 OHTTP 요청을 수신하는 애플리케이션.
• 자체 호스팅 게이트웨이와 관련된 운영 오버헤드 및 지연 시간을 최소화하려는 팀.