HTTPS가 완벽하다고 생각하는 순간, AdGuard가 7.5 시리즈 업데이트(Windows 7.17, Android·Mac CoreLibs 업그레이드 동시 적용)로 개인정보 보호 퍼즐의 한 조각을 더 채웠습니다: **Encrypted ClientHello (ECH)** 실험적 지원이 한 걸음 더 나아갔으며, DNS-over-HTTPS 즉시 필터링까지 모든 기기에서 가능해졌습니다. 통신사가 내가 방문한 사이트를 볼 수 있다는 사실에 신경 쓰였다면, 이 업데이트는 5분만 투자할 가치가 있습니다.
ECH란 무엇인가? 왜 마지막 프라이버시 퍼즐 조각이라 불리는가
HTTPS 사이트를 열 때마다 브라우저는 먼저 서버와 인사합니다. 이것이 TLS 핸드셰이크의
ClientHello 메시지입니다. 문제는 페이지 내용이 모두 암호화되어도, 이 첫 '안녕'에는 당신이 가려는 웹사이트의 도메인 이름(SNI, Server Name Indication)이
명확하게 적혀 있다는 점입니다. 통신사, 공항 WiFi 관리자, 심지어 복도의 감청 장치도 당신이 `example.com`에 접속하는 것을 한눈에 볼 수 있습니다. 안에서 무슨 일을 하는지는 모르지만 '어디로 갔는지'는 전혀 비밀이 아닙니다.
ECH는 이 문제를 해결합니다. ClientHello 전체를 암호화하여, 오직 당신과 대상 서버만 풀 수 있습니다. 중간자는 당신이 ECH를 지원하는 특정 CDN 노드에 연결된 것만 볼 뿐, 구체적인 웹사이트는 추측할 수 없습니다. 즉, ECH는 HTTPS가 첫 패킷부터 마지막 패킷까지 전 구간 암호화를 실현하도록 만듭니다.
AdGuard 7.5는 어떻게 이를 구현했나? 전역 ECH, 브라우저 상관없이
이전에는 ECH가 브라우저에만 의존해야 했습니다. 예를 들어 Chrome이나 Firefox에서 실험 옵션을 켜야 했으며, 사이트의 지원 여부도 따라야 했습니다. AdGuard의 접근 방식은 완전히 다릅니다. 시스템 수준에서 트래픽을 직접 제어합니다.
Android 버전의 업데이트 로그에서 개발자는 심지어 농담을 남겼습니다. "ECH 지원의 첫 단계는 오히려 ECH를 '억제'하는 법을 배우는 것이었다." 이는 AdGuard 내부에 `pref.dns.block.ech` 스위치가 있으며, `pref.https.redirect.doh`와 결합하여 먼저 기본 ECH 요청을 차단한 후, AdGuard가 자체적으로 진정한 ECH를 지원하는 연결을 다시 시작하기 때문입니다. 이렇게 하면
휴대폰의 모든 앱, 모든 브라우저가 AdGuard를 통해 트래픽을 보내는 한 ECH의 개인정보 보호 혜택을 누릴 수 있습니다. 앱 개발자의 업데이트를 기다릴 필요가 없습니다.
Windows 7.17 및 Mac 2.10 버전에도 이 실험적 기능이 포함되어 있으며, ECH가 원활히 작동하도록 AdGuard는 처음으로
DNS 필터링을 기본 활성화했습니다. 이유는 간단합니다. ECH에 필요한 암호화 매개변수는 DNS HTTPS 레코드를 통해 획득해야 하는데, AdGuard 자체 DNS 보호 모듈을 사용하지 않으면 로컬에서 이러한 매개변수를 얻어 전역 암호화를 수행할 수 없기 때문입니다.
3단계로 ECH가 실제로 작동하는지 확인하는 방법
AdGuard는 매우 간단한 확인 방법을 제공합니다:
- 고급 설정에서 Block ECH가 꺼져 있고, DNS 보호가 활성화되어 있는지 확인합니다.
- Use Encrypted ClientHello 실험 옵션을 켭니다(Windows/Android는 '고급 설정', Mac은 '네트워크' 관련 설정에 위치).
crypto.cloudflare.com/cdn-cgi/trace에 접속하여 sni=encrypted가 보이거나, www.cloudflare.com/ssl/encrypted-sni/에서 SSL_ECH_STATUS: success가 표시되면 ECH가 성공적으로 실행 중입니다.
테스트가 통과되지 않더라도 당황하지 마세요. 현재 ECH는 서버 측 지원이 필요하며(Cloudflare 소속 사이트 대부분이 이미 활성화됨), 실험적 기능이므로 때때로 약간의 속도 저하가 발생할 수 있습니다. 공식 팀은 성능 최적화를 진행 중입니다.
ECH만이 아니다: DoH 즉시 필터링과 핵심 엔진 대규모 업그레이드
AdGuard 7.5 시리즈가 가져온 개인정보 보호 향상은 ECH에 그치지 않습니다. CoreLibs 필터링 엔진이 v1.12.80에서 v1.14.59로 업데이트되어 몇 가지 핵심 개선 사항이 도입되었습니다:
- On-the-fly DNS-over-HTTPS 필터링: 이전에는 DoH 요청에 대한 필터링이 수동적이었지만, 이번 업데이트로 AdGuard는 실시간으로 보안 DNS 요청을 가로채 로컬 프록시로 리디렉션하여 DoH 우회 가능성을 차단합니다. 즉, 암호화 DNS를 통해 몰래 회피하려는 앱을 모두 잡아냅니다.
- ECH GREASE 및 매개변수 추출: 차단된 DNS HTTPS 쿼리에서 ECH 구성을 추출하고 트래픽에 GREASE 값을 주입하여 ECH를 지원하지 않는 중간 장비가 혼란을 일으키지 않도록 하며, ECH를 지원하는 연결이 원활히 이루어지도록 합니다.
