The Domain Name System (DNS) has long been one of the most valuable data sources for lawful interception and network intelligence. DNS queries reveal which websites a user visits, which services they access, and which applications they use, even when the rest of the traffic is encrypted. For decades, DNS traffic has been transmitted in plaintext, making it readily accessible to network-level interception. The emergence of encrypted DNS protocols — DNS over HTTPS (DoH) and DNS over TLS (DoT) — is fundamentally changing this landscape, with significant implications for 합법적 감청 능력.
이 기사에서는 DoH와 DoT의 작동 방식, 이들이 도입되는 이유, 합법적 감청에 미치는 영향, 그리고 DNS 트래픽의 암호화 비중이 점점 높아지는 환경에서 통신 사업자들이 규정 준수 의무를 이행하기 위해 취할 수 있는 조치에 대해 살펴본다.
통신 사업자를 위한 암호화 DNS 과제
Traditional DNS resolution uses port 53 (mostly UDP, with TCP for larger responses), transmitting queries and responses in plaintext. Anyone with access to the network path between the user and the DNS resolver — including the operator, intermediate network elements, and potential eavesdroppers — can observe the DNS queries and determine which domain names the user is resolving.
DNS over TLS (DoT), defined in RFC 7858, encrypts DNS traffic by wrapping it in a TLS connection on TCP port 853. The DNS queries and responses are encrypted in transit, preventing observation by intermediaries. However, the use of a dedicated port (853) makes DoT traffic identifiable at the network level — an observer can determine that DNS resolution is occurring, even though the content of the queries is encrypted. A third protocol, DNS over QUIC (DoQ, RFC 9250), runs on UDP port 853. Oblivious DoH (RFC 9230) additionally hides the user’s IP address from the resolver.
DNS over HTTPS (DoH), defined in RFC 8484, takes encryption a step further by tunnelling DNS traffic within standard HTTPS connections on port 443 (TCP, or UDP when HTTP/3 over QUIC is used). Because DoH uses ordinary HTTPS on port 443, its content cannot be separated from web traffic, although connections to well-known public resolvers can still be recognised by their addresses. DoH effectively hides DNS resolution within the vast volume of encrypted web traffic that traverses modern networks.
두 프로토콜 모두 네트워크 중개자가 DNS 쿼리를 감시하지 못하도록 차단함으로써 사용자의 개인정보를 보호하도록 설계되었습니다. Mozilla Firefox와 Google Chrome을 비롯한 주요 브라우저 업체들은 DoH 지원을 구현했으며, 일부 운영 체제는 이제 DoH와 DoT를 기본적으로 지원합니다. 개인정보 보호 운동, 브라우저의 기본 설정, 그리고 모든 네트워크 트래픽을 암호화하려는 광범위한 추세에 힘입어 암호화된 DNS의 도입이 가속화되고 있습니다.
합법적 통신 감청에 미치는 영향
The encryption of DNS traffic has a direct and significant impact on lawful interception capabilities. Plaintext DNS queries have traditionally been visible to investigators inside the content of communication (CC): the IP copy of the target’s traffic includes every DNS packet, providing a detailed record of the target’s online activity. When a target visits a website, sends an email, or uses an application, the corresponding DNS queries reveal the domain names involved, even when the content of the communication is encrypted.
DoH 및 DoT를 사용하면, 대상 기기가 해당 통신사가 운영하지 않는 암호화된 DNS 리졸버를 사용하도록 설정된 경우, 통신사는 더 이상 네트워크 수준에서 DNS 쿼리를 관찰할 수 없습니다. DNS 확인 과정은 기기와 리졸버 간에 종단 간으로 암호화되며, 통신사의 네트워크 장비는 TLS 세션 키에 접근하지 못하면 쿼리를 복호화할 수 없습니다.
This loss of DNS visibility affects real-time interception: the IP copy of the target’s traffic still contains every DNS packet, but with DoH and DoT those packets are encrypted, so the LEA loses the domain names it used to read from them. Encrypted DNS does not affect retained data: data retention rules, where they apply, cover subscriber and IP-assignment records. They do not cover DNS queries or browsing history, which in Germany are expressly excluded from data retention (§ 176(5) TKG).
이 영향은 대상 시스템이 통신사의 자체 DNS 인프라 대신 클라우드플레어(Cloudflare), 구글(Google) 또는 기타 제공업체가 운영하는 것과 같은 제3자 DoH 리졸버를 사용할 때 가장 심각합니다. 이 경우 DNS 쿼리는 통신사의 네트워크 외부에서 전적으로 처리되므로, 통신사는 해당 쿼리에 대해 어떠한 접근 권한도 갖지 못합니다. 대상 기기가 DoT 또는 DoH를 지원하는 통신사 자체 DNS 리졸버를 사용하는 경우, 통신사는 리졸버 수준에서 쿼리 데이터에 대한 접근 권한을 유지하지만, 중간 네트워크 지점에서는 접근 권한이 없습니다.
운영자를 위한 완화 전략
Operators cannot prevent the adoption of encrypted DNS, but they can implement strategies to mitigate its impact on lawful interception. The first strategy is to operate their own DoH and DoT resolvers and to encourage their subscribers to use these resolvers, for example by advertising them through DDR (RFC 9462) or DNR (RFC 9463) so that devices upgrade to the operator’s encrypted resolver automatically. If the operator runs the encrypted resolver, an interception point at the resolver can still see a target’s queries in plaintext once a valid order is in force. This is not a reason to log all subscribers’ DNS: keeping such data needs its own legal basis. This approach preserves DNS visibility for lawful interception while still providing subscribers with the privacy benefits of encrypted DNS against third-party observation.
The second strategy involves using alternative data sources to reconstruct the information that DNS queries previously provided. Server Name Indication (SNI) in TLS handshakes provides the domain name of the server that the client is connecting to, and this information has traditionally been transmitted in plaintext. However, Encrypted Client Hello (ECH, RFC 9849, published 2026, the successor to ESNI) now encrypts the SNI as well, wherever browser and server support it, further reducing visibility. IP address analysis can also provide some information about which services a target is accessing, but the widespread use of content delivery networks (CDNs) and shared hosting means that IP-to-domain mapping is often ambiguous.
The third strategy is to implement interception at the application layer or at the device level, rather than relying solely on network-level data. This approach is beyond the scope of traditional telecommunications interception, but some jurisdictions already permit device-level interception under strict conditions (in Germany, ‘Quellen-TKÜ’ under § 100a StPO), as a response to the increasing encryption of network traffic. For operators, this is not a practical solution, but it is part of the broader context in which encrypted DNS should be understood.
A fourth strategy involves regulatory and policy engagement. Outside the EU, some governments block third-party resolvers or encrypted handshakes. In the EU, net-neutrality rules (Regulation (EU) 2015/2120) make such blocking by operators difficult without a specific legal basis. These approaches are controversial and raise questions about network neutrality, user freedom, and technical feasibility.
암호화의 광범위한 확산 추세
암호화된 DNS는 개인정보 보호 문제, 보안 모범 사례, 주요 소프트웨어 플랫폼의 기본 설정에 힘입어 모든 네트워크 트래픽을 암호화하려는 광범위한 추세의 일부입니다. TLS 1.3, ECH, QUIC 및 기타 기술들은 네트워크 수준 감청이 전통적으로 의존해 온 메타데이터와 콘텐츠의 암호화를 점차 확대하고 있습니다. 이러한 암호화 추세의 각 단계는 운영자가 확보할 수 있는 가시성을 감소시키며, 결과적으로 합법적 감청의 범위도 축소시킵니다.
통신 사업자들은 과거에 누려왔던 네트워크 수준의 가시성이 점차 감소하고 있으며 앞으로도 계속 감소할 것임을 인식해야 한다. 이러한 추세에 대한 대응은 순전히 기술적인 차원에 그쳐서는 안 되며, 강력한 암호화 기술이 적용된 네트워크 환경의 현실을 반영한 합법적 통신 감청을 위한 새로운 접근 방식을 마련하기 위해 규제 당국, 표준화 기구 및 법 집행 기관과 협력해야 한다.
At the same time, operators must continue to deliver whatever interception data they are technically capable of providing. The encryption of DNS does not eliminate the operator’s legal obligation to intercept; it changes the scope of what can be intercepted. Operators must remove encryption they apply in the network or whose keys they help generate or exchange (in Germany § 8(3) TKÜV). Third-party DoH or DoT traffic is handed over as captured. Operators must be transparent with law enforcement about these limitations and must ensure that their LI systems are updated to handle the reduced visibility gracefully — delivering the complete copy of the target’s traffic, encrypted DNS included, without filtering it.
규정 준수 및 보고에 미치는 영향
Encrypted DNS does not reduce what an operator has to deliver: the complete copy of the target’s traffic, including the encrypted DNS packets, still meets the obligation. What changes is what law enforcement can read from it, and operators should explain this when agencies ask why domain names are missing.
일부 관할권의 규제 당국은 암호화된 DNS의 현실을 반영하기 위해 기술적 요건과 기대치를 업데이트해야 할 수도 있습니다. 사업자들은 규제 정책 수립에 참고할 수 있는 기술적 전문 지식과 실무적 통찰력을 제공함으로써 이 과정에서 건설적인 역할을 수행할 수 있습니다. 모든 당사자에게 있어 최악의 결과는, 사업자가 기술적으로 접근할 수 없는 데이터를 제공해야 한다는 규제 당국의 기대가 제기되는 상황일 것입니다. 이는 수사적 가치를 제공하지 못하면서도 규정 준수 위험을 초래하는 상황입니다.
결론
Encrypted DNS represents a significant shift in the balance between privacy and surveillance capability in telecommunications networks. DoH and DoT protect user privacy by preventing the observation of DNS queries by network intermediaries, but they also reduce the visibility available to lawful interception systems. Operators can help by offering their own encrypted DNS resolvers, leveraging alternative data sources, engaging with regulators on evolving requirements, and ensuring that their LI systems accurately reflect the data that is actually available. The trend toward comprehensive network encryption is irreversible, and operators that adapt proactively will be better positioned to maintain compliance and to provide meaningful support to law enforcement within the constraints of the evolving technical landscape.
암호화된 DNS를 둘러싼 논쟁은 개인의 사생활 보호 권리와 법 집행 기관의 정당한 필요성 사이의 갈등도 부각시키고 있습니다. 적절한 균형을 찾기 위해서는 기술 전문가, 정책 입안자, 시민 사회, 법 집행 기관 간의 협력이 필요합니다. 통신 사업자는 이러한 이해관계가 교차하는 지점에 위치해 있으며, 기술적 역량, 법적 의무, 사생활 보호 조치가 조화를 이룰 수 있도록 보장해야 할 특별한 책임을 지고 있습니다. 통신 사업자들은 표준 개발, 규제 관련 협의, 업계 포럼에 적극적으로 참여함으로써, 사생활을 존중하면서도 법치에 따라 민주 사회가 합법적인 감시를 수행할 수 있는 능력을 유지할 수 있는 해결책을 마련하는 데 기여할 수 있습니다.
관련 기사
관련 주제에 대한 자세한 내용은 다음 문서를 참조하세요:
- 5G SA 환경에서의 네트워크 슬라이싱: LI 타겟팅을 어떻게 복잡하게 만들며(그리고 어떻게 단순화할 수 있는가)
- AI 지원 LI: 자동화가 운영자와 법 집행 업무 흐름에 미치는 의미
- IRI와 CC: 실제로 가로채기 관련 정보가 실제로 의미하는 것
외부 리소스
다음 외부 리소스에서 추가 컨텍스트와 공식 문서를 확인할 수 있습니다:
