Cloudflare, 프라이버시 프로토콜 디버깅 CLI pvcli 오픈소스 공개

Cloudflare가 OHTTP(Oblivious HTTP) 등 프라이버시 보존 프로토콜 디버깅을 위한 CLI 도구 pvcli를 오픈소스(Apache-2.0)로 공개했다. 기존에는 RFC를 참조하며 바이너리를 수작업으로 파싱해야 했는데, pvcli는 curl과 유사한 문법으로 이 과정을 단일 명령으로 줄인다. Apple Private Relay·Microsoft Edge Secure Network를 구동하는 실전 규모의 경험에서 나온 도구다.

핵심 포인트

OHTTP는 클라이언트·릴레이·게이트웨이·타겟 4자가 8단계를 거치며 요청을 처리하는 프로토콜로, 각 단계가 디버깅 장애 지점이 된다.
기존 방식은 RFC 9458·9292를 참조해 바이너리 헥스 스트링을 수작업으로 파싱하고 커스텀 스크립트를 직접 작성해야 했다.
pvcli는 curl과 동일한 인수 체계를 따르며, -v/-vv/-vvv 단계별 로깅으로 인코딩·암호화 각 단계를 투명하게 노출한다.
OHTTP 외에 CONNECT 프록시·MASQUE·Privacy Pass를 하나의 도구에서 통합 지원하는 것이 차별점이다.
Cloudflare는 이 도구로 초당 수백만 건 OHTTP 요청을 처리하는 Privacy Proxy·Privacy Gateway 제품군을 운영하고 있다.

상세 정리

문제 배경: OHTTP 디버깅은 4자 간 8단계 프로토콜이라 어느 단계에서 실패했는지 파악하기 어려웠다. 바이너리 파싱 오류 하나(0x20 공백 문자)가 malformed request를 유발하는 사고가 실제로 발생했다.
기존 워크플로우: 게이트웨이 공개 키를 받아 RFC 9458 기준으로 키 ID·암호화 방식 ID·키 소재를 수동 구분하고, RFC 9292에 따라 메서드·스킴·호스트명·경로를 바이너리로 직접 인코딩한 뒤, 커스텀 스크립트로 암호화 + 래퍼 HTTP 요청을 조합해야 했다.
pvcli 설치 및 사용: Rust(cargo install) 기반으로, --ohttp --first-hop --proxy 플래그만으로 전체 OHTTP 흐름을 한 줄에 실행한다.
로깅 세분화: -v는 HTTP 요청/응답, -vv는 디코딩된 설정 구조체, -vvv는 각 단계의 바이너리 인코딩·암호화 결과를 단계별로 출력해 어느 단계에서 문제가 발생했는지 즉시 파악한다.
추가 설정: --first-hop-header로 릴레이 전용 헤더 주입, --first-hop-client + --first-hop-key로 릴레이에 mTLS 인증이 가능하다.
통합 플랫폼 설계: 기존 단일 프로토콜 도구와 달리 OHTTP·CONNECT 프록싱·MASQUE·Privacy Pass를 하나의 CLI에서 다루는 것이 핵심 설계 목표다.
향후 로드맵: MASQUE에 TCP·UDP·IP 프록싱(HTTP/2·3 지원), OHTTP에 포스트-양자 암호화·Chunked OHTTP·지연 시간 측정 추가 예정이다.
운영 스케일: Apple Private Relay·Microsoft Edge Secure Network를 구동하는 Cloudflare Privacy Proxy·Privacy Gateway에서 초당 수백만 건을 처리하는 실전 경험에서 탄생한 도구다.