[!info] related notes

• 所属 MOC: DNS 知识地图
• 基础方案: DoH
• 传输加密: DoT / DoQ
• 来源验证: DNSSEC

ODoH

一句话定义

ODoH（Oblivious DoH，健忘 DoH） 在客户端与 DoH 解析器之间插入一个中继，用密码学方式让「看到客户端身份的一方」看不到「查询内容」，「看到查询内容的一方」看不到「客户端身份」。

核心机制 / 工作原理

普通 DoH 的解析器同时知道：

你是谁：客户端 IP
你查什么：域名

ODoH 把两者拆分：

客户端 ──加密查询──▶ 中继（知道你是谁，但看不到明文域名）
                        │
                        ▼
                    解析器（看到密文域名，但不知道你是谁）
                        │
                        ▼
                    中继 ──回传──▶ 客户端

通过 HPKE 类公钥加密，中继只能转发密文，解析器只能解密查询但拿不到客户端 IP。任一单方都无法同时掌握「身份 + 内容」。

最小例子 / 最小场景

部署了 ODoH 的客户端先把查询用解析器公钥加密，发给中继；中继原样转发；解析器解密、查询、回密文；中继回传。客户端最终拿到答案，而解析器只看到中继的 IP。

边界与易混淆点

• ODoH 解决的是「单点同时掌握身份与内容」问题，不是「解析器作恶」问题——仍要信任解析器不勾结/不日志（信任模型更分散而已）。
• 它仍不验证数据来源正确性，那属于 dnssec 的范畴。
• 中继的可用性与地理位置会影响延迟；中继本身成为新的依赖点。
• ODoH 是 DoH 的隐私增强变体，不是替代 DoT/DoQ 的通用方案。