RFC 5961: TCP gegen blinde Reset- und SYN-Angriffe härten
Zusammenfassung
RFC 5961 verbessert TCP-Prüfungen, damit gefälschte Segmente bestehende Verbindungen schwerer zurücksetzen oder stören können. Kleine Zustandsprüfungen können die Angriffskosten stark erhöhen.
Ideen
- Challenge ACKs prüfen verdächtige Reset-Segmente.
- Engere Sequenznummernprüfung reduziert blinde Treffer.
- SYN-Verarbeitung in bestehenden Verbindungen wird gehärtet.
Einsichten
- Alte Protokolle bleiben durch gezielte, kompatible Korrekturen belastbar.
Bemerkungen
- RFC 5961 trägt den Status „Vorgeschlagener Standard“; aktuelle Errata und Nachfolgedokumente bleiben zusätzlich zu prüfen.
Empfehlungen
- Halte Kernel und Netzwerkstack aktuell.
- Überwache ungewöhnliche Reset- und Challenge-ACK-Raten.
Referenzen
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.