Sysop: + Naše Encyklopedie dnes čelí DDOS útoku !

2024-05-16T12:23:15Z

+ Naše Encyklopedie dnes čelí DDOS útoku !

Nová stránka

'''SYN cookies''' je klíčový prvek obrany proti útoku záplavou paketů protokolu [[Transmission Control Protocol|TCP]] s příznakem SYN, pro který se používá anglické označení [[SYN flood]]. Útok spočívá v zaslání velkého množství žádostí o navázání spojení, které je nutno jistou dobu uchovávat (ve frontě). Tyto žádosti však nebudou dovedeny do konce, čímž dojde k zaplnění oné fronty a odmítání dalších, i korektních žádostí.

Hlavním tvůrcem technologie SYN-cookies je [[Daniel J. Bernstein]], který ji definoval jako „částečný výběr počátečního čísla sekvence paketu [[Transmission Control Protocol|TCP]]“.

V případě použití SYN-cookies server po obdržení žádosti o navázání spojení (paketu s příznakem SYN) pošle klientovi odpověď a onu žádost ihned odstraní z fronty. Do odpovědi přitom nevložil sekvenční číslo zcela náhodné, ale vygenerované podle daných pravidel. Obdrží-li server od klienta potvrzení odpovědi (paket s příznaky SYN a ACK), je podle čísla sekvence schopen zpětně odvodit, zda se jedná o korektní paket, a pokud ano, je spojení navázáno.

== Implementace ==
Při navazování TCP-spojení klient pošle serveru TCP-paket s příznakem SYN. Jako odpověď server pošle klientovi TCP-paket s příznaky SYN a ACK. Jak je možné se dočíst u [[Transmission Control Protocol|TCP protokolu]], jedna z částí paketu se nazývá sekvenční číslo (''sequence number''), kterého se v protokolu TCP užívá k seřazení paketů po průchodu sítí. Podle specifikace TCP může jedna ze stran určit číslo první sekvence, což druhá strana musí respektovat. Takže SYN-cookies jsou počáteční čísla sekvencí '''n''', která jsou pečlivě vybírána podle následujících pravidel:

* Nechť '''t''' je čítač zvyšující se každých 64 sekund.
* Nechť '''m''' je maximální velikost segmentu, kterou by měl server uchovávat v jednom záznamu fronty SYN.
* Nechť '''s''' je čtyřiadvacetibitový výsledek tajné, kryptografické funkce počítaný přes [[IP adresa|IP adresu]] serveru i klienta, číslo portu a hodnotu čítače '''t'''.

Takže počáteční TCP sekvence neboli SYN-cookie se počítá například takto:
* Prvních 5 bitů: '''t''' [[Zbytek po dělení|mod]] 32.
* Další 3 bity: zakódovaná hodnota reprezentující číslo '''m'''.
* Zbývajících 24 bitů: '''s'''.

''(Poznámka: Protože '''m''' se kóduje na tři bity, server může použít jen 8 jedinečných hodnot '''m'''.)''

Server zvolil počáteční číslo TCP-sekvence a klient je povinen podle specifikace protokolu TCP toto respektovat. Paket s příznaky SYN a ACK přijde od klienta s číslem sekvence ''n+1''. Server tedy odečte jedničku a má číslo ''sušenky'', kterou poslal klientovi. Pak provede tyto operace:
* Zkontroluje hodnotu '''t''', aby zjistil, zda již nevypršel časový limit.
* Přepočítá '''s''', aby zjistil, zda je SYN-cookie platná.
* Zjistí hodnotu '''m''' z tříbitového kódu v SYN-cookie, což mu pomůže rekonstruovat záznam ve frontě SYN.

Pokud je vše v pořádku, pokračuje se v navazování podle obvyklého scénáře: pošle klientovi TCP paket s příznakem ACK.

== Výhody ==
Využití metody SYN-cookies neporušuje specifikace a je kompatibilní se všemi implementacemi [[Transmission Control Protocol|TCP protokolu]].

== Nevýhody ==
Při používání SYN-cookies je třeba mít na paměti tyto dvě věci:
* Číslo '''m''' je jen tříbitové, tedy jde o celé číslo 0 ÷ 7 (takže se skýtá jen osm možností)
* Paket SYN specifikuje též nastavení spojení (například větší datová okna), ale tato nastavení jsou zapomenuta, neboť pakety se neukládají

Tato omezení je třeba brát jako jistou míru sub-optimality. Jejich efekt je klienty postřehnut jen vzácně. Ale je-li server bez technologie SYN-cookies vystaven útoku, další pokusy o spojení jsou zamítnuty a to je dosti protivné. Zachování dosažitelnosti služby za cenu ztráty ''pár tajemných vychytávek'' je tedy rozumný kompromis.

== Historie ==
Techniku vytvořil Daniel J. Bernstein a [[Eric Schenk]] v září roku 1996. První implementaci provedl o měsíc později [[Jeff Weisberg]] na operačním systém [[Solaris (operační systém)|SunOS]].

Eric Schenk uvolnil implementaci pro [[Linux (jádro)|jádro Linuxu]] v únoru 1997 (současná implementace je řízena pomocí <code>net.ipv4.tcp_syncookies</code>).

{{Článek z Wikipedie}}
[[Kategorie:Počítačová bezpečnost]]
[[Kategorie:Internetové protokoly]]

SYN-cookies - Historie editací

Sysop: + Naše Encyklopedie dnes čelí DDOS útoku !