TCP重置攻击
TCP重置攻击指的是使用伪造的TCP重置包干扰用户和网站的连接[1]。这个技术可以在善意的防火墙中应用[2]，但也可用于网络审查或是攻击，恶意中断TCP连接，是一种旁观者攻击。中国大陆的防火长城会自动执行TCP重置攻击，来阻断不符合中国的法律法规的网站[3]。
背景
[编辑]本质上，Internet是用于单个电脑交换电子消息或IP数据包的系统。该系统包括用于承载消息的硬件（例如铜缆和光纤电缆）和用于格式化消息的形式化系统，称为“协议”。互联网上使用的基本协议是IP协议，通常与其他协议（例如TCP[4]或UDP协议）结合使用。TCP/IP是用于电邮和Web浏览的协议集。每个协议都有一个资讯块，称为包头，包含在每个数据包的开头附近。包头含有关哪台电脑发送了数据包，哪台电脑应接收它，数据包大小等资讯。
当两台电脑之间需要双向虚拟连接时，TCP与IP一起使用。（UDP是无连接IP协议。）两台机器上的TCP软件将通过交换数据包流进行通信（例如，装有浏览器的电脑和Web伺服器）。使用TCP连接为电脑提供了一种简便的方法来交换对于单个数据包来说太大的数据项，例如视频剪辑，电邮附件或音乐文件。尽管某些网页对于单个数据包来说足够小，但为方便起见，它们也是通过TCP连接发送的。
TCP重置
[编辑]在传输控制协议（TCP）连接的数据包流中，每个数据包都包含一个TCP包头。这些包头中的每一个都包含一个称为“复位”（RST）标志的位。在大多数数据包中，该位设置为0，并且无效；但是，如果此位设置为1，则向接收电脑指示该电脑应立即停止使用TCP连接；它不应使用连接的标识号（端口）发送更多数据包，并丢弃接收到的带有包头的其他数据包，这些包头指示它们属于该连接。TCP重置基本上会立即终止TCP连接。
按照最初的设计，这是一个有用的工具。常见的应用是在进行TCP连接时电脑（电脑A）崩溃的情况。另一端的电脑（电脑B）将继续发送TCP数据包，因为它不知道电脑A已崩溃。重新启动电脑A后，它将从旧的崩溃前连接接收数据包。电脑A没有这些数据包的上下文，也无法知道如何处理这些数据包，因此它可以向电脑B发送TCP重置。此重置使电脑B知道该连接不再起作用。电脑B上的用户现在可以尝试其他连接或采取其他措施。
伪造TCP重置
[编辑]在上述情况下，TCP重置是由作为连接端点之一的电脑发送的。但操作中，第三台电脑可以监视连接上的TCP数据包，然后将包含TCP重置的“伪造”数据包发送到一个或两个端点。伪造数据包中的报头必须错误地表明它来自端点，而不是伪造者。此资讯包括端点IP地址和端口号。IP和TCP包头中的每个字段都必须设置为令人信服的伪造值，以进行伪重置，以欺骗端点关闭TCP连接。正确格式化的伪造TCP重置可能是中断伪造者可以监视的任何TCP连接的非常有效的方法。
合理使用TCP重置注入
[编辑]伪造的TCP重置的一个明显的应用是在未经拥有端点的两方同意的情况下恶意破坏TCP连接。但是，也有人设计了使用伪造TCP重置来保护网络安全的系统。1995年被演示的一个原型“ Buster”软件包，该软件包会将伪造的重置发送到使用短列表中的端口号的任何TCP连接。Linux志愿者在2000年提出了在Linux防火墙上实现此功能，[5]而开源的Snort早在2003年就使用TCP重置来中断可疑连接。[6]
IETF认为，RFC3360中防火墙，负载平衡器和Web伺服器进行的TCP重置是有害的。[7]
康卡斯特争议
[编辑]到2007年年底，康卡斯特（Comcast）开始使用伪造的TCP重置来削弱其客户电脑上的点对点和某些群件应用程式。[8][9]这引起了争议，随后由Lauren Weinstein, Vint Cerf, David Farber, Craig Newmark和其他知名的互联网开放性的创始人和倡导者成立了网络中立性小组（NNSquad）。[10]2008年，NNSquad发布了NNSquad Network Measurement Agent，这是由John Bartas编写的Windows应用程式，它可以检测Comcast伪造的TCP重置并将它们与实际的端点生成的重置区分开。用于检测重置的技术是从较早的开源“ Buster”软件开发的，该软件使用伪造的重置来阻止网页中的恶意软件和广告。
FCC于2008年1月宣布，它将调查Comcast对伪造重置的使用，并于2008年8月21日命令Comcast终止该行为。[11]
避免
[编辑]也有讨论提出可以忽略特定TTL的TCP RST数据包（这些特定TTL资讯表明了存在中间装置，例如防火长城，试图干扰连接）来避免TCP重置攻击。[3]
参见
[编辑]参考资料
[编辑]- ^ Wenliang,, Du,. Computer security : a hands-on approach. [Place of publication not identified]. : Chapter 13: Attacks on the TCP Protocol. ISBN 9781548367947. OCLC 1006748661.
- ^ MichaelPlatts. Where do resets come from? (No, the stork does not bring them.). blogs.technet.microsoft.com. [2019-01-10]. （原始内容存档于2019-01-10） （美国英语）.
- ^ 3.0 3.1 Richard Clayton, Steven J. Murdoch, and Robert N. M. Watson. Ignoring the Great Firewall of China (PDF). www.cl.cam.ac.uk. [2019-01-10]. （原始内容存档 (PDF)于2019-06-11）.
- ^ TCP specification. [2020-05-19]. （原始内容存档于2012-08-27）.
- ^ May 2000 Linux discussion archives. [2020-05-19]. （原始内容存档于2016-03-03）.
- ^ SNORT discussion archive: TCP resets
- ^ Inappropriate TCP Resets Considered Harmful. [2020-05-19]. （原始内容存档于2020-01-25）.
- ^ Section of Wikipedia Comcast article
- ^ Associated Press, Comcast Blocks Some Internet Traffic. [2020-05-19]. （原始内容存档于2020-04-06）.
- ^ NNSquad home page. [2020-05-19]. （原始内容存档于2020-05-18）.
- ^ Commission Orders Comcast To End Discriminatory Network Management Practices (PDF). [2020-05-19]. （原始内容存档 (PDF)于2017-12-10）.
- ^ Touch <touch@isi.edu>, Joe. Defending TCP Against Spoofing Attacks. tools.ietf.org. [2019-01-10]. （原始内容存档于2019-01-10） （英语）.
外部链接
[编辑]- Packet Forgery By ISPs: A Report on the Comcast Affair. 电子前哨基金会. 2007-11-28. （原始内容存档于2017-10-02）.
- ICMP Attacks against TCP. Similar attacks using ICMP. 互联网工程任务组. 2010-07. （原始内容存档于2020-01-24）.
- Improving TCP's Robustness to Blind In-Window Attacks. 互联网工程任务组. 2010-08. （原始内容存档于2020-05-01）.