الخلاصة

  • لا يقبل RFC 5961 حزمة RST في اتصال قائم فوراً إلا إذا طابق رقم تسلسلها RCV.NXT تماماً؛ أما RST الواقع داخل النافذة من دون تطابق فيتلقى Challenge ACK ثم يُهمل.
  • يحمي نمط الإثبات نفسه الحالة المتزامنة من SYN الأعمى، ويقلل فحص ACK الاختياري حقن البيانات، بينما يحد الخنق القابل للضبط كلفة الردود الجديدة.

لم يكن الضعف القديم غياب أرقام التسلسل، بل السلطة الممنوحة لكل رقم داخل نافذة الاستقبال. كان المهاجم خارج المسار يستطيع إرسال حزم RST مزورة موزعة على النوافذ المحتملة حتى تنجح واحدة في إنهاء الاتصال.

ضيّق RFC 5961 هذه السلطة. تُهمل RST خارج النافذة بصمت. ولا يغلق الاتصال فوراً إلا التطابق الدقيق مع البايت التالي المتوقع. أما RST داخل النافذة من دون تطابق فتنتج <SEQ=SND.NXT><ACK=RCV.NXT><CTL=ACK>، ثم تُحذف الحزمة ويستمر الاتصال.

التحدي يكشف حالة الطرف الآخر

لا يصادق ACK على الهوية، بل يسأل عن الحالة. الطرف الشرعي الذي حذف الاتصال فعلاً لم يعد يحتفظ بكتلة التحكم، ولذلك يرد على ACK بحزمة RST جديدة مشتقة من رقم الإقرار. يطابق الرد الثاني تماماً. ولا يرى المهاجم الأعمى التحدي عادة كي يكمله.

في الحالة المتزامنة، يولد SYN أيضاً Challenge ACK أياً كان تسلسله، ثم يُهمل وينتظر الطرف المحلي أن يؤكد طرف أُعيد تشغيله الإغلاق بواسطة RST صحيح. وفي SYN-SENT لا يُقبل RST إلا إذا أقر SYN. تبقى حالة نادرة حين يعاد استخدام المجموعة الرباعية نفسها ويختار الطرف صدفة RCV.NXT-1.

يحتاج حقن البيانات إلى تخمينين

يقيد دفاع البيانات الاختياري ACK بين SND.UNA-MAX.SND.WND وSND.NXT. يسجل MAX.SND.WND أكبر نافذة أعلنها الطرف الآخر، بما فيها التوسعة. يجب على المهاجم إصابة تسلسل الاستقبال ونطاق ACK الخاص بالاتصال معاً. يقل ذلك أيضاً خطر FIN المزور، لكنه لا يلغي الحقن؛ لذا قوة دفاعي RST وSYN هي SHOULD، ودفاع البيانات MAY.

يستهلك كل تحد موارد المعالج والنطاق. يوصي RFC بخنق قابل للضبط؛ مثال عشرة ACK خلال خمس ثوان تجريبي لا قاعدة عالمية. الحد الأصغر يحمي الموارد لكنه يؤخر تنظيف الحالة القديمة، والأكبر يسرع التنظيف مقابل ردود أكثر.

قد تكرر الأجهزة الوسيطة غير المتوافقة RST خاطئاً فتخلق تبادلاً بين RST وACK يجب أن يحده الخنق. ويمكن لحزمة مزورة أن تعكس ACK واحداً، لكن بلا تضخيم لأن كل رد يحتاج حزمة هجوم.

المصدر الوحيد هو RFC 5961، المنشور في مسار المعايير في أغسطس 2010. يصعّب التخمين خارج المسار، لكنه لا يصادق TCP ولا يوقف مهاجماً على المسار ولا يغطي ICMP المزور. تمثل IPsec AH أو ESP حدود الحماية الكاملة. يعني Challenge ACK أن السلطة لم تُثبت، لا أن الخبث ثبت.