Zusammenfassung

  • Ein gerichteter Broadcast wurde normal zu einem entfernten Präfix geroutet; erst der letzte Router wandelte ihn in einen Broadcast auf dem Ziel-Link um.
  • Smurf ergänzte eine gefälschte Opferadresse als Quelle, sodass antwortende Hosts ihre Pakete an einen unbeteiligten Dritten schickten.
  • RFC 2644 machte Blockieren zum Standard für Empfang und Weiterleitung; BCP 38 begrenzt unabhängig davon Quelladressfälschung am Ursprungsrand.

Ein einzelnes Ziel enthielt eine Menge

IPv4 musste keine Empfängerliste übertragen. Ein Netzpräfix bezeichnete den Ort, ein ausschließlich aus Einsen bestehender lokaler Teil alle Hosts darin. Auf dem größten Teil des Weges konnte das Datagramm gewöhnlich geroutet werden. Erst der mit dem Zielnetz verbundene Router kannte die kollektive Bedeutung und sendete es als Link-Layer-Broadcast aus.

Das war nicht 255.255.255.255. Dieser Limited Broadcast bleibt auf dem lokalen Link und darf nicht weitergeleitet werden. Der gerichtete Broadcast erreichte ein fernes Netz. Eine routbare Adresse enthielt damit die Anweisung, am Ziel viele Systeme anzusprechen.

RFC 919 beschrieb 1984 nützliche Anwendungen: Dienste ohne fest verdrahtete Serverliste finden, ein Gateway ankündigen oder alle Nachbarn nach Informationen fragen. Zugleich benannte das Dokument den Preis: Jeder Host, der einen Broadcast hört, muss wenigstens etwas Arbeit leisten.

In einem gemeinsam verwalteten lokalen Netz kann diese Abwägung sinnvoll sein. Sobald ein entfernter Absender sie auslöst, fallen Nutzen, Entscheidungsrecht und Kosten auseinander.

Subnetze machten den letzten Hop zum Entscheidungspunkt

Subnetting ließ mehrere physische Netze unter einer IP-Netzidentität erscheinen. RFC 922 übertrug das Broadcast-Modell auf diese Struktur. Ein Datagramm lief normal zum entfernten Hardware-Netz; das direkt angeschlossene Gateway setzte es dort als Link-Broadcast ab.

Dieser Router änderte den Wirkungsbereich. Vor ihm bewegte sich ein Paket. Hinter ihm erhielten viele lokale Systeme Gelegenheit zur Verarbeitung. Der letzte Hop war deshalb keine bloße Transportstufe, sondern eine Verwaltungsgrenze.

Unter CIDR hängt die Bedeutung der letzten Bits von der bekannten Präfixlänge ab. RFC 1812 erklärte, dass nur der Last-Hop-Router endgültig zwischen Unicast und netzpräfixgerichtetem Broadcast unterscheiden könne. Klassifikationswissen und Vervielfachungsmacht lagen beim selben Gerät.

Die Anforderungen von 1995 begannen jedoch mit Erlaubnis. Ein Router musste eine Abschaltoption für die Weiterleitung besitzen, Empfang und Weiterleitung sollten aber standardmäßig zugelassen sein. Ohne entgegenstehende Regel musste er weiterleiten.

Das schützte Kompatibilität mit kooperativer Erkennung. Es machte zugleich Nichtkonfiguration zu einer Entscheidung mit Folgen für Außenstehende.

Eine geliehene Rückadresse schloss den Angriffskreis

Routing betrachtet das Ziel. Anfrage-Antwort-Protokolle senden ihre Antwort an die Quelle der Anfrage. Der IPv4-Header beweist nicht, dass der Eigentümer dieser Adresse das Paket erzeugt hat. Ein Angreifer kann die Opferadresse in das Quellfeld schreiben.

Als Ziel wählt er die gerichtete Broadcast-Adresse eines fremden Netzes. Der letzte Router erzeugt den lokalen Broadcast. Hosts, die ihn empfangen und antworten, schicken ihre Antworten an die vorgebliche Quelle: das Opfer.

Das ist Reflexion, weil Antworten nicht zum wirklichen Sender gehen, und Verstärkung, weil eine zugelassene Anfrage mehrere Antwortende aktivieren kann. Einen universellen Faktor geben die Normen nicht her. Er hängt von erreichbaren Hosts, Verhalten, Protokoll und Paketgrößen ab. Strukturell musste der Angreifer nicht jeden Helfer einzeln kontaktieren.

RFC 2644 nannte Netze, die externe gerichtete Broadcasts zuließen, „Smurf Amplifiers“. Der Begriff weist auf die Verknüpfung. Jeder Host konnte einer gewöhnlichen lokalen Regel folgen; erst die Routerpolitik machte die kollektive Antwortmöglichkeit für entfernte Anfragen verfügbar.

Gewöhnliche Einzelschritte ergaben außergewöhnlichen Fremdschaden

Der Router kannte das Präfix. Der Host sah einen gültigen Broadcast auf seinem Link. Die Antwort hatte eine routbare Rückadresse. Isoliert wirkte jeder Vorgang alltäglich.

In der Summe zahlte der Angreifer eine Anfrage, das Verstärkernetz stellte Verarbeitung und Ausgangsbandbreite bereit, und das Opfer erhielt Antworten, die es nie bestellt hatte. Wer die Einstellung kontrollierte, trug nicht zwingend den größten Schaden.

Rate Limits beim Opfer konnten Verfügbarkeit retten, griffen aber nach dem Fan-out. Am Eingang des Verstärkernetzes konnte das Volumen gering aussehen. Der billigste Kontrollpunkt lag dort, wo ein Datagramm zu vielen lokalen Arbeitsaufträgen wurde.

RFC 2644 kehrte die Vermutung um

RFC 2644 erschien im August 1999 als BCP 34. Das Dokument änderte weder Adressformat noch Header, sondern ersetzte Anforderungen aus RFC 1812.

Ein Router durfte weiterhin eine Option zum Empfang gerichteter Broadcasts anbieten, doch sie musste standardmäßig deaktiviert sein; Empfang erforderte eine ausdrückliche Konfiguration durch den Endnutzer. Schnittstellenoptionen für Empfang und Weiterleitung mussten ebenfalls mit Blockieren beginnen.

Das Wort „Standard“ verlagerte die Begründungslast. Zuvor musste der Betreiber eine geerbte Fähigkeit entdecken und schließen. Danach musste derjenige, der sie brauchte, sie bewusst öffnen. Ein neu aufgestelltes Gerät wurde nicht mehr durch bloßes Unterlassen zum öffentlichen Verstärker.

Eine Ausnahme blieb möglich. Damit blieb Raum für nachgewiesene Sonderfälle, aber aus einem geerbten Zufall wurde eine zurechenbare Verwaltungsentscheidung.

Geschlossenes Fan-out beglaubigt keine Quelle

Gerichteter Broadcast war nur eine Hälfte der Komposition. Seine Sperre am Ziel entfernt diesen Verstärker, verhindert aber keine Quelladressfälschung bei anderem Verkehr. Umgekehrt entscheidet gute Quellenfilterung nicht darüber, ob ein entferntes Netz eine kollektive Zustellung annehmen sollte.

RFC 2827, BCP 38, setzt am Kundenzugang des Providers an. Verkehr aus einem nachgelagerten Netz sollte nur Quellen aus den diesem Kunden legitimerweise zugeordneten Präfixen behaupten. Fremde Quellen können vor dem weiteren Transit verworfen werden.

Die Grenzen sind ausdrücklich: Angriffe aus gültigen Präfixen bleiben möglich, ebenso unter Umständen die Imitation eines anderen Hosts im erlaubten Bereich. Das Verfahren verbessert topologische Plausibilität und Rückverfolgbarkeit; es ist keine universelle Identitätsprüfung.

Die Kontrollen schützen verschiedene Entscheidungen. Der Ursprungsrand begrenzt die behauptete Rückadresse. Der letzte Hop begrenzt die Berechtigung, einen lokalen Link zu mobilisieren. Ein sauberer Rand ersetzt den anderen nicht.

Lokaler Broadcast blieb bestehen

Die Geschichte ist nicht „Broadcast wurde verboten“. Limited Broadcast blieb lokal und nützlich für Konfiguration oder Erkennung. RFC 2644 entzog einem entfernten Teilnehmer die stillschweigende Berechtigung, innerhalb eines fremden Netzes einen Broadcast auszulösen.

Auch Reflexion und Verstärkung insgesamt endeten nicht. Andere Dienste können auf gefälschte Quellen antworten. Die Errungenschaft war enger: Eine Fähigkeit mit gefährlichen externen Kosten verschwand aus dem automatischen Anfangszustand eines Routers.

Eine Ausnahme braucht eigene Grenzen

Wenn eine legitime Anwendung gerichteten Broadcast verlangt, reicht „am Router aktivieren“ nicht. Genehmigt werden sollten Eingangsinterface, Quellpräfix, Ziel, Protokoll, Laufzeit und verantwortlicher Dienst. Ebenso braucht es eine Begründung, warum lokale oder selektivere Erkennung nicht ausreicht.

Messwerte sollten Standardsperren, Ausnahmen und tatsächlich ausgesendete Link-Broadcasts trennen und die resultierenden Antworten erfassen. Eine Präfix- oder Routenänderung kann den erreichten Kreis vergrößern, ohne den Namen der Einstellung zu ändern.

Der sichere Standard ist noch keine vollständige Richtlinie. Er erzwingt aber den Moment, in dem eine Richtlinie vor dem Fan-out formuliert werden muss.

Quellen und Beweisgrenzen

Der geschlossene Quellensatz umfasst RFC 919, RFC 922, RFC 1812, RFC 2644 und RFC 2827. Er belegt Mechanik, Routeranforderungen, Standardumkehr und Quellenfilterung, nicht aber einen einheitlichen Verstärkungsfaktor, das Verhalten aller Hosts, heutige Verbreitung oder vollständige Herstellerkonformität.