Analyse
Neueste Artikel
Neueste Analysen über Infrastrukturbetreiber, politische Entscheidungen, Marktbewegungen und digitale Machtverschiebungen.
Fallakte
Die Signatur war gültig. Der Absender war es deshalb noch lange nicht: DKIM und die begrenzte Autorität einer Domain-Signatur
Als From-Domain erschien `bank.example`, der Text verlangte eine dringende Zahlung, und DKIM meldete Erfolg. Nur hatte nicht die Bank signiert, sondern `receipt-alert.example` – eine Domain des Angreifers. Die Kryptografie stimmte. Die daraus abgeleitete Autorität nicht.
Fallakte
Der Digest stimmte. Der Absender blieb unbekannt: `Content-Digest` und die Autorität einer HTTP-Prüfsumme
Die Richtliniendatei kam ohne Transportschaden an. Sie war von Anfang an bösartig und trug einen exakt berechneten `Content-Digest`. Der Dienst meldete „verifiziert“ und führte die Änderung aus. Der Angreifer hatte keine Hashfunktion gebrochen; er hatte Inhalt und Digest…
Geschichte
Die Maske, die das Schweigen falsch erriet: Wie ICMP ein Subnetz bootstrappte
Ein frisch gestarteter Host besitzt eine IPv4-Adresse, kennt aber die Grenze seines direkten Netzes nicht. Er fragt per Broadcast nach der Maske und hört nichts. Die alte Regel erlaubt vorläufig die unsubnetted Maske der Adressklasse, warnt jedoch, dass sie falsch sein kann: Der…
Fallakte
Der Header nannte den Client, der Peer bestätigte ihn nicht: HTTP `Forwarded` und die Autorität der Proxy-Kette
Der Origin sollte ausschließlich über zwei Reverse-Proxys erreichbar sein. Ein direkter Pfad war dennoch offen. Ein Anfragender trug dort eine freigegebene Administratoradresse an erster Stelle von `X-Forwarded-For` ein und passierte die IP-Regel. Parser und Adresssyntax…
Fallakte
Der Name wählte den TLS-Kontext, nicht die Berechtigung: die begrenzte Autorität von SNI
Im Verbindungsprotokoll stand dreimal derselbe Name: als SNI im ClientHello, als ausgewähltes Zertifikat und als Policy-Label. Die Wiederholung wirkte wie Bestätigung. Tatsächlich stammte der erste Wert von einem noch anonymen Client, der zweite beschrieb den Server, und der…
Geschichte
Das Etikett, das eine Firewall nicht gefahrlos löschen konnte: IPv4s Security Option in geschlossenen Netzen
Eine Firewall entfernt eine fremd wirkende IPv4-Option und lässt das Paket weiterlaufen. Was wie vorsichtige Bereinigung aussieht, kann in einem mehrstufig gesicherten Netz jedoch die Sicherheitsentscheidung verändern. Der Empfänger verwirft das nun unbeschriftete Paket…
Fallakte
Die Zertifikatssignatur stimmte, der Handshake nicht: TLS 1.3 `Finished` und Transkript-Autorität
Das Dashboard zählte bereits eine sichere Sitzung, als CertificateVerify erfolgreich war. Die nächste Nachricht, `Finished`, war ungültig; der Client brach mit `decrypt_error` ab. Der Zertifikatschlüssel hatte Besitz belegt. Erst die Betriebslogik machte daraus voreilig einen…
Geschichte
Der Token, der den Rückweg belegte: DNS Cookies ohne Identität
Eine kleine EDNS-Option erlaubte einem DNS-Server eine eng begrenzte Aussage über eine UDP-Quelladresse: nicht, wer die Anfrage gesendet hatte, sondern dass jemand an dieser scheinbaren Adresse eine frühere Antwort empfangen und einen vom Server erzeugten Token zurückgebracht…
IETF
Markiert, bevor es verloren ging: ECN und der lange Streit um das Stausignal
Das Internet hat Überlastung lange durch Verlust bezeugt: Die Warteschlange lief voll, ein Paket verschwand, der Sender drosselte. Explicit Congestion Notification (ECN) verlegte diesen entscheidenden Moment nach vorn. Ein Router kann Druck anzeigen, während das Paket noch lebt.…
Geschichte
Der Test, der ohne ein Wort bestand: Was Discard tatsächlich beweisen konnte
Ein Prüfprogramm sendet bekannte Bytes an Port 9. Es erhält weder Quittung noch Ergebnis. Genau das verlangt RFC 863: Daten annehmen, verwerfen, keine Anwendungsantwort senden. Damit beginnt die Auswertung erst dort, wo die scheinbar einfache Messung endet. Schweigen ist…
Fallakte
Am Edge lief HTTP/2, am Origin HTTP/1.1: Die Autorität von TLS ALPN endet an der Verbindung
Der Browser bot `h2` und `http/1.1` an. Das Edge wählte `h2`, schloss TLS ab und verarbeitete gültige HTTP/2-Frames. Ein Dashboard erklärte daraufhin den Origin für „HTTP/2-nativ“. Übersehen wurde die zweite Verbindung: Das Edge terminierte TLS und sprach upstream weiter…
Geschichte
Die Uhrantwort ohne Grammatik: Warum Daytime für Menschen gedacht war
Der Client erreicht Port 13, erhält eine lesbare Zeile und sieht einen sauberen Verbindungsabschluss. Ein anderer Server darf denselben Zeitpunkt mit anderer Reihenfolge, anderer Jahresbreite und anderer Zeitzone schreiben. Beide folgen RFC 867, denn versprochen war eine…
Fallakte
Die CA stand in der Liste. Die Identität blieb trotzdem unbefugt: Die begrenzte Autorität von TLS `certificate_authorities`
Der Client wählte ein Zertifikat, weil dessen Ausstellername in der CertificateRequest des Servers vorkam. Der Server validierte den Pfad. Die Anwendung verweigerte dennoch den Zugriff: Das Subjekt war für diesen Mandanten nicht zugelassen. Der kryptografische Ablauf war korrekt.…
Fallakte
Die Signatur stimmte, der Status hinkte hinterher: Autorität bei OCSP-Stapling
Um 10:07 Uhr wurde das Zertifikat widerrufen. Um 10:11 Uhr lieferte der Server weiterhin eine korrekt signierte OCSP-Antwort mit Status `good` und einem erst Stunden späteren `nextUpdate`. Sie war nicht gefälscht. Sie war echt, lag in ihrem erklärten Zeitfenster und enthielt das…
Geschichte
Die Eins-zu-eins-Antworten, die nicht mehr endeten: Wie Echo und Chargen eine Netzschleife bildeten
Im Labor stehen zwei einfache Geräte. Das erste erzeugt auf jeden Impuls Zeichen, das zweite wirft empfangene Zeichen zurück. Verbindet die Ausgabe des einen den Eingang des anderen und umgekehrt, bleibt jede Einzelregel begrenzt – doch der Versuch hört nicht mehr auf. Genau…
Fallakte
Der Socket schloss. Die Transaktion nicht: `close_notify` und die Autorität eines Endes
Der Client erhielt eine Erfolgsmeldung und sah einen geordneten TLS-Abschluss. Im Datenbestand des Servers fehlte die Transaktion trotzdem. Beides war wahr: `close_notify` bestätigte authentisiert, dass der Server in einer Richtung keine TLS-Nachrichten mehr senden würde. Über…
Geschichte
Das Byte, das eine Bewegung beendete: Telnet zwischen Wagenrücklauf und neuer Zeile
Ein Wagenrücklauf war auf dem Draht noch keine vollständige Entscheidung. Erst das folgende Byte legte fest, ob die Schreibposition nur an den linken Rand zurückkehrte oder zugleich in die nächste Zeile wechselte. Telnet brauchte dafür keine Beschreibung jedes Terminals: `LF` und…
Fallakte
Das Ticket blieb. Die Sitzung nicht: TLS-1.3-Wiederaufnahme und die Autorität mitgeführten Zustands
Nach dem regionalen Failover akzeptierte der neue Knoten ein TLS-1.3-Ticket, das vor dem Entzug der Administratorrolle ausgestellt worden war. Kryptografisch war der verkürzte Weg korrekt: Der Client kannte den Wiederaufnahme-PSK, und der Binder authentisierte den neuen…
Fallakte
Der Record war länger, die Nachricht nicht: TLS-1.3-Padding und die Aussagekraft sichtbarer Länge
Der Bericht machte aus 512 zusätzlichen Ciphertext-Bytes 512 zusätzliche Anwendungsbytes und daraus eine Nutzerhandlung. Die Messung stimmte, die Zuschreibung nicht. Der Prozess rundete TLS-1.3-Records auf Blockgrenzen und konnte Application Data ohne Inhalt senden. Das Netz sah…
Geschichte
Der Server, der mitten in der Verbindung den Beruf wechselte: Wie NNTP Rollen sichtbar machte
Zuerst meldet eine NNTP-Verbindung Fähigkeiten für den Artikelaustausch unter Servern. Nach `MODE READER` bietet derselbe Kanal Lesefunktionen an. Adresse und Socket bleiben, doch der Auftrag der Sitzung ändert sich. Genau diese Differenz musste das Protokoll beweisbar machen.