Summary

  • Petros Gigis erklärte bei RIPE 92, dass Paket- und BGP-Daten einen ungewöhnlichen Eingang anzeigen können, ohne die behauptete Quelladresse des Verkehrs zu beglaubigen.
  • OpenPenny verwirft aus einer ausgewählten TCP-Probe einige Pakete und beobachtet Wiederholungen. Gigis' eigener Fachbeitrag nennt Versuche mit zwölf verworfenen Paketen über mehrere Flows und einer Fehlpositivrate von bis zu nur einem Fall pro Million unter den getesteten Bedingungen.

Die Alarmmeldung kann präzise sein und trotzdem die falsche Geschichte erzählen. An einem Point of Presence trifft Verkehr mit einer Quelladresse ein, die dort vorher nicht auftauchte. Ein Netzbetreiber denkt an ein Routing-Problem. Jemand könnte jedoch nur diese Adresse in gefälschte Pakete geschrieben haben. Petros Gigis setzt mit OpenPenny genau vor dieser Verwechslung an.

Für ein Transitnetz ist die Frage schwerer als für einen Dienst am Ende der Verbindung. NetFlow und sFlow zeigen Eingang und Volumen, BGP die bekannten Ankündigungen. Der Transitbetreiber besitzt aber nicht den vollständigen Verbindungszustand. In der RIPE-92-Fragerunde schlug Jen Linkova vor, den TCP-Handshake zu betrachten. Gigis entgegnete, dass ein ISP in der Mitte des Weges die Verbindung nicht selbst terminiert.

OpenPenny hat deshalb zwei Betriebsarten. Die passive beobachtet gespiegelten Verkehr, ohne Pakete zu verändern. Die aktive lenkt einen eng begrenzten Ausschnitt auf einen lokalen Analyserechner, verwirft dort wenige TCP-Pakete und wartet auf deren Wiederholung. Ein echter Sender reagiert auf fehlende Daten. Einseitig verschickte Pakete mit fremder Quelladresse können diese geschlossene Rückkopplung nicht auf dieselbe Weise liefern. Die offizielle Vortragsseite beschreibt die geplante Umsetzung mit x86-Hardware und schnellen Paket-Frameworks.

Die zwölf absichtlich verlorenen Pakete in Gigis' Bericht verteilen sich auf mehrere Flows. Die geringe Fehlpositivrate wurde in den beschriebenen Versuchen erreicht. Zusätzliche Verluste, Lastverteilung, TCP-Varianten und ein Gegner, der Antworten imitiert, bleiben konkrete Schwierigkeiten. Eine positive Prüfung zeigt einen echten Anteil im beobachteten Aggregat; den vollständigen Pfad oder die Ursache einer Änderung liefert sie nicht.

Damit verteidigt Gigis die knappste Ressource des Betriebs: Aufmerksamkeit. Gefälschter Hintergrundverkehr kann Stunden Fehlersuche nach einem nicht vorhandenen Leck auslösen. Eine echte Datenumleitung kann zugleich außerhalb der BGP-Beobachtung bleiben. Erst die Glaubwürdigkeit des Eingangssignals zu prüfen, macht spätere Gespräche mit Nachbarn und Änderungen an Transit oder Filtern vernünftig.

Quellen: RIPE-92-Originaltranskript · offizielle Vortragsseite · RACI-Profil · Gigis' technischer Beitrag.