Zusammenfassung

  • GTSM startet geschützten Verkehr mit TTL 255 und lässt den Empfänger den Restwert vor teurer BGP-Verarbeitung mit der eingerichteten Peer-Distanz vergleichen.
  • Der Empfänger kann Pakete außerhalb des Bereichs isolieren oder verwerfen; eine gültige TTL authentisiert jedoch weder Absender noch Route und stoppt keinen Angreifer auf dem zugelassenen Pfad.

Ein kleines Feld wird zur Zulassungsgrenze

BGP läuft über TCP, doch eine plausible Quelladresse beweist nicht die Herkunft vom eingerichteten Nachbarn. Ein entfernter Angreifer kann Kontrollverkehr fälschen und CPU-Zeit erzwingen. GTSM nutzt eine Eigenschaft, die unterwegs verändert wird: IPv4-TTL beziehungsweise IPv6-Hop-Limit sinken an jedem Weiterleitungssprung.

Bei direkt verbundenen Peers setzt der Sender den Höchstwert 255, und der Empfänger erwartet 255. Ein weiter entfernt erzeugtes Paket kann den verlorenen Wert normalerweise nicht zurückgewinnen. Für Multi-Hop-Sitzungen lässt sich ein Bereich unter 255 zulassen; mit größerem Durchmesser wächst jedoch der Raum, aus dem ein plausibler Wert stammen kann.

RFC 5082 teilt Pakete in Trusted, Dangerous und Unknown ein. Trusted gehört zu einer geschützten Sitzung und liegt im erwarteten Bereich. Dangerous gehört dazu, verfehlt ihn aber. Unknown lässt sich keiner registrierten Sitzung zuordnen. Das sind Betriebskategorien, keine Urteile über Absichten.

Dangerous sollte standardmäßig nicht mit Trusted oder Unknown um Ressourcen konkurrieren und darf verworfen werden. GTSM darf Trusted oder Unknown nicht allein aufgrund der Einstufung verwerfen. Der Empfänger erhält eine begrenzte Macht: Protokollaufmerksamkeit für Verkehr mit plausibler Entfernung zu reservieren.

Autorisierung entsteht durch Konfiguration

GTSM ist für bestehende Protokolle optional; RFC 5082 definiert keine allgemeine automatische Aushandlung. Betreiber richten es pro Peer ein, und RFC 7454 verlangt die Konfiguration an beiden BGP-Enden. Vereinbart werden Sitzung, Entfernung, zugehörige ICMP-Fehler und der Umgang mit Pfadänderungen.

Der Sender erzeugt Pakete mit 255 ohne interne Dekrementierung. Der Empfänger ordnet den Wert der richtigen Sitzung zu. Tunnel, Entkapselung und Multi-Hop erschweren die Rechnung. Eine Migration kann den Schwellenwert ungültig machen, obwohl die Peer-Identität gleich bleibt.

Beide Peers profitieren, wenn entfernter gefälschter Verkehr nicht mit plausiblen Kontrollpaketen um CPU und Bandbreite konkurriert. Beide tragen aber Konfigurations-, Überwachungs- und Änderungskosten. Der Empfänger muss genügend Telemetrie für die Begründung jeder Einstufung sichern.

Nähe ist keine Authentisierung

Das Wort Trusted darf nicht überdehnt werden. GTSM ersetzt keine Authentisierung. Ein Angreifer auf dem Link oder innerhalb des zugelassenen Durchmessers kann weiterhin fälschen oder wiederholen. Eine richtige TTL beweist weder Adressbesitz noch UPDATE-Befugnis oder die Legitimität einer Route.

Maximaler Schutz setzt auch strikte Eingangsfilter voraus. GTSM verengt plausible Ursprünge, ersetzt aber weder TCP-Schutz noch Prefix-, AS-Pfad- oder Routing-Policy. Mehr Dangerous-Pakete können Angriff, veraltete Distanz oder Tunneländerung bedeuten; sie identifizieren keinen Täter.

Evidenz und Grenzen

RFC 5082 definiert Verfahren, Kategorien, Ressourcenbehandlung und Grenzen. RFC 7454 wendet es auf BGP an. RFC 4271 und 4272 beschreiben Sitzung und Risiken. Die Deutung von Macht, Begünstigten und Kosten ist Analyse.

Die Quellen belegen weder den Einsatz durch einen benannten Betreiber noch eine universelle Multi-Hop-Distanz oder Authentisierung durch TTL. Sie behaupten auch nicht, GTSM verhindere allein Route Leaks, falsche Ankündigungen, Angriffe auf dem Link oder alle Sitzungsabbrüche.

Quellen