Summary

  • Petros Gigis a expliqué à RIPE 92 qu'un compteur de paquets détecte une nouvelle entrée, mais ne prouve pas que l'adresse source indiquée appartient réellement au trafic reçu.
  • openPenny écarte volontairement quelques paquets TCP d'une tranche choisie et observe leur retransmission. Le compte rendu technique de Gigis décrit des essais avec douze paquets supprimés sur plusieurs flux et un taux de faux positifs descendant jusqu'à un sur un million dans ces conditions.

Une alarme de routage commence parfois par un chiffre exact et une histoire fausse. Le compteur voit des paquets portant un préfixe inhabituel à un point d'entrée donné. Il ignore si quelqu'un a simplement inscrit cette adresse source dans des paquets usurpés. Petros Gigis, chercheur associé à University College London, veut vérifier ce premier fait avant de chercher qui aurait déplacé la route.

L'opérateur de transit occupe une place inconfortable. Il transporte des connexions qu'il ne termine pas. Les relevés NetFlow ou sFlow montrent le volume et l'entrée; les annonces BGP montrent des itinéraires publics. Aucun de ces éléments ne certifie l'origine du paquet. Pendant les questions à RIPE 92, Jen Linkova a proposé de regarder la poignée de main TCP. Gigis a rappelé que l'ISP au milieu du trajet ne possède pas l'état de connexion de la machine qui reçoit le service.

Son outil openPenny commence par un mode passif : il examine des copies de flux et repère les segments à contrôler. En mode actif, une petite partie du trafic passe par un boîtier d'analyse local. L'outil supprime volontairement quelques paquets TCP, puis attend leur retransmission. Un correspondant réellement engagé dans l'échange réagit à la perte; un envoi usurpé à sens unique ne fournit pas le même retour. La fiche officielle du talk décrit le matériel x86 et les cadres de traitement envisagés.

Dans les essais publiés par Gigis, douze suppressions réparties entre plusieurs flux ont permis un taux de faux positifs aussi bas qu'un sur un million. Le réglage et le contexte comptent : perte ailleurs dans le réseau, équilibrage de charge, variantes TCP et adversaires capables d'imiter certains comportements compliquent la décision. Une réponse positive atteste la présence de trafic non usurpé dans l'ensemble observé. Elle ne raconte pas à elle seule tout son trajet.

La valeur de l'essai tient à ce tri. Une équipe peut perdre sa journée sur une fuite de route imaginaire, déclenchée par du bruit usurpé. Elle peut aussi négliger un vrai détour de données que ses observateurs BGP n'ont pas vu. Gigis ne vend pas une attribution magique; il exige une preuve minimale avant que l'alerte ne commande du temps, des changements de politique et des appels aux voisins.

Sources : transcription originale de RIPE 92 · fiche officielle de la présentation · profil RACI · article technique de Gigis.