요약

  • RFC 862는 UDP Echo가 수신한 데이터를 그대로 반환하도록 규정했고, RFC 864는 UDP Character Generator가 요청 내용을 무시하고 0자부터 512자까지 생성된 응답 하나를 보내도록 규정했습니다.
  • 위조된 발신 주소는 Chargen이 Echo를 향하도록 지시할 수 있습니다. 이때 Chargen의 응답이 Echo의 요청이 되고, Echo의 응답이 Chargen의 다음 요청이 되며, 최초 발신 호스트는 더 이상 참여하지 않아도 됩니다.
  • BCP 38은 바로 이 루프를 문서화하고 통제권을 노출 관리와 발신 접두어 경계로 옮겼습니다. 이후의 지침은 토폴로지 인식 필터링, 피어 검증, 속도 제한, 서킷 브레이커를 추가하면서도, 어떤 단일 조치도 호스트를 인증해 주는 것처럼 허용하지 않았습니다.

공격자가 떠난 뒤에 시작되는 순환

패킷 추적을 첫 번째 교환이 아니라 두 번째 교환부터 시작해 보십시오. 하나의 UDP 데이터그램이 Character Generator 서비스에 도착합니다. 이 서비스는 페이로드를 검사하지 않습니다. 대신 문자열을 만들어 데이터그램에 기록된 발신 주소와 발신 포트로 전송합니다. 그 목적지는 우연히도 Echo 서비스입니다. Echo는 동일한 바이트를 겉보기 발신지로 되돌려 보냅니다. 겉보기 발신지는 Character Generator이므로 순환이 다시 시작됩니다.

최초의 패킷도 의미가 있었지만, 그 진짜 힘은 신원을 배치한 데 있었습니다. 발신자는 자신을 Echo 엔드포인트라고 주장했습니다. 그 위조 이후에는 겉보기에 정상적인 두 개의 응답이 루프가 필요로 하는 모든 원인을 제공했습니다. 발신자는 전송을 멈출 수 있고, 두 서비스는 링크 용량, 패킷 처리 시간, 운영자의 주의를 계속 소모합니다.

이것은 넓은 레이블인 “UDP 증폭”이 암시하는 것보다 더 정확한 실패 유형입니다. 그 본질적인 성질은 피드백입니다. 디렉티드 브로드캐스트도, 대규모 반사기 군집도 필요하지 않습니다. 이 조합은 각각 설계된 대로 요청당 응답 하나를 수행하는 두 개의 유니캐스트 엔드포인트만으로도 성립할 수 있습니다.

공유 메모리가 없는 두 개의 진단 규칙

1983년에 발표된RFC 862는 Echo를 디버깅과 측정용 도구로 기술했습니다. TCP 버전은 클라이언트가 연결을 닫을 때까지 수신 데이터를 반환했습니다. UDP 버전은 7번 포트에서 대기하며 수신한 데이터그램의 내용을 응답 데이터그램에 담아 되돌려 보냈습니다.

RFC 864는 유사한 진단 목적을 위한 Character Generator를 정의했습니다. TCP 서비스는 인식 가능한 문자 시퀀스를 계속 생성하며 TCP 흐름 제어에 의존했습니다. 19번 포트의 UDP 서비스는 달리 작동했습니다. 수신한 데이터그램의 내용을 무시하고 0자부터 512자 사이에서 무작위 응답 길이를 선택해 응답 데이터그램 하나를 보냈습니다. 요청 간에 어떤 이력도 보관하지 않았습니다.

각 정의는 대화 상태 기계 없이 구현할 만큼 작았습니다. Echo는 바이트가 왜 도착했는지 알 필요가 없었고, Chargen은 그 내용을 해석할 필요가 없었습니다. 테스트 벤치에서는 이 단순함이 유용했습니다. 그러나 이는 두 서비스 모두 나중에 결정적으로 중요해질 인과 사실을 갖지 못했다는 뜻이기도 합니다. 바로, 겉보기 요청이 서비스 자신의 이전 패킷에 대한 응답인지 여부입니다.

RFC 768이 최소한의 전송 계층 배경을 제공했습니다. UDP는 데이터그램을 감싸 발신 포트, 목적지 포트, 길이, 체크섬을 전달했습니다. 발신 포트는 응답을 보낼 포트를 지명할 수 있었습니다. UDP는 응용이 응답하기 전에 지속적인 피어 관계를 수립하지 않았습니다.

하나의 응답은 국소적 한계일 뿐, 시스템 불변량이 아니다

RFC 864는 데이터그램 서비스가 요청 도착 속도보다 빠르게 데이터를 보내지 않아야 한다고 명시적으로 논증했습니다. 요청당 응답 하나만 생성하기 때문입니다. 단일 구현 안에서 읽으면 이 명제는 참입니다. Chargen은 한 번의 호출에 두 번째 응답을 저절로 만들지 않으며, Echo는 입력 하나를 출력 목록으로 확대하지 않습니다.

그러나 한 구성 요소의 출력이 다른 구성 요소의 입력이 될 수 있습니다. Echo와 Chargen이 주장된 엔드포인트 신원으로 연결되는 순간, “하나의 응답”은 트랜잭션의 종료가 아니라 순환의 한 변이 됩니다. 시스템 수준의 질문은 하나의 함수가 몇 개의 패킷을 반환하는지가 아니라, 반환값이 다른 경로를 통해 그 함수를 다시 트리거할 수 있는지입니다.

이 구분이 이 사례의 역사적 가치입니다. 국소 카운터는 규격 준수를 증명하면서 지속성을 놓칠 수 있습니다. 각 서비스는 정상적인 요청 뒤에 정상적인 응답을 기록하고 있을 수 있습니다. 두 엔드포인트를 아우르는 시야에서만 응답이 요청이 되었고, 새로운 작업을 도입하는 독립적 주체가 더 이상 없음을 알 수 있습니다.

BCP 38이 이 조합에 이름을 붙였다

이 루프는 뒤늦게 모호한 구전으로부터 재구성된 것이 아닙니다. BCP 38로 흔히 알려진 2000년 문서RFC 2827은 발신 주소 위조의 구체적 사례로 이를 사용했습니다. 공격자가 UDP 패킷을 보내 한 사이트의 Chargen 서비스와 다른 사이트의 Echo 서비스를 연결하도록 만들고, 결과적으로 발생하는 트래픽이 두 시스템 사이에서 지속되는 모습을 기술했습니다.

이 문서는 두 가지 운영상 결론을 제시했습니다. 첫째, 이러한 진단 서비스는 관리 네트워크 외부에서 접근할 수 없어야 합니다. 외부 패킷이 서비스에 도달할 수 없다면 그 서비스를 조합에 동원할 수도 없습니다. 이것은 Echo나 Chargen에 새로운 의미를 부여하는 것이 아니라 노출에 관한 결정입니다.

둘째, 고객으로부터 트래픽을 전달받는 네트워크는 발신 주소가 그 고객의 광고된 접두어와 정당하게 연관되지 않은 패킷을 거부해야 합니다. 이 수신 검사는 하위 네트워크가 내보낼 수 있는 주소 주장을 제한합니다. 외부 피해자 주소의 위조를 더 어렵게 만들고, 어뷰즈가 나올 수 있는 지점을 좁힙니다.

“수신 필터링”이라는 이름은 책임의 방향을 가릴 수 있습니다. 필터는 패킷이 바깥으로 나가도록 허용되기 전에, 고객으로부터 공급자로 트래픽이 진입하는 지점에서 적용됩니다. 유용한 증거는 패킷이 목적지에 도달했다는 사실이 아니라, 그것을 받아들인 경계에서 주장된 발신 주소가 그럴듯했다는 사실입니다.

접두어의 그럴듯함은 호스트 인증이 아니다

BCP 38은 또한 이 검사가 증명할 수 없는 것을 기록했습니다. 침해된 호스트가 허용된 고객 접두어 안의 다른 호스트의 주소를 사용하면 단순 접두어 필터는 그 패킷을 수용합니다. 진실한 발신 주소를 가진 트래픽도 여전히 피해자를 범람시킬 수 있습니다. 이 조치는 특정 종류의 거짓말을 제약할 뿐, IP 발신 필드를 인증된 신원으로 바꾸지 않습니다.

라우팅 토폴로지는 집행을 더 복잡하게 만듭니다. BCP 84인RFC 3704는 멀티홈 네트워크를 위한 엄격 역경로, 가능 경로, 느슨한 역경로, 액세스 목록 방식을 기술했습니다. 엄격 검사는 최적의 반환 경로가 패킷이 도착한 인터페이스를 사용할 것으로 기대하지만, 정당한 비대칭 라우팅이 이 기대를 위반할 수 있습니다.

따라서 운영자는 서로 다른 증거 강도와 실패 모드 사이에서 선택해야 합니다. 느슨한 역경로 검사는 라우팅 테이블에 없는 발신지를 거부하지만 더 많은 스푸핑을 허용합니다. 가능 경로 방식은 더 많은 정당한 경로를 인정하지만 적절한 라우팅 정보를 요구합니다. 명시적 액세스 목록은 정밀할 수 있으나 접두어 변경을 따라가야 합니다. “발신 검증을 배치하라”는 방향에 불과하며, 신뢰할 수 있는 구현은 보호하려는 토폴로지에 달려 있습니다.

이후의 UDP 지침은 결여된 상태를 명시적으로 만들었다

RFC 8085는 이 교훈을 UDP 응용으로 일반화했습니다. 피어에 연결된 국소 UDP 소켓은 수신 패킷을 필터링할 수 있지만, 피어에 그 사실을 알리거나 인증된 연관을 수립하지는 않습니다. 응용이 특정 발신지의 메시지를 요구한다면, 그 성질을 스스로 검사하거나 운영체제가 그렇게 하도록 해야 합니다.

이 지침은 또한 UDP가 흐름 제어를 제공하지 않는다고 명시합니다. 응용은 작은 요청이 훨씬 큰 응답을 유도하는 패턴을 피해야 하고, 스푸핑될 수 있으므로 발신 IP 주소를 인증으로 취급해서는 안 되며, 상당한 트래픽을 유발할 수 있는 요청은 제한하거나 인증해야 합니다. 속도 제한과 서킷 브레이커는 또 다른 종류의 상태를 제공합니다. 개별 패킷이 문법적으로 정상으로 보이더라도 전송의 지속이 여전히 정당한지를 묻는 것입니다.

이 어떤 통제도 단독으로 완전한 답이 아닙니다. 공개 접근을 차단하면 한 경로를 막지만 내부의 침해된 호스트에 대해서는 아무것도 말해주지 않습니다. 발신 접두어 검증은 많은 위조를 어렵게 만들지만 허용된 접두어 안의 주소를 인증하지는 않습니다. 응용 수준의 인증은 작은 진단 서비스에는 과할 수 있으며, 이것이 노출하지 말아야 한다는 논거를 더 강화합니다. 속도 제한은 부하를 담아내지만 거짓 신원을 고치지 않습니다.

레지스트리는 조우를 조율할 뿐, 허가가 아니다

현재의IANA 서비스 이름 및 전송 프로토콜 포트 번호 레지스트리는 TCP와 UDP 모두에 대해 7번 포트에echo, 19번 포트에chargen을 기록하고 있습니다. 안정적인 번호가 독립적으로 개발된 프로그램들이 동일한 진단 기능을 찾을 수 있었던 이유를 설명합니다.

그러나 이 기록은 현재 어떤 호스트가 그 기능을 실행하는지, 그 포트에 접근 가능한지, 응답이 옛 RFC를 따르는지를 보여주지 않습니다. 등록은 노출을 승인하지 않고 안전을 보증하지도 않습니다. 이름공간에 관한 증거일 뿐입니다.

이 경계는 인시던트 조사에서 중요합니다. 19번 포트로 향하는 패킷은 단서이지 결론이 아닙니다. 조사자는 여전히 페이로드 동작, 방향, 시각, 엔드포인트 소유권, 그리고 응답이 후속 요청을 유발하고 있다는 증거가 필요합니다.

닫힌 순환의 구조적 교훈

Echo와 Chargen은 비밀스럽게 악의적인 프로토콜이 아니었습니다. 각자 작고 이해하기 쉬운 진단 동작을 노출했을 뿐입니다. 실패는 그 출력들이 “누가 말했는가”에 대한 거짓 계정 아래에서 조합되었을 때 나타났습니다. 어떤 서비스도 전체 경로에 책임이 없었으므로, 어느 쪽도 그것을 끝내는 데 필요한 상태를 갖지 못했습니다.

지속가능한 설계 원칙은 국소적 작업 한계에 조합적 검사가 필요하다는 것입니다. 출력이 입력으로 재진입할 수 있는지, 주장된 발신 신원만으로 응답을 지시하기에 충분한지, 순환이 형성될 때 어떤 경계가 권한을 회수할 수 있는지를 물어야 합니다. “요청당 응답 하나”는 그 어떤 질문에도 스스로 답하지 못합니다.

인터넷은 모든 통제를 중앙 판정자에게 넘기는 방식으로 이 문제를 해결하지 않았습니다. 운영자는 도달 가능성을 통제했고, 접속 네트워크는 발신 주장을 제약했으며, 응용은 피어를 검증하고 응답 비용을 다스렸고, 가시성 시스템은 패킷을 원인으로 연결했습니다. 안전 속성은 이러한 국소 권위들이 원래 서비스가 갖지 못했던 증거를 제공할 때만 나타났습니다.

출처와 증거의 한계

이 출처들은 프로토콜 동작, 문서화된 루프, 필터링 방식, 이후의 UDP 지침을 확립합니다. 다만 현재 배포 규모, 공격 빈도, 평균 응답 크기 또는 BCP 38 채택률은 정량화하지 않습니다. 따라서 본 기사는 유행 주장을 하지 않으며, 두 서비스 루프를 오늘날 인터넷에 대한 측정이 아니라 문서화된 메커니즘으로 다룹니다.