요약

  • RFC 3358은 하위 계층의 무결성 결과가 라우팅 프로세스가 해석하는 바이트를 반드시 보호하지 않는다는 이유로, IS-IS CSNP·PSNP·IIH PDU에 선택적 16비트 Fletcher 체크섬 TLV를 추가했다.
  • 호환성 규칙은 정밀했다: 없음과 0은 여전히 허용되고, 잘못된 체크섬은 폐기되며, 이 메커니즘은 발신자를 인증하지 않으면서 우발적 손상을 탐지한다.

위험한 패킷은 가장자리에서 손상된 것처럼 보일 필요가 없었다. 프레임은 도착해 그곳에서 가능한 검사를 통과하고 평범한 성공으로 상위로 넘겨질 수 있었다. 라우팅 프로세스가 변경된 PDU 길이나 TLV 길이 필드를 해석할 때 비로소 작은 손상 하나가 링크 상태 데이터베이스에 대한 전혀 다른 서술로 확대되는 것이다.

RFC 3358이 2002년 8월에 분리해 낸 경계가 바로 이것이다. ISIS 워킹 그룹에서 T. Przygienda가 저술한 이 Informational RFC는 IS-IS를 재설계하지 않았고 새로운 보안 정체성을 제시하지도 않았다. 더 좁은 가정을 수리했다: 데이터 링크 계층이 발급한 무결성 영수증은 라우팅 소프트웨어가 소비하는 프로토콜 객체에 대한 영수증으로 자동 이전되지 않는다는 것.

이 구분이 중요했던 이유는 IS-IS가 모든 프로토콜 데이터 단위를 똑같이 다루지 않기 때문이다. Link State PDU는 이미 체크섬을 실었다. Complete Sequence Number PDU와 Partial Sequence Number PDU는 어떤 LSP가 존재하거나 요청되는지 요약했다. IS-IS Hello PDU는 이웃 발견과 인접 동작을 지원했다. 뒤의 세 계열은 하위 계층 검사에 의존해 왔다.

이 의존은 RFC가 명명한 두 가지 방식으로 실패할 수 있었다. 하위 계층 구현 자체가 결함이 있거나, 링크 기술이 가정된 체크섬 보호를 제공하지 않는 경우다. 손상된 PDU가 라우팅 프로세스에 도달할 수 있었다. 페이로드 필드의 손상도 문제였지만, 구조적 길이 필드의 손상은 더 폭발적이었다. 요약 PDU의 길이가 실제보다 크게 나타나면 바이트들이 존재하지 않거나 빈 LSP들의 항목 목록으로 파싱될 수 있었다. 국소적 한 바이트의 오류가 수많은 데이터베이스 결론으로 증폭될 수 있는 것이다.

RFC 3358의 대답은 의도적으로 작은 확장이었다. 타입 12와 2옥텟 값으로 이루어진 선택적 TLV를 정의했다. 값은 문서의 규칙에 따라 전체 PDU에 대해 계산된 16비트 Fletcher 체크섬이다. RFC 3359는 타입 12를 IS-IS TLV 코드포인트 레지스트리에 등록했다. 이 추가 영수증은 이제 어떤 바이트들이 제어 PDU를 이루는지 아는 계층에 자리했다.

수신자 동작은 알고리즘보다 더 많은 것을 드러낸다. 검증 능력을 갖춘 수신자가 0이 아닌 값을 가진 허용된 체크섬 TLV 하나를 발견하면 체크섬을 검증한다. 잘못된 결과는 PDU 폐기로 이어진다. 체크섬 TLV가 둘 이상인 경우도 오류고, 확장이 허용하지 않는 PDU 타입에 체크섬 TLV가 놓인 경우도 오류다. 이런 상태는 모호한 자료가 링크 상태 처리기에 도달하기 전에 거부된다.

그러나 체크섬 TLV가 전혀 없는 경우도 여전히 허용된다. 이는 허점이 아니다. 선택적 확장은 그보다 앞선 구현들과 상호운용되어야 했으므로, 없음이 손상을 의미할 수는 없었다. 구형 구현은 새 TLV를 통상적인 미지 TLV 규칙에 따라 처리하고 RFC 3358 검증을 수행하지 않고 진행할 수도 있었다. 이 명세는 검증 능력을 갖춘 피어들 사이에서 더 강한 증거를 만들었을 뿐, 모든 인접을 소급하여 검증된 상태로 만들지는 않았다.

값이 존재하되 0인 것은 별개의 상태이며 정상으로 정의된다. 이는 확장의 형태를 알릴 수 있지만, 0이 아닌 Fletcher 결과가 검증되었다는 주장은 하지 않는다. 따라서 운영적으로 "없음", "0", "검증된 0 아님 값", "부정확", "중복", "잘못 배치"는 서로 바꿔 쓸 수 없다. 이 모든 상태를 "체크섬 정상" 하나로 압축하는 대시보드는 RFC가 명확히 하려 했던 바로 그 경계를 지워 버린다.

인증은 이 구분을 더 선명하게 만든다. 암호학적 인증 계산은 다른 체크섬 필드와 상호작용할 수 있는 순서로 프로토콜 자료를 다룬다. 그래서 RFC 3358은 HMAC-MD5 같은 인증을 사용할 때 선택적 체크섬을 생략하거나 값을 0으로 설정하라고 규정한다. 이는 순환적이거나 순서 의존적인 계산을 피하기 위함이다. RFC 5304와 RFC 5310은 뒤에 IS-IS의 암호학적 인증을 기술하지만, 서로 다른 제어 표면을 점유한다.

Fletcher 체크섬은 우발적 변경을 탐지 가능하게 만들 수 있다. 그러나 어떤 시스템이 PDU를 발신했는지, 그 시스템이 권한을 갖췄는지, 오래된 메시지가 재생되었는지, 공격자가 내용을 바꾼 뒤 값을 다시 계산했는지는 증명하지 않는다. 이를 "보안"이라 부르면 바이트 무결성 영수증이 감당할 수 없는 정체성 주장으로 변한다. 자물쇠의 이미지는 틀렸고, 두 번째 측정 관문의 이미지가 맞다.

주변의 문서 역사도 같은 절제를 요구한다. RFC 1195는 통합 IS-IS를 TCP/IP 환경에 놓았다. RFC 1142는 ISO 10589 자료를 재출판했으나, RFC 7142는 뒤에 이를 Historic으로 이동시키며 IETF 표준으로 의도된 것이 아니었음을 명확히 했다. 이 문서들은 프로토콜 계보를 설명한다. 그러나 이름이 알려진 어떤 운영자가 RFC 3358을 배치했다는 증명이 아니다.

뒤의 RFC들은 PDU 계열이 왜 여전히 중요했는지 보여 주지만, 빠진 배치 증거를 채워 주지는 않는다. RFC 5303은 포인트 투 포인트 IIH에 3방향 인접 정보를 추가한다. RFC 5306은 우아한 재시작에서 Hello 신호를 사용한다. RFC 6232는 삭제된 LSP의 발신자를 식별한다. 이 메커니즘들은 인접이나 데이터베이스 안전에 닿지만, 어느 것도 특정 장애가 RFC 3358의 손상 시나리오에서 비롯되었음을 확립하지 않는다.

역사 기록의 한계는 실질적이다. RFC 3358에는 이름이 알려진 사건, 벤더 조사, 채택률, 전후 오류율, 보호된 데이터베이스 수치가 없다. 이 문서는 구현이 상태들을 어떻게 구분할 수 있는지 말할 뿐, 각 상태가 실제 운영에서 얼마나 자주 발생했는지는 말하지 않는다.

바로 여기서 이 문서의 설계가 여전히 운영적 교훈을 준다. 각 인터페이스와 인접에 대해 운영자는 발신자가 TLV를 내보내는지, 수신자가 이를 이해하는지, 인증이 활성화되어 0이 사용되는지, 카운터가 잘못됨·중복·잘못 배치 값을 구분하는지 알아야 한다. 하나의 "활성화" 플래그로는 혼합된 장비군을 서술할 수 없다. 능력과 관측된 검증은 별개의 사실이다.

도입은 이 비대칭을 따라야 한다. 먼저 PDU 동작과 인증 구성을 조사한다. 그다음, 없음을 실패로 취급하지 않으면서 지원을 도입한다. 인접별로 0이 아닌 값의 검증과 폐기 카운터를 관측한다. 거부된 PDU가 늘어나면 인터페이스 오류, 패킷 캡처, 소프트웨어 버전, 토폴로지 변경과 대조하여 조사한다. 증거가 정합을 이룬 뒤에만 어떤 구성 요소가 바이트를 손상시켰는지 추론할 수 있다.

이 확장은 더 넓은 측정 규칙도 보여 준다. 모든 무결성 결과에는 범위가 있다. 프레임 검사는 하나의 알고리즘과 하나의 구현 경로 아래에서 프레임에 관해 무언가를 증명한다. 프로토콜 체크섬은 더 뒤의 경계에서 PDU에 관해 무언가를 증명한다. 인증은 자격 증명의 보유와 커버된 자료에 관해 또 다른 것을 증명한다. 데이터베이스 일관성, 경로 정확성, 사용자 도달성은 이 세 가지 모두 너머에 있다. 한 계층에서의 성공을 다음 계층에 대한 증명으로 몰래 승격시켜서는 안 된다.

Lu Heng의 공개된 두 에세이는 편집적 렌즈를 제공하며, 추가적인 RFC 저술이 아니다. "Minimum Initial Specification"은 작고 자발적이며 국지적으로 채택 가능한 수리의 가치를 설명하는 데 도움을 준다: 타입 12는 인터넷 전체가 한꺼번에 움직일 것을 요구하지 않으면서 범위가 한정된 영수증을 추가했다. "Reality Layers"는 물리적 바이트열, 상징적인 "프레임 통과" 상태, 라우팅 해석, 운영적 주장을 분리해 유지하는 데 도움을 준다. 이 RFC의 지속적인 힘은 바로 그 계층들을 혼동하지 않는 데 있다.

프레임은 검사를 통과했다. 그 사실은 참이었다. 단지 그것은 라우팅 프로세스가 필요로 한 사실이 아니었을 뿐이다.

출처