VASExperts Jun 23 2018 at 16:52

«Proof of Transit»: в IETF предложили новый подход для подтверждения пути сетевых пакетов

3 min

7.1K

VAS Experts corporate blogSystem administration*IT Standards*Development of communication systems*Network standards*

+21

Comments 8

mwizard Jun 23 2018 at 18:59

Какой смысл в том, чтобы заставлять пакет идти по конкретному маршруту? Если важно, чтобы никто не мог прочитать содержимое, зашифруйте его. Если нужно, чтобы никто не мог его подменить, используйте HMAC. Если нужно убедиться в том, что отправил именно тот, кто должен, используйте криптографические подписи. Все это можно тривиально реализовать поверх UDP, если есть охота изобрести велосипед. Какой бизнес-кейс решает схема, предложенная IETF?

+10

jaiprakash Jun 23 2018 at 19:22

Под это можно продать новое оборудование, например.

+16

Foxcool Jun 24 2018 at 13:42

Вот тоже об этом же подул.

У меня мысль скорее возникает о том, что весь трафик на уровне IP должен быть зашифрован, а адреса не должны кем-то выдаваться. Т.е. то, что предлаегает CJDNS. Тогда и не нужно думать о подмене, поиске маршрутов, анализе данных и блокировке по содержимому (либо весь трафик блокируешь нуглухо и досвидос экономира страны, либо не лезешь и мы снова в свободном интернете)

xcore78 Jun 26 2018 at 00:18

Вы, вероятно, не заглядывали в первоисточник:

In certain cases,

 regulatory obligations or a compliance policy require operators to

 prove that all packets that are supposed to follow a specific path

 are indeed being forwarded across and exact set of pre-determined

 nodes.

lyadnov Jun 23 2018 at 21:06

для дополнительного цензурирования трафика подойдет.

wlr398 Jun 24 2018 at 06:32

Блокчейн надо на каждый IP пакет, было бы современное решение :)
А вообще, ощущение, что сетевое протоколостроение давно зашло в творческий кризис.
Появляются или инновации решающие проблемы, но имеющие спорный дизайн и большие трудности во внедрении. Или не понятно, что решающие, но зато чрезмерно сложные и гарантированно создающие проблемы в эксплуатации.

equand Jun 24 2018 at 10:00

Ну вот, очередной костыль. Правда от IETF, так что теперь хватает плюсов в карму.

Хотя для моей идеи этого не требовалось бы.
habr.com/company/globalsign/blog/355006/#comment_10791940
habr.com/company/globalsign/blog/355006/#comment_11335690
habr.com/company/globalsign/blog/355006/#comment_11336604
habr.com/company/globalsign/blog/355006/#comment_11337128

Все это пустота. Proof of transit не защитит от MiTM, т.к. вы все равно будете доверять старой подложке — IP, где все условно. Никто не помешает склонировать рутер и дать ему тот же самый ключ. Как они защищать VM будут, вообще вопрос, ведь с ВМ можно снять образ памяти и клонировать систему подменив все ключи или вручную валидировать каждый пакет из хоста подменяя память, если уж понадобиться…

amarao Jun 24 2018 at 14:42

В тексте не написано главное: речь про внутренний трафик организаций для целей аудита и управления пакетами. Речь не про «путь пакета в интернете», а исключительно про интранет.

Идея с одной стороны интересная, с другой стороны, ну вы себе представляете нормальный сервер (допустим, раздающий артефакты по http), у которого каждый пакет имеет такую штуку? Всё взорвётся на первом же apt-get dist-upgrade с такого сервера.