「DoS攻撃元となっていた第三者のネットワークカメラを勝手にシャットダウンするのは不正アクセスか」記事へのコメント

DDoS攻撃ができないようにできないのか

[Anonymous Coward]

ACKが返るまで再送信ができないとか再送タイムアウトが伸びていくとか、
DENYが返ったら再送タイムアウトがめちゃくちゃな長時間に設定されるとか。
DDoSを防衛するのはほぼ不可能だから、攻撃手段を奪うしかないと思うのだけど。

Re:

[Anonymous Coward]

TCP だけだと思ってる？

Re:DDoS攻撃ができないようにできないのか

[Anonymous Coward]

無理やりな垂れ流しができないよう、UDPにも必要なプロトコル入れればいいでしょ。

Re:

[Anonymous Coward]

それはもはやUDPではないのでは

Re:

[Anonymous Coward]

UDP単体だからたれ流せるのであって、TCP+UDPでもいいじゃないですか。
UDPクライアントがTCPで経路のルータにコネクション張って、フロー制御要求すればいい。

Re:DDoS攻撃ができないようにできないのか

[Anonymous Coward]

なんでトランスポート層とアプリケーション層の話が混ざって議論されてるんだよｗ

UDPをきちんとコネクションを貼って垂れ流しができないようにパケット制御するようにしたら、それはもうTCPじゃないかｗ

Re:

[Anonymous Coward]

フロー制御専用のプロトコル作ればいいんじゃねというつもりで話してるんだが。
アプリの中でやるんじゃなくて、経路間でTCP張って、ストリームのフロー制御情報はTCP側でやりとりすればいいじゃない。
なんでUDPの中だけで完結させる必要があるのよ。

Re:DDoS攻撃ができないようにできないのか

[Anonymous Coward]

「フロー制御できないプロトコルを使った攻撃(今回ならDNSリフレクション)にどう対処するか」って話なのになんで「フロー制御できるプロトコル作ればいい」になるんだよ……

Re:

[Anonymous Coward]

今は経路を構成する機器同士で帯域保護を行うプロトコルが存在しないから、帯域を食いつぶす攻撃が可能になってる。
なら、機器間でフロー制御を行うためのプロトコルを作ればいい。
大量のパケットを送り付けられた機器が経路の上流に対して抑制要求を行い、それをさらに上流へリレーすれば根元を止められる。

Re:

[Anonymous Coward]

そこまで言うなら、IETF にドラフト上げて。
で、全 UDP アプリケーションに対して実装するよう関連 RFC を更新させるべくロビー活動してよ。
それでも古い UDP アプリケーションは残り続けるだろう。せいぜい絵に描いた餅にならないようにな。

Re:

[Anonymous Coward]

アプリケーションは関係ないよ。ルータで処理される想定だから。

Re:

[Anonymous Coward]

それ、UDP使うメリットある？

Re:

[Anonymous Coward]

あるよ。そもそもUDPは必要な制御があれば別に用意するものだし。