Abo
  • IT-Karriere:

IETF: Rätselaufgaben gegen DDoS-Angriffe auf TLS

Ein Akamai-Mitarbeiter beschreibt, wie mit einfachen Rechenaufgaben DDoS-Angriffe durch Clients auf TLS-Verbindungen minimiert werden könnten. Die Idee ist zwar noch ein Entwurf, könnte aber als Erweiterung für TLS 1.3 standardisiert werden.

Artikel veröffentlicht am ,
Puzzles sollen Server vor DDoS-Angriffen über TLS schützen.
Puzzles sollen Server vor DDoS-Angriffen über TLS schützen. (Bild: Flickr.com Brad Montgomery - CC-BY-2.0)

Das Design des TLS-Protokolls kann einfach für DDoS-Angriffe ausgenutzt werden, wie der Chief Systems Architect von Akamai, Erik Nygren, schreibt. Denn Clients, die auch aus Botnetzen heraus betrieben werden, könnten durch kryptographische Operationen sehr viel Rechenlast verursachen. Als Gegenmaßnahme schlägt Nygren in einem Entwurf für eine TLS-Erweiterung vor, beim Verbindungsaufbau für Rechenaufwand bei den Clients zu sorgen.

Stellenmarkt
  1. BWI GmbH, München, Meckenheim
  2. ORBIT Gesellschaft für Applikations- und Informationssysteme mbH, Köln

In der Spezifikation nennt Nygren diesen Mehraufwand schlicht Puzzle, also Rätsel. Der Server kann einen Client auffordern, bestimmte Rechenaufgaben zu lösen. Sind diese zu aufwändig, so die Idee, würde sich ein DDoS über die Clients für Angreifer schlicht nicht mehr lohnen. Der Vorschlag zur Verwendung der Puzzle ist bereits in der Vergangenheit bei der Internet Engineering Task Force (IETF) diskutiert worden, Nygren hat ihn nun erweitert und bittet um Rückmeldung.

Die Aufgaben sollen unterschiedlich viel Last verursachen. Im trivialen Fall muss der Client schlicht einen vom Server erzeugten Cookie in identischer Form zurückschicken. Es sollen aber auch komplexe Hashsummen mit SHA-256 und SHA-512 aus teilweise zufällig gewählten Ausgangswerten berechnet werden müssen. Insbesondere für mobile Geräte ist eine Aufgabe in Vorbereitung, die weniger die CPU und mehr den Arbeitsspeicher belastet.

Noch ist der Entwurf der Spezifikation mit vielen TODO-Hinweisen versehen und die Erweiterung ist derzeit explizit nur für TLS 1.3 vorgesehen. Letzteres befindet sich ebenfalls noch im Entwurfsstadium, so dass noch nicht genau gesagt werden kann, wann der Standard final erscheint - wohl erst frühestens im kommenden Jahr.



Anzeige
Top-Angebote
  1. (aktuell u. a. Asus PG279Q ROG Monitor 689€, Corsair Glaive RGB Maus 34,99€)
  2. 14,97€
  3. 107,00€ (Bestpreis!)
  4. 419,00€

Aviscall 08. Jul 2015

Yeah, ein Seti@TLS Plugin, um die Rechenleistung gleich sinnvoll zu nutzen =D

Wuestenschiff 07. Jul 2015

Doch genau das soll hier erzielt werden. Natürlich kann der Server wie im Artikel...

RipClaw 06. Jul 2015

Das sich die Leute nicht gleich wieder infizieren nach einer Säuberung würde...


Folgen Sie uns
       


Vaio SX 14 - Test

Das Vaio SX14 ist wie schon die Vorgänger ein optisch hochwertiges Notebook mit vielen Anschlüssen und einer sehr guten Tastatur. Im Golem.de-Test zeigen sich allerdings Schwächen beim Display, dem Touchpad und der Akkulaufzeit, was das Comeback der Marke etwas abschwächt.

Vaio SX 14 - Test Video aufrufen
Endpoint Security: IT-Sicherheit ist ein Cocktail mit vielen Zutaten
Endpoint Security
IT-Sicherheit ist ein Cocktail mit vielen Zutaten

Tausende Geräte in hundert verschiedenen Modellen mit Dutzenden unterschiedlichen Betriebssystemen. Das ist in großen Unternehmen Alltag und stellt alle, die für die IT-Sicherheit zuständig sind, vor Herausforderungen.
Von Anna Biselli

  1. Datendiebstahl Kundendaten zahlreicher deutscher Firmen offen im Netz
  2. Metro & Dish Tisch-Reservierung auf Google übernehmen
  3. Identitätsdiebstahl SIM-Dieb kommt zehn Jahre in Haft

Projektorkauf: Lumen, ANSI und mehr
Projektorkauf
Lumen, ANSI und mehr

Gerade bei Projektoren werden auf Plattformen verschiedener Onlinehändler kuriose Angaben zur Helligkeit beziehungsweise Leuchtstärke gemacht - sofern diese überhaupt angegeben werden. Wir bringen etwas Licht ins Dunkel und beschäftigen uns mit Einheiten rund um das Thema Helligkeit.
Von Mike Wobker


    Energie: Wo die Wasserstoffqualität getestet wird
    Energie
    Wo die Wasserstoffqualität getestet wird

    Damit eine Brennstoffzelle einwandfrei arbeitet, braucht sie sauberen Wasserstoff. Wie aber lassen sich Verunreinigungen bis auf ein milliardstel Teil erfassen? Am Testfeld Wasserstoff in Duisburg wird das erprobt - und andere Technik für die Wasserstoffwirtschaft.
    Ein Bericht von Werner Pluta

    1. Autos Elektro, Brennstoffzelle oder Diesel?
    2. Energiespeicher Heiße Steine sind effizienter als Brennstoffzellen
    3. Klimaschutz Großbritannien probt für den Kohleausstieg

      •  /