Prototype software blokkeert DDoS-aanvallen
Gepubliceerd: Dinsdag 6 oktober 2009
Auteur: Kristian van Tuil
Onderzoekers van een Amerikaanse universiteit hebben een methode ontwikkeld waarmee TCP/IP-pakketjes stuk voor stuk gecontroleerd kunnen worden, zonder dat een server hiermee extra belast wordt.
Onderzoekers hebben software ontwikkeld waarmee gedistribueerde denial-of-service aanvallen (DDoS) geblokkeerd kunnen worden zonder dat het RAM-geheugen en de processor onder de belasting hoeven te lijden. Het filter, dat schuil gaat onder de naam 'identity based privacy-protected access control' (IPCAF) houdt ook session hijacking, dictionary attacks en man-in-the-middle attacks tegen, melden de onderzoekers die werkzaam zijn aan de Auburn University in de Amerikaanse staat Alabama.
De nieuwe methode wordt aangeraden als vervanging van IP-adres filtering, wat soms wordt gebruikt om DDoS-aanvallen te blokkeren. Vaak wordt deze vorm van bescherming echter omzeild door gespoofte IP-adressen. Volgens hoogleraar Chang-Hwa "John" Wu van de universiteit wordt met deze methode het aantal gebruikte resources op aangevallen machines drastisch teruggebracht.
Slim resource management
Met IPCAF krijgen geautoriseerde gebruikers eenmalig een gebruikersnaam met bijbehorend wachtwoord om zich kenbaar te maken voor de server die ze proberen te bereiken. Daarna worden in de verbinding pseudonieme ID's en packet-field values opgezet zodat TCP/IP-pakketjes over de verbinding per stuk geautoriseerd worden. De ontvangende machine checkt simpelweg de pakketjes waarna deze bepaalt of het legitieme data is of niet. Alleen wanneer goede pakketjes worden ontdekt, ruimt de server meer CPU- en RAM-resources in om de volgende stroom aan pakketjes van dezelfde client-computer te verwerken.
Bij DDoS-aanvallen kunnen grote sites als Twitter en Bitbucket relatief gemakkelijk neergehaald worden door een enorme stroom aan pakketten vanaf verschillende computers naar de server te versturen. De uitdaging tot nog toe was om een manier te vinden die voorkwam dat de aangevallen machine veel CPU en RAM ging gebruiken om uit te maken of pakketjes legitiem zijn of niet. Intussen zijn er wel systemen ontwikkeld die ongewilde pakketten kunnen filteren, maar die zijn duur en vereisen het nodige management en onderhoud, vertelt Wu.
