題:
到底為什麼有人會使用IPv4的“最高機密”選項?
root
2013-03-28 01:47:27 UTC
view on stackexchange narkive permalink

因此,我正在閱讀RFC 791,並深入了解選項(此處)。在我進入“安全級別”部分之前,一切似乎都是體面且明智的。

現在,我可以理解國防部內部可能希望其數據包採用特殊路線的方式,但是在同時,不會使用這樣的選項只是提醒人們,嘿,這是最值得嘗試解密/跟踪的流量(當然,假設發送分類信息的人也具有加密傳輸的基本含義)?

誰會使用該IP功能?為什麼?什麼時候對除篩選大量信息的攻擊者以外的其他人有所幫助?

...另外...

如果我編寫了一個標記所有內容的網絡程序例如,其數據包為“秘密”數據包,通過互聯網路由時,是否會與標有“未分類”或“機密”標籤的數據包區別對待?

“如果我寫了一個網絡程序來標記所有數據包”-幾乎可以肯定不會發生任何異常。使用這些選項時,世界上幾乎沒有設備可以做任何事情。
僅因為在RFC中記錄了功能並不意味著已使用該功能。早在1981年設計此協議的人們就可以想像在與現代世界截然不同的世界中使用此協議。想像一下,沒有GPG,SSL或VPN的世界,而網絡經常使用集線器(將數據包重複發送到所有端口)而不是智能交換機。您可以想像這樣的標記在某種程度上可能有用,硬件可以根據其級別以負責任的方式對流量進行路由。不知道已經使用過;但有點像晦澀的HTTP請求方法(例如HTTP TRACE?)。
二 答案:
AJ Henderson
2013-03-28 01:59:24 UTC
view on stackexchange narkive permalink

分類標誌的要點是,它告訴路由器允許他們做什麼。您不會在開放的Internet上看到分類標誌,因為它們是由私人政府網絡處理的。但是,標誌的作用是允許政府網絡中的路由器確定是否應允許將數據包橋接到公共網絡或不太安全的網絡,而不必了解數據包中的內容。

請確保還可以查看 Falcon Momot的答案。它具有一些出色的附加深度。

但是,如果政府內部的路由器遭到破壞,那不是安全問題嗎?它不能告知潛在的攻擊者網絡上哪個節點最重要嗎?什麼樣的流量最值得與嘗試檢索相關的可能的暴露(因此,路由器是否能夠正常工作,直到捕獲到“最高機密”流,然後回電)?
以我有限的經驗,分類網絡必須是(並且是)空白的,這是任何人從未真正實現過的規範之一嗎?
嗯,嗯-**應該是氣隙的,是的...
@RoryAlsop如果您不煩惱氣隙,是否會麻煩設置分類標誌?
老實說,我從未見過使用的分類,直到現在我都沒有聽說過。
@Xander-我相信您是對的,實際上它們實際上都是空白。我只是記得曾經在大學時聽說過該標誌,並記得在那裡是對數據進行分類,否則路由器將無法決定該如何處理。他們可能從未使用過或可能不再使用它。我不確定實際用途,只是意圖。
@AJHenderson當然,這確實很有趣!
Falcon Momot
2013-10-04 13:17:25 UTC
view on stackexchange narkive permalink

該選項已完全定義,最後在 RFC1108中定義,如果當時存在該過程,則該RFC將成為標準的RFC。思科仍在宣傳對它的支持,這暗示著美國國防部仍在使用它。

也就是說,IPv6根本沒有等效的東西。 ,而且我從未見過部署它。它不是保護數據的特別有用的機制,只是它可以將敏感流量標記為不可轉發,前提是可以轉發該流量的設備符合要求。它肯定會將流量標記為有趣,儘管可能會產生很多噪音,並且我想除非您在機密網絡上進行數據包跟踪,否則您將看不到任何噪音(此時,您所做的一切都很好)

但是,作為數據包過濾標記,它肯定會比刪除安全性更高。通常,保護數據比隱藏元數據要重要得多,而默默無聞的安全性根本不是安全性。我可以看到它有兩種用途:

  • 分類網絡上的鏈接承載多個組的流量。有些設備是某些組的成員,但不是其他組的成員。這種關係是多對多的,為每種可能的分類使用單獨的設備是不切實際的。但是,網絡與世界其他地方之間存在差距,並且該機制被用作類似於VLAN的另一道防線。這是在功能類似於第3層交換機的設備中實現的。
  • 由於某些操作原因,網絡不會與外界隔離,因此需要一種針對公開的防線。邊界網關會丟棄所有具有指定分類的數據包。

在這些方面,並且考慮到RFC,它似乎與沒有封裝的VLAN非常相似,並且提供了盡可能多的功能安全值。

從過去10年來對RFC的任何更新,以及對當前硬件對規範的持續有限支持中,我將得出結論,就像政府IT中的許多其他事情一樣,它不再是首選的機制,但某些遺留系統正在以有限的容量使用它。



該問答將自動從英語翻譯而來。原始內容可在stackexchange上找到,我們感謝它分發的cc by-sa 3.0許可。
Loading...