---

稍微補充一下，
(1)  這不是中毒，是Kernel的TCP stack功能實做上有缺陷(exploit)
     中毒代表有惡意程式被植入、甚至被提權執行

(2)  Linux這次出包是在實做RFC 5961的要求時，讓連線的ACK counter共用造成的
     而Windows、FreeBSD這次可以免於問題，是因為沒有完整實做 RFC 5961

     Paper原文：
     "First of all, neither Windows nor FreeBSD has implemented all three conditions
      that trigger challenge ACKs according to RFC 5961."

     "More importantly, the ACK throttling is not found for Windows or MAC OS X.
     Ironically, not implementing the RFC fully, in fact is safer in this case."

     "Therefore, the Linux kernel has faithfully implemented this feature
      by storing the challenge ACK counter in a global variable shared by all TCP connections.
      This approach, unfortunately, creates an undesirable side channel, as will be elaborated."

     paper可在今年的USENIX Security Symposium上找到：
     https://goo.gl/BmwZFp

     如剛剛引述的第二段，這篇paper的作者覺得RFC建議實做的ACK throttle是有問題的
     至於這是不是protocol bug，在hacker news上面有爭論。
     因為第三段中有提到，細節上是Linux Kernel處理時讓連線共用同一個ACK counter造成的。


= = = = =

     Linux可貴的點就在原始碼是公開的，這篇paper的作者有說他是看code stack才覺得這邊有問題
     至於Linux被戰code quality已經不是新聞了，之前EuroSys就有一篇在講scheduler issue
     大抵上我個人的想法是：
         難聽點來講Linux只是現代作業系統的底限，
         如果一個proprietary的OS還做輸Linux，
         那真的不用賣了，被免錢的打暴收一收比較快

     而Linux Kernel這次也很快就上patch了：
     http://goo.gl/ykZrXT
     至於企業雇的IT們有沒有時間or有心情在跟Security Advisory做更新，
     那就是企業錢給的夠不夠、有沒有讓IT們覺得委屈的問題了

     很多網路協定提出的時候根本沒有去設想有人惡意利用
     因為當時網路資源非常的珍稀，使用這些exploit只會讓自己用起來很不舒服
     但隨著硬體資源的成長，就出現了各種DDoS跟其他攻擊手法
     像TCP SYN flood就是一個例子

     所以後面不論實做上，還是協定上，都在一步步升級
     而這過程必然是漫長而充滿荊棘的

--
Linux is the bone of my world.
Kernel is mybody, and initramfs is myblood,
have created over a thousand Distros.

Unknown to impossibility.
Nor known to limitation.

--
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.113.72.31
※ 文章代碼(AID): #1Ni5MOun (Gossiping)
※ 文章網址: https://www.ptt.cc/bbs/Gossiping/M.1471174040.A.E31.html