Názory k článku Bezpečné IPv6: vícehlavý útočník

Proč sakra autoři IPv6 vymýšleli takovýho bastarda? Všechno je složitější, náročnější na kontroly a tudíž poskytuje více možností na zneužití. Já bych čekal, že bude snaha, aby to novější bylo lepší než to staré (IPv4). Toto mi teda lepší nepřipadá...

Nevim co nechapes na tom, ze jednak protokol nema se zabezpecenim nic spolecnyho, druhak presne totez lze i na IPv4.

s vetsimi moznostmi prichazi vetsi zodpovednost..

To proto, že každou hlavičku vymyslela jiná hlavička a nedrželi se jednotnýho formátu ani jednotnýho kuřiva.

U TLV by byla HW filtrace triviální,
1) Chytnu hlavičku do registrů.
2) Chytnu typ a délku do registrů.
3) Pokud je to známá hlavička, tak ji chytnu, validuju, parsuju a zpracuju. Pokračování bodem 2. Na cestě jich až tak moc potřeba nebude. Možná něco k MTU a routování.
4) Pokud neznám hlavičku, tak stanovenou délku ignoruju. Pokračování bodem 2.
5) Pokud typ = data, paket projde ke zpracování.
6) Pokud je konec paketu a nejsou jasný data (protokol), paket jde do /dev/null

Validace: délka v rozsahu minsize až maxsize pro daný typ, správný hodnoty ve výčtech,... Nesedí-> zahodit

Pokud je MAC + switch v FPGA, tak třeba u Actelu jsem měli už x let zpátky součást FPGA ARM jádro, Lattice má Micro32, Altera Nios... Takže inteligence i flexibility by šlo přímo do ASICu na kartě narvat víc než dost a nepřetěžovat hlavní procák. A field update logiky za provozu taky není problém.

Delší dobu to tu čtu a IPv6 je ráj pro hackery :-)