HTTP/3 προ των πυλών, εμπνευσμένο από Google

[mader]

τεσπα...  πολλοί βιάστηκαν να με κρίνουν αλλα συνάμα "πέταξαν" και την επιστημονική τους κοτσάνα χωρις να την δικαιολογήσουν

(δεν λεω για σενα defacer - ας ειναι καλά οι moderators)

ετσι συνεχίζω και ολοκληρώνω την "κουβεντούλα καφενείου"  που ξεκίνησα εσκεμμένως (για ευνόητους λογους):

 

το UDP ειναι πιο γρήγορο, άμεσο και γενικα ενα RAW πρωτόκολλο, ομως δεν ειναι και τοσο ασφαλές μιας και δεν περιλαμβάνει μηχανισμούς  επιβεβαίωσης αποστολής - λήψης πακέτων, ετσι

καποιος θα μπορουσε να υποκλεψει σχετικα ευκολα πακετα πληροφοριων (m-i-t-m) .

ετσι, αυτη η δουλεια πρεπει να γινει στο επίπεδο εφαρμογών (application layer), ομως, με τον τροπο αυτο, πλησιάζουμε το τροπο λειτουργικότητας του TCP επιβαρύνοντας το σύνολο της επικοινωνίας και τελικα εχουμε ενα αποτέλεσμα που προσεγγίζει την απόδοση του TCP.

οποιος εχει δουλέψει με Goose, DTLS κτλ θα καταλάβει αμεσως τι εννοώ...

π.χ. το DTLS σχεδιάστηκε για μια γρήγορη επικοινωνία μεταξύ συστημάτων ασφάλειας με βάση το UDP, στην πορεία ομως βρεθήκαν καποιες "τρύπες ασφαλείας" και συνεπώς εγιναν προσθήκες / διορθώσεις στις εφαρμογές και στο ιδιο το πρωτόκολλο  ξανα κ ξανα ωστε να αποφευχθεί στο μέγιστο δυνατόν η υποκλοπή δεδομένων (eavesdropping) με αποτέλεσμα να χαθει ο πρωτεύων στοχος του...

 

αυτη ειναι η γνωμη μου. Συγγνώμη εαν κανω λαθος, άλλωστε αυτος ειναι ο λογος ύπαρξης του φορουμ.

 

 

Επεξ/σία 17 Νοεμβρίου 2018 από mader

[defacer]

47 minutes ago, mader said:

το UDP ειναι πιο γρήγορο, άμεσο και γενικα ενα RAW πρωτόκολλο, ομως δεν ειναι και τοσο ασφαλές μιας και δεν περιλαμβάνει μηχανισμούς  επιβεβαίωσης αποστολής - λήψης πακέτων, ετσι

καποιος θα μπορουσε να υποκλεψει σχετικα ευκολα πακετα πληροφοριων (m-i-t-m) .

Τι σχέση έχει η επιβεβαίωση λήψης με την ασφάλεια κατά των υποκλοπών; Καμία, ρητορική ερώτηση. Είναι δύο τελείως διαφορετικά πράγματα.

Επίσης, mitm λέγεται ο ενεργός κακόβουλος, που έχει τη δυνατότητα όχι να υποκλέψει απλά αλλά να ελέγξει τελείως τη συνομιλία για την οποία μιλάμε.

47 minutes ago, mader said:

αυτη ειναι η γνωμη μου. Συγγνώμη εαν κανω λαθος, άλλωστε αυτος ειναι ο λογος ύπαρξης του φορουμ.

Πρώτον, αυτά που έχεις πει είναι όλα μαζί ένα μεγάλο λάθος. Έχεις πει και πράγματα που ισχύουν, αλλά ισχύουν επειδή είναι σούπερ γενικότητες και δεν προσφέρουν τίποτα στη συζήτηση.

Δεύτερον, το σωστό ή λάθος σε τεχνικά θέματα δεν είναι ζήτημα γνώμης αλλά μαθηματικών και φυσικής. Γνώμη μπορεί να έχει και ο πλέον άσχετος, και γενικά έχει.

Και τέλος, δεν ξέρω τι καταλαβαίνεις όχι απλά να λες ότι ναναι αλλά να ισχυρίζεσαι κιόλας ότι έχεις 20 χρόνια εμπειρία σε δεν ξέρω τι θες να φανταστούμε. Αν όντως έχεις, είναι λυπηρό.

[mader]

7 λεπτά πριν, defacer είπε

Τι σχέση έχει η επιβεβαίωση λήψης με την ασφάλεια κατά των υποκλοπών; Καμία, ρητορική ερώτηση. Είναι δύο τελείως διαφορετικά πράγματα.

Επίσης, mitm λέγεται ο ενεργός κακόβουλος, που έχει τη δυνατότητα όχι να υποκλέψει απλά αλλά να ελέγξει τελείως τη συνομιλία για την οποία μιλάμε.

Πρώτον, αυτά που έχεις πει είναι όλα μαζί ένα μεγάλο λάθος. Έχεις πει και πράγματα που ισχύουν, αλλά ισχύουν επειδή είναι σούπερ γενικότητες και δεν προσφέρουν τίποτα στη συζήτηση.

Δεύτερον, το σωστό ή λάθος σε τεχνικά θέματα δεν είναι ζήτημα γνώμης αλλά μαθηματικών και φυσικής. Γνώμη μπορεί να έχει και ο πλέον άσχετος, και γενικά έχει.

Και τέλος, δεν ξέρω τι καταλαβαίνεις όχι απλά να λες ότι ναναι αλλά να ισχυρίζεσαι κιόλας ότι έχεις 20 χρόνια εμπειρία σε δεν ξέρω τι θες να φανταστούμε. Αν όντως έχεις, είναι λυπηρό.

ναι, εντάξει, συγγνώμη, δεν θα ασχοληθώ άλλο.

Εχεις απόλυτο δίκιο και είσαι αλάνθαστος.

τωρα εισαι οκ;

 

μια ερώτηση μονο: τα λεγόμενα σου τα βασίζεις στην θεωρία ή στην πράξη;

 

το m-i-t-m το ανέφερα σαν παράδειγμα για την περίπτωση υποκλοπών και μόνο, θα μπορουσα να αναφερόμουν σε απλο packet sniffing, απλα αυτο ειχα στο μυαλο μου, εκεινη τη στιγμη, απο προσωπική εμπειρία.

 

και ετσι απλα για το story: στα 22 χρονια εμπειρίας,  η επιβεβαίωση αποστολής / λήψης εχει πολυ μεγάλη σημασία στην αποτροπή υποκλοπών. το εχω δει στην πράξη, τι να λεμε τωρα//

η θεωρια ειναι θεωρία (μαθηματικά και φυσικοχημεία οπως λες) αλλα η πράξη ειναι αυτο που τελικά μετράει.

 

ήμαστε λιγο μακρια, διαφορετικά θα μπορούσα να σου αποδείξω αυτα που λεω στην πράξη, οχι θεωρίες, φυσικοχημείες  κτλ.

 

 

[defacer]

23 minutes ago, mader said:

και ετσι απλα για το story: στα 22 χρονια εμπειρίας,  η επιβεβαίωση αποστολής / λήψης εχει πολυ μεγάλη σημασία στην αποτροπή υποκλοπών. το εχω δει στην πράξη, τι να λεμε τωρα//

Μόνο γέλιο. Δε θα ασχοληθώ περισσότερο.

[vadou]

Βρε συ @mader σε ρώτησε και ο @defacer παραπάνω, το διάβασες το άρθρο; Έχεις καταλάβει την ανάγκη που προσπαθεί να καλύψει το καινούριο πρωτόκολλο; Κατάλαβες για ποιο λόγο και σε ποια περίπτωση δημιουργείται τόσο μεγάλο overhead που δε μας καλύπτει πλέον το TCP; Hint: SSL/TLS
Τι mitm και packet sniffing λες;

[Επισκέπτης]

2 ώρες πριν, mader είπε

τεσπα...  πολλοί βιάστηκαν να με κρίνουν αλλα συνάμα "πέταξαν" και την επιστημονική τους κοτσάνα χωρις να την δικαιολογήσουν

(δεν λεω για σενα defacer - ας ειναι καλά οι moderators)

ετσι συνεχίζω και ολοκληρώνω την "κουβεντούλα καφενείου"  που ξεκίνησα εσκεμμένως (για ευνόητους λογους):

 

το UDP ειναι πιο γρήγορο, άμεσο και γενικα ενα RAW πρωτόκολλο, ομως δεν ειναι και τοσο ασφαλές μιας και δεν περιλαμβάνει μηχανισμούς  επιβεβαίωσης αποστολής - λήψης πακέτων, ετσι

καποιος θα μπορουσε να υποκλεψει σχετικα ευκολα πακετα πληροφοριων (m-i-t-m) .

ετσι, αυτη η δουλεια πρεπει να γινει στο επίπεδο εφαρμογών (application layer), ομως, με τον τροπο αυτο, πλησιάζουμε το τροπο λειτουργικότητας του TCP επιβαρύνοντας το σύνολο της επικοινωνίας και τελικα εχουμε ενα αποτέλεσμα που προσεγγίζει την απόδοση του TCP.

οποιος εχει δουλέψει με Goose, DTLS κτλ θα καταλάβει αμεσως τι εννοώ...

π.χ. το DTLS σχεδιάστηκε για μια γρήγορη επικοινωνία μεταξύ συστημάτων ασφάλειας με βάση το UDP, στην πορεία ομως βρεθήκαν καποιες "τρύπες ασφαλείας" και συνεπώς εγιναν προσθήκες / διορθώσεις στις εφαρμογές και στο ιδιο το πρωτόκολλο  ξανα κ ξανα ωστε να αποφευχθεί στο μέγιστο δυνατόν η υποκλοπή δεδομένων (eavesdropping) με αποτέλεσμα να χαθει ο πρωτεύων στοχος του...

 

αυτη ειναι η γνωμη μου. Συγγνώμη εαν κανω λαθος, άλλωστε αυτος ειναι ο λογος ύπαρξης του φορουμ.

 

 

Μια χαρα τα λες, ειδικα με το dtls ειχε γίνει χαμούλης.

 Το udp απο την αλλη παρουσιαζει τα προβληματα που αναφερεις περι υποκλοπων . Ευτιχος ομώς οπου χρειαζεται ασφαλεια γινεται χρηση του tcp η αλλων prc’s

[Επισκέπτης]

Στις 17/11/2018 στις 12:35 ΠΜ, defacer είπε

Το UDP παραμένει ως έχει, πάνω από αυτό θα στήσουν πρωτόκολλο. Όπως και σε πολλές άλλες περιπτώσεις, πχ https://en.wikipedia.org/wiki/Real-time_Transport_Protocol.

Όσο για το πώς θα είναι, αυτό είναι εύκολο γιατί υπάρχει ήδη: https://datatracker.ietf.org/doc/draft-ietf-quic-transport/

Γενικά υπάρχουν ήδη καλές γενικές περιγραφές του τι κάνει διαφορετικά. Πχ, προκειμένου να γλυτώσουμε ένα ή και περισσότερα round trips για την αποκατάσταση συνεδρίας (πριν δηλαδή καν αρχίσουμε να κάνουμε τη δουλειά για την οποία ενδιαφερόμαστε εξαρχής), η αποκατάσταση συνεδρίας γίνεται ταυτόχρονα με τον καθορισμό κρυπτογραφικών παραμέτρων (αφού εδώ το έχουμε δεδομένο ότι θέλουμε ασφαλές πρωτόκολλο και τι είδους, που σε άλλες εφαρμογές δεν είναι έτσι).

Το βασικότερο ίσως πράγμα που κάνει είναι ότι παρέχει εσωτερικά μηχανισμό για το διαχωρισμό του καναλιού επικοινωνίας που θα δημιουργηθεί σε αυτόνομα υπο-κανάλια. Αυτό συμβαίνει επειδή εδώ ξέρουμε από πριν ότι θα χρειαστούν πολλές λογικά αυτόνομες συναλλαγές (πχ φορτώνω σελίδα και βλέπω 3 CSS αρχεία, 5 JavaScript και 10 εικόνες, αυτά είναι ήδη 18 HTTP requests που πρέπει να γίνουν, πολλαπλάσια του 18 round trips για τις συνδέσεις, κλπ). Στην περίπτωση με τα υποκανάλια, πληρώνουμε ένα μικρό τίμημα σε όγκο δεδομένων (πολύ μικρό και χεστήκαμε κιόλας γιατί από bandwidth σήμερα άλλο τίποτα) για να κερδίσουμε πάρα πολύ σε μη-αναμονή για round trips που δεν έγιναν (γιατί στο latency ότι κι αν κάνεις στο τέλος πάντα τρως πόρτα από την ταχύτητα του φωτός, οπότε δε βελτιώνεται ρεαλιστικά, οπότε όταν χτυπάνε εκεί πονάει).

Χαχαχαχα γελάνε και τα  mac address tables στα switch .

Αναθεμα και αν κατάλαβες τι έχεις μεταφράσει και τι έχεις γράψει ως απάντηση, μαθε πρώτα τι είναι τα protocols και μετά «αναλύεις» μεσω google translate. Χαχαχαχα 

Casa de arloubacion!!!

[orgixmh]

Στις 16/11/2018 στις 8:30 ΜΜ, Paladin-}LoA{- είπε

Το UDP είναι fire n forget πρωτόκολλο που ειναι φτιαγμενο για screaming ξρκαθαρα. Δεν πείθομαι ότι μπορεί να φτιαχτεί κάτι αξιόπιστο για https με UDP. Άσε δε που στο TCP κάνεις και handshake... Με το UDP δεν ξέρεις καν αν θα γίνει σωστά εκτός και αν στη λήψη του τελευταίου πακέτου κάνεις κάποιο checksum... Πολύ αισιόδοξο μου ακούγεται το όλο εγχείρημα.... Για να μην αναφέρω ότι εδώ καλά καλά ακόμα δεν έχει καθιερωθεί το HTTP 2.0....

έτσι είναι, το udp είναι όπως το γράφεις fire n forget (θα στο κλέψω btw  ), αυτό όμως δεν σε αποτρέπει από το να χτίσεις ένα πρωτόκολλο πάνω στο udp.
H google αυτό πάει να κάνει και το άρθρο αυτό γράφει, στην πραγματικότητα το udp είναι αρκετά γρηγορότερο από το tcp και αν σχεδιάσεις ένα πρωτόκολλο πάνω στο udp που να κάνει τους ελέγχους του tcp με λιγότερα πάνε-έλα τότε έχεις πετύχει καλύτερο latency.

Μπορείς να πάρεις σαν παράδειγμα τα games, πχ ο game client του league of legends παίζει στις πόρτες 5000-5500 udp και γενικότερα τα περισσότερα games που απαιτούν γρήγορη απόκριση παίζουν σε udp και για τα χαμένα πακέτα κάνουν erasure.

Σχετικά με το έλεγχο των πακέτων κατά την μεταφορά τους μέσω udp υπάρχουν "κόλπα" όπως το longhair όπου μπορείς να "μαντέψεις" τα περιεχόμενα του πακέτου που χάθηκε διαβάζοντας τα υπόλοιπα πακέτα.

Από την δική μου οπτική γωνία το tcp είναι ασφαλές πρωτόκολλο μεταφοράς δεδομένων τύπου plug n play που μαζί του φέρνει καθυστέρηση λόγο των ελέγχων που κάνει, αντίθετα το udp σου δίνει την ελευθερία να δημιουργήσεις τους ελέγχους που εσύ θέλεις.

Επεξ/σία 18 Νοεμβρίου 2018 από orgixmh

[Επισκέπτης]

Γιατί δεν χρησιμοποιούν το SCTP;

[cyberrobot]

To QUIC το χρησιμοποιεί ήδη στο youtube.... Εμεινα λίγο μλκς όταν ανοιξα το wireshark τις προάλλες... 

 

[centouno]

Από πλευράς server μια πειραματική έκδοση σε ανοιχτού κώδικα ή με συνδρομή στον lightspeed. 1,5-2 χρόνια τουλάχιστον για μαζική αποδοχή και υλοποιήση.

[Επισκέπτης]

8 ώρες πριν, elorant είπε

Γιατί δεν χρησιμοποιούν το SCTP;

Προβληματικό θεωρείται (και είναι) και το SCTP (θα βρείς αρκετά cases με προβλήματα γύρω απ' αυτό πχ λόγω multihoming):

"Iyengar pointed to the SCTP protocol as an example of the problem with new IP-based protocols: it comes down to the middleboxes again. SCTP has been around for years, but middleboxes still do not recognize it and tend to block it. As a result, SCTP cannot be reliably used on the net. Actually deploying a new IP-based protocol, he said, is simply impossible on today's Internet. Additionally, working on top of UDP makes a user-space implementation easier."

-- https://lwn.net/Articles/745590/

[mader]

11 ώρες πριν, defacer είπε

Μόνο γέλιο. Δε θα ασχοληθώ περισσότερο.

μην ασχοληθεις, ετσι κ αλλιως για ασχετος θεωρητικό ξερόλα σε κοβω

10 ώρες πριν, vadou είπε

Βρε συ @mader σε ρώτησε και ο @defacer παραπάνω, το διάβασες το άρθρο; Έχεις καταλάβει την ανάγκη που προσπαθεί να καλύψει το καινούριο πρωτόκολλο; Κατάλαβες για ποιο λόγο και σε ποια περίπτωση δημιουργείται τόσο μεγάλο overhead που δε μας καλύπτει πλέον το TCP; Hint: SSL/TLS
Τι mitm και packet sniffing λες;

Ωχ... παμε παλι.  

παιδια, καταλαβαίνεται για πιο λογο το UDP ειναι τοσο πιο γρήγορο απο το TCP?

πραγματικα, ξερεις τι ειναι το mitm κ packet sniffing ή μόλις το googlares?

ποσο χρήσιμο θα ειναι ενα τροποποιημένο UDP προτοκολλο που στην τελικη του φαση θα προσεγγίζει σε λειτουργια το TCP και με ολοκλήρωση στο επίπεδο εφαρμογων;

 

[silis18]

12 ώρες πριν, defacer είπε

Μόνο γέλιο. Δε θα ασχοληθώ περισσότερο.

χαχαχα @defacer εγω με εσένα γελάω πάντως! 

[EuphangeL]

12 ώρες πριν, mader είπε

και ετσι απλα για το story: στα 22 χρονια εμπειρίας,  η επιβεβαίωση αποστολής / λήψης εχει πολυ μεγάλη σημασία στην αποτροπή υποκλοπών. το εχω δει στην πράξη, τι να λεμε τωρα//

Γιατί ως γνωστόν, σε mitm περιπτώσεις, τα υποκλέβεις τα πακέτα βουτώντας τα. Τα κάνεις δικά σου, τα εξαφανίζεις. Δεν φτάνουν ποτέ στον παραλήπτη. Γιαυτό έχει πολυ μεγάλη σημασία στην αποτροπή υποκλοπών. το εχεις δει στην πράξη, τι να λεμε τωρα//

😂Τι Βαλκάνιοι είστε εσείς, φίλοι μου; Γιατί τέτοια κατάντια αυτό το έθνος ακόμα και σε engineering think tanks?

Πόσες γενιές πρέπει να ψοφολογήσουν για να γίνει το reset? Νόμιζα οτι θα ξεμπερδεύαμε σε 5-10 χρόνια

45 λεπτά πριν, mader είπε

παιδια, καταλαβαίνεται για πιο λογο το UDP ειναι τοσο πιο γρήγορο απο το TCP?

πραγματικα, ξερεις τι ειναι το mitm κ packet sniffing ή μόλις το googlares?

ποσο χρήσιμο θα ειναι ενα τροποποιημένο UDP προτοκολλο που στην τελικη του φαση θα προσεγγίζει σε λειτουργια το TCP και με ολοκλήρωση στο επίπεδο εφαρμογων;

Καταλαβαίνεις την έννοια της σύμπτυξης; Καταλαβαίνεις την διαφορά 50 TCP handshakes vs 1 QUIC handshake per endpoint? Αν είσαι τόσο low functioning που δεν κουδουνίζει τίποτα στην λογική σου αυτό, άνοιξε έναν Chrome με 10 Google services tabs και πήγαινε στο chrome://net-internals/#quic

Στις 17/11/2018 στις 7:41 ΠΜ, koftis650 είπε

Σε firewalling επίπεδο επίσης η χρήση του UDP για HTTP μόνο βολική δεν την λες....

-- https://www.fastvue.co/fastvue/blog/googles-quic-protocols-security-and-reporting-implications/

Άχου μωλέ μωλέ. Ο author ενός packet sniffing / reporting solution κλαψουρίζει επειδή του χαλάνε την μπίσνα. Δεν θα μπορούν οι Men in the middle να κάνουν inspect το traffic, όπως για παράδειγμα να δουν αναλυτικά την λίστα με τα YouTube video που παρακολούθησε κάποιος. Κλαψ.. τι κρίμα, κακό QUIC protocol