SYN クッキーの仕組み

• エ（正解）: SYN を受けた時点では状態を割り当てず，クッキーを SYN/ACK のシーケンス番号として送る

  When a connection in LISTEN receives a SYN segment, it can generate a SYN cookie and send it in the sequence number of a SYN-ACK, without allocating any other state.

  RFC 4987 · Appendix A（新しいタブで開きます）
• エ（正解）: クッキーはアドレス・ポート番号や時刻カウンタなどから決めた SYN/ACK の初期シーケンス番号である

  A SYN cookie is an initial sequence number sent in the SYN-ACK, that is chosen based on the connection initiator's initial sequence number, MSS, a time counter, and the relevant addresses and port numbers.

  RFC 4987 · Appendix A（新しいタブで開きます）
• エ（正解）: ACK を受けたら，ACK のアドレス・ポート番号とカウンタ・秘密関数から計算し直した値と照合する

  If an ACK comes back, the difference between the acknowledged sequence number and the sequence number of the ACK segment can be checked against recent values of the counter and the secret function's output given those counter values and the IP addresses and port numbers in the ACK segment.

  RFC 4987 · Appendix A（新しいタブで開きます）
• エ（正解）・ア（誤り）: SYN クッキーは SYN-RECEIVED の接続に状態を一切割り当てない（状態を縮めて保持するアとは異なる）

  SYN cookies go a step further and allocate no state at all for connections in SYN-RECEIVED.

  RFC 4987 · Section 3.6（新しいタブで開きます）
• ア（誤り）: 不完全な TCB をハッシュ表に保持するのは SYN キャッシュの動作である

  The secret bits are hashed along with the IP addresses and TCP ports of a segment, and the hash value determines the location in a global hash table where the incomplete TCB is stored.

  RFC 4987 · Section 3.5（新しいタブで開きます）
• イ（誤り）: 攻撃を受けたサーバは詐称された送信元アドレスに対しても SYN/ACK を生成する

  For an effective attack, it is important that the spoofed IP addresses be unresponsive to the SYN-ACK segments that the victim will generate.

  RFC 4987 · Section 2.2（新しいタブで開きます）
• イ（誤り）: 送信元が詐称されていないことはハンドシェイクを完了する ACK が返って初めて分かり，SYN の時点で詐称を見分けて破棄するのではない

  If the SYN was not spoofed, then the acknowledgement number (along with several other fields) in the ACK that completes the handshake can be used to reconstruct the state to be put into the TCB.

  RFC 4987 · Section 3.6（新しいタブで開きます）
• ウ（誤り）: どの実装でも基本は SYN/ACK のシーケンス番号に情報を符号化することであり，クッキーだけを返して SYN を送り直させる方式ではない（RFC に直接の否定文はなく，この記述から排除される）

  There are other slightly different ways of implementing the SYN cookie concept than the exact means described here, although the basic idea of encoding data into the SYN-ACK sequence number is constant.

  RFC 4987 · Appendix A（新しいタブで開きます）
• ウ（誤り）: クッキーは生成したサーバ自身が検証するので，相手側の TCP 実装に影響しない

  Any similar one-way hash could be used instead without impacting interoperability since the hash value is checked by the same host who generates it.

  RFC 4987 · Section 3.6（新しいタブで開きます）

ウを直接否定する一文は RFC 4987 に無いが，Appendix A の「SYN-ACK のシーケンス番号に符号化するのが基本で不変」と 3.6 の相互運用性の記述から，通常の 3 ウェイハンドシェイクのまま動く方式であることが分かるので排除できる。