Как IPv6-туннели превращают в «линии задержки» для пульсирующего DoS

На конференции USENIX Security 2026 команда из Университета Цинхуа представила технику под названием TED — Pulsing Denial-of-Service, превращающую излишне доверчивые туннельные узлы в программируемые «линии задержки». В отличие от классических атак, опирающихся на DNS, NTP или CDN, TED работает на сетевом уровне, комбинируя вложенные маршруты, задержки от расширенных заголовков IPv6 и точное планирование отправки пакетов.

Почему туннели снова под прицелом

Многие распространённые туннельные протоколы по умолчанию не предусматривают ни аутентификации, ни шифрования. Открытый узел готов принять инкапсулированный трафик от кого угодно и переслать распакованные внутренние пакеты, фактически работая открытым релеем. При этом заголовки Fragment, Routing и Destination Options можно выстраивать в цепочки, а маршрутизаторы, межсетевые экраны и реализации туннелей обрабатывают их непоследовательно. Глубоко вложенные заголовки нередко переживают распаковку без нормализации.

Пять стадий атаки

TED проходит через обнаружение пересылающих узлов, измерение задержек с учётом расширенных заголовков, построение корректных вложенных путей в пределах Path MTU, планирование (из общего времени прибытия вычитается задержка каждого пути) и, наконец, инъекцию. Пакеты уходят относительно равномерно, но по длинным путям — раньше, по коротким — позже, так что все они сходятся в выбранный момент.

Авторы честно оговаривают условия: нужен доступ к формированию «сырых» пакетов, пути должны пропускать вложенную инкапсуляцию, а оценки односторонних задержек — совпадать с реальностью. Изменения маршрутов, фильтрация и потери снижают точность.

Масштаб и результаты

С июня 2025 по январь 2026 года прошло 44 сканирования; суммарно тесты пересылки для шести протоколов прошли 1 909 440 узлов. Средняя «выживаемость» расширенных заголовков превысила 70,9 %, а в 81,6 % случаев их вставка заметно увеличивала задержку обработки.

В контролируемом эксперименте с собственными целями в Китае, Японии, Германии и США одношаговая базовая линия давала двенадцатикратный всплеск. TED же, распределив свыше 35 тысяч пакетов на 4,2 секунды, собрал более 34 тысяч из них в четверть секунды; в критическом окне 20 мс пиковая скорость превысила среднюю скорость отправителя более чем в 180 раз. Это не усиление по байтам, а временная концентрация.

Что делать операторам

Главная опасность — невидимость: прикладные защиты бессильны, цель видит обычный распакованный трафик, а промежуточные сети — лишь низкую локальную скорость. Среди уязвимых адресов нашлись и связанные с терминалами Starlink.

Рекомендации авторов: ограничивать туннельных пиров, проверять адреса источника внутренних и внешних пакетов, лишать смысла вложенность глубже единицы, блокировать устаревший RH0 и лишние комбинации заголовков, вести инспекцию и журналирование после распаковки и отслеживать короткие всплески на очередях. Общий урок прост: механизмы, безопасные по отдельности, могут опасно взаимодействовать.

Источник: Lobsters