home *** CD-ROM | disk | FTP | other *** search
/ Internet Core Protocols / Oreilly-InternetCoreProtocols.iso / RFCs / rfc2644.txt < prev    next >
Encoding:
Text File  |  1999-10-14  |  6.9 KB  |  228 lines
  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7. Network Working Group                                           D. Senie
  8. Request for Comments: 2644                        Amaranth Networks Inc.
  9. Updates: 1812                                                August 1999
  10. BCP: 34
  11. Category: Best Current Practice
  12.  
  13.  
  14.         Changing the Default for Directed Broadcasts in Routers
  15.  
  16. Status of this Memo
  17.  
  18.    This document specifies an Internet Best Current Practices for the
  19.    Internet Community, and requests discussion and suggestions for
  20.    improvements.  Distribution of this memo is unlimited.
  21.  
  22. Copyright Notice
  23.  
  24.    Copyright (C) The Internet Society (1999).  All Rights Reserved.
  25.  
  26. 1. Introduction
  27.  
  28.    Router Requirements [1] specifies that routers must receive and
  29.    forward directed broadcasts. It also specifies that routers MUST have
  30.    an option to disable this feature, and that this option MUST default
  31.    to permit the receiving and forwarding of directed broadcasts.  While
  32.    directed broadcasts have uses, their use on the Internet backbone
  33.    appears to be comprised entirely of malicious attacks on other
  34.    networks.
  35.  
  36.    Changing the required default for routers would help ensure new
  37.    routers connected to the Internet do not add to the problems already
  38.    present.
  39.  
  40.    The key words "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT",
  41.    "SHOULD", "SHOULD NOT", "RECOMMENDED",  "MAY", and "OPTIONAL" in this
  42.    document are to be interpreted as described in RFC 2119.
  43.  
  44. 2. Discussion
  45.  
  46.    Damaging denial of service attacks led to the writing of [2] on
  47.    Ingress Filtering. Many network providers and corporate networks have
  48.    endorsed the use of these methods to ensure their networks are not
  49.    the source of such attacks.
  50.  
  51.    A recent trend in Smurf Attacks [3] is to target networks which
  52.    permit directed broadcasts from outside their networks. By permitting
  53.    directed broadcasts, these systems become "Smurf Amplifiers."
  54.  
  55.  
  56.  
  57.  
  58. Senie                    Best Current Practice                  [Page 1]
  59.  
  60. RFC 2644         Default Change for Directed Broadcast       August 1999
  61.  
  62.  
  63.    While the continued implementation of ingress filters remains the
  64.    best way to limit these attacks, restricting directed broadcasts
  65.    should also receive priority.
  66.  
  67.    Network service providers and corporate network operators are urged
  68.    to ensure their networks are not susceptible to directed broadcast
  69.    packets originating outside their networks.
  70.  
  71.    Mobile IP [4] had provisions for using directed broadcasts in a
  72.    mobile node's use of  dynamic agent discovery. While some
  73.    implementations support this feature, it is unclear whether it is
  74.    useful. Other methods of achieving the same result are documented in
  75.    [5]. It may be worthwhile to consider removing the language on using
  76.    directed broadcasts as Mobile IP progresses on the standards track.
  77.  
  78. 3. Recommendation
  79.  
  80.    Router Requirements [1] is updated as follows:
  81.  
  82.    Section 4.2.2.11 (d) is replaced with:
  83.  
  84.       (d) { <Network-prefix>, -1 }
  85.  
  86.       Directed Broadcast - a broadcast directed to the specified network
  87.       prefix.  It MUST NOT be used as a source address.  A router MAY
  88.       originate Network Directed Broadcast packets.  A router MAY have a
  89.       configuration option to allow it to receive directed broadcast
  90.       packets, however this option MUST be disabled by default, and thus
  91.       the router MUST NOT receive Network Directed Broadcast packets
  92.       unless specifically configured by the end user.
  93.  
  94.    Section 5.3.5.2, second paragraph replaced with:
  95.  
  96.       A router MAY have an option to enable receiving network-prefix-
  97.       directed broadcasts on an interface and MAY have an option to
  98.       enable forwarding network-prefix-directed broadcasts.  These
  99.       options MUST default to blocking receipt and blocking forwarding
  100.       of network-prefix-directed broadcasts.
  101.  
  102. 4. Security Considerations
  103.  
  104.    The goal of this document is to reduce the efficacy of certain types
  105.    of denial of service attacks.
  106.  
  107. 5. References
  108.  
  109.    [1] Baker, F., "Requirements for IP Version 4 Routers", RFC 1812,
  110.        June 1995.
  111.  
  112.  
  113.  
  114. Senie                    Best Current Practice                  [Page 2]
  115.  
  116. RFC 2644         Default Change for Directed Broadcast       August 1999
  117.  
  118.  
  119.    [2] Ferguson, P. and D. Senie, "Ingress Filtering", RFC 2267, January
  120.        1998.
  121.  
  122.    [3] See the pages by Craig Huegen at:
  123.        http://www.quadrunner.com/~chuegen/smurf.txt, and the CERT
  124.        advisory at: http://www.cert.org/advisories/CA-98.01.smurf.html
  125.  
  126.    [4] Perkins, C., "IP Mobility Support", RFC 2002, October 1996.
  127.  
  128.    [5] P. Calhoun, C. Perkins, "Mobile IP Dynamic Home Address
  129.        Allocation Extensions", Work in Progress.
  130.  
  131. 6. Acknowledgments
  132.  
  133.    The author would like to thank Brandon Ross of Mindspring and Gabriel
  134.    Montenegro of Sun for their input.
  135.  
  136. 7. Author's Address
  137.  
  138.    Daniel Senie
  139.    Amaranth Networks Inc.
  140.    324 Still River Road
  141.    Bolton, MA 01740
  142.  
  143.    Phone: (978) 779-6813
  144.    EMail: dts@senie.com
  145.  
  146.  
  147.  
  148.  
  149.  
  150.  
  151.  
  152.  
  153.  
  154.  
  155.  
  156.  
  157.  
  158.  
  159.  
  160.  
  161.  
  162.  
  163.  
  164.  
  165.  
  166.  
  167.  
  168.  
  169.  
  170. Senie                    Best Current Practice                  [Page 3]
  171.  
  172. RFC 2644         Default Change for Directed Broadcast       August 1999
  173.  
  174.  
  175. 8.  Full Copyright Statement
  176.  
  177.    Copyright (C) The Internet Society (1999).  All Rights Reserved.
  178.  
  179.    This document and translations of it may be copied and furnished to
  180.    others, and derivative works that comment on or otherwise explain it
  181.    or assist in its implementation may be prepared, copied, published
  182.    and distributed, in whole or in part, without restriction of any
  183.    kind, provided that the above copyright notice and this paragraph are
  184.    included on all such copies and derivative works.  However, this
  185.    document itself may not be modified in any way, such as by removing
  186.    the copyright notice or references to the Internet Society or other
  187.    Internet organizations, except as needed for the purpose of
  188.    developing Internet standards in which case the procedures for
  189.    copyrights defined in the Internet Standards process must be
  190.    followed, or as required to translate it into languages other than
  191.    English.
  192.  
  193.    The limited permissions granted above are perpetual and will not be
  194.    revoked by the Internet Society or its successors or assigns.
  195.  
  196.    This document and the information contained herein is provided on an
  197.    "AS IS" basis and THE INTERNET SOCIETY AND THE INTERNET ENGINEERING
  198.    TASK FORCE DISCLAIMS ALL WARRANTIES, EXPRESS OR IMPLIED, INCLUDING
  199.    BUT NOT LIMITED TO ANY WARRANTY THAT THE USE OF THE INFORMATION
  200.    HEREIN WILL NOT INFRINGE ANY RIGHTS OR ANY IMPLIED WARRANTIES OF
  201.    MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE.
  202.  
  203. Acknowledgement
  204.  
  205.    Funding for the RFC Editor function is currently provided by the
  206.    Internet Society.
  207.  
  208.  
  209.  
  210.  
  211.  
  212.  
  213.  
  214.  
  215.  
  216.  
  217.  
  218.  
  219.  
  220.  
  221.  
  222.  
  223.  
  224.  
  225.  
  226. Senie                    Best Current Practice                  [Page 4]
  227.  
  228.