Diskussionsvorschlag für eine i-telex Authentifizierung

[Paul]

Der Code vom Centralex liegt im Moment noch in einem git repository bei mir auf dem Server, ich könnte den aber eigentlich mal auf github stellen.

[Paul]

Der aktuelle centralex Server liegt jetzt unter https://github.com/soruh/centralex-simple, es gibt noch eine andere Version mit mehr features,
daran arbeite ich aber erstmal nicht weiter.
Für die Zwischenzeit läuft jetzt erstmal dieser aufs absolute Minimum reduzierte Server.

[detlef]

Achso, ich dachte das wäre ein Authentifizierungsprotokoll.

Wichtig bei den Überlegungen ist, wie Fred schon geschrieben hat, dass Teilnehmer, die ihre Firmware nicht updaten, trotzdem weiter anrufen können und angerufen werden können.
Deswegen finde ich Freds Idee, das über die IP-Adresse zu machen, die ja sowieso schon im Teilnehmerserver gespeichert wird, eigentlich ganz gut.

Alles andere, was mir noch so einfällt, erfordert halt zwingend eine Aktualisierung der Firmware.

[Paul]

Das wäre hier ja auch möglich. Normale Anrufe funktionieren natürlich immernoch und wenn ein Client, der mit der "neuen" Methode angerufen wird nicht auf das Packet antwortet / ( eine andere Version schickt? ) Wird ja trotzdem (nach Benachrichtigung des Anrufers?) durchverbunden.

Das mit der IP war ja der ursprünglich Plan, dabei gibt es aber leider folgendes Problem:
entweder muss der Anrufer seine Nummer mitschicken (selbes Problem mit dem update aller ITelexe)
oder ich muss im Teilnehmerserver alle Einträge durchgehen und die IP vergeleichen, oder wenn der Client mit einem Hostnamen eingetragen ist ein nslookup machen.
Das wird aber leider, wenn ich bei jedem Anruf für ~150 hostnamen sehr schnell sehr recoucenintensiv. Bei meinem Server sollte das nicht wirklich ein Problem sein, aber die Server, die auf RasPis laufen würden das denke ich mal nicht aushalten. Ausserdem wäre das natürlich eine ideale DDOS Angriffsfläche....

Ich hatte überlegt die nslookups zu chachen, da sich die ips, aber ja zu jedem Zeitpunkt ändern können wären dann manche Teilnehmer ab und zu für eine Weile nicht authentifizierbar, oder ich muss, wenn eine IP nicht gefunden wird doch alle nslookups machen...

[detlef]

oder wenn der Client mit einem Hostnamen eingetragen ist ein nslookup machen.

Ok, das ist noch mal ein wichtiges Argument.

Aber der Server könnte ja die nslookups regelmäßig im Hintergrund machen und nicht erst, wenn die Anfrage kommt (also cachen, wie du schon geschrieben hattest).
Bei den meisten wird sich die IP-Adresse alle 24h irgendwann nachts ändern (bei mir um 4 Uhr). Da kommen nicht so viele Anrufe rein.
Auch aus den USA und aus Australien gehen hier nicht sooo viele Telexe ein.

Ausserdem wäre das natürlich eine ideale DDOS Angriffsfläche....

Wieso speziell das?

[Paul]

Wieso speziell das?

Wenn ich die nslookups nicht cache und man den Server mit einem 8 Byte Packet dazu bringen kann
132 nslookups zu machen ist das für einen DDOS Angriff ideal, da man mit minimalem Aufwand maximal viele Recourcen aufbrauchen kann.

Die Einträge nur einmal am Tag nachts zu holen wäre zwar für die meißten Teilnehmer in Ordnung, könnte aber vereinzelt zu großen Problemen führen.
Wenn ich die IPs z.B. immer um 4 hole und irgendwer seine IP bspw. um 5 ändert ist der nur eine Stunde lang, sehr früh morgens identifizierbar...

[Paul]

Jetzt wo ich drüber nachdenke ist die TTL eines DNS records glaube ich sowiso normalerweise 24h....
Die übrige TTL sollte beim nslookup aber ja auch zurückkommen, evtl. kann ich die einfach auswerten. Ich recherchiere da mal ein bisschen.

[detlef]

Wenn ich die nslookups nicht cache und man den Server mit einem 8 Byte Packet dazu bringen kann
132 nslookups zu machen ist das für einen DDOS Angriff ideal, da man mit minimalem Aufwand maximal viele Recourcen aufbrauchen kann.
Die Einträge nur einmal am Tag nachts zu holen wäre zwar für die meißten Teilnehmer in Ordnung, könnte aber vereinzelt zu großen Problemen führen.
Wenn ich die IPs z.B. immer um 4 hole und irgendwer seine IP bspw. um 5 ändert ist der nur eine Stunde lang, sehr früh morgens identifizierbar...

Ok, aber das wäre eine sehr spezialisierter DDOS Angriff. Dafür wird wohl keiner im Darknet ein Botnet anmieten. Ich kenne da die aktuellen Preise nicht.

Ich dache schon, dass man die nslookups laufend im Hintergrund macht. Das erzeugt ja keine große Last. Ich glaube meine vielen Windows-Programme telefoniert häufiger nach hause.
Dafür wäre auch mal interessant zu wissen, wieviel Teilnehmer eigentlich mit einem Hostnamen angemeldet sind.

[Paul]

132 nslookups

Die Zahl hab ich nachgeguckt.

sehr spezialisierter DDOS Angriff

Das Script ist aber in < 30 sek geschrieben und funktioniert auch ganz ohne botnet, eben weil die
aktuelle Implementation (ohne caching) so extrem ineffizient ist.

[detlef]

Das Script ist aber in < 30 sek geschrieben und funktioniert auch ganz ohne botnet, eben weil die
aktuelle Implementation (ohne caching) so extrem ineffizient ist.

Wiederholte Anfragen von der gleichen IP könnte man aber serverseitig sehr leicht abfangen können. Also ein kleines Botnet wird man schon brauchen.
Aber wie schon gesagt, Caching ist auf jeden Fall sinnvoll.