18.3. Chemins Divisés (Split Paths)

Dans certains cas, un routeur malveillant ou corrompu peut n'avoir accès qu'à une partie des paquets d'un flux. La question est la suivante : ce routeur peut-il causer plus de dommages à ce flux en modifiant le champ ECN dans cette partie des paquets qu'il ne pourrait en causer en abandonnant simplement ce groupe de paquets ?

Nous classons les paquets dans le flux en paquets A et paquets B, et supposons que l'adversaire n'a accès qu'aux paquets A. Supposons que l'adversaire contourne le contrôle de congestion de bout en bout le long du chemin de transport des paquets A uniquement en indiquant faussement la capacité ECN en amont de la congestion se produisant sur le chemin des paquets A, ou en effaçant les indications de congestion en aval. Considérons également qu'il existe un dispositif de surveillance qui voit à la fois les paquets A et B, et qui "pénalisera" les paquets A et B s'il détermine que le flux total ne répond pas correctement aux indications de congestion. Une autre caractéristique clé que nous pensons pouvoir être vraie est que le dispositif de surveillance abandonnera d'abord des paquets plutôt que de définir le codepoint CE avant de "pénaliser" le flux A&B, et abandonnera les paquets arrivants de ce flux qui ont déjà le codepoint CE défini. Si les nœuds terminaux utilisent réellement le contrôle de congestion de bout en bout, ils verront toutes les indications de congestion vues par le dispositif de surveillance et commenceront à répondre à ces indications de congestion. Ainsi, le dispositif de surveillance réussit à fournir des indications au flux à un stade précoce.

En effet, un adversaire ayant accès uniquement aux paquets A peut, en contournant le contrôle de congestion basé sur ECN, être en mesure de refuser les avantages d'ECN aux autres paquets de l'agrégat A&B. Bien que cela soit regrettable, ce n'est pas une raison pour désactiver ECN.

Une variante du signalement faux de congestion consiste à avoir deux adversaires sur le chemin, où le premier adversaire signale faussement la congestion et le second adversaire "efface" ces rapports. (Contrairement à la perte de paquets, les rapports de congestion ECN peuvent être "annulés" plus tard dans le réseau par un routeur malveillant ou corrompu. Cependant, l'utilisation du nonce ECN peut aider le transport à détecter ce comportement.) Bien que cela soit transparent pour les nœuds terminaux, les dispositifs de surveillance entre le premier et le second adversaire peuvent voir les indications de congestion fausses. Rappelons la recommandation dans ce document que les routeurs passeront d'abord à l'abandon de paquets plutôt qu'au marquage de paquets avant de "pénaliser" un flux pour ne pas répondre de manière appropriée à la congestion. Dans ce cas, les nœuds terminaux recevront à nouveau les indications de congestion même si le second adversaire réussit à effacer les rapports de congestion faux initiés par le premier adversaire.