Désactiver les accusés de réception sélectifs
Cette fonction TCP a été la cible d'attaques à distance. La désactiver supprime cette cible.
Pourquoi il compte
Les acquittements sélectifs permettent à TCP de signaler exactement les parties reçues, pour ne renvoyer que les manquantes. Le code qui les traite a connu de graves bugs, et en 2019 une faille nommée SACK Panic permettait à une attaquante distante de faire tomber une machine Linux avec des paquets façonnés. Couper le SACK retire ce type de cible.
Comment il fonctionne
Met net.ipv4.tcp_sack à 0. Les connexions TCP retombent sur un moyen plus simple de récupérer les paquets perdus, sans acquittements sélectifs.
À qui il s'adresse
Un choix de défense en profondeur pour les serveurs exposés à du trafic non fiable. Les failles connues sont déjà corrigées dans les noyaux actuels, donc pour un ordinateur de bureau le coût en vitesse est souvent le plus mauvais marché. Laissez activé sur des liens lents ou perdants.
Ce que vous pouvez remarquer
Les téléchargements peuvent ralentir sur Wi-Fi, mobile ou longues connexions qui perdent des paquets. Sur des réseaux filaires propres, rien de perceptible.
Le vérifier sur votre ordinateur
Lire la valeur actuelle :
sysctl net.ipv4.tcp_sackL'appliquer à la main
La définir maintenant (jusqu'au prochain redémarrage) :
sudo sysctl -w net.ipv4.tcp_sack=0La conserver après les redémarrages, dans un fichier qui vous appartient :
sudo tee /etc/sysctl.d/90-net-tcp-sack.conf <<'EOF'
net.ipv4.tcp_sack = 0
EOF
sudo sysctl --systemL'annuler
Supprimez le fichier et redémarrez, ou remettez l'ancienne valeur avec sysctl -w.
Réglages liés
Sources
- Linux Hardening Guide (madaidans)
- 2.2.2