coap协议RFC中文文档
main
main1.0.0
main
main1.0.0
  • Introduction
  • 1 简介
    • 1.1 特性
    • 1.2 术语解释
  • 2 受限应用协议CoAP
    • 2.1 消息模型
    • 2.2 请求响应模型
    • 2.3 中间人和缓存
    • 2.4 资源发现
  • 3 消息格式
    • 3.1 Option的格式
    • 3.2 Option Value的格式
  • 4 消息传递
    • 4.1 消息和端
    • 4.2 可靠的消息传输
    • 4.3 没有可靠性保障的消息传输
    • 4.4 消息之间的关联
    • 4.5 去除重复消息
    • 4.6 消息大小
    • 4.7 拥塞控制
    • 4.8 传输参数
      • 4.8.1 改变参数
      • 4.8.2 传输参数的衍生时间
  • 5 请求/响应的语意
    • 5.1 请求
    • 5.2 响应
      • 5.2.1 附带响应
      • 5.2.2 单独响应
      • 5.2.3 无需确认消息NON
    • 5.3 请求/响应的匹配
      • 5.3.1 令牌(token)
      • 5.3.2 请求响应的匹配规则
    • 5.4 选项(option)
      • 5.4.1 重要选项/非重要选项Critical/Elective
      • 5.4.2 代理不安全或安全转发和无缓存键
      • 5.4.3 长度
      • 5.4.4 默认值
      • 5.4.5 可重复选项
      • 5.4.6 选项编号
    • 5.5 Payload和表现
      • 5.5.1 表现
      • 5.5.2 诊断式的payload
      • 5.5.3 经由选择的表现
      • 5.5.4 内容协商
    • 5.6 缓存
      • 5.6.1 新鲜度模型
      • 5.6.2 校验模型
    • 5.7 代理
      • 5.7.1 代理操作
      • 5.7.2 正向代理
      • 5.7.3 反向代理
    • 5.8 方法定义
      • 5.8.1 GET
      • 5.8.2 POST
      • 5.8.3 PUT
      • 5.8.4 DELETE
    • 5.9 返回码定义
      • 5.9.1 成功2.xx
        • 5.9.1.1 2.01 Created
        • 5.9.1.2 2.02 Deleted
        • 5.9.1.3 2.03 Valid
        • 5.9.1.4 2.04 Changed
        • 5.9.1.5 2.05 Content
      • 5.9.2 客户端错误4.xx
        • 5.9.2.1 4.00 Bad Request
        • 5.9.2.2 4.01 Unauthorized
        • 5.9.2.3 4.02 Bad Option
        • 5.9.2.4 4.03 Forbidden
        • 5.9.2.5 4.04 Not Found
        • 5.9.2.6 4.05 Method Not Allowed
        • 5.9.2.7 4.06 Not Acceptable
        • 5.9.2.8 4.12 Precondition Failed
        • 5.9.2.9 4.13 Request Entity Too Large
        • 5.9.2.10 4.15 Unsupported Content-Format
      • 5.9.3 服务端错误5.xx
        • 5.9.3.1 5.00 Internal Server Error
        • 5.9.3.2 5.01 Not Implemented
        • 5.9.3.3 5.02 Bad Gateway
        • 5.9.3.4 5.03 Service Unavailable
        • 5.9.3.5 5.04 Gateway Timeout
        • 5.9.3.6 5.05 Proxying Not Supported
    • 5.10 Option定义
      • 5.10.1 Uri-Host，Uri-Port，Uri-Path，Uri-Query
      • 5.10.2 Proxy-Uri和Proxy-Scheme
      • 5.10.3 Content-Format
      • 5.10.4 Accept
      • 5.10.5 Max-Age
      • 5.10.6 ETag
        • 5.10.6.1 作为响应选项的ETag
        • 5.10.6.2 作为请求选项的ETag
      • 5.10.7 Location-Path和Location-Query
      • 5.10.8 条件请求选项
        • 5.10.8.1 If-Match
        • 5.10.8.2 If-None-Match
      • 5.10.9 Size1选项
  • 6 CoAP URI
    • 6.1 Coap URI scheme
    • 6.2 Coaps URI scheme
    • 6.3 标准化和比较规则
    • 6.4 将URI解码为选项
  • 7 发现
    • 7.1 服务发现
    • 7.2 资源发现
      • 7.2.1 ‘ct’特性
  • 8 多播CoAP
    • 8.1 消息层
    • 8.2 请求响应层
      • 8.2.1 Caching
      • 8.2.2 代理
  • 9 安全CoAP
    • 9.1 DTLS-Secured CoAP
      • 9.1.1 消息层
      • 9.1.2 请求响应层
      • 9.1.3 端点身份
        • 9.1.3.1 Pre-Shared Keys
        • 9.1.3.2 原始公钥证书
          • 9.1.3.2.1 配置
        • 9.1.3.3 X.509证书
  • 10 CoAP和HTTP的跨协议代理
    • 10.1 CoAP-HTTP代理
      • 10.1.1 GET
      • 10.1.2_PUT
      • 10.1.3 DELETE
      • 10.1.4 POST
    • 10.2 HTTP-CoAP代理
      • 10.2.1 OPTIONS and TRACE
      • 10.2.2 GET
      • 10.2.3 HEAD
      • 10.2.4 POST
      • 10.2.5 PUT
      • 10.2.6 DELETE
      • 10.2.7 CONNECT
  • 11 安全事项
    • 11.1 解析协议和处理URIs
    • 11.2 代理和缓存
    • 11.3 增幅的风险
    • 11.4 地址欺骗攻击
    • 11.5 跨协议攻击
    • 11.6 受限节点的注意事项
  • 12 互联网地址分配注意事项(IANA Considerations)
    • 12.1 CoAP代码注册
      • 12.1.1 方法码
      • 12.1.1 响应码
    • 12.2 CoAP选项码注册(CoAP Option Number Registry)
    • 12.3 CoAP内容格式注册(CoAP Cotent-Formats Registry)
    • 12.4 URI方案注册(URI Scheme Registration)
    • 12.5 安全URI规范注册表
    • 12.6 服务名称和端口号注册表
    • 12.7 安全服务名称和端口号注册表
    • 12.8 多播地址表
由 GitBook 提供支持
在本页

这有帮助吗？

  1. 11 安全事项

11.5 跨协议攻击

CoAP端点向虚假的源地址发送包不仅能用于增幅，也能用于对一个监听给定地址(IP地址和端口)的受害者进行跨协议攻击。按照下面步骤就会发生：

攻击者往CoAP端点发送一个带有将虚假源地址当做给定地址的消息。

CoAP端点向给定的源地址发送响应消息。

在给定地址接收UDP包的受害者就会按照不同协议的规则进行解析。

它可以用于绕过阻止从攻击者向受害者通信的防火墙规则，但是将允许从CoAP端点(在其他协议中也担当有效角色)到受害者通信。

另外，CoAP端点可能成为由其他基于UDP协议(譬如DNS)的端点发起的跨协议攻击的受害者。在这些情况下，如果端点的安全属性依赖于检查IP地址(和使用虚假IP地址来切断外界攻击的防火墙)，就有可能遭受攻击。通常，由于基于UDP的协议缺乏上下文，因此它们更容易成为跨协议攻击的目标。

最后，由其他方式传输的CoAP URI能够用于使得客户端往其他协议的端点发送消息。

一个减轻跨协议攻击的措施是严格检查接收包的语法和语法中的足够多的差异。举个例子，如果很难使得DNS服务器向CoAP端点发送一个传递检查的DNS响应，那么就会起作用。可惜的是，DNS回复的前两个字节是能被攻击者选中的ID，并且映射为CoAP头部的关键部分，后面两个字节被当做CoAP的消息ID(任何值都可行)。DNS的计数字可以当做一个(不存在但是可选的)CoAP选项0的多重实例，或者当做一个Token。攻击者利用重复的查询来在CoAP端点上达到一个预期效果；服务端增加的响应(如果有的话)将被当做额外的负载。

0  1  2  3  4  5  6  7  8  9  0  1  2  3  4  5
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
|                      ID                       | T, TKL, code
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
|QR|   Opcode  |AA|TC|RD|RA|   Z    |   RCODE   | Message ID
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
|                    QDCOUNT                    | (options 0)
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
|                    ANCOUNT                    | (options 0)
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
|                    NSCOUNT                    | (options 0)
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
|                    ARCOUNT                    | (options 0)
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
Figure 15: DNS头部 ([RFC1035]的4.1.1节[http://tools.ietf.org/pdf/rfc1035#section-4.1.1]) 和 CoAP消息

一般来说，对于任何一对协议，协议之一很容易设计为使得攻击者生成类似另一种协议的消息的回复。比起保证或者证明不存在可实行的攻击，生成可能未完全启动的但可能被二次开发的攻击的实例通常更加困难。如果端点依据受信任包的源IP地址而没有授权攻击者，那么跨协议攻击才能完全的减轻。相反的，完全依赖防火墙的NoSec环境下的CoAP安全不仅需要防火墙来切断CoAP的端点，并且使得所有其它的端点使用一些基于UDP的协议来往CoAP端点发送UDP消息。

除了上面的考量，也要考虑跨协议攻击的DTLS安全。举例，如果相同的DTLS安全连接("connection")用于传输多种协议的数据，那么DTLS就不对这些协议提供应对跨协议攻击的保护。

上一页11.4 地址欺骗攻击下一页11.6 受限节点的注意事项

最后更新于3年前

这有帮助吗？