TED가 IPv6 터널 지연을 이용해 DoS 트래픽을 집중시킨다

IPv6 터널과 확장 헤더의 처리 지연을 조합해 여러 경로의 트래픽을 짧은 시간대에 집중시키는 서비스 거부(PDoS) 기법 TED가 소개됐다. 칭화대 박사과정생 러가이(Le Gai)와 공동 저자들은 측정과 통제된 실험을 통해 특정 조건에서 이 기법이 작동할 수 있음을 보였으며, 모든 터널 호스트나 네트워크에 적용되는 것은 아니라고 밝혔다.

IP 터널링은 패킷을 외부 IP 헤더로 감싸 IPv4와 IPv6의 공존, 사이트 간 연결, VPN, 모바일 및 위성 네트워크 등을 지원한다. 터널 종단점은 외부 헤더를 제거하고 내부 패킷을 전달한다. 하지만 내부 패킷에 복잡한 IPv6 확장 헤더(EH) 체인이 있으면 보안 사각지대가 생길 수 있다.

저자들이 USENIX Security 2026 논문에서 제시한 TED는 터널 호스트를 지연 조절 수단으로 활용한다. DNS, 네트워크 시간 프로토콜(NTP), 콘텐츠 전송 네트워크(CDN) 같은 애플리케이션 계층 서비스에 의존하는 대신, 중첩 경로와 확장 헤더 처리 지연, 패킷 전송 시점을 조합한다. 여러 경로로 수 초 동안 나눠 보낸 트래픽이 더 짧은 시간대에 도착하도록 맞추는 방식이다.

터널 프로토콜 중 일부는 기본적으로 인증이나 암호화를 제공하지 않는다. 상대방 확인과 전달 통제가 충분하지 않으면 외부에서 보낸 캡슐화 트래픽을 받아 내부 패킷을 전달하는 개방형 중계점이 될 수 있다. IPv6 조각화, 라우팅, 목적지 옵션 헤더는 연속해서 배치할 수 있지만, 라우터·방화벽·터널 구현체마다 이를 처리하는 방식이 다르다. 측정 대상 중 다수는 전달에 필요한 부분만 검사해, 중첩된 내부 헤더를 정규화하거나 거부하지 않고 캡슐 해제 뒤에도 통과시켰다.

TED는 터널과 확장 헤더 처리에서 발생하는 지연 차이를 이용한다. 긴 경로의 패킷을 짧은 경로의 패킷보다 먼저 보내고 지연을 정확히 추정하면, 여러 경로의 패킷이 지정된 시점에 모이도록 전송 일정을 잡을 수 있다. 과정은 터널 호스트 탐색, 확장 헤더를 고려한 왕복 지연 측정과 편도 지연 추정, 경로 MTU 제약 안에서의 중첩 패킷 구성, 공통 도착 시각에 맞춘 전송 일정 계산, 패킷 주입으로 이뤄진다.

이 기법에는 조건이 따른다. 공격자는 원시 패킷을 보낼 수 있어야 하며, 경로가 중첩 캡슐화와 관련 확장 헤더를 허용해야 한다. 스푸핑에 의존하는 단계에서는 출발지 검증이 없거나 불완전해야 하고, 편도 지연이 추정치와 충분히 가까워야 한다. 경로 변경, 필터링, 패킷 손실, 지연 변화는 정밀도를 떨어뜨린다. 따라서 TED는 명시된 조건에서 측정한 공격 가능성을 보여주는 것이지, 모든 터널 호스트가 언제든 원하는 피해 대상을 공격할 수 있다는 뜻은 아니다.

2025년 6월부터 2026년 1월까지 무작위 간격으로 44회 스캔했다. 각 스캔은 약 37억 개의 IPv4 주소와 2,000만 개의 IPv6 Hitlist 주소를 대상으로 했다. 6개 터널 프로토콜의 전달 테스트를 통과한 호스트는 누적 1,909,440개였으며, IPv4 주소가 1,618,576개, IPv6 주소가 290,864개였다.

이는 44회 스캔의 누적 결과이지 현재 상태를 전수 조사한 수치가 아니다. 주소와 정책, 시점, 전달 특성은 달라질 수 있으므로, 결과는 측정 기간에 시험한 프로토콜·스푸핑·타이밍 조건에서 관측된 호스트로 한정된다.

시험한 IPv6 터널 호스트에서는 확장 헤더의 평균 생존율이 70.9%를 넘었고, 확장 헤더를 삽입한 뒤 처리 지연이 유의하게 증가한 사례가 81.6%였다. 통제된 대상 6곳에서 편도 지연 추정 오차의 82.5%는 ±10ms 이내였다. 연구진은 이 결과가 평가에 사용한 20ms 펄스 시간대를 뒷받침한다고 설명했다. 이 수치들은 시험한 프로토콜과 헤더, 대상, 기간에 대한 결과이지 모든 IPv6 네트워크를 대표하지 않는다.

연구진은 실제 운영 중인 제3자 서비스를 공격 대상으로 삼지 않았다. 중국·일본·독일·미국에 이중 스택 대상 6곳을 구축하고, 경로 MTU를 측정했으며, 각 중간 호스트의 전송량을 밀리초당 10패킷으로 제한했다. 각 시나리오는 10회 반복했다.

단일 홉 기준 실험에서는 자연스럽게 분산된 터널 지연을 거쳐 11,000개 패킷을 보냈고, 12배의 펄스가 발생했다. TED는 4.2초 동안 초당 약 8,340개 속도로 35,029개 패킷을 분산 전송했다. 이 가운데 34,000개가 넘는 패킷이 0.25초 안에 도착했고, 핵심 20ms 구간의 최고 패킷 전송률은 송신자의 평균 전송률보다 180배를 넘었다.

180배는 시간상 트래픽 집중도를 뜻한다. 대상에서 측정한 최고 패킷 전송률을 공격자의 평균 전송률로 나눈 값이며, 바이트 증폭이나 터널 호스트가 새로 만들어낸 트래픽을 의미하지 않는다. 분산된 트래픽이 순간적인 급증으로 동기화돼 대상 링크나 큐에 부담을 줄 수 있음을 보여준다.

운영자에게 중요한 문제는 가시성이다. 애플리케이션 계층 방어가 악용되는 DNS나 NTP 서비스를 차단하더라도 TED는 그보다 아래 계층에서 작동한다. 대상에는 여러 경로에서 캡슐 해제된 일반 트래픽이 보이는 반면, 각 중간 네트워크에서는 지역 전송률이 낮게 나타날 수 있다. 또한 중간 장비가 패킷 내부를 충분히 검사하지 않으면 조정된 펄스를 알아채기 어렵다.

연구진은 AS14593 대역에서 응답하는 GRE 및 GRE6 주소 수백 개를 발견했다. 역방향 DNS 정보에서 일부 사례는 Starlink 사용자 단말과 지상 거점으로 연결됐다. 다만 운영 중인 Starlink 서비스를 피해 대상으로 사용하지는 않았다. 저자들은 이 관측이 엄격한 인바운드 규칙을 적용하더라도 특정 캡슐화 프로토콜이 허용될 수 있고, 중계 노출이 위성 네트워크까지 이어질 수 있음을 보여준다고 설명했다.

운영자는 설정된 피어 또는 인증된 종단점에서만 캡슐화 트래픽을 받아들이고, 인터넷에 노출된 개방형 캡슐 해제를 비활성화할 수 있다. 외부 패킷과 내부 패킷 모두의 출발지 주소를 검증하고, 내부 출발지가 인증된 고객이나 예상 대역과 맞는지 확인하는 것도 권고된다. 예상치 못한 중첩은 차단하거나 격리하고, 정당한 용도가 있는 경우에는 확장 헤더를 일괄 차단하기보다 역할에 맞는 허용 목록을 적용할 수 있다.

또한 캡슐 해제 뒤 터널 중첩 깊이, 확장 헤더 종류와 개수, 실패, 예상하지 못한 내부 출발지 주소를 기록하고 검사하거나 정규화해야 한다. 짧은 시간대의 큐 상태와 패킷 손실, 도착률도 감시해야 한다. 제조사는 임의의 터널 송신자를 거부하고 중첩 한도를 적용하며, 빠른 경로와 느린 경로에서 확장 헤더를 일관되게 파싱해야 한다. 재귀적 캡슐 해제, 내부 조각 패킷, 폐기된 라우팅 헤더, 출발지 검증을 시험할 필요가 있다고 저자들은 제안했다.

저자들은 터널링이 패킷 구조를 숨기고 확장 헤더가 유연한 처리를 더하는 상황에서, 각각 따로 관리할 수 있는 기능도 결합되면 안전하지 않은 결과를 낳을 수 있다고 설명했다. 개방형 터널을 닫고 내부·외부 출발지를 검증하며 중첩을 제한하고 확장 헤더 처리를 관측 가능하게 만드는 것이 우선 과제라고 밝혔다.

전체 방법과 한계, 평가 내용은 TED 논문에서 확인할 수 있다. 데이터셋과 개념 증명 코드는 TED 저장소에 공개돼 있다.

러가이는 칭화대 박사과정생으로 인터넷 측정, IPv6 보안, DoS 공격을 연구한다. 린허(Lin He), 잉류(Ying Liu), 저둥자(Zedong Jia), 다궈청(Daguo Cheng), 천톈웨이(Chentian Wei)도 이 글에 참여했다.