Was ist RFC 3514?
RFC 3514 trägt den Titel „The Security Flag in the IPv4 Header“. Das Dokument schlägt ein einzelnes Kennzeichen für die Absicht eines Netzwerkpakets vor: das berüchtigte Evil Bit.
Die Regel ist wunderbar einfach: Ein harmloses Paket setzt das Bit auf 0. Ein Paket mit bösartiger Absicht setzt es auf 1. Firewalls müssten dann keine komplexen Signaturen, Verhaltensmodelle oder Kontextinformationen mehr auswerten – sie werfen einfach alle Pakete mit gesetztem Evil Bit weg.
Einordnung: RFC 3514 erschien am 1. April 2003 in der Kategorie „Informational“. Es definiert keinen Internetstandard, sondern ist ein Aprilscherz von Sicherheitsforscher Steven M. Bellovin.
Wo sitzt das Evil Bit?
Im damaligen IPv4-Header war das höchstwertige Bit im Bereich der Fragmentierungsflags reserviert. Genau dieses bislang ungenutzte Bit erklärt RFC 3514 zum Evil Bit, kurz E.
Angriffsprogramme müssen laut Spezifikation eine API benutzen, um das Bit korrekt zu setzen. Selbst handgefertigte Angriffspakete sind verpflichtet, ihre Absicht ehrlich zu markieren. Systeme hinter einer Firewall dürfen es dagegen grundsätzlich nicht setzen – denn Angreifer befinden sich bekanntlich immer außerhalb.
Wie sollen Firewalls reagieren?
Eine Firewall muss jedes eingehende Paket mit gesetztem Evil Bit verwerfen. Ist das Bit nicht gesetzt, darf das Paket laut RFC nicht verworfen werden. Intrusion-Detection-Systeme sollen zusätzlich Zufallszahlen verwenden, damit ihre bekannten False Positives und False Negatives angemessen erhalten bleiben.
Auch NAT-Gateways und transparente Proxys bekommen ihr Fett weg: Weil sie Pakete verändern, sollen sie diese vorsichtshalber als böse markieren.
Und was ist mit IPv6?
Für IPv6 skizziert der Text gleich zwei Optionen: Eine für Bösartigkeit gegen das Netzwerk und eine für Angriffe auf den Zielhost. Hinzu kommen ein 128-Bit-Stärkewert und ein 128-Bit-Angriffstyp. Optische Netze benötigen selbstverständlich „evil wavelengths“ oder „evil polarizations“.
Warum ist der Witz heute noch gut?
Das Evil Bit legt den Denkfehler hinter vielen vermeintlich einfachen Sicherheitslösungen offen: Ein Angreifer hält sich nicht freiwillig an die Regeln des Verteidigers. Sicherheitsentscheidungen können nicht auf einer selbst deklarierten Absicht beruhen.
Echte Abwehr braucht Kontext und mehrere Ebenen: saubere Protokollvalidierung, minimale Angriffsfläche, Authentifizierung, Segmentierung, Rate Limits, aktuelle Software und eine sinnvolle Auswertung von Ereignissen. Ein einzelnes Flag kann diese Arbeit nicht ersetzen – egal wie verlockend die Idee klingt.
Den vollständigen Originaltext gibt es beim RFC Editor: RFC 3514.
The Evil Bit im RFC LAB Shop
Das Motiv „RFC 3514 – The Evil Bit“ erinnert freundlich daran, vor jedem Angriff das vorgeschriebene Flag zu setzen. Erhältlich als Polo im BYTEWEHR RFC LAB Shop.