康卡斯特利用偽造的 TCP 重設進行的行為引發的主要爭議是對於網路中立性的侵害。許多知名的網際網路開放性創始人和倡導者，如 Lauren Weinstein、Vint Cerf 和 David Farber 等，對此表示擔憂，並成立了網路中立性小組（NNSquad）來抗議康卡斯特的做法。這些行為被視為削弱了用戶在網路上平等存取資訊的權利，特別是對等和某些群件應用程式的使用。

FCC（美國聯邦通信委員會）於2008年1月宣布對康卡斯特使用偽造重設的行為展開調查，並於2008年8月21日下令康卡斯特終止該行為。這顯示出FCC對網路中立性問題的重視及對消費者權益的保護。
康卡斯特利用偽造的 TCP 重設進行的行為引發了哪些爭議，此外，FCC的回應為何？
**TCP 重設攻擊**指的是使用偽造的 TCP 重設包干擾使用者和網站的連接。這個技術可以在善意的防火牆中應用，但也可用於網路審查或是攻擊，惡意中斷 TCP 連接，是一種旁觀者攻擊。中國大陸的防火長城會自動執行 TCP 重設攻擊，來阻斷不符合中國的法律法規的網站。

## 背景

本質上，Internet 是用於單個電腦交換電子訊息或 IP 封包的系統。該系統包括用於承載訊息的硬體（例如銅纜和光纖電纜）和用于格式化訊息的形式化系統，稱為「協定」。網際網路上使用的基本協定是 IP 協定，通常與其他協定（例如 TCP 或 UDP 協定）結合使用。TCP/IP 是用於電子郵件和 Web 瀏覽的協定集。每個協定都有一個資訊塊，稱為包頭，包含在每個封包的開頭附近。包頭含有關哪台電腦傳送了封包，哪台電腦應接收它，封包大小等資訊。

當兩台電腦之間需要雙向虛擬連接時，TCP 與 IP 一起使用。（UDP 是無連接 IP 協定。）兩台機器上的 TCP 軟體將通過交換封包流進行通信（例如，裝有瀏覽器的電腦和 Web 伺服器）。使用 TCP 連接為電腦提供了一種簡便的方法來交換對於單個封包來說太大的資料項，例如影片剪輯，電子郵件附件或音樂檔案。儘管某些網頁對於單個封包來說足夠小，但為方便起見，它們也是通過 TCP 連接傳送的。

## TCP 重設

在傳輸控制協定（TCP）連接的封包流中，每個封包都包含一個 TCP 包頭。這些包頭中的每一個都包含一個稱為「復位」（RST）標誌的位。在大多數封包中，該位設定為 0，並且無效；但是，如果此位設定為 1，則向接收電腦指示該電腦應立即停止使用 TCP 連接；它不應使用連接的標識號（埠）傳送更多封包，並丟棄接收到的帶有包頭的其他封包，這些包頭指示它們屬於該連接。TCP 重設基本上會立即終止 TCP 連接。

按照最初的設計，這是一個有用的工具。常見的應用是在進行 TCP 連接時電腦（電腦 A）崩潰的情況。另一端的電腦（電腦 B）將繼續傳送 TCP 封包，因為它不知道電腦 A 已崩潰。重新啟動電腦 A 後，它將從舊的崩潰前連接接收封包。電腦 A 沒有這些封包的上下文，也無法知道如何處理這些封包，因此它可以向電腦 B 傳送 TCP 重設。此重設使電腦 B 知道該連接不再起作用。電腦 B 上的使用者現在可以嘗試其他連接或採取其他措施。

## 偽造 TCP 重設

在上述情況下，TCP 重設是由作為連接端點之一的電腦傳送的。但操作中，第三台電腦可以監視連接上的 TCP 封包，然後將包含 TCP 重設的「偽造」封包傳送到一個或兩個端點。偽造封包中的報頭必須錯誤地表明它來自端點，而不是偽造者。此資訊包括端點 IP 位址和埠號。IP 和 TCP 包頭中的每個欄位都必須設定為令人信服的偽造值，以進行偽重設，以欺騙端點關閉 TCP 連接。正確格式化的偽造 TCP 重設可能是中斷偽造者可以監視的任何 TCP 連接的非常有效的方法。

## 合理使用 TCP 重設注入

偽造的 TCP 重設的一個明顯的應用是在未經擁有端點的兩方同意的情況下惡意破壞 TCP 連接。但是，也有人設計了使用偽造 TCP 重設來保護網路安全的系統。1995 年被演示的一個原型「 Buster」軟體套件，該軟體套件會將偽造的重設傳送到使用短列表中的埠號的任何 TCP 連接。Linux 志願者在 2000 年提出了在 Linux 防火牆上實現此功能，而開源的 Snort 早在 2003 年就使用 TCP 重設來中斷可疑連接。

IETF 認為，RFC3360 中防火牆，負載平衡器和 Web 伺服器進行的 TCP 重設是有害的。

## 康卡斯特爭議

到 2007 年年底，康卡斯特（Comcast）開始使用偽造的 TCP 重設來削弱其客戶電腦上的對等和某些群件應用程式。這引起了爭議，隨後由 Lauren Weinstein, Vint Cerf, David Farber, Craig Newmark 和其他知名的網際網路開放性的創始人和倡導者成立了網路中立性小組（NNSquad）。2008 年，NNSquad 發布了 NNSquad Network Measurement Agent，這是由 John Bartas 編寫的 Windows 應用程式，它可以檢測 Comcast 偽造的 TCP 重設並將它們與實際的端點生成的重設區分開。用於檢測重設的技術是從較早的開源「 Buster」軟體開發的，該軟體使用偽造的重設來阻止網頁中的惡意軟體和廣告。

FCC 於 2008 年 1 月宣布，它將調查 Comcast 對偽造重設的使用，並於 2008 年 8 月 21 日命令 Comcast 終止該行為。

## 避免

使用 IPsec 可以避免 TCP 重設攻擊。

也有討論提出可以忽略特定 TTL 的 TCP RST 封包（這些特定 TTL 資訊表明了存在中間裝置，例如防火長城，試圖干擾連接）來避免 TCP 重設攻擊。

## 參見

* 域名伺服器快取污染
* 入侵檢測系統
* 狀態防火牆

## 參考資料

## 外部連結

* Packet Forgery By ISPs: A Report on the Comcast Affair. 電子前哨基金會. 2007-11-28. （原始內容存檔於 2017-10-02）.
* ICMP Attacks against TCP. Similar attacks using ICMP. 網際網路工程任務組. 2010-07. （原始內容存檔於 2020-01-24）.
* Improving TCP's Robustness to Blind In-Window Attacks. 網際網路工程任務組. 2010-08. （原始內容存檔於 2020-05-01）.
**網路中立性**（**net neutrality**），亦稱為**網際網路中立性**（**Internet neutrality**），是一種原則，要求網際網路服務供應商及政府應平等處理所有網際網路上的資料，不差別對待或依不同使用者、內容、網站、平臺、應用、接取裝置類型或通訊模式而差別收費。這一詞是由哥倫比亞大學媒體法教授吳修銘（Tim Wu）於 2003 年所提出，作為存在已久的公共運輸業者這個概念之延伸。

一個常被參照來作為違反網路中立性原則的例子為，網際網路服務供應商 Comcast 暗中利用偽造的數據封包減緩 P2P 檔案分享的上傳速率。研究顯示，結合政策工具將有助於實現圍繞著網路中立性爭論的重要政治與經濟目標。 **TCP 重設攻擊**指的是使用偽造的 TCP 重設包干擾使用者和網站的連接。這個技術可以在善意的防火牆中應用，但也可用於網路審查或是攻擊，惡意中斷 TCP 連接，是一種旁觀者攻擊。中國大陸的防火長城會自動執行 TCP 重設攻擊，來阻斷不符合中國的法律法規的網站。

## 背景

本質上，Internet 是用於單個電腦交換電子訊息或 IP 封包的系統。該系統包括用於承載訊息的硬體（例如銅纜和光纖電纜）和用于格式化訊息的形式化系統，稱為「協定」。網際網路上使用的基本協定是 IP 協定，通常與其他協定（例如 TCP 或 UDP 協定）結合使用。TCP/IP 是用於電子郵件和 Web 瀏覽的協定集。每個協定都有一個資訊塊，稱為包頭，包含在每個封包的開頭附近。包頭含有關哪台電腦傳送了封包，哪台電腦應接收它，封包大小等資訊。

當兩台電腦之間需要雙向虛擬連接時，TCP 與 IP 一起使用。（UDP 是無連接 IP 協定。）兩台機器上的 TCP 軟體將通過交換封包流進行通信（例如，裝有瀏覽器的電腦和 Web 伺服器）。使用 TCP 連接為電腦提供了一種簡便的方法來交換對於單個封包來說太大的資料項，例如影片剪輯，電子郵件附件或音樂檔案。儘管某些網頁對於單個封包來說足夠小，但為方便起見，它們也是通過 TCP 連接傳送的。 ## TCP 重設

在傳輸控制協定（TCP）連接的封包流中，每個封包都包含一個 TCP 包頭。這些包頭中的每一個都包含一個稱為「復位」（RST）標誌的位。在大多數封包中，該位設定為 0，並且無效；但是，如果此位設定為 1，則向接收電腦指示該電腦應立即停止使用 TCP 連接；它不應使用連接的標識號（埠）傳送更多封包，並丟棄接收到的帶有包頭的其他封包，這些包頭指示它們屬於該連接。TCP 重設基本上會立即終止 TCP 連接。

按照最初的設計，這是一個有用的工具。常見的應用是在進行 TCP 連接時電腦（電腦 A）崩潰的情況。另一端的電腦（電腦 B）將繼續傳送 TCP 封包，因為它不知道電腦 A 已崩潰。重新啟動電腦 A 後，它將從舊的崩潰前連接接收封包。電腦 A 沒有這些封包的上下文，也無法知道如何處理這些封包，因此它可以向電腦 B 傳送 TCP 重設。此重設使電腦 B 知道該連接不再起作用。電腦 B 上的使用者現在可以嘗試其他連接或採取其他措施。 **康卡斯特**（英語：Comcast Corporation），曾用名「康卡斯特控股公司（Comcast Holdings）」，是一家位於美國的全球通訊業綜合企業集團；通過 Xfinity 品牌，其收入在全球電信及有線電視市場均位居第一。 康卡斯特同時是美國第二大付費電視服務商；第一大有線電視和家庭網際網路接入服務商，以及第三大家庭電話服務商。康卡斯特集團在全美 40 個州和哥倫比亞特區提供商業服務。 康卡斯特集團的總部位於美國賓夕法尼亞州的費城。 自從 2011 年開始成為國際傳媒集團 NBC 環球集團的所有者， 康卡斯特集團也成為院線、無線電視、有線電視等管道的電影與電視節目提供商。