8 MOVING THE NEEDLE
Persistent lack of source address validation represents one of many
failures of market forces to incentivize best security practices in the
Internet ecosystem. Although the Internet engineering standards
community has developed technical solutions to the spoofng vulnerability inherent in the IP architecture, gaps in SAV compliance
still allow spoofed DoS attacks to grab headlines on a regular basisIt is clear that market forces alone will not remedy the harm that
networks without SAV pose to the Internet, and to commerce that
relies on it. Many eforts over the years have tried and failed to
overcome the fundamental underlying problem – misaligned incentives – which hinder deployment of these technical solutions in a
competitive and largely unregulated industry.
An economist would call failure to deploy SAV a negative externality: networks that allow spoofng save on their own operational
costs, while imposing costs on others (in the form of attacks). An
economic perspective argues that the only long-term remedy is
to internalize this externality on the ISPs. “Naming and shaming”
is a weak form of internalization. Stronger forms include liability
for damages, and various types of regulation. We consider several
potential future scenarios.
8.1 Impact of exogenous interventions
Section 7 concluded that our project’s approach of “naming and
shaming” those who do not implement SAV had some positive
impact but appears to be insufcient, based on subsequent measurements (or lack thereof) of the same networks from the Spoofer
platform. But a valuable beneft of the platform is its enabling objective evaluation of the efectiveness of attempted interventions
targeting remediation. We ofer two examples. As of August 2019,
the Internet Society had 205 distinct organizations (some with multiple ASes) participating in MANRS (§2), 159 (77.6%) asserting their
commitment to SAV on the MANRS website. As part of the onboarding process, MANRS requests that the ISP send a URL showing the
outcome of running Spoofer from a network without a NAT in
place. For the year ending August 2019 we had IPv4 tests from 99
MANRS ASes with no NAT – likely the MANRS ISP member testing
their own network, with only 11 (11.1%) able to spoof. We also had
IPv4 tests from 108 MANRS ASes where a NAT was involved (more
likely a representative test from a visitor to a MANRS network)
and the fraction of these ASes that could spoof (25.0%) was approximately the same as the general population (22.0%, fgure 4). In short,
our data shows no evidence that those who assert a commitment to
deploy SAV are any more likely to properly deploy it than others.
Our second example is a study of the efect of the U.S. National
Science Foundation (NSF) including BCP 38 language in Campus
Cyberinfrastructure (CC\*) solicitations [44]. From 2014-2016, these
yearly solicitations contained language that encouraged responding
institutions to address BCP 38 in their proposals: “..the Campus CI
plan should address eforts to prevent IP spoofng by potential adoption
of BCP 38” and encouraged proposers to use the Spoofer system
to test the current state of their network. To estimate the impact
of this solicitation language, we examined tests belonging to ASes
of institutions that were awarded funding from this program, and
compared them to a control population of institutions who were
awarded funding in political science and not in CC\*. We looked
for tests from an AS: i) between May 2016 and August 2019; ii) in
the three-month window between the solicitation posting and the
response due date (“window”); iii) anytime prior to the solicitation
posting (“before”). We found that few of the institutions who received CC\* funding ran the test as requested during the window of
solicitation response. There were 10 awards in 2014, and 12 awards
in 2016. For both the 2014 and 2016 solicitations, only two awardees
in each year ran the test in the window, though 7 and 8, respectively, had run the test at some time before the solicitation. Of the
22 awardees, 3 showed evidence that they had not deployed SAV as
of August 2019. In the control population, 2 of 10 awardees ran the
test during the CC\* solicitation window, 5 before, and none showed
evidence of spoofng. We conclude that tying SAV deployment to
NSF funding did not have an observable impact.
8.2 Liability, insurance, and industry standards
If network operators faced costs by assuming liability associated
with attacks originating from or transiting their networks, they
would have clear incentives to minimize such attacks, including
by deploying technologies like SAV. Even the threat of litigation
or regulation could be enough to change incentives in favor of
substantially increasing SAV deployment, and might motivate insurance companies to require policy holders to provide evidence of
consistent SAV deployment. As the insurance industry underwrites
an increasing amount of Internet security risk, it might consider
demanding SAV deployment as a way of lowering overall exposure.
Inbound SAV deployment is already mandated by the widely deployed Payment Card Industry Data Security Standard (PCI DSS)
[9], though §4 shows inbound SAV deployment is problematic.
Unfortunately, there are at least two stubborn barriers. The frst
barrier to internalizing these costs via liability for attacks is the
general difculty of attributing attacks reliably, as well as the requirement to prove economic harm. If it were feasible to attribute
spoofed DoS attacks to a specifc party, the associated reputational
harm would already present a strong incentive to deploy SAV. A second barrier is the general presumption (enshrined in U.S. law) that
networks are intermediaries who are not considered responsible
for activity that merely transits their systems.
8.3 Regulating transparency
Requirements for disclosure around network management practices
could serve as a stronger “name and shame” regime around SAV
deployment. Such rules were part of the Federal Communications
Commission (FCC) Open Internet Orders [56] and recently updated
transparency requirements [57]. These requirements may already
require the disclosure of SAV deployment or non-deployment, as
they cover security mechanisms and device attachment rules. The
problem is likely not disclosure, but a failure of enforcement and
compliance. Our tool could be an excellent arbiter of compliance
with this rule, demonstrating publicly whether the network allows
spoofng. This data can be useful to insurers, regulators, and to
consumers wishing to understand network hygiene.
바늘을 움직이기소스 주소 유효성 검사의 지속적인 부족은 모범 보안 관행을 장려하는 시장의 여러인터넷 생태계에서 모범 보안 관행을 장려하기 위한많은 실패 중 하나입니다. 인터넷 엔지니어링 표준커뮤니티가 IP 아키텍처에 내재된 스푸핑 취약성에 대한 기술적 솔루션을 개발했지만, SAV 규정 준수에 대한 공백으로 인해여전히 스푸핑된 DoS 공격이 정기적으로 헤드라인을 장식하고 있습니다. 시장의 힘만으로는 SAV가 없는 네트워크가 초래하는 피해를 해결할 수 없다는 것은 분명합니다.SAV가 없는 네트워크가 인터넷과 이에 의존하는 상거래에 미치는 피해는해결하지 못한다는 것은 분명합니다. 지난 수년간 많은 노력이 시도되었지만 실패했습니다.경쟁이 치열하고 규제가 거의 없는 산업에서 이러한 기술 솔루션의 배포를 방해하는 근본적인 근본 문제인 잘못된 인센티브를 극복하기 위해 많은 노력을 기울여 왔습니다.이러한 기술 솔루션의 배포를 방해하는 잘못된 인센티브.경제학자들은 스푸핑을 허용하는 네트워크가 자신의 운영 비용을 절감하는 동시에 다른 네트워크에 비용을 부과하는 부정적인 외부효과를비용을 절감하는 동시에 다른 사람들에게 (공격의 형태로) 비용을 부과합니다. 경제적 관점경제적 관점에서는 유일한 장기적인 해결책은이러한 외부성을 ISP에 내재화하는 것입니다. "네이밍과 부끄러움"은 약한 형태의 내재화입니다. 더 강력한 형태로는 손해에 대한 책임및 다양한 유형의 규제가 포함됩니다. 트위터는 몇 가지잠재적인 미래 시나리오를 고려합니다.8.1 외생적 개입의 영향섹션 7에서는 SAV를 이행하지 않는 사람들을 "명명하고부끄러움을 주는" 프로젝트의 접근 방식은 긍정적인 영향을 미쳤지만영향을 미쳤으나, Spoofer 플랫폼에서 동일한 네트워크에 대한 후속 측정(또는 부족함)에 따르면 불충분한 것으로 보입니다.플랫폼에서 동일한 네트워크를 측정한 결과(부족함)에 따르면 불충분한 것으로 보입니다. 그러나 이 플랫폼의 중요한 장점은 시도된 개입의 효과를 객관적으로 평가할 수 있다는 것입니다.객관적으로 평가할 수 있다는 점입니다. 두 가지 예를 들어보겠습니다. 2019년 8월 현재,인터넷 소사이어티에는 205개의 개별 조직(일부 조직은 여러 AS를 보유)이 MANRS(§2)에 참여하고 있으며, 159개(77.6%)는SAV에 대한 약속을 선언했습니다. 온보딩 프로세스의 일부로 MANRS는 ISP에 다음을 보여주는 URL을 보내도록 요청합니다.NAT가 없는 네트워크에서 Spoofer를 실행한 결과URL을 보내달라고 요청합니다. 2019년 8월에 종료된 연도에는 99년부터 IPv4 테스트를 실시했습니다.NAT가 없는 MANRS AS - 아마도 MANRS ISP 회원사가 테스트한 것 같습니다.11개(11.1%)만 스푸핑이 가능했습니다. 또한NAT가 포함된 108개의 MANRS AS에서 수행한 IPv4 테스트(대부분MANRS 네트워크 방문자의 대표적인 테스트일 가능성이 높습니다.)스푸핑이 가능한 AS의 비율(25.0%)은 일반 인구(22.0%, 그림 4)와 거의 동일했습니다. 요컨대,저희 데이터에 따르면, SAV를 배포하겠다고 주장하는 사람들이배포하겠다고 주장하는 사람들이 그렇지 않은 사람들보다 SAV를 제대로 배포할 가능성이 더 높다는 증거는 없습니다.두 번째 예는 미국 국립과학재단(NSF)의 효과에 대한 연구입니다.미국 국립과학재단(NSF)의 캠퍼스 내 BCP 38 언어 포함사이버 인프라(CC\*) 요청 [44]. 2014년부터 2016년까지연간 요청서에는 응답을 장려하는 언어가 포함되어 있었습니다.기관이 제안서에서 BCP 38을 언급하도록 권장하는 언어가 포함되어 있습니다: "...캠퍼스 CI계획은 잠재적 채택에 의한 IP 스푸핑을 방지하기 위한 노력을 다루어야 합니다."...캠퍼스 CI 계획은 잠재적 인 채택에 의한 IP 스푸핑을 방지하기위한 노력을 다루어야합니다." 그리고 제안자들에게 스푸퍼 시스템을 사용하도록 권장했습니다.을 사용하여 네트워크의 현재 상태를 테스트할 것을 권장했습니다. 이 요청 문구의 영향을 추정하기 위해영향을 추정하기 위해, 저희는 AS에 속한 테스트를 조사했습니다.에 속한 테스트를 조사했습니다.이 프로그램의 지원금을 받지 않은 기관의 통제 집단과 비교했습니다.정치학 연구비를 지원받은 기관의 대조군과 비교했습니다. 우리는 다음을 조사했습니다.AS의 테스트: i) 2016년 5월부터 2019년 8월 사이; ii)모집 게시글과 응답 마감일 사이의 3개월 동안응답 마감일("기간"); iii) 청탁 게시 이전("이전")게시('이전'). CC\* 자금을 받은 기관 중 요청 기간 동안 요청에 따라 테스트를 실행한 기관은 거의 없는 것으로 나타났습니다.요청 응답. 2014년에는 10건, 2016년에는 12건이 있었습니다.2016년에는 12개였습니다. 2014년과 2016년의 요청 모두에서, 각 연도에 단 두 개의 수상 기관만이각 연도에 두 명의 수상자만 해당 기간에 테스트를 실행했지만, 각각 7개와 8개는 요청 이전에 테스트를 실행한 적이 있었습니다. 22명의 수상자 중22명의 수상자 중, 3명은 2019년 8월 기준으로2019년 8월 기준. 대조군에서는 10명의 수상자 중 2명이 CC\* 요청 기간 동안테스트를 실행한 사람은 10명 중 2명, 그 전에 실행한 사람은 5명이었으며, 그 누구도스푸핑의 증거가 없었습니다. SAV 배포를 다음과 연관시키는 것은 적절하지 않다는 결론을 내렸습니다.관찰 가능한 영향을 미치지 않았다고 결론지었습니다.8.2 책임, 보험 및 업계 표준네트워크 운영자가 발생한 공격 또는 경유하는 공격과 관련된 책임을 떠안음으로써네트워크에서 발생하거나 네트워크를 경유하는 공격과 관련된 책임을 지게 되면이러한 공격을 최소화하기 위해 다음과 같은 분명한 인센티브를 갖게 될 것입니다.SAV와 같은 기술을 배포할 수 있습니다. 심지어 소송의 위협또는 규제의 위협만으로도 인센티브를 바꾸기에 충분할 수 있습니다.SAV 배포를 크게 늘리고, 보험 회사가 보험 가입자에게 다음과 같은 증거를 제공하도록 요구하도록 동기를 부여할 수 있습니다.증거를 제공하도록 요구할 수도 있습니다. 보험 업계에서 보험을 인수함에 따라인터넷 보안 위험이 증가함에 따라 보험 업계에서는deman