TCP SYN-Cookie背后的人和事

作者 appleleaf 来自弯曲评论

SYN-Cookie是防范TCP Syn Flood的业界标准做法之一。相关概念笔者就不抄了，从文字描述上来看这个概念开始确实不太好理解，笔者也是费了半天劲才终于想明白的。应该是server端非但不maintain 半连接，连基本的五元组都不愿意在三次握手前maintain，这样可以最大限度的节省内存，尤其是对于IPv6的Session，仅仅使用一个32bit的摘要的cookie，效果更佳。

SYN-Cookie的发明者Daniel J. Bernstein并非工程人士，而是躲在学术界（叫兽），数学专业，密码学专家。有人在Wiki立碑如下：

http://en.wikipedia.org/wiki/Daniel_J._Bernstein

Daniel有很多软件作品

• qmail
• djbdns
• ucspi-tcp
• daemontools
• publicfile

Daniel和他的学生发现了很多Unix漏洞，并且公布了其中的44个漏洞的利用代码。这个家伙很自负，甚至声称 “I won’t be satisfied until I’ve put the entire security industry out of work.”。想要砸整个安全界的饭碗，大家要留意一下。另一个自负的例子是，某男在他的软件中发现了一个安全漏洞，为此获得了1000$的奖励。看来Daniel比Google还大方。对于赋闲在家的或者手头拮据的兄弟，建议教训教训他，hack他一下，让他也知道天下英雄的厉害。我就不信丫的code再没有bug了。

但无论如何，经叶子鉴定后，颁发给Daniel“牛人”证书。

Daniel将其SYN-Cookie的发明经过记录在了下述文章中，论证了自己是第一个发明这项技术的人。

http://cr.yp.to/syncookies.html

最搞笑的是有一批智商比我还要低的老外在没有搞清楚状况的情况下大肆攻击他的解决方案，Daniel最终发飙如下：

These people also have the annoying habit of crediting their bogus claims to other people, such as me. I don’t know whether to attribute this to malice or stupidity; either way, I would like the record to be set straight.

I invited Kuznetsov to either retract or defend his claims. He refused to do so. I’m sure he’s aware by now that his claims are false, and that any attempted defense will be promptly ripped to shreds; but he’s still not admitting his errors. It’s unfortunate that he doesn’t have more respect for the truth.

I also invited Akkerman to either retract or defend his claims. He did not respond.

为此给大家两个启示：

1.在Challenge牛人的时候，自己一定要精心研究，做到有把握。

2.大到日心学说，小到TCP SYN Cookie，凡是科学发明创新往往会遭到菜鸟的群殴，一定要心平气和。