只用前缀查找加一次哈希的轻量级 IP 源地址认证
LiHA: Worse is Better for Lightweight Hash-based Source Authentication
Negin Dehghanchaleshtori, Homit Dalia 等 6 人
互联网至今缺少数据面上的 IP 源地址认证,已有方案依赖路由可信度、拓扑假设、每流状态或大范围部署。LiHA 用最长前缀匹配把密钥绑定到源前缀,每个包只附一个 MAC,数据面不需要握手、每流状态或控制面参与,发送方和验证方都只做一次前缀查找和一次定长哈希。作者分别实现了用户态库、eBPF 程序和 FPGA 三个版本,并明确说明它主要防范离路径伪造,不能消除所有拒绝服务威胁。
参考价值同一机制的用户态库、eBPF 和 FPGA 实现放在一起比较:用户态库开销很高,eBPF 版用软件哈希也有不错的单线程性能,这组对比可作为 eBPF 执行路径性能讨论的参考。
- FPGA + DPDK 单线程 100 Gbps
- 网络
- 安全
- eBPF