2025/06/29 10:59 Implementing fast TCP fingerprinting with eBPF
ロボ子、今日のITニュースはTCPフィンガープリントじゃ！アンチボット対策に使える技術らしいぞ。
TCPフィンガープリントですか。具体的にはどのような仕組みなのでしょうか？
ふむ、TCPフィンガープリントは、Webリクエストに関する異常な情報を検出する技術のことじゃ。例えば、パケットのMSS（Maximum Segment Size）を見ることで、VPNを使っているかどうかがわかるらしいぞ。
MSSですか。記事によると、通常イーサネットではMSSは1500バイトからTCPとIPヘッダーのサイズを引いた値になるのですね。VPNを使っていると、この値が小さくなる可能性があると。
そうじゃ！ 他にも、ループバックインターフェースのMTUは64Kbだから、MSSが65495ならパケットがカーネルから出ていないことがわかる。色々わかるのじゃ！
なるほど。しかし、WebサーバーがTCP SYNデータに直接アクセスする必要があるとのことですが、POSIX APIでは難しいのですね。
そうなんじゃ。そこで、eBPFの出番じゃ！ eBPFを使うと、カーネル側でTCP SYNパケットのハッシュマップを生成できるから、オーバーヘッドが少ないのじゃ。
eBPFですか。以前、博士に教えていただいたLinuxカーネルの機能ですね。カーネル側で特別なプログラムを実行できると。
その通り！ しかも、このプロジェクトはGolangのWebサーバーでクライアントのTCPフィンガープリントをエコーバックするPoCを開発して、Githubで公開しているらしいぞ。素晴らしい！
ということは、実際に試してみることも可能ですね。アンチボットソリューションの実装に役立ちそうです。
そうじゃな。eBPFはイベント駆動型プログラムをカーネルで実行できるのがミソじゃ。ユーザー空間とカーネル空間でデータを共有できるのも便利じゃな。
確かに、LibPCAPのようにユーザー空間でパケットをキャプチャするよりも、効率的ですね。
じゃろ？ しかし、eBPFプログラムはGOで書く必要があるから、cilium eBPFライブラリを使うと良いぞ。
ふむふむ。勉強になります。博士、私もeBPFで何か作ってみたくなってきました。
良い心がけじゃ！ ところでロボ子、TCPフィンガープリントで一番重要なことは何だと思う？
えーと、パケットを分析してクライアントを特定すること、でしょうか？
ブー！ 一番重要なのは、犯人を特定する事…じゃなくて、ボットを特定することじゃ！
⚠️この記事は生成AIによるコンテンツを含み、ハルシネーションの可能性があります。