TurboRetry: Mitigating Large-Scale QUIC Handshake Floods with Off-the-Shelf DPU Offloading
تقدم هذه الورقة TurboRetry، وهو حل يعتمد على تفريغ المهام لوحدة معالجة البيانات (DPU) للتخفيف من هجمات فيض مصافحة بروتوكول QUIC واسعة النطاق، وذلك عبر تقسيم آلية إعادة المحاولة (Retry) بين المضيف ووحدة معالجة البيانات (DPU)، مما يحقق تحسناً في الإنتاجية يتراوح بين 10 إلى 20 ضعفاً مقارنة بالتنفيذ التقليدي من جانب المضيف.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل الإنترنت كمدينة ضخمة وصاخبة، حيث يحاول المليارات من الناس باستمرار دخول مبانٍ مختلفة للدردشة أو التسوق أو مشاهد الترويحات. وللدخول، عليك أن تطرق الباب وتثبت أنك تنتمي إلى هناك. في عالم الشبكات الحاسوبية، تسمى عملية "الطرق" هذه المصافحة (Handshake). إنها تبادل سريع ومهذب حيث يتبادل جهازك والخادم (السرير) التحية، ويتبادلان مفاتيح سرية لقفل المحادثة، ويتفقان على كيفية التحدث. النسخة الحديثة من هذه المصافحة، والتي تسمى QUIC، مصممة لتكون فائقة السرعة وآمنة، مما يتيح لك بدء الدردشة فوراً تقريباً.
ومع ذلك، تماماً مثل أي مدينة حقيقية، فإن هذه المدينة الرقمية الضخمة تواجه مشكلة: الأطراف السيئة. تخيل حشداً من الآلاف، يتظاهرون بأنهم زبائن مختلفون، يندفعون نحو الباب الأمامي في نفس اللحظة تماماً. هم ليسوا هناك للشراء؛ بل هم هناك فقط للطرق، طرق، طرق، مراراً وتكراراً. هذا هو هجوم DDoS (حجب الخدمة الموزع). ولأن الخادم يتعين عليه القيام بعمليات حسابية ثقيلة للتحقق من كل طرقة وفحص المفاتيح السرية، فإن هذا الفيض من الطلبات الوهمية يمكن أن يستنزف "عقل" الخادم (وحدة المعالجة المركزية)، مما يجعله متعباً جداً لدر م يسمح للزبائن الحقيقيين بالدخول. يحاول نظام الأمان المدمج في الخادم، المسمى آلية إعادة المحاولة (Retry mechanism)، إيقاف هذا عبر مطالبة الطارقين بإثبات أنهم حقيقيون قبل القيام بالحسابات الثقيلة. ولكن حتى هذا الحارس يغلب عليه التعب عندما يكون الحشد ضخماً.
هنا تبدأ قصة TurboRetry. تساءل الباحثون وراء هذه الورقة البحثية سؤالاً بسيطاً: ماذا لو لم نجعل العقل الرئيسي للخادم يقوم بكل العمل الشاق؟ ماذا لو منحنا حارس الأمن مساعداً آلياً خارق القدرات؟ لقد بنوا نظاماً يسمى TurboRetry ينقل مهمة فحص هذه الطرق الوهمية إلى قطعة خاصة من الأجهزة تسمى DPU (وحدة معالجة البيانات). فكر في الـ DPU كمساعد روبوت صغير مخصص، مدمج في كابل الشبكة، يمكنه التعامل مع ملايين عمليات الفحص في الثانية دون أن يتعب. تُظهر الورقة أنه من خلال ترك هذا العمل الممل والمكرر لفحص الهويات للروبوت، يظل الخادم الرئيسي نشيطاً ويمكنه لا يزال السماح للأشخاص الحقيقيين بالدخول، حتى عندما يحاول حشد هائل اقتحام المكان.
المشكلة: حارس باب يصاب بالإرهاق
في العالم الرقمي، عندما تحاول الاتصال بموقع إلكتروني باستخدام بروتوكول QUIC، يتعين على الخادم إجراء بعض العمليات الحسابية المكلفة جداً للتأكد من هويتك. إذا أرسل مخترق ملايين طلبات الاتصال الوهمية في وقت واحد، سيحاول الخادم إجراء الحسابات لكل طلب منها. هذا يشبه حارس أمن في ملهى ليلي يحاول فحص بطاقة هوية مليون شخص في آن واحد؛ وفي النهاية، سيصاب الحارس بالإرهاق، ولن يتمكن الضيوف الحقيقيون من الدخول.
يحتوي بروتوكول QUIC بالفعل على دفاع يسمى إعادة المحاولة (Retry). فبدلاً من القيام بالحسابات الثقيلة فوراً، يقول الخادم: "انتظر، إليك تذكرة خاصة (Token). اذهب واحصل على هذه التذكرة، ثم عد بها، وحينها سأسمح لك بالدخول". هذا يمنع الخادم من إضاعة الطاقة على الأشخاص الذين لا يعودون أبداً. ومع ذلك، وجد الباحثون أنه حتى مع نظام التذاكر هذا، لا يزال يتعين على الخادم القيام بالكثير من العمل لإنشاء وفحص هذه التذاكر. عندما يكون الهجوم ضخماً، تصاب وحدة المعالجة المركزية (CPU) الخاصة بالخادم بالارتباك والبطء لمجرد فحص التذاكر، مما يؤدي إلى تباطؤ النظام بأكمله.
الحل: TurboRetry والمساعد الروبوتي
أدرك الفريق وراء TurboRetry أن مهمة فحص هذه التذاكر هي في الواقع مهمة مكررة للغاية ولا تحتاج إلى العقل الرئيسي للخادم. قرروا نقل هذه المهمة إلى DPU (وحدة معالجة البيانات). الـ DPU هو بمثابة بطاقة شبكة ذكية تحتوي على كمبيوتر صغير بداخلها، وهو مصمم خصيصاً للتعامل مع حركة مرور الشبكة دون إزعاج الخادم الرئيسي.
يقسم TurboRetry العمل إلى جزأين:
- الروبوت (DPU): يتولى الـ DPU المهام "عديمة الحالة" (stateless). وهذا يعني أنه يفحص التذاكر، وينشئ تذاكر جديدة، ويتأكد من عدم التلاعب بها. وهو يستخدم أجهزة خاصة مدمجة في الـ DPU للقيال بذلك بسرعة فائقة. إذا كانت التذكرة وهمية أو كان الطلب جزءاً من الهجوم، يقوم الروبوت ببساطة بإسقاطه. وهكذا، لا تصل حركة المرور السيئة أبداً إلى الخادم الرئيسي.
- المدير (Host CPU): لا يتدخل الخادم الرئيسي إلا عندما يقول الروبوت: "هذا يبدو حقيقياً!". عندها، يقوم الخادم بالعمل النهائي والمعقد لإعداد الاتصال الفعلي وإدارة المحادثة.
ولضمان أن يكون الروبوت والمدير على نفس الموجة، اخترعوا تنسيق تذكرة عالمي (universal ticket format). إنها تشبه بطاقة هوية خاصة يمكن لكل من الروبوت والمدير قراءتها وفهمها، رغم وجودهما في أماكن مختلفة. هذا يضمن أن إعداد الاتصال يظل آمناً ويتبع جميع القواعد، حتى مع قيام الروبوت بالعمل الشاق.
النتائج: سرعة فائقة وتأخير معدوم
اختبر الباحثون TurboRetry على إعداد أجهزة حقيقي باستخدام BlueField-3 DPU. وكانت النتائج مبهرة.
- التعامل مع الحشد: بينما استطاع خادم قياسي يعمل بالبرمجيات وحدها التعامل مع حوالي 209,000 طلب وهمي في الثانية قبل أن يبدأ في الاختناق، استطاع TurboRetry التعامل مع ما يصل إلى 3 ملايين حزمة بيانات في الثانية دون إسقاط أي طلب حقيقي. هذا يمثل تحسناً في الإنتاجية يتراوح بين 10 إلى 20 ضعفاً.
- السرعة: الجزء الأفضل هو أن هذا لم يجعل الاتصال أبطأ. بالنسبة للمستخدمين الحقيقيين، زاد الوقت المستغرق لدخول الباب (زمن إعداد الاتصال) بنحو 0.2 مللي ثانية فقط — وهي رمشة عين لن يلاحظها أي بشر.
- شبكة الأمان: تم تصميم النظام أيضاً ليكون "يعمل عند الفشل" (fail-open). فإذا تعطل المساعد الروبوتي (الـ DPU) أو انكسر، ينتقل النظام تلقائياً للعودة إلى حارس الخادم الرئيسي. الخدمة لا تتوقف؛ بل تصبح فقط أبطأ قليلاً، لكنها تستمر في العمل. هذا يضمن أنه حتى لو فشلت الأجهزة، فإن الإنترنت لن ينقطع.
لماذا يهم هذا الأمر؟
تثبت هذه الورقة البحثية أنه من خلال نقل عمليات التحقق الأمنية المملة والمكررة إلى مساعد روبوتي مخصص، يمكننا حماية مدننا الرقمية من الفيضانات الهائلة لحركة المرور الوهمية. إنها تثبت أننا لسنا مضطرين للاختيار بين الأمان والسرعة. مع TurboRetry، يمكن للخوادم الصمود أمام الهجمات الضخمة مع الاستمرار في السماح للمستخدمين الحقيقيين بالدخول فوراً. إنها طريقة ذكية لاستخدام الأجهزة الجديدة لحل مشكلة قديمة، مما يضمن بقاء الإنترنت مفتوحاً وسريعاً للجميع، حتى عندما يحاول الأشرار فرض طريقهم للداخل.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.