TurboRetry: Mitigating Large-Scale QUIC Handshake Floods with Off-the-Shelf DPU Offloading
Este artigo apresenta o TurboRetry, uma solução com offload para DPU que mitiga inundações de handshake QUIC em larga escala ao particionar o mecanismo de Retry entre o host e a DPU, alcançando uma melhoria de 10 a 20 vezes no throughput em relação às implementações tradicionais no lado do host.
Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
Imagine a internet como uma cidade gigante e movimentada onde bilhões de pessoas estão constantemente tentando entrar em diferentes edifícios para conversar, comprar ou assistir a vídeos. Para entrar, você precisa bater à porta e provar que pertence ao lugar. No mundo das redes de computadores, esse "bater à porta" é chamado de handshake (aperto de mão). É uma troca rápida e educada onde o seu dispositivo e o servidor dizem olá, trocam chaves secretas para trancar a conversa e concordam sobre como falar. A versão moderna desse handshake, chamada QUIC, é projetada para ser super rápida e segura, permitindo que você comece a conversar quase instantaneamente.
No entanto, assim como uma cidade real, esta metrópole digital tem um problema: maus atores. Imagine uma multidão de milhares de pessoas, todas fingindo ser clientes diferentes, correndo para a porta da frente ao mesmo tempo. Elas não estão lá para comprar nada; elas estão apenas lá para bater, bater, bater, repetidamente. Isso é um ataque DDoS (Negação de Serviço Distribuída). Como o servidor tem que fazer muita matemática pesada para verificar cada batida e checar as chaves secretas, esse fluxo de solicitações falsas pode esgotar o cérebro do servidor (sua CPU), tornando-o cansado demais para deixar os clientes reais entrarem. O segurança integrado do servidor, chamado de mecanismo de Retry (tentativa), tenta impedir isso perguntando aos que batem à porta para provarem que são reais antes de realizar a matemática pesada. Mas mesmo esse segurança fica sobrecarregado quando a multidão é enorme.
É aqui que a história do TurboRetry começa. Os pesquisadores por trás deste artigo fizeram uma pergunta simples: E se não fizéssemos o cérebro principal do servidor fazer todo o trabalho pesado? E se déssemos ao segurança um assistente robô superpoderoso? Eles construíram um sistema chamado TurboRetry que transfere o trabalho de verificar essas batidas falsas para um hardware especial chamado DPU (Unidade de Processamento de Dados). Pense em uma DPU como um pequeno robô cérebro dedicado, construído diretamente no cabo de rede, que pode lidar com milhões de verificações por segundo sem se cansar. O artigo mostra que, ao deixar esse robô fazer o trabalho chato e repetitivo de verificar identidades, o servidor principal permanece descansado e ainda consegue deixar as pessoas reais entrarem, mesmo quando uma multidão massiva está tentando invadir.
O Problema: Um Segurança que Fica Cansado
No mundo digital, quando você tenta se conectar a um site usando o QUIC, o servidor precisa realizar algumas operações matemáticas muito caras para garantir que você é quem diz ser. Se um hacker enviar milhões de solicitações de conexão falsas de uma só vez, o servidor tentará fazer a matemática para cada uma delas. Isso é como um segurança de uma boate tentando verificar o RG de um milhão de pessoas ao mesmo tempo; eventualmente, o segurança ficará exausto, e os convidados reais não conseguirão entrar.
O protocolo QUIC já possui uma defesa chamada Retry. Em vez de fazer a matemática pesada imediatamente, o servidor diz: "Espere, aqui está um ingresso especial (um token). Vá buscar este ingresso, traga-o de volta e, então, eu deixarei você entrar". Isso impede o servidor de desperdiçar energia com pessoas que nunca retornam. No entanto, os pesquisadores descobriram que, mesmo com este sistema de ingressos, o servidor ainda tem que trabalhar muito para gerar e verificar esses ingressos. Quando o ataque é enorme, o processador principal do servidor (a CPU) fica sobrecarregado apenas verificando os ingressos, e todo o sistema desacelera até parar.
A Solução: TurboRetry e o Assistente Robô
A equipe por trás do TurboRetry percebeu que o trabalho de verificar esses ingressos é, na verdade, muito repetitivo e não precisa do cérebro principal do servidor. Eles decidiram transferir essa tarefa para uma DPU (Unidade de Processamento de Dados). Uma DPU é como uma placa de rede inteligente que possui seu próprio pequeno computador dentro dela. Ela é projetada especificamente para lidar com o tráfego de rede sem incomodar o servidor principal.
O TurboRetry divide o trabalho em duas partes:
- O Robô (DPU): A DPU assume as tarefas "stateless" (sem estado). Isso significa que ela verifica os ingressos, gera novos e garante que eles não foram adulterados. Ela usa um hardware especial construído na DPU para fazer isso incrivelmente rápido. Se o ingresso for falso ou a solicitação fizer parte do ataque, o robô simplesmente a descarta. O tráfego ruim nem chega a atingir o servidor principal.
- O Gerente (CPU do Host): O servidor principal só se envolve quando o robô diz: "Este aqui parece real!". Então, o servidor realiza o trabalho final e complexo de configurar a conexão real e gerenciar a conversa.
Para garantir que o robô e o gerente estejam na mesma página, eles inventaram um formato de ingresso universal. É como um cartão de identidade especial que tanto o robô quanto o gerente podem ler e entender, mesmo estando em lugares diferentes. Isso garante que a configuração da conexão permaneça segura e siga todas as regras, mesmo que o trabalho pesado esteja sendo feito pelo robô.
Os Resultados: Super Velocidade e Zero Atraso
Os pesquisadores testaram o TurboRetry em uma configuração de hardware real usando uma BlueField-3 DPU. Os resultados foram impressionantes.
- Lidando com a Multidão: Enquanto um servidor padrão rodando apenas via software conseguia lidar com cerca de 209.000 solicitações falsas por segundo antes de começar a engasgar, o TurboRetry conseguiu lidar com até 3 milhões de pacotes por segundo sem descartar uma única solicitação real. Isso representa uma melhoria de 10 a 20 vezes no throughput (vazão).
- Velocidade: O melhor de tudo é que isso não tornou a conexão mais lenta. Para usuários reais, o tempo para entrar pela porta (latência de configuração de conexão) aumentou apenas cerca de 0,2 milissegundos — um piscar de olhos que nenhum humano notaria.
- Rede de Segurança: O sistema também é projetado para ser "fail-open" (falha aberta). Se o assistente robô (a DPU) algum dia travar ou quebrar, o sistema muda automaticamente de volta para o segurança do servidor principal. O serviço não desliga; ele apenas fica um pouco mais lento, mas continua funcionando. Isso garante que, mesmo que o hardware falhe, a internet não fique escura.
Por Que Isso Importa
O artigo demonstra que, ao mover as verificações de segurança chatas e repetitivas para um assistente robô dedicado, podemos proteger nossas cidades digitais de grandes inundações de tráfego falso. Ele prova que não precisamos escolher entre segurança e velocidade. Com o TurboRetry, os servidores podem resistir firmemente a grandes ataques enquanto ainda permitem que os usuários reais entrem instantaneamente. É uma maneira inteligente de usar o novo hardware para resolver um problema antigo, garantindo que a internet permaneça aberta e rápida para todos, mesmo quando os vilões estão tentando forçar sua entrada.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.