RFC 3552 (rfc3552) - Page 2 of 44

Guidelines for Writing RFC Text on Security Considerations

Alternative Format: Original Text Document


RFC 3552           Security Considerations Guidelines          July 2003


      3.3. Active Attacks. . . . . . . . . . . . . . . . . . . .   9
           3.3.1. Replay Attacks . . . . . . . . . . . . . . . .  10
           3.3.2. Message Insertion. . . . . . . . . . . . . . .  10
           3.3.3. Message Deletion . . . . . . . . . . . . . . .  11
           3.3.4. Message Modification . . . . . . . . . . . . .  11
           3.3.5. Man-In-The-Middle. . . . . . . . . . . . . . .  12
      3.4. Topological Issues. . . . . . . . . . . . . . . . . .  12
      3.5. On-path versus off-path . . . . . . . . . . . . . . .  13
      3.6. Link-local. . . . . . . . . . . . . . . . . . . . . .  13
   4. Common Issues. . . . . . . . . . . . . . . . . . . . . . .  13
      4.1. User Authentication . . . . . . . . . . . . . . . . .  14
           4.1.1. Username/Password. . . . . . . . . . . . . . .  14
           4.1.2. Challenge Response and One Time Passwords. . .  14
           4.1.3. Shared Keys. . . . . . . . . . . . . . . . . .  15
           4.1.4. Key Distribution Centers . . . . . . . . . . .  15
           4.1.5. Certificates . . . . . . . . . . . . . . . . .  15
           4.1.6. Some Uncommon Systems. . . . . . . . . . . . .  15
           4.1.7. Host Authentication. . . . . . . . . . . . . .  16
      4.2. Generic Security Frameworks . . . . . . . . . . . . .  16
      4.3. Non-repudiation . . . . . . . . . . . . . . . . . . .  17
      4.4. Authorization vs. Authentication. . . . . . . . . . .  18
           4.4.1. Access Control Lists . . . . . . . . . . . . .  18
           4.4.2. Certificate Based Systems. . . . . . . . . . .  18
      4.5. Providing Traffic Security. . . . . . . . . . . . . .  19
           4.5.1. IPsec. . . . . . . . . . . . . . . . . . . . .  19
           4.5.2. SSL/TLS. . . . . . . . . . . . . . . . . . . .  20
           4.5.3. Remote Login . . . . . . . . . . . . . . . . .  22
      4.6. Denial of Service Attacks and Countermeasures . . . .  22
           4.6.1. Blind Denial of Service. . . . . . . . . . . .  23
           4.6.2. Distributed Denial of Service. . . . . . . . .  23
           4.6.3. Avoiding Denial of Service . . . . . . . . . .  24
           4.6.4. Example: TCP SYN Floods. . . . . . . . . . . .  24
           4.6.5. Example: Photuris. . . . . . . . . . . . . . .  25
      4.7. Object vs. Channel Security . . . . . . . . . . . . .  25
      4.8. Firewalls and Network Topology. . . . . . . . . . . .  26
   5. Writing Security Considerations Sections . . . . . . . . .  26
   6. Examples . . . . . . . . . . . . . . . . . . . . . . . . .  28
      6.1. SMTP. . . . . . . . . . . . . . . . . . . . . . . . .  29
           6.1.1. Security Considerations. . . . . . . . . . . .  29
           6.1.2. Communications security issues . . . . . . . .  34
           6.1.3. Denial of Service. . . . . . . . . . . . . . .  36
      6.2. VRRP. . . . . . . . . . . . . . . . . . . . . . . . . .36
           6.2.1. Security Considerations. . . . . . . . . . . .  36
   7. Acknowledgments. . . . . . . . . . . . . . . . . . . . . .  38
   8. Normative References . . . . . . . . . . . . . . . . . . .  39
   9. Informative References . . . . . . . . . . . . . . . . . .  41
   10.Security Considerations. . . . . . . . . . . . . . . . . .  42
   Appendix A. . . . . . . . . . . . . . . . . . . . . . . . . .  43



Rescorla & Korver        Best Current Practice

Web Standards & Support: