IAB 2019 年 6 月研讨会揭示协议设计预期与部署现实的偏差：安全隐私标准未跟上技术演进，RFC 2827 与 RFC 7871 等最佳实践长期被忽视，DDoS 攻击持续升级，内容托管市场被迫规模化防御。
BCP 38 落地困境
RFC 2827（BCP 38）发布近 20 年，要求网络运营商过滤源地址欺骗以阻断 UDP 放大型 DDoS，但部署率极低。攻击持续因防御需大多数运营商协同，单方部署无直接收益，标准机构劝告缺乏约束力。研讨会讨论引入运营商责任或保险义务作为外部强制手段，但原文未给出具体实施方案。
DNS 客户端子网隐私泄露
RFC 7871 规范 Client Subnet 扩展，明确建议默认关闭并提供用户退出机制，实际部署中未落实。该扩展将 DNS 查询归属至终端用户，造成严重隐私泄露风险。标准与实现的脱节反映隐私保护在协议部署中被边缘化。
攻击升级与内容托管集中化
设备规模增长形成更大僵尸网络，DDoS 攻击强度持续攀升。因无法从源头阻断，市场转向强健内容托管服务，防御成本推动规模经济，内容托管与关联服务进一步集中。原文未给出具体攻击流量数据或市场份额变化。
对运维工程师而言，协议安全特性不能依赖自觉部署，需推动上游运营商落实 BCP 38、关闭 DNS 客户端子网默认开启，同时评估多云或边缘分发策略以分散单点防御压力。
原文: APNIC Blog（2019-06-17）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog