ок. Я согласен что можно найти всякую экзотику. Но это, вроде, не наш случай.
да при чем здесь экзотика. это просто неверный способ валидации целостности трафика. примерно как проверка маршрута машины по точным координатам цепочки следов протектора шин. технически они могут совпасть, но несовпадение не гарантирует отклонение от маршрута. можно смотреть на вышедшие tcp-сегменты, они должны быть идентичными уже, но при этом с допустимым реордерингом.