IPv6 - Die grundlegenden Funktionen, Bedrohungen und Maßnahmen

© Secorvo Security Consulting GmbH2.3.9 Interface IdentifierIn den vorangegangenen Abschnitten war verschiedentlich vom sogenannten InterfaceIdentifier die Rede. Dies ist ein 64-Bit langer Wert, der sich aus der Adresse des Interfacesauf Link-Ebene ergibt. Wird IPv6 beispielsweise über Ethernet oder WLAN betrieben, dannwird der Interface Identifier aus der betreffenden MAC-Adresse gebildet. Wie aus einer 48-Bit-MAC-Adresse ein 64-Bit-Identifier erzeugt wird, wurde durch IEEE definiert; das Ergebnisist der sogenannte 64-Bit Extended Unique Identifier (EUI-64). Die Details hierzu sind auchin RFC 4291, Anhang A beschrieben. Neuere Windows-Versionen verwenden jedoch nichtden EUI-64 Identifier, sondern einen pseudozufälligen Wert.Beispiel im DetailEin Interface mit der MAC-Adresse 00:0C:29:08:45:4B bekommt den Interface Identifier20c:29ff:fe98:454b, d. h. zwischen die drei hochwertigen (linken) und die dreiniederwertigen (rechten) Bytes werden die zwei Bytes ff und fe eingefügt, außerdem wirdsogenannte Universal/Local-Bit (Bit 1 des höchstwertigen Bytes) invertiert.Per SLAAC würde das Interface also die Link-Local-Adressefe80::20c:29ff:fe98:454b erhalten, und zu dem Präfix 2001:db8:ca84:e2d5::/64würde das Interface sich selbst die IPv6-Adresse2001:db8:ca84:e2d5:20c:29ff:fe98:454b zuweisen.2.3.10 Aufteilung des Adressraums einer Site2.3.10.1 Mehrere SubnetzeBei der Aufteilung des Adressraums steht aufgrund der Erfahrungen mit IPv4 bei IPv6 derGedanke der Routenaggregation im Vordergrund. Bekommt eine End-Site einenAdressblock, dann stellt sich die Frage, wie diese Netze vergeben werden. Eine sequenzielleVergabe, wie bei IPv4 üblich, ist möglich, der Idee der Routenaggregation jedoch nichtzuträglich. Stattdessen sollte nach Topologie nummeriert werden, d. h. routing-technischbenachbarte Netze sollten auch bezüglich der Adressierung benachbart sein. RFC 3531beschreibt eine Methodik zur Vergabe, bei der die Möglichkeit zur Routenaggregationmöglichst lange gewahrt bleibt. Glücklicherweise sind Fehlentscheidungen an dieser Stellemit IPv6 nicht so gravierend wie bei IPv4, da die Architektur von IPv6 ein relativ einfachesUmnummerieren von Netzen ermöglicht.2.3.10.2 Verteilung innerhalb eines einzelnen SubnetzesFür die Adressierung in einem einzelnen Unicast-Netz stehen 64 Bits zur Verfügung. Dieserscheint zunächst verschwenderisch groß. Einer der Grundgedanken dabei ist, dassniemals wieder Techniken wie NAT zur „Streckung“ des bestehenden Adressraumesverwendet werden sollten. Zum anderen benötigen einige Funktionen einen so großenAdressraum, um Kollisionen zwischen automatisch – teilweise mit einer Zufallskomponente –gewählten Adressen mit hoher Wahrscheinlichkeit auszuschließen. Zu diesen Funktionengehören:· Stateless Address Autoconfiguration (SLAAC) [RFC 4862]· Cryptographically Generated Addresses (CGA) [RFC 3972]· Privacy Extensions [RFC 4941]Secorvo White Paper IPv6 Seite 18 von 67WP IPv6 11 Stand 08. Oktober 2013