IPv6 - Die grundlegenden Funktionen, Bedrohungen und Maßnahmen

© Secorvo Security Consulting GmbHHeader gelten als Nutzlast des kapselnden IP-Pakets und werden bei der Zählung derHeader-Erweiterungen des kapselnden IP-Pakets nicht berücksichtigt.Header-Erweiterungen müssen in der Reihenfolge ausgewertet werden, in der sie im IP-Paket erscheinen – ein Node darf beispielsweise nicht nach bestimmten Erweiterungensuchen und diese zuerst auswerten. Erweiterungen, die von Routern ausgewertet werdensollen, müssen zuvorderst stehen. Es erscheint jedoch plausibel, dass ein Firewall-Routergegen diese Regel ignoriert, um effizienter zu einer Filterentscheidung zu kommen.IP-Pakete, deren Header durch exzessives Padding, die Nutzung unbekannter Optionenoder (ohnehin nicht standardkonforme 17 ) mehrfache Verwendung von Header-Erweiterungendie MTU überschreiten, oder die so ungünstig fragmentiert sind, dass die für eineFilterentscheidung notwendigen Informationen nicht im ersten Fragment enthalten sind,sollten daher verworfen werden.2.5 FragmentierungFragmentierung funktioniert bei IPv6 im Prinzip genauso wie bei IPv4. Die wesentlichenUnterschiede bestehen darin, dass die Informationen zur (De-)Fragmentierung in einereigenen Header-Erweiterung untergebracht sind und dass grundsätzlich nur der Absenderfragmentiert. Dies hat verschiedene Konsequenzen:· Überschreitet auf der Strecke von Absender zu Empfänger die Länge eines Pakets dieMTU auf einem Streckenabschnitt, dann wird – anders als bei IPv4 – grundsätzlich dasinkriminierte Paket verworfen und dem Empfänger eine entsprechende ICMP-Fehlermeldung zurückgeschickt. Das bedeutet, dass derartige Fehlermeldungen anFirewalls o. ä. nicht gefiltert werden dürfen, um nicht die Übertragungsfunktionalitätgrundlegend zu gefährden.· Da die Fragmentierung durch den Absender vorgenommen wird, findet keine mehrfacheFragmentierung statt, d. h. es gibt keinen legitimen Grund für mehr als eine FragmentHeader-Erweiterung pro Paket.2.6 ICMPv6ICMP hat unter IPv6 eine deutlich größere Bedeutung, als dies bei IPv4 der Fall war. So sinddie Funktionen von ARP und RARP in ICMPv6 aufgegangen, ein ARPv6 existiert nicht. Fürden praktischen Einsatz bedeutet dies, dass ICMPv6 nicht pauschal gefiltert werden kann,wie das etwa bei ICMPv4 üblich ist. Auch die Funktion von IGMP wurde in ICMPv6aufgenommen.2.6.1 Neighbor DiscoveryDie Aufgaben der Neighbor Discovery umfassen die folgenden Punkte:· Router Discovery· Prefix Discovery· Parameter Discovery· Automatische Adresskonfiguration· Adressauflösung (Neighbor Discovery und Inverse Neighbor Discovery)17 Mit Ausnahme der geschilderten zweifachen Verwendung des Destination Options Headers.Secorvo White Paper IPv6 Seite 26 von 67WP IPv6 11 Stand 08. Oktober 2013