IPv6 - Die grundlegenden Funktionen, Bedrohungen und Maßnahmen

© Secorvo Security Consulting GmbH3.1 Neighbor DiscoveryDie Neighbor Discovery umfasst zahlreiche Funktionen, von denen die Kommunikation überIPv6 abhängt. Die Neighbor Discovery ist a priori ungeschützt, insbesondere sind ND-Nachrichten weder authentisiert, noch gegen Manipulation geschützt. So kann ein Angreiferdurch ND-Spoofing sowohl Man-in-the-Middle-Angriffe als auch Denial-of-Service-Angriffedurchführen. Eine Analyse von Bedrohungen gegen die Neighbor Discovery allgemein wurdebereits in RFC 3756 durchgeführt; RFC 6104 geht im Speziellen auf Router Advertisementsein. Fernando Gont hat die Neighbor Discovery eingehend analysiert und dabeiInformationen aus verschiedenen Quellen zusammengetragen [Gont 2013a] und konkreteHinweise zur Ausnutzung von Schwachstellen und deren Konsequenzen gegeben [Gont2012a].3.1.1 BedrohungenIm Einzelnen sind die folgenden Angriffe auf die Neighbor Discovery möglich, wenn derAngreifer Zugang zum Link hat:· Ein Angreifer kann Nodes mit ND-Nachrichten (und anderen ICMPv6-Nachrichten) fluten.Dadurch könnte die Netzwerkbandbreite oder die Rechenleistung der angegriffenenNodes ausgelastet werden. Durch fehlerhafte Implementierungen kann es sogar zuAbstürzen kommen. Wenn die Implementierung beispielsweise nicht die Anzahl derEinträge im Neighbor Cache begrenzt, kann durch einen einfach durchzuführendenAngriff der Betriebssystemspeicher komplett belegt werden. Beispiele für anfälligeSysteme sind FreeBSD 9.0 und NetBSD 5.1 [Gont 2013a].Eine spezielle Variante davon, die auch off-link leicht durchgeführt werden kann, bestehtin der Anfrage nach Nodes mit nicht-existierenden Adressen, beispielsweise durchAufzählung eines Netzwerks mit einem Portscanner, siehe Abschnitt 4.2. Der Router, derfür das entsprechende Präfix zuständig ist, muss die entsprechenden NeighborSolicitations versenden und auf die entsprechenden Neighbor Advertisements warten. Beieiner Flutung mit Anfragen nach nicht-existieren Adressen könnte der dafür vorgeseheneSpeicher komplett belegt werden, so dass legitime Anfragen nach bestehenden Nodesnicht mehr verarbeitet werden können.· Ein Angreifer kann gefälschte Router Advertisements verschicken. Zum Zweck einesMan-in-the-Middle-Angriffs kann der Angreifer seinen eigenen Node zum bevorzugtenRouter für ein oder mehrere bestehende Präfixe erklären. Zum Zweck eines Denial-of-Service-Angriffs wird ein nicht existierender Node zum Router erklärt.· Ein Angreifer kann zum Zweck eines Denial-of-Service-Angriffs über gefälschte RouterAdvertisements bestehende Präfixe ungültig machen oder neue Präfixe verbreiten.Hierbei würden die entsprechenden Präfixe von allen Nodes am Link (fälschlicherweise)als on-link betrachtet werden. Anstelle einer Weiterleitung an einen Router würde fürAdressen mit den betroffenen Präfixen eine (vergebliche) Neighbor Discoverydurchgeführt.· Ein Angreifer kann über gefälschte Router Advertisements falsche Parameter verbreiten.Denkbar ist beispielsweise die Verbreitung eines so niedrigen Hop Limits, dassKommunikation im Extremfall nur noch link-local stattfinden kann. Denkbar istbeispielsweise auch die Verbreitung von gefälschten Router Advertisements mitgesetztem M-Flag, wodurch die Hosts am Link angewiesen werden, ihre Adresse voneinem (nicht existierenden) DHCPv6-Server zu beziehen.· Ein Angreifer kann einen Node während der Duplicate Address Detection davon abhalten,ein Interface mit einer Adresse zu konfigurieren. Hierbei wird zum Zweck eines Denial-of-Secorvo White Paper IPv6 Seite 34 von 67WP IPv6 11 Stand 08. Oktober 2013