IPv6 - Die grundlegenden Funktionen, Bedrohungen und Maßnahmen

© Secorvo Security Consulting GmbHFrage. Stattdessen könnte man dann aber auch gleich die IP-Adressen sowie die Einträgefür den Neighbor Cache manuell konfigurieren, siehe Abschnitt 3.1.2.3.Eine Kompromisslösung könnte so aussehen, dass Neighbor Discovery link-localungesichert abläuft und IKE anschließend am Link zum Einsatz kommt, so dass dieNeighbor Discovery für alle größeren Scopes IPsec-gesichert abläuft.3.1.2.2 SEND und CGASecure Neighbor Discovery (SEND) [RFC 3971] und Cryptographically GeneratedAddresses (CGA) [RFC 3972] stellen eine Alternative zu IPsec bei der Absicherung derNeighbor Discovery dar. Dabei werden die entsprechenden ICMP-Pakete um RSA-Signaturen und CGA-Optionen als zusätzliche neue NDP-Optionen in TLV-Codierungerweitert. Im Groben soll Folgendes erreicht werden.Nachweis der Legitimität der AbsenderadresseIm Rahmen der Neighbor und Router Discovery müssen Nodes durch die hierfür eingeführteCGA-Option nachweisen, dass sie legitime Eigentümer der Absenderadresse sind. In diesemZusammenhang werden Interface Identifier auf kryptografische Weise aus einem privatenRSA-Schlüssel erzeugt. Zur Überprüfung wird u. a. der dazugehörige öffentliche RSA-Schlüssel in der CGA-Option hinterlegt.Authentisierung von Neighbor Discovery NachrichtenDie Secure Neighbor Discovery umfasst auch die Authentisierung Neighbor DiscoveryNachrichten. Hierzu werden die öffentlichen Schlüssel verwendet, die in der CGA-Optionhinterlegt sind, für die Signatur wird seinerseits eine Signatur-Option vorgesehen.Verteilung von ZertifikatskettenDie Signatur mit dem öffentlichen Schlüssel authentisiert nur, dass ein Node eine bestimmteIPv6-Adresse tatsächlich besitzt, für die Router Discovery oder Redirects ist dies jedochnoch nicht ausreichend. Hier sollte eine Authentisierung gegen einen (in geeignetem Sinn)allgemein bekannten Vertrauensanker stattfinden. SEND sieht hierzu die Verwendung vonspeziellen X.509-Zertifikaten vor. Um die Größe regulärer Router Discovery-Nachrichten sogering wie möglich zu halten, werden Zertifikatspfade mit Hilfe separater Certification PathSolicitations und Advertisements angefordert bzw. verteilt. Hierbei handelt es sich um fürSEND entwickelte ICMPv6-Nachrichten, die zur Familie der Neighbor Discovery gehören.KritikpunkteSEND ist bisher noch nicht weit verbreitet und erfordert zudem eine dafür nutzbare Public-Key Infrastruktur. SEND verhindert wirksam verschiedene Angriffe gegen die NeighborDiscovery, insbesondere verhindert SEND, dass ein Angreifer einen anderen Host am Linkauf Grundlage der IP-Adresse imitiert. SEND verhindert jedoch nicht, dass Angreifer sich alslegitime Hosts ausgeben – Zertifikatsbasierte Authentisierung ist nur für Router vorgesehen.Darüber hinaus eröffnet SEND neue Angriffsvektoren gegen einzelne Nodes. Hier ist vorallem festzuhalten, dass bei SEND-Nachrichten stets die Signatur überprüft werden muss,was zu einem gewissen Rechenaufwand für die empfangenden Nodes führt. Eine Flut vonSEND-Nachrichten könnte einen Node überlasten und somit zu einem Ausfall führen.Secorvo White Paper IPv6 Seite 36 von 67WP IPv6 11 Stand 08. Oktober 2013