IPv6 - Die grundlegenden Funktionen, Bedrohungen und Maßnahmen

© Secorvo Security Consulting GmbHbeschaffen sein, dass alle Daten, die für eine Filterentscheidung herangezogen werden, imersten Fragment untergebracht sind.Grundsätzlich könnten an einer Firewall zwei Strategien zum Umgang mit Fragmenten zurAnwendung kommen: Entweder Rekonstruktion an der Firewall mit anschließenderInspektion des gesamten Pakets oder Inspektion nur des ersten Fragments. Casimir Potyrajnennt als jeweilige Vor- und Nachteile einer Rekonstruktion an der Firewall u. a.[Potyraj 2007]:Vorteile· Deep Packet Inspection möglich· Filterentscheidung wird anhand desvollständigen Pakets ermittelt· Interne Nodes sind vor etwaigen Denialof-Service-Angriffendurch unvollständigefragmentierte Pakete geschütztNachteile· Mögliche Denial-of-Service-Angrifferichten sich direkt und konzentriertgegen die Firewall selbst· Gesteigerte Performance-Erwartungenan die Firewall· Ggf. müssen inspizierte Pakete zurWeiterleitung erneut fragmentiertwerdenDarüber hinaus werden verschiedene Empfehlungen angegeben, die vor allemFragmentierung in Kombination mit Tunnelung betreffen.Falls die Firewall nicht gleichzeitig Deep Packet Inspection betreiben soll, dann ist dieFilterung ohne Rekonstruktion vorzuziehen, da· ansonsten eine rekonstruierende Firewall selbst Ziel von Denial-of-Service-Angriffenwerden kann,· die meisten Header-Erweiterungen im gewöhnlichen Betrieb keine Rolle spielen und apriori ausgefiltert werden können,· selbst „exotische“ Kombinationen von Header-Erweiterungen nebst Protokoll-Header desUpper Layer Protocols mühelos innerhalb der minimal garantierten MTU untergebrachtwerden können (siehe die Tabelle oben), sofern kein unnötiger Gebrauch von Paddinggemacht wird.Daher ist davon auszugehen, dass alle für die Filterentscheidung relevanten Informationenim ersten Fragment untergebracht sein können – Pakete, bei denen dies nicht der Fall ist,können verworfen werden.Noch einfacher wäre die Filterentscheidung, wenn alle Fragmente bis auf ggf. das letzteFragment die Größe der Path MTU von der Quelle zum Ziel belegen würden. Denkbar undplausibel wäre alternativ auch eine möglichst gleichmäßige Verteilung des Pakets auf alleFragmente, so dass beispielsweise der Inhalt eines Pakets der Länge 1281 (Payload-Länge1241) auf ein Fragment der Länge 669 (= 40 + 8 + 621) und eines der Länge 668 (= 40 + 8 +620) verteilt würde. Die Strategie zur Aufteilung in Fragmente wird in den einschlägigenRFCs jedoch nicht geregelt. Aus Sicht der Filterung ist die zuerst genannte Vorgehensweisevorzuziehen. Die Praxis wird erst noch zeigen, ob sich eine Regelung hierzu durchsetzenkann.3.5 PrivatsphäreDie Rückkehr des Ende-zu-Ende-Prinzips und die Beseitigung von NAT bei IPv6 haben zueinigen Bedenken hinsichtlich der Privatsphäre der Nutzer geführt. Gleichzeitig wurdenjedoch mit IPv6 die sogenannten Privacy Extensions (PEX) eingeführt. In diesem Abschnittwird für drei unterschiedliche Szenarien die Tauglichkeit von NAT im Vergleich mit PrivacySecorvo White Paper IPv6 Seite 42 von 67WP IPv6 11 Stand 08. Oktober 2013