IPv6 - Die grundlegenden Funktionen, Bedrohungen und Maßnahmen

© Secorvo Security Consulting GmbHBit-MAC-Adressen gebildet werden. Diese werden nicht vollkommen zufällig vergeben,sondern die oberen 24 Bits kennzeichnen u. a. den Hersteller der Netzwerkschnittstelle undsind relativ vorhersagbar. 23 Es verbleiben die unteren 24 Bits, deren Aufzählung soaufwändig ist, wie die eines Class-A-Netzes unter IPv4. Somit entspricht der Aufwand einerAbtastung dem Scan einiger Class-A-Netze – aus praktischer Sicht ist dies prinzipiell nochmachbar. Alle anderen beobachteten Typen von Interface-ID lassen sich mehr oder wenigerleicht aufzählen.David Malone hat zur Verteilung verschieden konstruierter Adressen im Jahr 2008 eineStudie veröffentlicht [Malone 2008]. Hierfür wurden die über einen Zeitraum von vier Jahrenbeobachteten Adressen untersucht. Die Studie zeigt, dass die sogenannten „wordy“Adressen mit mnemonischen Begriffen seinerzeit nicht verbreitet waren. Dagegen bildetenSLAAC-Adressen, die aus dem EUI-64-Identifier erzeugt wurden, mit etwa 40% den Großteilder beobachteten Adressen. Mit der zunehmenden Verbreitung von Windows 7 dürfte dieserAnteil gesunken sein, da unter Windows 7 standardmäßig nicht der EUI-64-Identifierverwendet wird. Die seinerzeit am zweithäufigsten beobachtete Form von Adressen war mitetwa 25% aus IPv4-Adressen gebildet, davon überwiegend 6to4-Adressen, gefolgt von etwa15% der IPv6-Adressen, bei denen alle bis auf das niederwertigste Byte Null waren.Ähnliche Beobachtungen wurden in jüngeren Untersuchungen durch Marc Heuse undFernando Gont gemacht – etwa zwei Drittel der im Internet6 beobachtbaren Server-Adressen hat eine Interface-ID, die einem der ersten drei oben aufgeführten Typenentspricht [Heuse 2013]. Eine nähere Untersuchung hat darüber hinaus gezeigt, dass etwadrei Viertel der untersuchten Netze ein System mit den Interface IDs …::1 oder …::2enthalten. Auf diesem Weg kann beispielsweise schnell getestet werden, ob ein Netzüberhaupt für eine nähere Untersuchung interessant sein könnte.Da DNS mit IPv6 deutlich systematischer eingesetzt werden dürfte, ist zu erwarten, dassüber geschickte DNS-Anfragen auch Systeme mit pseudozufälligen Interface-IDsaufgefunden werden können. Das bedeutet, dass mit Verschleierung der IPv6-Adresse zwardie Existenz eines Systems vor der Allgemeinheit verborgen werden kann, dies ersetztjedoch nicht eine angemessene Härtung der im Internet erreichbaren Systeme.Soll eine Netzwerkabtastung „on-link“ erfolgen, dann ergeben sich noch weitereMöglichkeiten. Dies ist insofern von Bedeutung, als dass nicht nur ein Angreifer ein Interessean der Aufzählung aller potenziellen Angriffsziele hat, sondern auch ein Administrator hat ein(legitimes) Interesse daran zu wissen, welche Systeme in den Netzen betrieben werden, dieunter seiner Verantwortung stehen.Bei direktem Zugriff auf den Link werden beispielsweise mit einem Ping an die Link-Local All-Nodes Multicast-Adresse (ff02::1) in vielen Fällen alle am Link angeschlossenen Systemegefunden. Nun muss ein Node zwar Nachrichten an ff02::1 verarbeiten, er muss abernicht auf ein derartiges Ping antworten; über eine einfache Filterregel könnten EchoRequests an ff02::1 am Node verworfen werden. Die meisten IPv6-Implementierungenbeanstanden jedoch fehlerhafte IPv6-Pakete, etwa mit fehlerhaften Hop-By-Hop Header-Erweiterungen. RFC 4443 untersagt zwar den Versand von ICMPv6-Fehlermeldungen fürPakete, die an eine Multicast-Adresse gesendet wurden, für den Fall vonParameterproblemen wird jedoch ausdrücklich eine Ausnahme gemacht. Die entsprechendeICMPv6-Fehlermeldung verrät dann die Adresse des Nodes. Auf diese Weise kann manrelativ einfach ohne sequenzielle Aufzählung eine Liste aller aktiven Systeme im Netz23 Mit zunehmender Virtualisierung von Server-Systemen wird die Vorhersage besonders einfach.Aber auch bei realer Hardware werden in vielen Unternehmen für die Mehrzahl der Rechner nurwenige Baureihen von einigen bekannten Herstellern eingesetzt.Secorvo White Paper IPv6 Seite 48 von 67WP IPv6 11 Stand 08. Oktober 2013