Taller Aurora-2 Universidad de Oriente 9 de diciembre de 2011

Transcripción

1 Algunos comentarios acerca de IPv6 y seguridad MSc. Jorge Daniel Villa Hernández villa@reduniv.edu.cu Red Nacional Universitaria de Cuba (REDUNIV) Ministerio de Educación Superior Fuerza de Tareas IPv6 de Cuba Fuerza de Tareas IPv6 de Latinoamérica y El Caribe Grupo para Ordenamiento de Recursos de Internet en Cuba Taller Aurora-2 Universidad de Oriente 9 de diciembre de 2011

2 Entorno Globalización Convergencia de servicios empleando el protocolo IP (IP es el estándar de facto) Amplia utilización de Tecnologías inalámbricas, debido a la gran cantidad de dispositivos portátiles con capacidad de red Aumento de la conectividad de alta velocidad (fija y móvil) Tendencia a poner todo en la Red Crisis económica mundial

3 Redes de banda ancha Dispositivos móviles con conexión a redes e Internet Nube computacional Internet Computadoras Personales

4 Direcciones IPv4 (/8) asignados por los RIRs a sus clientes (Sept. 2011) Fuente: NRO Internet Number Resource Report Septiembre/2011 (

5 Direcciones IPv4 acorde a la población de cada región (marzo 2011) Fuente: IPv6 Critical Success Factors -Mr. John M Baird (Defense Research and Engineering Network (DREN) [Rocky Mountain 2011 IPv6 Summit, Abril 27, 2011]

6 Se agotaron las direcciones IPv4 (/8) (3 de febrero 2011) Conferencia conjunta ICANN, NRO, IAB sobre el agotamiento del espacio de direcciones IPv4. [Miami, Florida, USA - 3 Febrero, 2011] Paul Wilson (Director General of APNIC), Adiel A. Akplogan, (CEO of AfriNIC), Elise Gerich (ICANN Vice President for IANA), Raul Echeberria (Chair of the Number Resource Organization (NRO), Executive Director LACNIC ), Rod Beckstrom (ICANN President and CEO), Axel Pawlik (Managing Director of the RIPE NCC), John Curran (President and CEO ARIN) Foto Pablo H.

7 Predicción acerca del agotamiento de direcciones IPv4 (/8) en cada RIR Fuente: IPv6 Seminar. The Business Case for IPv6 - Cisco Systems (2011)

8 Estimados de costo para reventa de direcciones IPv4 Fuente: In the face of depletion: IPv4 Cost -Martin Hannigan(NANOG 50, 05 octubre2010)

9 Microsoft compra direcciones IPv4 a Nortel Networks Fuente:

10 IPv4 IPv6

11 IP en objetos inteligentes

12 IP en dispositivos domésticos

13 La casa multimedia Tomado de WLAN Applications and IPv6 - Rick Jeng (Ralink Technology) (2 Septiembre 2008)

14 Auto robot de Google (Octubre 2010)

15 Control de iluminación Beijing

16 CVIS (Sistema cooperativo de infraestructura vehicular) [Francia] Fuente: Automotive Industry: Why the ITS Businesses Need to Care about IPv6? -Thierry.Ernst(INRIA & Mines ParisTech)

17 Red de sensores para investigaciones agronómicas (Argentina) Fuente: 6LoWPAN. IPv6 for Wireless Sensor Network -Gustavo Mercado [9º ForoLatinoamericanode IPv6 FLIP6, mayo 2011]

18 Monitoreo de servicios (Nivis) Fuente: Embedded IP(v6) Networks. The Internet of Things is on the way - Geoff Mulligan (IETF 6LoWPAN Chair, IPSO Alliance Chairman)

19 Monitoreo de servicios (Nivis)

20 Un nuevo protocolo: IPv6 IPv6 es el protocolo para la próxima generación de Internet. Diseñado por el IETF para soportar el continuo y necesario crecimiento de Internet, tanto en cantidad de usuarios conectados como en funcionalidad. Su desarrollo fundamental ha ocurrido durante la última década, y aun se trabaja en el desarrollo de algunos estándares necesarios. En cualquier caso, puede decirse que este protocolo es una tecnología madura y con implementaciones estables, y por tanto, debe reemplazar gradualmente a la actual versión del protocolo IP. IPv6 es consecuente con las tecnologías desarrolladas en base al protocolo IPv4, reelaboradas según una nueva filosofía. Resuelve eficientemente las limitaciones nativas de IPv4, pero no son protocolos interoperables.

21 Algunos aspectos que pueden modificar erróneamente la percepción nacional Existen PCs, pero Conectividad domesticas de baja velocidad (fundamentalmente dialup) Pobre conectividad a Internet Servicios Acceso Poco desarrollo en servicios de datos sobre móviles La Internet de las Cosas aun no llega a estas costas Poca participación en cuerpos de estándares, foros de discusión, eventos.

22 El trabajo técnico para IPv6 está hecho. IPv6 está listo. Esto es un asunto de negocios en la industria de servicios de Internet. La comunidad de Proveedores de Servicios de Internet necesita prestar atención Ellos están manteniendo la mentalidad de que nadie está solicitando esto. Ellos no están evaluando la continuidad de negocios como debieran. Cuando finalmente despierten, IPv6 va a ser una pesadilla y no podrán implementarlo correctamente. Entrevista a Vinton Cerf en The Times Online (30 de septiembre 2008)

23 Bloques IPv6 asignados por cada RIR a LIR/ISP (hasta septiembre 2011) Fuente: NRO Internet Number Resource Report Junio/2010 (

24 Bloques IPv6 asignados por RIR a usuarios finales (hasta sept. 2011) Fuente: NRO Internet Number Resource Report Junio/2010 (

25 Estadística regional Latinoamérica y El Caribe (6 de diciembre 2011) Fuente:

26 Estadística IPv6 Cuba (16 de octubre 2011) Bloque Visibles en Internet (hasta 28 de abril 2011) 2001:1340::/32 (asignado 6 de abril de 2005) CITMATEL 2001:1358::/32 (asignado 29 de junio de 2005) ETECSA 2001:13c8::/32 (asignado 18 de agosto de 2005) NAP Bloques no visibles en Internet (hasta 16 de octubre 2011) :230::/32 (asignado 4 de junio de 2008) SITRANS 2800:360::/32 (asignado 29 de mayo de 2009) INFOMED 2800:910::/32 (asignado 16 de junio de 2011 REDUNIV)

27 Riesgos Seguridad Presupuesto Amenazas

28 IPv6 y Seguridad (Direccionamiento) El esquema de direccionamiento IPv6 se define en la RFC bits de longitud 4,294,967,296 IPv << bits IPv6 340,282,366,920,938,463,463,374,607,43 1,768,211, bits 96 bits Deben disminuir los escaneos de red (fuerza bruta) Aumento en la inteligencia en los ataques (encabezados de correo, DNS, Redes Sociales, etc.)

29 IPv6 y Seguridad (IPSec) Nodo IPSec Nodo IPSec Empleados realizando Teletrabajo Nodo IPSec Red Local Nodo IPSec Internet IPv6 Nodo IPSec Red Corporativa (oficina remota) Direccionamiento Real IPv6 (Aggregatable Global Address) 1 Transmisión Segura Site-to-Site (IPSec VPN) Nodo IPSec IPSec mandatorio en IPv6 (en teoría) Requiere PKI para su funcionamiento, igual que en IPv4

30 IPv6 y Seguridad (Movilidad en IPv6) LMM (Localized Mobility Management) Domain Internet Gateway Internet Nodo Correspondiente Servidor de políticas AAA Localized Mobility Agent (LMA) Red Doméstica (Home Net) Mobile Access Gateway (MAG) Nodo Móvil Soporte a movilidad (ubicuidad) Atacantes desde dispositivos móviles

31 IPv6 y Seguridad (Direcciones y autoconfiguración de direcciones) Stateless (RFC 2462) 1. RS 2. RA 2. RA 1 -ICMP Type = 133 (RS) Src = :: Dst = All-Routers multicast Address query= please send RA 2 -ICMP Type = 134 (RA) Src = Router Link-local Address Dst = All-nodes multicast address Data= options, prefix, lifetime, autoconfig flag Autoconfiguración: 1. autoconfigurado a partir de EUI-64 Stateful DHCPv6 (RFC 3315) RA indica SUBNET PREFIX SUBNET PREFIX + MAC ADDRESS 2. número pseudoaleatorio(extensiones de privacidad) 3. asignado mediante DHCP SUBNET PREFIX + MAC ADDRESS

32 IPv6 y Seguridad (Direcciones y autoconfiguración de direcciones) Representación Hexadecimal 0000-FFFF 0000-FFFF 0000-FFFF 0000-FFFF 0000-FFFF 0000-FFFF 0000-FFFF 0000-FFFF Numeración de red (64 bits) Numeración de dispositivos (64 bits) bits Ejemplo: 2001:0000:130F:0000:0000:09C0:876A:130B(Dirección de host) 2001:0000:130F::/48(Dirección de Red) Complejidad en escritura de direcciones IPv6 Mayor uso de autoconfiguración (ver ND Attack) En general, se emplea autoconfiguración para conformación de direcciones locales Mayor uso de publicación de recursos en DNS

33 IPv6 y Seguridad (Extensiones de privacidad) (LINUX) host1:~ # ip addr 2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast qlen 1000 link/ether 00:08:02:a2:bc:bf brd ff:ff:ff:ff:ff:ff inet /26 brd scope global eth0 inet6 2001:470:e25c:102:208:2ff:fea2:bcbf/64 scope global dynamic valid_lft sec preferred_lft sec inet6 2001:470:8:15d:208:2ff:fea2:bcbf/64 scope global dynamic valid_lft sec preferred_lft sec inet6 fe80::208:2ff:fea2:bcbf/64 scope link valid_lft forever preferred_lft forever (WINDOWS) C:> ipconfig/all Ethernet adapter Local Area Connection: Connection-specific DNS Suffix. : Description...: Marvell Yukon 88E8055 PCI-E Gigabit Ether net Controller Physical Address....: 00-1D-BA DHCP Enabled....: No AutoconfigurationEnabled...: Yes IPv6 Address....: 2001:470:8:15d:1d9b:8244:1797:5fc7(Preferred) Temporary IPv6 Address....: 2001:470:8:15d:f9f9:d10:ff1c:dbeb(Preferred) Link-local IPv6 Address...: fe80::1d9b:8244:1797:5fc7%10(preferred) IPv4 Address....: (Preferred) Subnet Mask...: Default Gateway...: fe80::212:7fff:feff:31c0% DHCP Class ID...: ING DNS Servers...: NetBIOS over Tcpip....: Enabled Sin extensiones de privacidad Con extensiones de privacidad

34 IPv6 y Seguridad (Extensiones de privacidad) Extensiones de privacidad protegen a los clientes, pero en instituciones es bueno? En Windows pueden deshabilitarse (Políticas de usuarios/active Directory) En Linux también pueden deshabilitarse (Perfiles de usuarios. No existe Active Directory!!)

35 Sistemas operativos con soporte IPv6 Sistemas operativos con soporte IPv6: Microsoft Windows Vista, Windows Server 2008, Windows Server 2003, Windows XP, Windows CE (4.1 o superior), Red HatLinux (7 o superior),debian, SUSE Linux (10.x o superior), Fedora, Ubuntu, FreeBSD(4 o superior), HP-UX, Apple MAC OS, SunSolaris(8 o superior), Tru64 UNIX, Symbian(7 o superior) Fuente:

36 IPv6 y Seguridad (Sistemas Operativos) IPv6 puede deshabilitarse completamente en Windows XP, pero solo parcialmente en Windows Vista/7 En Linux no puede deshabilitarse IPv6 sin modificar el kernel Con seguridad, tenemos IPv6 corriendo en nuestras actuales infraestructuras y no lo sabemos!! La mayoría de las herramientas de gestión y seguridad que empleamos, no manejan adecuadamente tráfico IPv6 (o si lo manejan, no nos preocupamos por incluir este tema en los reportes que pueden hacer esas herramientas)

37 IPv6 y Seguridad (Dual-Stack) Dual stack: En esta red, operan de forma simultánea IPv4 e IPv6. En una red dual stack, ambos protocolos son desplegados completamente y los protocolos de enrutamiento deben llevar los prefijos correspondientes a cada tecnología, de manera transparente. La mayor desventaja de esta aproximación ideal, es que requiere que todo el equipamiento soporte ambos protocolos, lo cual no es la situación real. IPv4 Header IPv4 Data IPv4 Header IPv4 Data IPv6 Header IPv6 Data IPv6 Header IPv6 Data Dual Stack Host Red IPv4/IPv6 Red IPv4/IPv6 Dual Stack Host IPv4/IPv6 Dual-stack Router Dual-stack Router

38 IPv6 y Seguridad (Dual-Stack) Red de mayor complejidad Servicios doblemente vulnerables (en teoría) Mayor dependencia del uso de firewalls en clientes Internet IPv6 IPv6 IPv6 IPv6 IPv6 IPv6 DMZ Red Corporativa Clientes IPv6 IPv6

39 Necesidad de capacitación

40 Áreas de entrenamiento IPv6 -Tecnología IPv6 otécnicos o directivos o especialistas de mercadotecnia y desarrollo -Despliegue IPv6 o directivos otécnicos - Seguridad IPv6 - Equipamiento de red - Sistemas operativos y aplicaciones - Desarrollo de software

41 Actividades de capacitación IPv6 LACNIC 2011 Febrero: Seminario Virtual "Mecanismos de Transición" (16 de Febrero) Marzo:Seminario Virtual "IPv6 Básico" (16 de Marzo) Abril: Taller Regional para Operadores (6-8 de Abril -Buenos Aires) Seminario Virtual "Seguridad IPv6" (29 de Abril) Presentación de resultados en actividades de identificación de necesidades Mayo:Talleres IPv6 LACNIC XV (15-16 de Mayo -Cancún, México) FLIP6 Junio :WorldIPv6 Day(8 de Junio) Seminario Virtual "Mejores Prácticas BGP-IPv6" (15 de Junio) Talleres IPv6 CLARA (20-24 de Junio -Tegucigalpa, Honduras) Julio: Taller Regional de Operadores CARIBEAN III (14, 15 de Julio -Surinam) Seminario Virtual "Mejores Prácticas IGPs-IPv6" (20 de Julio) Agosto: Seminario Virtual "IPv6 en redes Móviles" (11 de Agosto) Talleres IPv6 (15-17 Agosto -Quito, Ecuador (TBC)) Talleres IPv6 (17-19 Agosto -Lima, Perú (TBC)) Talleres IPv6 (22-24 Agosto -Santiago de Chile, Chile (TBC)) Septiembre: Taller Regional de Operadores (7-9 de Septiembre -Costa Rica) Seminario Virtual "Aspectos de Seguridad de IPv6" (14 de Septiembre) Octubre: Talleres IPv6 LACNOG 2011 (19 de Octubre -TBC) Noviembre: Seminario Virtual "MPLS IPv6" (23 de Noviembre) Diciembre: Seminario Virtual "Métricas IPv6 2011" (7 de Diciembre)

42 Algunos estándares y organizaciones soportando IPv6 IPv6 es obligatorio en las especificaciones de Subsistema Multimedia IP (IMS) ETSI ( IPv6 es obligatorio en DOCSIS 3.0 de CableLabs Estándares para nueva generación de redes móviles (3GPP): 3GPP ( y 3GPP2 ( recomiendan soporte IPv6 en el Subsistema Multimedia IP (IMS) y en la Red UMTS de Acceso Remoto Terrestre (UTRAN) NGN basada en IPv6 (Unión Internacional de Telecomunicaciones) Recomendación Y.2051, General overview of IPv6-based NGN; Y.2054, Framework to support signalling for IPv6-based NGN IPv6 en Root DNS (5/2/2008) (

43 Ejemplo de acciones gubernamentales: Europa egovernment

44

45 Ejemplo de organización de la transición: Gobierno norteamericano

46

47

48 IPv6 en Cuba. Marco regulatorio vigente Se adquieren bloques de direcciones IPv6 (mayo a agosto 2005) Promoción ose publica documento Fundamentos para la Política sobre los Planes de Utilización y Asignación de Direcciones IPv6 (IPv6 TF Cuba, agosto 2005) o Se emite Instrucción 5/2007 (DRN_MIC): Solicitud de direcciones experimentales de IPv6 para proyectos pilotos(mic, 20 de agosto 2007) ose emite Resolución 138/2008: Solicitud de Recursos de Internet a LACNIC (6 de junio 20008) Introducción ose emite Resolución 140/2008: Requisitos para la importación y exportación de productos y tecnologías compatibles con IPv6 (6 de junio 2008) ose emite Resolución 156/2008: Metodología para la introducción del protocolo IPv6 en el país. (14 de agosto 2008) o Se emite Resolución 132/2011: Proyectos piloto IPv6 (9 de agosto 2011)

49 IPv6 en Cuba. Resolución 140/08 Contratación de equipos y tecnologías que empleen el protocolo IP, deben incluir IPv6 como requisito, a partir de enero de 2009 Exigencia a suministradores para que productos tengan certificación IPv6, a partir de enero de 2009 Diseño de hardware nacional con conectividad IP, compatibles con IPv6 (inicio del proceso en enero 2009)

50 IPv6 en Cuba. Resolución 156/08 Etapa Previa Preparación Transición Establecimiento 09/ / / / /2013

51 Modelo de despliegue Primer Año Segundo Año Tercer Año Cuarto Año Q1 Q2 Q3 Q4 Q1 Q2 Q3 Q4 Q1 Q2 Q3 Q4 Q1 Q2 Q3 Q4 Definición del caso de negocio Financiamiento Obtención de direcciones Período de prueba Entrenamiento Contratación Despliegue IPv6 en proyectos de producción Fuente: IPv6 and Broadband. IPv6 Cluster. 2005

52 IPv6 en Cuba. Resolución 156/08 Situación deseada al concluir el proceso: La red troncal principal de Telecomunicaciones, todas las Redes Públicas y Propias de Datos y los Proveedores Públicos y Propios deben estar soportando tráfico IPv6 nativo además de IPv4. Se tienen en explotación servicios básicosde la Red en IPv6. Las computadoras configuradas para soportar al mismo tiempo los Protocolos IPv6 e IPv4, deben ser no menos del 60%. Los sistemas Informáticos en el país, muestren compatibilidad con el Protocolo IPv6. Todo el hardware, con interfaces de red, que se fabrique en el paísdebe ser compatible con IPv6. Todas las importaciones de equipos y productos querequieren el uso del Protocolo IP son compatibles con IPv6.

53 IPv6 en Cuba. Proyecto piloto Ministerio de Educación Superior (2011) Banco de pruebas y entrenamiento en IPv6 Preparar las condiciones necesarias para la integración de IPv6 en las redes de las instituciones componentes de Reduniv Crear una base tecnológica (accesible desde todos los puntos del país) que permita el correcto aprendizaje de las tecnologías basadas en IPv6 y del protocolo en si mismo, en los cursos regulares de las universidades, así como en actividades de postgrado Fomentar el estudio y asimilación de IPv6 en todo el país Probar diferentes alternativas de conectividad IPv6 (tunelizada, dual-stack, nativa) y analizar el funcionamiento de diferentes aplicaciones y tecnologías en cada uno de los escenarios construidos Probar diferentes aplicaciones y servicios (unicast y multicast) sobre IPv6 Realizar evaluación de equipamiento compatible con IPv6 en redes LAN/WAN Elaborar procedimientos para evaluar la compatibilidad de aplicaciones con IPv6, así como diseñar soluciones y metodologías para portar aplicaciones a IPv6 Crear procedimientos de medición que permitan cuantificar la calidad del acceso por IPv6 a los diferentes servicios disponibles Validar herramientas relacionadas con seguridad en ambiente IPv6 Validar herramientas relacionadas con la administración de redes y gestión de las mismas en ambiente IPv6 Coordinadores: Dr. Jorge Luis López Presmanes(Director Reduniv) MSc. Alain Lamadrid Vallina (Coordinador Seguridad Reduniv) MSc. Jorge Daniel Villa Hernández (Coordinador Conectividad Reduniv)

54 IPv6 en Cuba. Proyecto piloto Ministerio de Educación Superior (2011)

55 IPv6 en Reduniv t (meses) Despliegue Internet 18 Despliegue Reduniv Despliegue local 9 Planeación/diseño Experimentación Aprendizaje 0

56 Conclusiones IPv6 ya esta aquí, es una realidad acaso crees que no tienes trafico IPv6 cerca? IPv6 no es magia, es una tecnología con sus virtudes y defectos IPv6 no es algo que pueda ponerse o quitarse según se necesite. Es la plataforma para futuros servicios y aplicaciones IP El entrenamiento de las personas involucradas en IPv6 es decisivo. Estamos ante una oportunidad única de participar (ventajosamente) en un cambio tecnológico mundial. IPv6 es una ventana para obtener liderazgo en estos temas, en nuestra región. IPv4 e IPv6 coexistirán por un buen tiempo El Sistema de nombres de dominio es crítico para el exitoso despliegue de IPv6 Adoptar IPv6 no es sinónimo llevar lo que hoy existe con IPv4 al nuevo protocolo. IPv6 creará nuevas oportunidades en sectores hoy no conectados (automóviles, edificios, dispositivos de consumo, etc). Con fincas es imposible lograr avances Todo el que aspire a tener buenas opciones en el mercado laboral en la próxima década, tiene que asumir desde ahora IPv6 La oportunidad favorece a la mente preparada - Luis Pasteur Siempre hay espacio en la cima Daniel Webster Ante todo, la preparación es la llave del éxito - Alexander Graham Bell

57 Redes de banda ancha Dispositivos móviles con conexión a redes e Internet Nube computacional IPv6 Internet Computadoras Personales

58 Algunas fuentes de información sobre IPv6 Cisco: Linux IPv6: Microsoft: Portal IPv6 Cuba Portal IPv6 Latinoamérica Programa IPv6 Ready Forum IPv6 Repositorio RFC

59