IPv6 en Linux y algunos aspectos de seguridad

Transcripción

1 IPv6 en Linux y algunos aspectos de seguridad Ing. Claudia Córdova Yamauchi Dirección de Investigación y Desarrollo Tecnológico INICTEL UNI IPv6 Task Force Perú Red Académica Peruana Grupo de Trabajo de Videoconferencia de la Red CLARA Linux Week 2008 Pontificia Universidad Católica del Perú

2 Agenda IPv6 actualmente En el mundo Latinoamérica Perú Aplicaciones en Linux Algunas consideraciones de seguridad

3 IPv6

4 Espacio de direcciones IPv6

5 IPv6 Marzo 2008 Anuncio de LACNIC all the region s networks will be adapted to the new version 6 of the protocol (IPv6) before January 1st, 2011

6 IPv6 Dónde estamos?

7 IPv6 Marzo 2008 Disposición del Gobierno Estadounidense Deadline 2008, establecido en el Redes del Department of Defense, a excepción de la unidades de combate de Irán y Afganistán. Redes de todo el aparato estatal. NASA

8 IPv6 Marzo 2008 Servidores Raíz DNS Registros AAAA Transporte

9 IPv6 Marzo 2008 Prioridad APEC APEC TEL

10 IPv6 Marzo 2008 The Great IPv6 Experiment

11 IPv6 Marzo 2008 IETF IPv6 Hour (2008) NANOG Hour (Febrero 2008) tongue.net/6and4/wiki/nanog42 IETF 71 (Marzo 2008) RIPE 55 VIDEO IPv6 en Perú RAAP (Dual stack) LACNIC X (prueba IPv6 y multicast) IPv6 Task Force (Primera cumbre de IPv6 2007)

12 Stack IPv6 en Linux Proyecto KAME Proyecto USAGI ipv6.org/

13 Aplicaciones IPv6 Lista completa Aplicaciones de red ge_apps.html Las más interesantes Multicast IPv6 Access Grid Movilidad IPv6 Isabel DNS BIND VLC DVTS Perfsonar

14 Aplicaciones IPv6 Movilidad IPv6 ipv6.org/ Universidad de Helsinki KAME/USAGI NEMO WIDE/IETF/Nautilus6. Personal Area Networks, Pervasive computing.

15 Aplicaciones IPv6 DNS BIND IPv4/IPv6 DVTS Digital Video Transport over IP (Ahora High Definition Video) DV stream on IEEE1394 directamente sobre IP

16 Aplicaciones IPv6 Videoconferencia Access grid. Evo, Isabel

17 Aplicaciones IPv6 Perfsonar

18 Seguridad en IPv6 IPv6 NO es más seguro, por defecto. Viruses, worms, igual Reconnaissance en IPv6 es más difícil IPv4: tamaño de red 28 hosts de 5 a 30 seg. IPv6: tamaño red 264 hosts 500 millones de años [1] Pero, hay administradores que: DNS 2001:1234:abcd::100, 2001:1234:abcd::1

19 En la transición a IPv6 No migración... por favor :) Dual Stack A veces por defecto (casi todos los OS) Firewall IPv4... Pero firewall IPv6? Túneles Configurados manualmente Recomendado Automáticos Teredo, 6to4, 6over4, ISATAP, etc.

20 En la implementación del stack Algunos bugs en el stack En todos los OS Stack reciente Algunas aplicaciones con bugs

21 Autoconfiguración Stateless radvd PELIGRO Descubrimiento del vecino Man in the middle Stateful DHCPv6 WIDE Dibbler Linux DHCPv6

22 Autoconfiguración Stateless radvd PELIGRO Descubrimiento del vecino Man in the middle Nuevo RFC SOLUCIÓN SEND Secure Neighbor Discovery (RFC 3971) Firma y Criptografía Implementación Linux (Noviembre del 2003) El soporte para el IOS Cisco saldrá en el 2008

23 Cabecera de encaminamiento 0 Tipos Tipo 0: similar al IPv4 source routing Tipo 2: para IPv6 móvil Fun with IPv6 routing header CanSecWest Vancouver 2007 [2]

24 Cabecera de encaminamiento 0 Tipos Tipo 0: similar al IPv4 source routing Tipo 2: para IPv6 móvil Fun with IPv6 routing header CanSecWest Vancouver 2007 [2] SOLUCIÓN Eliminar el soporte del tipo 0 RFC 5095: Deprecation of Type 0 Routing Headers in IPv6. Diciembre del 2007

25 IPSec IPSec (RFC 4301 para IPv6) Implementación obligatoria con el stack IPv6. IPv4 también tenía, pero... Extensiones de seguridad Authentication header Encapsulating security payload header Cómo se intercambian las claves?...

26 IPsec Modo Transporte (AH, hash, entre hosts) Túnel (entre gateways de seguridad) Implementaciones Kame IPSec Tools para el kernel 2.6 Usagi

27 IPsec En conclusión IPsec hace más difícil los ataques Man in the middle (aunque no los impide) No silver bullet

28 DNSSec Especificación IETF Autentificación del origen Integridad de datos Problemas de interoperabilidad y compatibilidad hacia atrás. Merece una exposición de más de una hora

29 Conclusiones La transición de las redes IPv4 a IPv6 es un hecho. Cuestión de tiempo. Hay muchas aplicaciones en Linux que soportan IPv6, casi todas las de red. IPv6 no es por defecto más seguro que IPv4. Los mecanismos de transición agregan un factor más que considerar en la seguridad de la red. Hay que estar preparados, pues ya están apareciendo kits de ataque para IPv6 y cuando haya mayor despliegue de IPv6, también habrá mayor despliegue de ataques.

30 Referencias 1.Van Hauser. The hacker's choice. Attacking the IPv6 Protocol Suite. 2.Phillipe Biondi y Arnaud Ebalard IPv6 routing header security 3.Varios RFCs y drafts 4.IPv6 Portal

31 Muchas Gracias