(Ne)bojím se IPv6! Matěj Grégr. Vysoké učení technické v Brně, Fakulta informačních technologií LinuxAlt 2013

Transkript

1 (Ne)bojím se IPv6! Matěj Grégr Vysoké učení technické v Brně, Fakulta informačních technologií igregr@fit.vutbr.cz LinuxAlt 2013 Děkuji Tomáši Podermańskému za poskytnutí slajdů a videí 1

2 Bezpečnost a IPv6? 2

3 IPv4 autokonfigurace adresy 3

4 IPv4 autokonfigurace adresy DHCP 4

5 IPv4 autokonfigurace adresy ARP 5

6 IPv4 autokonfigurace adresy Běžný provoz (http) 6

7 Důležitost first hop security Ukradení adresy IP kterou používá jiné zařízení Podvržení adresy IP Podvržení adresy MAC Otrávení ARP Falešný DHCP server Trojan.Flush.M, Trojan:W32/DNSChanger 7

8 IPv4: First hop security 1 Port security Povoleny pouze předkonfigurované adresy MAC Omezení počtu MAC na port zabránění MAC flooding 8

9 IPv4: First hop security 2 DHCP snooping Port je odblokován až po přidělení adresy z DHCP serveru 9

10 IPv4: First hop security 3 ARP protect Využívá DHCP snooping databázi Ochrana před podvržením MAC IP lockdown Využívá DHCP snooping databázi Ochrana před podvržením IP 10

11 IPv4: First hop security shrnutí Port security + DHCP snooping + ARP protect + IP lockdown + (Radius) Pouze klient povolený na DHCP serveru má povoleno přístup do sítě Ochrana před: útočníkem špatnou konfigurací špatnými ovladači síťových karet Worm/Virus 11

12 IPv6 Rozdílný způsob konfigurace adres Bezstavová DHCPv6 Síťové rozhraní může mít více IPv6 adres 12

13 Autokonfigurace & objevení sousedů IPv6 DAD, RS/RA, DHCPv6, MLDv2, ND 13

14 Autokonfigurace & objevení sousedů IPv6 DAD, RS/RA, DHCPv6, MLDv2, ND MLDv2 G: ff02::1:ff4b:d6:e3 G: ff02::1:ff4b:d6:e3 14

15 Autokonfigurace & objevení sousedů IPv6 DAD, RS/RA, DHCPv6, MLDv2, ND DAD 15

16 Autokonfigurace & objevení sousedů IPv6 DAD, RS/RA, DHCPv6, MLDv2, ND SLAAC 16

17 Autokonfigurace & objevení sousedů IPv6 DAD, RS/RA, DHCPv6, MLDv2, ND DHCPv6 17

18 Autokonfigurace & objevení sousedů IPv6 DAD, RS/RA, DHCPv6, MLDv2, ND MLDv2 G: ff02::1:ffb0:5ec2 G: ff02::1:ffb0:5ec2 18

19 Autokonfigurace & objevení sousedů IPv6 DAD, RS/RA, DHCPv6, MLDv2, ND ND 19

20 Autokonfigurace & objevení sousedů IPv6 DAD, RS/RA, DHCPv6, MLDv2, ND Běžný provoz (http) 20

21 DAD DoS attack 1. Host: Můžu použít adresu 2001:db8::aaaa? 2. Útočník: Ne! Už se používá! 3. Host: Můžu použít adresu 2001:db8::aaab? 4. Útočník: Ne! Už se používá! 5. Lze použít thc-toolkit ( #dos-new-ipv6 eth0 21

22 DAD DoS attack 22

23 DAD DoS attack 23

24 DAD DoS attack Widows Vyzkouší 5 pokusů, pak to vzdá Linux Záleží na distribuci většinou DAD ignoruje Směrovače HP/Cisco Danou adresu nepoužívá Výsledek: Znemožnění komunikace přes IPv6 24

25 Router Advertisement flood Posílá velké množství RA paketů thc-toolkit ( # flood_router6 eth0 Windows Vista/7/8, MAC zamrznout/spadnou Linux útok ustojí O problému se ví cca 3 roky 25

26 Video 26

27 Router Advertisement flood

28 Could be worse! 28

29 MitM Majorita operačních systémů podporuje IPv6 Všechny implementují bezstavovou konfiguraci pro získání adres Windows Vista/7, Linux, Mac OS, ios, *BSD Zneužití autokonfigurace pro MitM útok: RA + DHCPv6 Klientovi vnutíme pomocí DHCPv6 vlastní adresy DNS serverů Podvrhneme A/AAAA záznamy pro webové stránky, které nás zajímají e.g. Spustíme transparentní proxy pro odposlech/modifikaci stránek 29

30 MitM router utočník 30

31 MitM router utočník Router advertisement Nastaven příznak M nebo O DHCPv6 server jsem JÁ 31

32 MitM DHCPv6 query Jaké jsou DNS servery? router utočník 32

33 MitM router DNS server jsem JÁ utočník 33

34 MitM router utočník 34

35 Video 35

36 Obrana? SeND (RFC 3971, March 2005) Podepisuje NS/NA zprávy Potřebuje PKI Jak nastavit certifikát klientovi? Vlastní typ adresy, nekompatibilní s: Manuální IPv6, EUI-64, Privacy extension RA-Guard, PACL (RFC 6105, February 2011), DHCPv6 snooping Zahazuje falešné zprávy RA (RA snooping) SAVI (draft-ietf-savi-*) Komplexní řešení DHCPv6, RA, kontrola podvržení adresy Podobné jako ND Inspection (Cisco/HP) 36

37 Bypassing RA guard Rozšířené hlavičky! 37

38 Bypassing ACL Jednoduché pakety (ICMPv6) lze jednoduše generovat např. pomocí Scapy Jak vytvořit TCP spojení? Vlastní kernel modul pro obejití ACL! 38

39 Video 39

40 DHCP snooping ARP inspection, ARP protection IP source guard, dynamic IP lockdown All together IPv4: First hop security Rogue DHCP server ARP poisoning Forces users to use DHCP Source IPv4 address spoofing Source MAC address spoofing Require support on access port 40

41 RA-Guard ACL/PACL SAVI, ND inspection SEND Disabling IPv6 Blocking IPv6 IPv6: First hop security Undetermined traffic option (Cisco). Rogue DHCPv6 server Accidently rogue router advertise Intentional rouge router advertise ND cache poisoning Source IPv6 address spoofing DAD DOS attack Neighbour cache overload Source MAC address spoofing Requires support on access switches Requires support or configuration on client side 41

42 price per port RA guard PACL SAVI, ND inspection DHCP snooping ARP inspection, ARP protection IP source guard, dynamic IP lockdown Cena za bezpečnost Přístupové prvky pro 150 uživatelů, 168 portů, 1Gb/s, bez PoE 1x HP vl Switch (J8775B) 3x HP 24-port Gig-T vl Module (J8768A) 1x HP G al Switch (J9147A) 3x HP G al Switch (J9145A) 1x HP G zl Switch (J8700A) 3x HP 24-port 10/100/1000 PoE zl Module (J8702A) 1x HP G Switch (JC105A) 3x HP G Switch (JC100A) $58.90 $96.23 $ $ Instalace s 150 porty 96$ * $ $138 * 150 = $ (~ 40% větší náklady ) $250 * 150 = $ ( ~ 160% větší náklady ) Ceny z (list prices) 42

43 43

44 Shrnutí Nasazení IPv6 může přinášet bezpečnostní problémy Bezpečnostní politika pro IPv4 se automaticky neaplikuje pro IPv6 Firewall, IDS, vše konfigurujeme 2x Bezpečnostní politiky pro IPv6 by měly být shodné s IPv4 Pozor na nemonitorovaný IPv6 provoz! Tunelovací mechanismy většina zařízení nedokáže blokovat Propagátoři IPv6 nejsou zodpovědní za vaši síť V případě problému je vina na vás ne na nich! Rozdílné prostředí, rozdílné nasazení Univerzity otevřené, vcelku neatraktivní pro útok Firmy podstatně vyšší riziko 44

45 Takže všude zakázat? Ideální je porozumět, nasadit a snažit se zlepšit situaci 45

46 46