Seguridad en IPv6: los riesgos que las empresas deben considerar Presentación para el foro de Global Crossing en Colombia (Julio 2011)

1. Seguridad en IPv6:Los riesgosquelasempresasdebenconsiderar Gabriel Marcos – Marketing SpecialistDatacenter & Security

3. La planificaciónes la clave del éxito: la implementación de IPv6 no es un temaexclusivamente de “networking”, tambiéntieneimpacto a nivel de los servidores, lasaplicaciones y los dispositivos de seguridad.

4. Las migraciones y lasconfiguracionesmixtas son especialmenteatractivaspara los atacantes: el grado de exposiciónaumentadurante la etapa de transición (de hecho, al día de hoynadiepuedeasegurarcuándo se va a terminar!). Predicción: Ud. va a implementar IPv6 antes de lo quecree (o quiere)… comomínimo, paraser compatible con el resto del mundo! 2 © 2010 Global Crossing

5. 1. Algunasconsideraciones

6. Tome nota de esto! (la va a recordarmásadelante) IPSec en IPv6 NAT en IPv6 Análisis de vulnerabilidades en IPv6 Stateless auto-configuration DNS en IPv6 Multicast en IPv6 Ping en IPv6 Mobile IPv6 Madurez Cosasque NO cambian 4 © 2010 Global Crossing

8. Recomendación: implementaciónmandatoria… pero en la realidad no esunalimitación.

9. Authentication extension header: protecciónparagarantizarintegridad y no repudiación.

10. Encapsulting Security Paylod extension header: confidencialidad, integridad y anti-replay. Los problemas potenciales de IPSec en IPv6 son los mismos que en IPv4; además, no se puede garantizar su implementación como mecanismo end-to-end en cualquier escenario 5 © 2010 Global Crossing

12. Nuevostipos de NAT:Carrier Grade NATs NAT64 2 NAT en IPv6 La utilización de NAT sobre IPv6 es una de las barreras más importantes a la masificación de IPSec, entre otras (complejidad, inversión/soporte, etc.) 6 © 2010 Global Crossing

14. Las primerasestadísticassugierenque hay unatendencia a utilizaresquemas de numeraciónpredecibles (puntopara los atacantes!)

15. Hecha la ley, hecha la trampa… porejemplo, nuevastécnicas de information gathering basadas en MAC address.3 Análisis de vulnerabilidades (bajo IPv6) Como de costumbre, no es la tecnología sino el uso que se le da lo que determina el nivel de exposición y riesgo 7 © 2010 Global Crossing

16. Adiósal DHCP!: en IPv6 ya no esnecesarioutilizar un servidor DHCP niconfigurarmanualmentelasdirecciones IP. Menosintermediariossiempreesunabuenanoticia: no esnecesario el uso de proxies, especialmenteútil en aplicacionescomovideoconferencia y telefonía IP. Antes de festejar, primerotengamos en cuentaque… Yaexisten tool-kits de ataquesparaaprovecharvulnerabilidades de estosnuevos features. 4 Stateless auto-configuration Es esperable que a medida que se comience a difundir más la utilización de IPv6, las vulnerabilidades en el protocolo se conviertan en objetivos de ataque 8 © 2010 Global Crossing

18. Atajopara el problema de la cantidad de direcciones

19. Se convierte en un problema de seguridad del software5 DNS en IPv6 La implementación de IPv6 refuerza la necesidad de seguridad interna, quizás el problema menos explorado por las organizaciones… 9 © 2010 Global Crossing

21. Generaciónde ataquestradicionales:Denial of service (DoS) Port scanning 6 Multicast en IPv6 Seguridad interna, filtrado y personalización de los dispositivos de networking y seguridad se vuelven imprescindibles para utilizar features avanzados 10 © 2010 Global Crossing

22. Ping en IPv6 ICMPv6 yNeighbor discovery: extensiónde la funcionalidaddel ICMP como “reemplazo” del ARP y del DHCP. La buenanoticiaes… quecomo Neighbor discovery es susceptible amuchasvulnerabilidades, existe un protocolo “Secure Neighbor discovery” (SEND) quecorrijemuchas de ellas, porejemplo a través de Cryptographically Generated Addresses (CGAs). La mala noticiaes… que el soportepara SEND esmuylimitado, tanto en dispositivos de networking como a nivel de sistemaoperativo(si, justoese en el queud. estápensando!) 7 11 © 2010 Global Crossing

24. Sin embargo, comoyamencionamos, el uso de IPSec esopcional

25. Estoabrelaspuertas a que un atacanteredireccione el tráfico de un nodo a cualquier red de supreferencia!8 Mobile IPv6 Excelente ejemplo de cómo una característica potencialmente muy beneficiosa (“AlwaysOn”) puede resultar en un riesgo no justificable. 12 © 2010 Global Crossing

27. Algunascaracterísticasquedarán en el caminopara ser mejoradas en el futuro (ejemplo: registros A6)Seríaesperablequealcanzada la madurez de IPv6, el nivel de riesgo sea equiparable al actual sobre IPv4… perocómollegaremos a eso? 9 13 © 2010 Global Crossing

28. 10 Cosasque NO cambian En IPv4, los ataques a nivel de aplicaciónsuperanpor mucho a los ataques a nivel de red: algoasícomo un 99% a 1%... Los mismos ataques a nivel de aplicación que son válidos en IPv4 lo serán en IPv6. Symantec Corp., Internet Security Threat Report, Vol. 16. 14 © 2010 Global Crossing

29. 2. AMBIENTES COMPARTIDOSIPv4 / ipv6

30. ISP’s Aggregation IPv6 IX Ambientescompartidos IPv4 / IPv6 IPv6 Basics Tony Hain Cisco Systems © 2002, Cisco Systems, Inc. All rights reserved. Enterprise WAN: 6to4, IPv6 over IPv4, Dual Stack 6to4 Relay Cable Dual Stack IPv6 over IPv4 tunnels or Dedicated data link layers IPv6 over IPv4 Tunnels Residential 6Bone Dual Stack or MPLS & 6PE DSL, FTTH, Dial IPv6 over IPv4 tunnels or Dual stack IPv6 over IPv4 tunnels or Dedicated data link layers ISATAP Telecommuter Enterprise 16 © 2010 Global Crossing

32. Traslación (NAT64)Los atacantesya se estánentrenando… Nro. 4 en el TOP 5 de downloads (y subiendo en los charts): THC-IPv6 AttackToolkit v1.6 http://thc.org/download.php?t=r&f=thc-ipv6-1.6.tar.gz 17 © 2010 Global Crossing

33. 3. CONCLUSIONES

34. Conclusiones (I) Cuándo conviene comenzar a investigar e implementar IPv6? Ahora! Qué tan importante es la seguridad de la información en IPv6? Muy importante, al igual que en IPv4. Alcanza el conocimiento en IPv4 para implementar IPv6? Es necesario desarrollar conocimiento y experiencia en IPv6. Implementar IPv6 es tan sencillo como hacer un upgrade a la red? NO! Requiere de una cuidadosa planificación… Comprar buen hardware y software que soporte IPv6 resuelve todos los problemas? Mmh… esto me parece haberlo escuchado antes… 19 © 2010 Global Crossing

35. Conclusiones (II) La implementación de IPv6 es la oportunidad de “empezar de cero” y reconstruir nuestras redes considerando la seguridad de la información desde el inicio. Estamos preparados y motivados para hacerlo? Symantec Corp., Internet Security Threat Report, Vol. 16. 20 © 2010 Global Crossing

36. Algunasfuentesde información http://technet.microsoft.com/en-us/library/bb726956.aspx http://ipv6.com/articles/security/IPsec.htm http://en.wikipedia.org/wiki/Carrier-grade_NAT http://searchsecurity.techtarget.com/tip/IPv6-myths-Debunking-misconceptions-regarding-IPv6-security-features http://www.thc.org/papers/vh_thc-ipv6_attack.pdf http://www.ipv6.org 21 © 2010 Global Crossing

37. MUCHAS GRACIAS! Gabriel Marcos – Marketing SpecialistDatacenter & Security Correo: gabriel.marcos@globalcrossing.com Twitter: @jarvel http://blogs.globalcrossing.com/?q=users/gabriel-marcos