Blog de Johan Denoyer - La vie et les nouvelles technologies - Balise - IPv6

IPv6 n'est pas un problème de sécurité

jdenoy — Sat, 29 Nov 2008 09:45:00 +0100

De temps en temps, je lit un article affirmant que l'IPv6 représente une sorte de grave menace à la sécurité par sa simple existence. J'ai rencontré un tel article cette semaine, ce qui a incité ce post.

IPv6 n'est pas un grave problème de sécurité à l'heure actuelle.

Il y a quelques arguments de sécurité contre l'IPv6. Je pense que les deux sont réfutable:

Il y a des failles de sécurité dans les implémentations d'IPv6, donc nous devrions bloquer l'IPv6 et désactiver le code IPv6.
Les utilisateurs peuvent installer des tunnels IPv6 et contourner les dispositifs de sécurité réseau (pare-feu, IDS, etc), de sorte que nous devons bloquer l'IPv6 et désactiver le code IPv6.

Parmi ceux-ci, je donne un peut de crédit au deuxième argument, mais alors aucun au premiers.

Pour le premier argument, oui, il y a eu des bugs de sécurité dans les stacks IPv6. Il y a des bugs de sécurité dans la plupart des logiciels, et on s'en occupe. On patch correctement les systèmes impactés. Il y a bien plus de bug dans les navigateurs web, clients de messageries, et PHP que dans la plupart des stacks IPv6. Par exemple, cette année, FreeBSD a publié 11 avis de sécurité, et seuls 2 était lié à IPv6. Il y a des résultats similaires pour les IOS (OS Cisco). Je mettrais ces stats en ligne pour les comparer au logiciels habituels. Et la plupart des vulnérabilités IPv6 sont bien loin d'être sérieux.

Si les utilisateurs étaient vraiment concernées sur la sécurité de leur systèmes, il serait plus judicieux d'éteindre le Flash que l'IPv6.

Je ne doute pas qu'au fur et a mesure qu'IPv6 est déployé que plus de bugs seront découverts. On s'en occupera comme pour tous bug de sécurité. Cependant , les bugs IPv6 font actuellement les gros titres, même s'ils sont mineurs comparés à d'autres bugs.

Le deuxième argument peut-être traité avec encore plus de facilité : ne laissez pas vos utilisateurs créer des tunnels IPv6, bloquer le tunneling de protocol sur votre firewall.C'est plutôt simple, mais la presse adore pimenter les potentiels dangers. (Au fait la plupart des inquiétudes de trous de sécurité entourent Teredo, qui est désactivé par défaut lorsque l'Active Directory est utilisé)

Et donc, les utilisateurs sont souvent demandé d'éteindre l'IPv6. C'est extrêmement frustrant, surtout que le plus d'endroit ou c'est désactivé, le plus dure (et biensur le plus cher) ce serait de le rallumer lorsque l'on aura plus d'adresse IPv4 de disponible, ce qui arrivera dans quelques années. Au lieu d'éteindre l'IPv6 (lire : mettre votre tête dans le sable), vous devriez mettre à jours vos logiciels de sécurité pour supporter l'IPv6. Il existe plusieurs normes pertinentes ici (en anglais):

RFC 4890: Recommendations for Filtering ICMPv6 Messages in Firewalls
RFC 4942: IPv6 Transition/Coexistence Security Considerations
Recommended Simple Security Capabilities in Customer Premises Equipment for Providing Residential IPv6 Internet Service (IETF draft).
NSA Firewall Design Considerations for IPv6
NSA Router Security Configuration Guide Supplement - Security for IPv6

ll y a eu des progrès de mise à jour des logiciels de sécurité pour gérer l'IPv6. La plupart des OS viennent avec un firewall compatible avec la pile IPv6 (et certains OS l'activent même par défaut). Snort a un support plutôt basique d'IPv6, mais les versions suivantes améliorerons cela. Nessus supporte aussi l'IPv6.

Biensur les toolkits d'attaque rajoute aussi le support d'IPv6.

Mais avec le logiciel, nous avons également besoin d'une campagne d'éducation pour informer les administrateurs sur IPv6. Bon nombre des questions de sécurité sont les mêmes que pour IPv4, mais il existe quelques différences notables. Je pense que ce sera la partie la plus difficile, l'évolution du logiciel est beaucoup plus facile que le changement des attitudes.

Permettez-moi d'illustrer cela par un exemple:

OS X est livré avec deux pare-feu (ip6fw et l'application pare-feu), les deux supportent l'IPv6. Le mois dernier, j'ai vu un article dans Macworld qui comparait des logiciels de pare-feu tiers pour Mac OS X. j'ai posté un commentaire demandant si quelqu'un avait vérifié si ces produits supportait IPv6. L'un des fournisseurs a affiché une réponse:

DoorStop X prend en charge IPv6 dans ce que nous pensons être la façon la plus sécuritaire possible - par défaut, il désactive entièrement tout accès à partir de machines IPv6. À l'heure actuelle, pour presque tous les utilisateurs, IPv6 est simplement un problème de sécurité potentiel, sans d'avantages réels....

C'est précisément l'attitude dont je parle. Ce vendeur a une histoire de blocage sur l'IPv6 sur des allégations de raisons de sécurité. Pourtant, étrangement, ils n'ont jamais recommandé aux utilisateurs de désinstaller Flash ou quitter l'aide de QuickTime, qui ont eu beaucoup plus de failles de sécurité que l'IPv6.

Du mieux que je puisse dire, leurs produits renvois juste à ipfw(8). Plutôt que de désactiver l'IPv6, pourquoi ne pas également renvoyer à ip6fw(8)? Cela ne serait pas parfait, mais c'est un premier pas raisonnable de support IPv6, et doit être trivial à mettre en œuvre.

Rien de tout cela ne veux dire qu'il n'existe pas d'attaques qui ont lieu sur IPv6. Elles existent. Mais pour le moment, l'IPv6 est une toute petite surface d'attaque par rapport à IPv4. Nous devrions tirer profit de cette situation pour mettre nos canards dans une rangée.

Cet article a été rédigé par Derek Morr.

Statistiques intéressantes sur l'IPv6 chez Google

jdenoy — Sat, 15 Nov 2008 11:14:00 +0100

Google publie un papier intéressant sur les résultats obtenues suite à l'ouverture du site ipv6.google.com (uniquement accessible si vous avez une connectivité IPv6)

Google remarque que la présence française en IPv6 est surtout due à Free.fr (si seulement certains FAI pouvait en prendre de la graine...)

Vous pouvez consulter le papier à l'adresse suivante : http://rosie.ripe.net/ripe/meetings/ripe-57/presentations/uploads/Thursday/Plenary%2014:00/upl/Colitti-Global_IPv6_statistics_-_Measuring_the_current_state_of_IPv6_for_ordinary_users_.7gzD.pdf

L'IPv4 baisse à un niveau dangereux!!!

jdenoy — Tue, 28 Oct 2008 00:47:00 +0100

Un autre bloc d'adresses IPv4 a été allouée aujourd'hui (bloc 197, à l'AfriNIC). Globalement, il reste moins de 15% de l'espace d'adressage IPv4 de disponible:

Ceci devrais être un rappel à tout le monde : Vous devez démarrer le déploiement de l'IPv6 maintenant!!!!

(Source : http://www.personal.psu.edu/dvm105/blogs/ipv6/2008/10/ipv4-drops-to-a-dangerous-leve.html)

IPv6 : Je suis un guru

jdenoy — Sat, 18 Oct 2008 22:50:00 +0200

Bon j'ai passé la journée à me perfectionner en IPv6. Je suis maintenant certifié IPv6 par Hurricane Electric Internet Services... C'est chez eux que j'ai ma connectivité IPv6 via leur tunnel broker qui est tout juste magnifique.

Donc j'ai mis en place pleins de choses ce week-end et j'ai eu un bon coup de main de la part d' Alex Broque de chez Hurricane Electric, car je ne comprenait pas pourquoi mon serveur mail ne recevait pas de mail... En fait j'était trop parano encore :p J'avais une ACL qui bloquait les connexions entrante vers ma machine...

Donc ce que j'ai fait aujourd'hui :

Un réseau en IPv6 (un nouveau /64 configuré sur mon réseau complet)
Un serveur mail en IPv6 (postfix & courier)
Un serveur web en IPv6 (apache2)
Un serveur dns sous Bind9 avec rdns & une zone uniquement en IPv6

Du coup parait que je suis maintenant un "IPv6 Certified Guru" :

IPv6 : Apache sous Windows

jdenoy — Sun, 05 Oct 2008 09:12:00 +0200

Si vous avez un serveur sous Windows et que vous souhaitez rendre votre serveur Apache compatible IPv6 (ou que vous n'avez rien et que vous voulez en avoir un qui fonctionne sous IPv6), voici comment le faire en quelques minutes.

Téléchargement d'Apache pour Windows en version IPv6

Rendez vous sur le site de Jun-ya KATO pour télécharger la dernière version compilé avec l'IPv6 d'activé

Téléchargez et installez le Package redistribuable Microsoft Visual C++ 2005

Installation d'Apache 2.0.29

Rendez vous sur le site d'Apache pour télécharger la version souhaité (la même que celle téléchargé sur le site de Jun-ya KATO).
Une fois le fichier téléchargé, installez le.
Éteignez ensuite le service Apache et fermez l'Apache Monitor

Installation de la version d'Apache compilé avec l'IPv6

Ouvrez le fichier téléchargé du site de Jun-ya KATO, et ensuite extraire tous les dossiers dans le dossier d'Apache qui est généralement : C:\Program Files\Apache Software Foundation\Apache2.2. Il faut écraser tous les fichiers, donc validez à chaque demande.

Ensuite modifiez le fichier C:\Program Files\Apache Software Foundation\Apache2.2\conf\httpd.conf :

Remplacez la ligne 46 qui est :

 Listen 80

par

 Listen 0.0.0.0:80

Ajoutez ensuite une ligne en dessous avec :

 Listen [::]:80

Lancez ensuite l'Apache Monitor et démarrez le service Apache.

Testez votre installation : Ouvrez votre navigateur et tapez : http://[::1]/

L'IPv6 sous Windows XP c'est toute une histoire

jdenoy — Tue, 16 Sep 2008 18:33:00 +0200

Voilà quelques temps que je tente de faire fonctionner l'IPv6 sous Windows XP. Ce n'est pas une mince affaire!!!

J'ai actuellement un réseau comme suivant :

Alors les tests qui fonctionnent correctement :

Ping :

C:\>ping6 www.free.fr

Envoi d'une requête 'Ping' www.free.fr 2a01:e0c:1:1599::1
à partir de 2001:470:c897::10 avec 32 octets de données :


Réponse de 2a01:e0c:1:1599::1 : octets = 32 temps=86 ms
Réponse de 2a01:e0c:1:1599::1 : octets = 32 temps=88 ms
Réponse de 2a01:e0c:1:1599::1 : octets = 32 temps=87 ms
Réponse de 2a01:e0c:1:1599::1 : octets = 32 temps=86 ms

Statistiques de Ping pour 2a01:e0c:1:1599::1 :
    Paquets : envoyés = 4, reçus = 4, perdus = 0 (0% de perte),
Durée approximative des boucles en millisecondes :
    Minimum = 86ms, maximum = 88ms, moyenne = 86ms

Traceroute :

C:\>tracert6 www.free.fr
 
Détermination de l'itinéraire vers www.free.fr 2a01:e0c:1:1599::1
de 2001:470:c897::10 avec un maximum de 30 sauts :

  1        1 ms     1 ms     1 ms  2001:470:c897::1
  2       65 ms    64 ms    63 ms  jdenoy-1.tunnel.tserv10.par1.ipv6.he.net 2001:470:1f12:238::1
  3       63 ms    63 ms    64 ms  gige-g2-3.core1.par1.he.net 2001:470:0:7b::1
  4       70 ms    70 ms    70 ms  10gigabitethernet1-3.core1.lon1.he.net 2001:470:0:42::1
  5       78 ms    79 ms    79 ms  2001:7f8:4::3022:1
  6       86 ms    88 ms    87 ms  bzn-crs16-1-be1102.intf.routers.proxad.net 2a01:e00:1:a::1
  7       87 ms    87 ms    87 ms  bzn-6k-sys-po20.intf.routers.proxad.net 2a01:e00:1:3::2
  8       88 ms    88 ms    87 ms  2a01:e0c:1:1599::1
 
Itinéraire déterminé.

C:\>telnet 2a01:e0c:1:1599::1 80

GET http://www.free.fr/adsl/index.html

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<!Metas>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1" />
<meta http-equiv="Content-Language" content="fr" />
<meta name="Revisit-after" content="15" />
<meta name="robots" content="index,follow" />
    <link rel="shortcut icon" href="http://www.free.fr/favicon.ico" type="image/x-icon">
    <link rel="icon" href="http://www.free.fr/favicon.ico" type="image/x-icon"> 
<meta name="keywords" content="Free, adsl, offres adsl, internet, t.l.phone, t.l.phonie, mobiles, forfaits mobiles, tv, t.l.vision, VOD, vid.o . la demande, multiposte, radio, wifi, routeur, freeplayer, freebox, multiplay, d.groupage, total, partiel, e-mail, mail, m.l, fournisseur d'acc.s, I.S.P., isp, internaute, internautes, France, fran.ais" />
<meta name="description" content="Jusqu.. 28 M.ga, 10Go d.espace disque, WiFi-MiMo, Ligne t.l.phonique, Appels illimit.s vers 70 destinations, 250 cha.nes de t.l.vision, Vid.o . la Demande" />
<title>Freebox, la meilleure offre ADSL: Internet, T.l.phone, T.l.vision</title>

.. ..

 </script>
</body>
</html>

Jusque la tout va bien, le sniffer me confirme bien que je cause IPv6 avec le monde entier.

Maintenant l'horreur :

Firefox sous Windows XP vers le sites www.free.fr (seul site d'un gros FAI Francais en IPv6), et bien le CPU du PC passe à 100% :

Maintenant le truc sympa, c'est que le site répond bien.. L'échange des packets ce fait comme suivant :

Vous voyez bien le fameux "3-way handshake", mais après mon PC veut plus rien savoir, le CPU passe à 100%, et le site envois toutes les 6 à 10 secondes (pour les trois premières fois) à nouveau le SYN/ACK, puis je renvois le ACK, mais après plus rien!!!! (Bon j'ai quand même coupé au bout de 10 minutes. (Fichier pcap disponible ici)

Alors cela a été testé pour les navigateurs suivants :

IE 6
IE 7
Firefox 2.0-3.0.1

Par contre pour le navigateur Opéra 9.52 (testé avec la 8 aussi), aucun soucis pour joindre les sites.

Je suis un peux dans le flou. Surtout que ca fonctionne sous Firefox sous Linux! Dans pas un problème de navigateur (sauf si c'est codé complètement différement) Je pense que ca doit être une fonction dans une DLL qui est utilisée sous Windows par les deux et pas Opéra.

Pour ceux qui aurait une idée, voici la conf de mon PC :

#========================
# Configuration de l'interface
#========================
pushd interface ipv6
install
reset

set state 6over4=disabled
set privacy state=disabled
add route prefix=::/0 interface="Wifi" metric=0 nexthop=2001:470:c897::1
add address interface="Wifi" address=2001:470:c897::10
set teredo type=disabled
popd
# Fin de la configuration de l'interface

# --
# Configuration ISATAP
# --
pushd interface ipv6 isatap
set state disabled
popd
# Fin de la configuration ISATAP

# --
# Configuration de 6to4 
# --
pushd interface ipv6 6to4
reset
set state state=disabled

Alors si un expert IPv6, ou juste quelqu'un qui saurait faire fonctionner l'IPv6 entièrement en natif (hors 6to4, Teredo, etc..) sous Windows XP, je serais preneur de toutes informations

Pour info, cette configuration fonctionne correctement sous Windows Vista en configurant le stack IPv6 de la carte réseau.

Annuaire de sites IPv6

jdenoy — Mon, 08 Sep 2008 20:18:00 +0200

Comme vous le savez tous, je suis actuellement en pleine auto-formation IPv6... Tout ce qui touche à l'IPv6 je le lis, je teste, etc... J'ai même ouvert un bug report chez Google pour non support de l'IPv6 dans le nouveau navigateur Google Chrome.

Bref, toujours est-il que certains demande à quoi sert l'IPv6 car il n'y a rien à pas de sites en IPv6... Détrompez vous, un annuaire de site IPv6 existe, et actuellement il existe à l'heure ou j'écris ce site 451 sites répertoriés (ca ne veut pas dire qu'il y en as plus, juste qu'il n'y en a que 451 qui ce sont inscrits sur le site).

Alors vous allez me dire, c'est bien ca, mais toujours pas d'adresse du site Et bien la voila, c'est un site suisse nommé Sixy.ch. Alors le site est lui double stacké (accessible en IPv4 et IPv6), par contre les sites derrières ne le sont pas obligatoirement, il ce peut qu'ils ne soient accessible qu'en IPv6.

Amusez-vous bien, si vous avez d'autre annuaires comme cela, faite parvenir, et surtout n'hésitez pas à mettre des liens qui n'existe pas dedans

PS : ce post est indirectement une réponse à un post dans le FrNOG concernant une inutilité de l'IPv6 actuellement car aucun contenus.