MOOC:Compagnon Act34-s7 - Revision history

Bstevant: /* Vulnérabilité des implémentations */

2024-01-16T09:30:55Z

‎Vulnérabilité des implémentations

Vlerouvillois: /* Filtrage du protocole ICMPv6 */

2022-04-22T07:12:35Z

‎Filtrage du protocole ICMPv6

Bstevant at 14:22, 9 February 2022

2022-02-09T14:22:42Z

Jlandru: /* Activité 34-bis : Politiques de Sécurisation d'IPv6 */

2022-01-19T17:06:26Z

‎Activité 34-bis : Politiques de Sécurisation d'IPv6

Jlandru: /* Activité 34-bis : Politiques de Sécurisation d'IPv6 */

2022-01-19T17:04:00Z

‎Activité 34-bis : Politiques de Sécurisation d'IPv6

Jlandru: /* Pour aller plus loin */

2021-09-16T11:03:26Z

‎Pour aller plus loin

Jlandru: /* Pour aller plus loin */

2021-09-16T11:02:51Z

‎Pour aller plus loin

Jlandru: /* Pour aller plus loin */

2021-09-16T10:58:24Z

‎Pour aller plus loin

Jlandru: /* Pour aller plus loin */

2021-09-16T10:53:44Z

‎Pour aller plus loin

Jlandru: /* Pour aller plus loin */

2021-09-16T10:51:55Z

‎Pour aller plus loin

@@ Line 24: / Line 24: @@
 === Vulnérabilité des implémentations ===
-Certains produits, équipements comme logiciels, peuvent indiquer une compatibilité au protocole IPv6. Cependant l’implémentation de cette fonctionnalité est potentiellement peu mature et mal testé. Ces produits peuvent donc présenter des vulnérabilités et être sujets à certaines attaques. Exemple : Les routeurs de la Mikrotix peuvent être victimes d’un déni de service par saturation de certaines tables spécifiques à la gestion du protocole IPv6. Le problème a depuis été corrigé<ref>CVE-2018-19298 CVE-2018-19299 IPV6 RESOURCE EXHAUSTION, Mikrotik, Avril 2019. https://blog.mikrotik.com/software/cve-2018-19298-cve-2018-19299-ipv6-resource-exhaustion.html</ref>.
+Certains produits, équipements comme logiciels, peuvent indiquer une compatibilité au protocole IPv6. Cependant l’implémentation de cette fonctionnalité est potentiellement peu mature et mal testé. Ces produits peuvent donc présenter des vulnérabilités et être sujets à certaines attaques. Exemple : Les routeurs de la MikroTiK ont été victimes d’un déni de service par saturation de certaines tables spécifiques à la gestion du protocole IPv6. Le problème a depuis été corrigé<ref>CVE-2018-19298 CVE-2018-19299 IPV6 RESOURCE EXHAUSTION, Mikrotik, Avril 2019. https://blog.mikrotik.com/software/cve-2018-19298-cve-2018-19299-ipv6-resource-exhaustion.html</ref>.
 === Porte dérobée utilisant les mécanismes de transition vers IPv6 ===

@@ Line 103: / Line 103: @@
 === Filtrage du protocole ICMPv6 ===
-Le protocole ICMPv6 est utilisé pour deux fonctions : les rapports d’erreurs et la gestion du bon fonctionnement du réseau. Les rapports d’erreurs signalent un problème d’acheminement d’un paquet et peuvent être émis depuis n’importe quel routeur intermédiaire dans l’Internet ayant détecté le problème.  Le rapport d’erreur est envoyé à destination de l’adresse source du paquet afin de traiter l’erreur sur le paquet fautif.
+Le protocole ICMPv6 est utilisé pour deux fonctions : les rapports d’erreurs et la gestion du bon fonctionnement du réseau. Les rapports d’erreurs signalent un problème d’acheminement d’un paquet et peuvent être émis depuis n’importe quel routeur intermédiaire de l’internet ayant détecté le problème.  Le rapport d’erreur est envoyé à destination de l’adresse source du paquet afin de traiter l’erreur sur le paquet fautif.
-Les différents rapports d’erreurs, identifiés par le champ Type du message ICMPv6, sont
+Les différents rapports d’erreurs, identifiés par le champ Type du message ICMPv6, sont :
-* Destination inaccessible (Destination Unreachable, ICMPv6 Type=1) : le paquet fautif est remonté à l’application émettrice
+* Destination inaccessible (Destination Unreachable, ICMPv6 Type = 1) : le paquet fautif est remonté à l’application émettrice ;
-* Taille de paquet trop grande (Packet too big, ICMPv6 Type=2) : la taille du paquet est ajusté par le niveau supérieur ou le paquet est fragmenté
+* Taille de paquet trop grande (Packet too big, ICMPv6 Type = 2) : la taille du paquet est ajusté par le niveau supérieur ou le paquet est fragmenté ;
-* Temps dépassé (Time exceeded, ICMPv6 Type=3) : le paquet fautif est remonté à l’application émettrice
+* Temps dépassé (Time exceeded, ICMPv6 Type = 3) : le paquet fautif est remonté à l’application émettrice ;
-* Problème de paramètre (Parameter problem, ICMPv6 Type=4) : le paquet fautif est remonté à l’application émettrice
+* Problème de paramètre (Parameter problem, ICMPv6 Type = 4) : le paquet fautif est remonté à l’application émettrice.
-En entrée du réseau, il est recommandé d’autoriser les messages ICMPv6 contenant un rapport d’erreur (Type >128). Ces messages pouvant provenir de n’importe quel équipement intermédiaire, toutes les adresses sources doivent être autorisées. Un filtrage trop restrictif des messages ICMPv6 peut perturber le bon fonctionnement du protocole IPv6.
+En entrée du réseau, il est recommandé d’autoriser les messages ICMPv6 contenant un rapport d’erreur (Type < 128). Ces messages pouvant provenir de n’importe quel équipement intermédiaire, toutes les adresses sources doivent être autorisées. Un filtrage trop restrictif des messages ICMPv6 peut perturber le bon fonctionnement du protocole IPv6.
-Les fonctions de gestion du réseau utilisant ICMPv6 concernent principalement les tests d’accessibilité par échange de messages Echo Request / Echo Reply (application ping6, ICMPv6 Type=128/129). Ces messages, identifiés par une valeur Type supérieure ou égale à 128, peuvent être interdits en entrée du réseau sans risquer de perturber le fonctionnement du protocole IPv6. Ce filtrage permet notamment de se prémunir de tentative de scan de réseau en IPv6. Lors de la phase de déploiement d’IPv6, l’outil ping6 peut cependant être utile pour diagnostiquer des problèmes de connectivité.
+Les fonctions de gestion du réseau utilisant ICMPv6 concernent principalement les tests d’accessibilité par échange de messages Echo Request / Echo Reply (application ping6, ICMPv6 Type = 128 / 129). Ces messages, identifiés par une valeur Type supérieure ou égale à 128, peuvent être interdits en entrée du réseau sans risquer de perturber le fonctionnement du protocole IPv6. Ce filtrage permet notamment de se prémunir de tentative de scan de réseau en IPv6. Lors de la phase de déploiement d’IPv6, l’outil ping6 peut cependant être utile pour diagnostiquer des problèmes de connectivité.
 Les bonnes pratiques du filtrage du protocole ICMPv6 sont décrites dans le document RFC 4890.

@@ Line 4: / Line 4: @@
 -->
 __NOTOC__
-= Activité 34 : Sécurisation des usages du réseau IPv6 =
+= Activité 34 : Sécuriser les usages d'un réseau IPv6 =
 <!-- = Activité 34-bis : Politiques de Sécurisation d'IPv6 = -->
 <!-- {{Decouverte}} -->

@@ Line 4: / Line 4: @@
 -->
 __NOTOC__
-= Activité 34-bis : Politiques de Sécurisation d'IPv6 =
+= Activité 34 : Sécurisation des usages du réseau IPv6 =
 <!-- {{Decouverte}} -->
 == Introduction ==

@@ Line 5: / Line 5: @@
 __NOTOC__
 = Activité 34-bis : Politiques de Sécurisation d'IPv6 =
-{{Decouverte}}
+<!-- {{Decouverte}} -->
 == Introduction ==
 La mise en œuvre d’IPv6 dans un réseau doit s’accompagner de la définition de politiques de sécurité adaptées en bordure de votre réseau. Sans ces politiques de sécurité, le trafic IPv6 ne sera pas filtré et la surface d’attaque du réseau se retrouvera augmentée. Aujourd’hui les attaques provenant de l’Internet utilisant le protocole IPv6 ne sont pas très répandues. Mais leur nombre va certainement croître parallèlement au déploiement et à la banalisation du nouveau protocole.

@@ Line 312: / Line 312: @@
 * RFC 7707 Network Reconnaissance in IPv6 Networks [https://www.bortzmeyer.org/7707.html Analyse]
 * RFC 9099: Operational Security Considerations for IPv6 Networks [https://www.bortzmeyer.org/9099.html Analyse]
-* S. Bortzmeyer [Exposé sur la sécurité d'IPv6 à l'ESGI https://www.bortzmeyer.org/ipv6-securite.html]
+* S. Bortzmeyer [https://www.bortzmeyer.org/ipv6-securite.html Exposé sur la sécurité d'IPv6 à l'ESGI]

← Older revision		Revision as of 11:02, 16 September 2021
Line 312:		Line 312:
	* RFC 7707 Network Reconnaissance in IPv6 Networks [https://www.bortzmeyer.org/7707.html Analyse]		* RFC 7707 Network Reconnaissance in IPv6 Networks [https://www.bortzmeyer.org/7707.html Analyse]
	* RFC 9099: Operational Security Considerations for IPv6 Networks [https://www.bortzmeyer.org/9099.html Analyse]		* RFC 9099: Operational Security Considerations for IPv6 Networks [https://www.bortzmeyer.org/9099.html Analyse]
		+	* S. Bortzmeyer [Exposé sur la sécurité d'IPv6 à l'ESGI https://www.bortzmeyer.org/ipv6-securite.html]

@@ Line 304: / Line 304: @@
 * RFC 4890: Recommendations for Filtering ICMPv6 Messages in Firewalls
 * RFC 4942: IPv6 Transition/Co-existence Security Considerations
 * RFC 6104 Rogue IPv6 Router Advertisement Problem Statement [http://www.bortzmeyer.org/6104.html Analyse]
 * RFC 6105: IPv6 Router Advertisement Guard  [http://www.bortzmeyer.org/6105.html Analyse]