MOOC:Verb34 - Revision history

Bstevant at 15:49, 28 February 2022

2022-02-28T15:49:55Z

Bstevant at 08:17, 7 February 2022

2022-02-07T08:17:23Z

Bstevant: /* Conclusion */

2021-09-28T09:47:12Z

‎Conclusion

Bstevant: /* Vulnérabilités liées à l'auto-configuration */

2021-09-28T09:32:02Z

‎Vulnérabilités liées à l'auto-configuration

Bstevant: /* Vulnérabilités liées à la transition */

2021-09-28T09:08:09Z

‎Vulnérabilités liées à la transition

Bstevant at 15:35, 27 September 2021

2021-09-27T15:35:36Z

Bstevant: /* Mitigation */

2021-09-21T21:20:23Z

‎Mitigation

Bstevant: /* Vulnérabilités sur trafic sortant */

2021-09-21T21:14:08Z

‎Vulnérabilités sur trafic sortant

Bstevant: /* Vulnérabilités sur trafic entrant */

2021-09-21T20:57:48Z

‎Vulnérabilités sur trafic entrant

Bstevant: /* Vulnérabilités sur trafic entrant */

2021-09-20T08:05:13Z

‎Vulnérabilités sur trafic entrant

@@ Line 1: / Line 1: @@
 __NOTOC__
-= Verbatim Vidéo A34 =
+= Activité 34 : Sécuriser les usages d'un réseau IPv6 =
 == Introduction ==
@@ Line 11: / Line 11: @@
 == Vulnérabilités sur trafic entrant ==
 L'évolution apportée par IPv6 qui perturbe le plus les esprits soucieux de la sécurité des réseaux est l'utilisation généralisée de l'adressage globale.
@@ Line 18: / Line 17: @@
 Ces machines, de plus, peuvent utiliser des implémentations logiciels vulnérables en IPv6. Le risque paraît donc élevé.
 Pour réduire ce risque, il faut d'abord rappeler que pour joindre directement une machine, l'attaquant a besoin de son adresse IP.
@@ Line 30: / Line 28: @@
 == Vulnérabilités sur trafic sortant ==
 Pour atteindre de manière anonyme une cible ou tenter de contourner des règles de sécurité, un attaquant peut tenter d'usurper une adresse IP d'un autre réseau et l'utiliser comme adresse source du paquet malveillant.
@@ Line 38: / Line 34: @@
 La cible qui reçoit un tel paquet peut y répondre avec un nouveau paquet contenant l'adresse usurpée comme destination. On dit qu'elle est utilisée alors comme rebond. Si l'adresse source est une adresse multicast, sa réponse va atteindre plusieurs machines. On parle alors d'attaque par amplification.
 La contre-mesure à ce type d'attaque se situe de nouveau au niveau de pare-feux. Tout d'abord, le filtrage des paquets entrant sur le réseau de la cible doit vérifier si le paquet a une adresse source légitime. Une adresse multicast comme source est un signal fort d'un paquet malveillant qui doit donc être éliminé.
@@ Line 46: / Line 40: @@
 == Vulnérabilités liées à la transition ==
 Un réseau qui n'est pas connecté à l’Internet IPv6 n'est cependant pas à l'abri de problèmes liés à ce nouveau protocole. Il faut savoir que certains systèmes dans un environnement IPv4 seul activent automatiquement des protocoles de transitions comme 6to4 ou TEREDO. Se créent alors des tunnels IPv6 sur IPv4 entre ces équipements et l'Internet IPv6. Ces tunnels peuvent être détournés pour servir de porte dérobée, soit pour échapper aux politiques de filtrage, soit pour pénétrer dans le réseau local.
 Il est donc important que les sites ne disposant pas encore d'IPv6 se prémunissent contre ces usages en interdisant aux équipements en interne l'utilisation de ces protocoles de transition. Le blocage de ces tunnels peut se faire simplement en filtrant les numéros de ports du transport UDP ou le champ protocole de l'en-tête IPv4.
 == Vulnérabilités liées à l'auto-configuration ==
 Le mécanisme de découverte des voisins sur le réseau local, comme celui d'auto-configuration, présente des vulnérabilités dès qu'un équipement malveillant est présent sur le même réseau.
@@ Line 68: / Line 56: @@
 Ces messages parasites, aussi appelé judicieusement RA-cailles, sont insidieux car ils ne créent par de rupture de la connectivité. L'utilisateur a toujours l'impression que le réseau fonctionne, alors que ses paquets traversent un équipement illégitime.
 Il n'est pas simple de prévenir ces comportements car les messages de découverte des voisins sont échangés dans un réseau local, sans équipement de filtrage intermédiaire. Des problèmes équivalents existent en IPv4 avec la compromission du protocole ARP ou les serveurs DHCP parasites.

← Older revision		Revision as of 08:17, 7 February 2022
Line 1:		Line 1:
	__NOTOC__		__NOTOC__
		+
		+	= Verbatim Vidéo A34 =

	== Introduction ==		== Introduction ==

← Older revision		Revision as of 09:47, 28 September 2021
Line 74:		Line 74:

	== Conclusion ==		== Conclusion ==
		+
		+	En IPv6 comme en IPv4, la sécurité du réseau est à considérer avec attention et pragmatisme. Déployer IPv6 sur son réseau apporte en effet des risques supplémentaires. Mais ces risques ne sont pas insurmontables s'ils sont traités sérieusement et bien intégrés dans une politique de sécurité.
		+
		+	Mais combien de politique de sécurité s'appuient encore sur la croyance que les attaques s'arrêtent à la porte du NAT IPv4 isolant le réseau local de l'Internet ? Ces approches empiriques sont aujourd'hui un frein au déploiement d'IPv6. L'intégration du nouveau protocole dans un réseau est souvent l'occasion d'établir des fondations plus solides pour la sécurité des réseaux.
		+
		+	Ces remarques s'appliquent bien pour les réseaux administrés, dans une entreprise ou un campus universitaire. La situation est différente dans des domaines comme la domotique et l'Internet des Objets où IPv6 est très présent mais où la sécurité des réseaux est encore très perfectible.

@@ Line 65: / Line 65: @@
 L'équipement malveillant peut aussi chercher à se faire passer pour le routeur de sortie du réseau en diffusant des annonces de routeurs. Il va alors contrôler l'attribution d'adresses automatiques et potentiellement router vers lui le trafic sortant du réseau local.
-Ce comportement est plus insidieux car il ne crée par de rupture de la connectivité. L'utilisateur a toujours l'impression que le réseau fonctionne, alors que ses paquets traversent un équipement illégitime.
+Ces messages parasites, aussi appelé judicieusement RA-cailles, sont insidieux car ils ne créent par de rupture de la connectivité. L'utilisateur a toujours l'impression que le réseau fonctionne, alors que ses paquets traversent un équipement illégitime.
 === Mitigation ===
-* Contrôle de la source du trafic d'auto-configuration
 == Conclusion ==

@@ Line 47: / Line 47: @@
 === Risques ===
-Un réseau qui n'est pas connecté à l’Internet IPv6 et où ce protocole n'est pas déployé n'est cependant pas à l'abri de problème. Certains systèmes dans un environnement IPv4 seul vont automatiquement activer des protocoles de transitions comme 6to4 ou TEREDO. Il créent alors des tunnels IPv6 sur IPv4 qui permettent à ces équipement d'être joignables depuis l'Internet IPv6. L'usage de ces tunnels peut être détourné pour servir de porte dérobée, soit pour échapper aux politiques de filtrage, soit pour pénétrer dans le réseau local.
+Un réseau qui n'est pas connecté à l’Internet IPv6 n'est cependant pas à l'abri de problèmes liés à ce nouveau protocole. Il faut savoir que certains systèmes dans un environnement IPv4 seul activent automatiquement des protocoles de transitions comme 6to4 ou TEREDO. Se créent alors des tunnels IPv6 sur IPv4 entre ces équipements et l'Internet IPv6. Ces tunnels peuvent être détournés pour servir de porte dérobée, soit pour échapper aux politiques de filtrage, soit pour pénétrer dans le réseau local.
 === Mitigation ===
-Il est donc important que les sites ne disposant pas encore d'IPv6 se prémunissent contre ces usages en interdisant aux équipements en interne l'utilisation de ces protocoles de transition. Le blocage de ces tunnels peut se faire simplement en vérifiant les numéros de ports du transport UDP ou le champ protocole de l'en-tête IPv4.
+Il est donc important que les sites ne disposant pas encore d'IPv6 se prémunissent contre ces usages en interdisant aux équipements en interne l'utilisation de ces protocoles de transition. Le blocage de ces tunnels peut se faire simplement en filtrant les numéros de ports du transport UDP ou le champ protocole de l'en-tête IPv4.
 == Vulnérabilités liées à l'auto-configuration ==

@@ Line 17: / Line 17: @@
 === Mitigation ===
-Pour mitiger ce risque, il faut d'abord rappeler que pour joindre directement une machine, l'attaquant a besoin de son adresse IP.
+Pour réduire ce risque, il faut d'abord rappeler que pour joindre directement une machine, l'attaquant a besoin de son adresse IP.
 Pour trouver ces adresses joignables, il devra tester l'ensemble des adresses IP d'un réseau. En IPv4, cette énumération est facile : un réseau contient quelques centaines voir milliers d'adresses.
@@ Line 31: / Line 31: @@
 === Risques ===
-Pour atteindre de manière anonyme une cible ou tenter de contourner des règles de sécurité, un attaquant peut tenter de se forger une adresse IP. C'est à dire choisir une adresse d'un autre réseau et l'utiliser comme adresse source du paquet malveillant.
+Pour atteindre de manière anonyme une cible ou tenter de contourner des règles de sécurité, un attaquant peut tenter d'usurper une adresse IP d'un autre réseau et l'utiliser comme adresse source du paquet malveillant.
-Comme pour IPv4, il est possible de forger l'adresse source d’un paquet IPv6. L’espace d’adressage IPv6 étant plus vaste qu’en IPv4, les adresses IPv6 qu'il est possible de forger sont plus nombreuses.
+Comme pour IPv4, il est possible de modifier l'adresse source d’un paquet IPv6. L’espace d’adressage IPv6 étant plus vaste qu’en IPv4, les adresses IPv6 qu'il est possible d'usurper sont plus nombreuses.
-La cible qui reçoit un tel paquet peut y répondre avec un nouveau paquet contenant l'adresse forgée comme destination. On dit qu'elle est utilisée alors comme rebond. Si l'adresse forgée est une adresse multicast, sa réponse va atteindre plusieurs machines. On parle alors d'attaque par amplification.
+La cible qui reçoit un tel paquet peut y répondre avec un nouveau paquet contenant l'adresse usurpée comme destination. On dit qu'elle est utilisée alors comme rebond. Si l'adresse source est une adresse multicast, sa réponse va atteindre plusieurs machines. On parle alors d'attaque par amplification.
 === Mitigation ===
-La contre-mesure à ce type d'attaque se situe de nouveau au niveau de pare-feux. Tout d'abord, le filtrage des paquets entrant sur le réseau de la cible doit vérifier si le paquet a une adresse source légitime. Une adresse multicast comme source est un signal fort d'un paquet malveillant et doit donc être éliminé.
+La contre-mesure à ce type d'attaque se situe de nouveau au niveau de pare-feux. Tout d'abord, le filtrage des paquets entrant sur le réseau de la cible doit vérifier si le paquet a une adresse source légitime. Une adresse multicast comme source est un signal fort d'un paquet malveillant qui doit donc être éliminé.
-Mais ce pare-feu ne pourra pas reconnaitre les adresses forgées provenant d'un autre réseau. Le filtrage doit alors s'effectuer au niveau du pare-feu du réseau de l'attaquant. Celui-ci ne doit autoriser en sortie uniquement les paquets ayant des adresses sources appartenant à ce réseau. Il devient alors impossible d'envoyer des paquets usurpant des adresses d'un autre réseau.
+Mais ce pare-feu ne pourra pas reconnaitre les adresses usurpées provenant d'un réseau IPv6 légitime. Le filtrage doit alors s'effectuer au niveau du pare-feu du réseau de l'attaquant. Celui-ci ne doit autoriser en sortie uniquement les paquets ayant des adresses sources appartenant à ce réseau. Il devient alors impossible d'envoyer des paquets usurpant des adresses d'un autre réseau.
 == Vulnérabilités liées à la transition ==
 === Risques ===
-* Porte dérobée utilisant les mécanismes de transition vers IPv6
 === Mitigation ===
-* Filtrage des mécanismes de tunnels IPv6 dans IPv4
 == Vulnérabilités liées à l'auto-configuration ==
 === Risques ===
-* Activation illégitime de mécanismes d'auto-configuration
 === Mitigation ===

@@ Line 27: / Line 27: @@
 Une politique de sécurité explicite les communications autorisées entre les réseaux. Sa mise en application dans les pare-feu qui isolent ces réseaux les uns des autres prévient de tout connexion illicite. Ceci est valable en IPv6 comme en IPv4.
-== Vulnérabilités sur trafic entrant ==
+== Vulnérabilités sur trafic sortant ==
 === Risques ===
-* Usurpation et détournement d’adresses
 * Amplification

@@ Line 12: / Line 12: @@
 L'évolution apportée par IPv6 qui perturbe le plus les esprits soucieux de la sécurité des réseaux est l'utilisation généralisée de l'adressage globale.
-Assigner des adresses globales à tous les équipements de son réseau peut en effet en augmenter de sa surface d'attaque : un attaquant pourrait ainsi atteindre  plusieurs cibles directement joignables en IPv6.
+Assigner des adresses globales à tous les équipements de son réseau peut en effet en augmenter sa surface d'attaque : un attaquant pourrait ainsi atteindre  plusieurs cibles directement joignables en IPv6.
 Ces machines, de plus, peuvent utiliser des implémentations logiciels vulnérables en IPv6. Le risque paraît donc élevé.