Introduction

Nous allons dans cette vidéo aborder la question de la sécurité d'un réseau IPv6. Et nous commencerons par ce constat : La sécurisation d'un réseau en IPv6 ne présentent pas de différence majeure avec la démarche adoptée en IPv4. L'ingénieur réseau retrouvera beaucoup de similarités entre les deux versions du protocole.

Pas de différences majeures, mais quelques différences subtiles quand même. Nous allons détailler dans la suite ces quelques points à considérer dans politiques de sécurité en IPv6.

Vulnérabilités sur trafic entrant

Risques

L'évolution apportée par IPv6 qui perturbe le plus les esprits soucieux de la sécurité des réseaux est l'utilisation généralisée de l'adressage globale.

Assigner des adresses globales à tous les équipements de son réseau peut en effet en augmenter sa surface d'attaque : un attaquant pourrait ainsi atteindre plusieurs cibles directement joignables en IPv6.

Ces machines, de plus, peuvent utiliser des implémentations logiciels vulnérables en IPv6. Le risque paraît donc élevé.

Mitigation

Pour mitiger ce risque, il faut d'abord rappeler que pour joindre directement une machine, l'attaquant a besoin de son adresse IP.

Pour trouver ces adresses joignables, il devra tester l'ensemble des adresses IP d'un réseau. En IPv4, cette énumération est facile : un réseau contient quelques centaines voir milliers d'adresses.

Mais en IPv6, il est très compliqué d'identifier les adresses joignables parmi des milliards d'adresses possibles sur un réseau.

A la manière du NAT en IPv4, qui, rappelons-le, n'est pas un dispositif de sécurité, il est possible en IPv6 d'interdire les connexions entrantes pour les machines n'hébergeant pas de services. Ce filtrage s'effectue dans un dispositif approprié, comme un pare-feu.

Une politique de sécurité explicite les communications autorisées entre les réseaux. Sa mise en application dans les pare-feu qui isolent ces réseaux les uns des autres prévient de tout connexion illicite. Ceci est valable en IPv6 comme en IPv4.

Vulnérabilités sur trafic sortant

Risques

Pour atteindre de manière anonyme une cible ou tenter de contourner des règles de sécurité, un attaquant peut tenter de se forger une adresse IP. C'est à dire choisir une adresse d'un autre réseau et l'utiliser comme adresse source du paquet malveillant.

Comme pour IPv4, il est possible de forger l'adresse source d’un paquet IPv6. L’espace d’adressage IPv6 étant plus vaste qu’en IPv4, les adresses IPv6 qu'il est possible de forger sont plus nombreuses.

La cible qui reçoit un tel paquet peut y répondre avec un nouveau paquet contenant l'adresse forgée comme destination. On dit qu'elle est utilisée alors comme rebond. Si l'adresse forgée est une adresse multicast, sa réponse va atteindre plusieurs machines. On parle alors d'attaque par amplification.

Mitigation

La contre-mesure à ce type d'attaque se situe de nouveau au niveau de pare-feux. Tout d'abord, le filtrage des paquets entrant sur le réseau de la cible doit vérifier si le paquet a une adresse source légitime. Une adresse multicast comme source est un signal fort d'un paquet malveillant et doit donc être éliminé.

Mais ce pare-feu ne pourra pas reconnaitre les adresses forgées provenant d'un autre réseau. Le filtrage doit alors s'effectuer au niveau du pare-feu du réseau de l'attaquant. Celui-ci ne doit autoriser en sortie uniquement les paquets ayant des adresses sources appartenant à ce réseau. Il devient alors impossible d'envoyer des paquets usurpant des adresses d'un autre réseau.

Vulnérabilités liées à la transition

Risques

• Porte dérobée utilisant les mécanismes de transition vers IPv6

Mitigation

• Filtrage des mécanismes de tunnels IPv6 dans IPv4

Vulnérabilités liées à l'auto-configuration

Risques

• Activation illégitime de mécanismes d'auto-configuration

Mitigation

• Contrôle de la source du trafic d'auto-configuration

Conclusion