Le implicazioni di sicurezza legate alla gestione del traffico IPv6 sono un tema scottante, specie dopo il successo del lancio mondiale del nuovo protocollo. Tra i problemi a preoccupare di più, la possibilità che tunnel non autorizzati producano traffico IPv6 invisibile. Il parere dell’esperto.
Il lancio mondiale di IPv6 oramai è storia. E gli obiettivi sono stati raggiunti: tutti i principali fornitori di contenuti e di accesso hanno abilitato IPv6 in modo permanente, generando un picco di traffico IPv6 nativo, abbinato a un picco parallelo di traffico sui protocolli di tuneling, come 6to4 e Teredo.
Ma le implicazioni di sicurezza legate alla gestione del traffico IPv6 permangono.
Tra i potenziali problemi ha un ruolo importante la possibilità che tunnel non autorizzati possano produrre traffico IPv6 invisibile, andando così a creare un passaggio non custodito dentro e fuori la rete aziendale.
Per Robert Hinden, Check Point fellow e co-inventore del protocollo IPv6, bloccare questi passaggi richiede piena visione e comprensione di come funzionano i meccanismi di transizione a IPv6.
Alcuni sistemi operativi come Windows Vista e Windows 7 consentono meccanismi di transizione a IPv6 per impostazione predefinita. Ciò significa che queste funzionalità potrebbero essere già in uso senza che il reparto IT ne sia a conoscenza, rendendo così possibile agli utenti bypassare firewall e sistemi di prevenzione delle intrusioni.
Questi tunnel permettono a host e router IPv6 di connettersi con altri dispositivi IPv6 tramite il protocollo classico IPv4.
Il problema legato ai tunnel è che possono tagliare fuori il firewall dell’azienda consentendo agli aggressori di aggirare potenzialmente i controlli di sicurezza e connettersi a risorse che si trovano all’interno della rete.
Per questo motivo, l’utilizzo di protocolli di tunneling come 6to4 a supporto della transizione a IPv6 deve essere valutato con attenzione, e possibilmente ridotto al minimo.
La questione è che IPv6 potrebbe già essere in esecuzione su una rete di un’azienda senza che questa ne sia a conoscenza, e potrebbe essere utilizzata come canale nascosto da botnet e hacker.
Anche se un’azienda non utilizza attivamente IPv6 sulla propria rete è importante che la sua infrastruttura di sicurezza sia al corrente del traffico IPv6.
In sostanza, non si può fermare ciò che non si vede.
Per Hinden quando si tratta di garantire un’implementazione sicura di IPv6, la parola chiave è visibilità. Alle aziende serve che i prodotti di sicurezza che usano siano in grado di supportare IPv6, e di abilitarlo dal punto di vista operativo.
In alcuni casi, questo potrebbe richiedere un aggiornamento, perché alcuni vecchi sistemi di prevenzione delle intrusioni e firewall potrebbero non essere in grado di controllare il traffico IPv6.
Molti produttori di firewall e sicurezza di rete hanno aggiunto nel corso degli ultimi anni il supporto a IPv6. In ogni caso, le aziende dovrebbero affrontare il tema con i vendor, per assicurarsi che i loro prodotti offrano tutte le funzionalità di cui hanno bisogno, ed iniziare ad applicarle nel proprio ambiente.
Esistono in merito iniziative ufficiali di test IPv6 che possono aiutare in questo passaggio, come lo USGv6 Profile and Testing Program del Nist.
Man mano che le aziende proseguono nell’implementazione di IPv6, gli amministratori devono prestare particolare attenzione ai meccanismi di transizione ed alle configurazioni dei dispositivi per evitare che vengano creati percorsi di rete non autorizzati.
Monitorare tutto il traffico di rete è un obbligo imprescindibile per la sicurezza e, nel caso vengano rilevati tunnel non autorizzati, questi dovrebbero essere chiusi prima che possano essere sfruttati per ogni possibile forma di attacco. L’inevitabilità del passaggio a IPv6 significa che le aziende devono iniziare a organizzarsi ora per supportare il nuovo protocollo in modo sicuro.
