Difference between revisions of "IPv6 Security: Overview"

From OnnoWiki
Jump to navigation Jump to search
 
(4 intermediate revisions by the same user not shown)
Line 1: Line 1:
 
Sumber: https://resources.infosecinstitute.com/topic/ipv6-security-overview-a-small-view-of-the-future/
 
Sumber: https://resources.infosecinstitute.com/topic/ipv6-security-overview-a-small-view-of-the-future/
  
 +
Untuk sudut pandang yang benar, wajar untuk mempertimbangkan bahwa IPv6 tidak selalu lebih aman daripada IPv4. Pendekatan keamanan yang diterapkan, meskipun diterapkan secara signifikan, masih marjinal dan tidak sepenuhnya baru. Namun, ada beberapa pertimbangan yang, tanpa diragukan lagi, meningkatkan tingkat keandalan IPv6.
  
 +
==Wajib menggunakan IPSec==
  
−
For a correct point of view, it is fair to consider that IPv6 is not necessarily more secure than IPv4. The approach to security put in place, albeit considerably implemented, is still marginal and not totally new. However, there are some considerations that, without doubt, increase the level of IPng reliability.
+
IPv4 juga menawarkan dukungan IPSec. Namun, dukungan untuk IPSec di IPv4 bersifat opsional. RFC4301 malah membuatnya wajib untuk digunakan di IPv6. IPSec terdiri dari sekumpulan protokol kriptografi yang dirancang untuk menyediakan keamanan dalam komunikasi data. IPSec memiliki beberapa protokol yang merupakan bagian dari rangkaiannya: AH (Authentication Header) dan ESP (Encapsulating Security Payload). Yang pertama menyediakan otentikasi dan integritas data, yang kedua, selain itu, juga untuk kerahasiaan. Di IPv6, header AH dan header ESP didefinisikan sebagai header ekstensi.
  
−
1) Mandatory use of IPSec:
+
Konsep dasar IPSec adalah “Security Association” (SA). SA diidentifikasi secara unik oleh beberapa parameter seperti SPI (Security Parameters Index – kolom di header AH/ESP), protokol keamanan, dan alamat IP tujuan. SA menentukan jenis layanan keamanan untuk koneksi dan biasanya berisi kunci untuk enkripsi data serta algoritme enkripsi yang akan digunakan. IKE (Internet Key Exchange) adalah proses yang digunakan untuk menegosiasikan parameter yang diperlukan untuk membuat SA baru. Berikut adalah beberapa detail tentang AH dan ESP:
  
−
IPv4 also offers IPSec support. However, support for IPSec in IPv4 is optional. The RFC4301 instead makes it mandatory to use in IPv6. IPSec consists of a set of cryptographic protocols designed to provide security in data communications. IPSec has some protocols that are part of its suite: AH (Authentication Header) and ESP (Encapsulating Security Payload). The first provides for authentication and data integrity, the second, in addition to these, also for confidentiality. In IPv6 both the AH header and the ESP header are defined as extension headers.
+
===AH (Header Autentikasi)===
  
−
A fundamental concept of IPSec is “Security Association” (SA). SA is uniquely identified by some parameters like SPI (Security Parameters Index – a field in the AH/ESP header), the security protocol and the destination IP address. The SA defines the type of security services for a connection and usually contains the key for data encryption as well as the encryption algorithms to be used. The IKE (Internet Key Exchange) is the process used to negotiate parameters needed to establish a new SA. Following are some details about the AH and ESP:
+
Seperti yang telah dikatakan, AH menyediakan otentikasi dan integritas data untuk seluruh paket IPv6. “Authentication” berarti bahwa jika titik akhir menerima paket dengan alamat sumber tertentu, dapat dipastikan bahwa paket IP memang berasal dari alamat IP tersebut.
  
−
AH (Authentication Header):
+
“Integrity,” di sisi lain, berarti bahwa jika titik akhir menerima data, konten data tersebut tidak diubah sepanjang jalur dari sumber ke tujuan. Gambar di bawah menunjukkan format AH:
  
−
As already said, AH provides for authentication and data integrity for the entire IPv6 packet. “Authentication” means that if an endpoint receives a packet with a specific source address, it can be assured that the IP packet did indeed come from that IP address.
+
[[File:IPv6Securit3.png|center|300px|thumb]]
−
 
 
−
“Integrity,” on the other hand, means that if an endpoint receives data, the content of that data has not been modified along the path from the source to the destination. The figure below shows the format for AH:
 
  
−
[[File:IPv6Securit3.png|center|300px|thumb]]
+
Dari gambar di atas, kita dapat melihat beberapa field yang berbeda. Field “Next Header” mengidentifikasi jenis protocol transport, seperti TCP. “Payload Length” mengidentifikasi panjang Header Otentikasi. Bidang SPI mengidentifikasi indeks parameter keamanan yang akan digunakan untuk mengidentifikasi SA. Field “Sequence Number” (SNF) adalah penghitung yang bertambah 1 saat pengirim atau penerima menerima atau mengirimkan data. Melalui SNF, perlindungan anti-replay disediakan, karena ketika penerima menerima paket dengan Field Sequence Number duplikat, ini dibuang (kita dapat melihat serangan "Session Replay" di IPv4).
  
−
From the image just shown, we can see some different fields. “Next Header” field identifies the transport type, like TCP. The “Payload Length” identifies the length of Authentication Header. The SPI field identifies the security parameter index which will be used to identifying the SA. The “Sequence Number Field” is a counter that increments by 1 when a sender or receiver receives or transmits data. Through SNF, an anti-replay protection is provided, because when the receiver receives a packet with a duplicate Sequence Number Field, this is discarded (we can see at “Session Replay” attacks in IPv4).
+
“Authentication Data” berisi ICV (Integrity Check Value) yang menyediakan integritas dan otentikasi data. ICV dihitung menggunakan header IP, muatan paket IP, dan header AH. Apa yang sebenarnya terjadi adalah ketika penerima menerima paket, ia menghitung ICV dengan algoritme dan kunci yang ditentukan di SA. Sesuai dengan detail yang ditampilkan dan teknologi yang digunakan, AH dapat mencegah “IP Spoofing Attack”.
  
−
The “Authentication Data” contains the ICV (Integrity Check Value) which provides for data integrity and authentication. The ICV is calculated using the IP header, the IP packet payload and AH header. What happens in reality is that when the receiver receives the packet, it calculates the ICV with the algorithm and the specified key in SA. According with the details shown and the technology used, AH can prevent “IP Spoofing Attack”.
 
  
−
ESP (Encapsulating Security Payload):
+
===ESP (Encapsulating Security Payload)===
  
−
The ESP provides confidentiality, authentication and data integrity. With the term “confidentiality”, we mean that no one else, even the intended receiver, can read the content of communication in transit. As already mentioned for the AH, ESP also provides an anti-replay protection. The image below shows the format of an ESP packet:
+
ESP menyediakan kerahasiaan, autentikasi, dan integritas data atau confidentiality, authentication dan data integrity. Dengan istilah “confidentiality”, kita maksudkan bahwa tidak ada orang lain, bahkan penerima yang dimaksud, dapat membaca konten komunikasi dalam perjalanan. Seperti yang sudah disebutkan untuk AH, ESP juga memberikan perlindungan anti-replay. Gambar di bawah menunjukkan format paket ESP:
  
 
[[File:IPv6Securit4.png|center|300px|thumb]]
 
[[File:IPv6Securit4.png|center|300px|thumb]]
  
−
As for the AH, ESP also contains an SPI field that is used to identify the SA. The “Sequence Number” field, as in the AH, provides an anti-replay protection. Interesting to note is the “Next Header” filed, which describes the data type contained in the “Payload Data” field (the entire packet if ESP is used in Tunnel Mode or only payload if is used in Transport Mode). The “Authentication Data” field contains the ICV (if auth service is specified by SA associated with SPI), which provides for authentication and data integrity. The authentication algorithm used to calculate the ICV is also specified by the SA.
+
Sedangkan untuk AH, ESP juga berisi bidang SPI yang digunakan untuk mengidentifikasi SA. Field “Sequence Number”, seperti pada AH, memberikan perlindungan anti-replay. Yang menarik untuk diperhatikan adalah kolom “Next Header”, yang menjelaskan tipe data yang terdapat di kolom “Payload Data” (seluruh paket jika ESP digunakan dalam Tunnel Mode atau hanya payload jika digunakan dalam Transport Mode). Field “Authentication Data” berisi ICV (jika layanan autentikasi ditentukan oleh SA terkait dengan SPI), yang menyediakan otentikasi dan integritas data. Algoritme otentikasi yang digunakan untuk menghitung ICV juga ditentukan oleh SA.
  
−
2) Large Addressing Space:
+
==Address Space yang Besar==
  
−
As mentioned above, in IPv4, reconnaissance attacks and port scanning are relatively simple tasks. The most common network segments in the current Internet Protocol are of class C, with 8 bits allocated for addressing. Currently, performing this type of attacks on these network segments does not require more than a few minutes. Allocating 64 bits for addressing (as expected in an IPv6 subnet) means performing a net scan of 2^64 (18446744073709551616) hosts. It is practically impossible.
+
Seperti disebutkan di atas, di IPv4, serangan pengintaian dan scanning port adalah tugas yang relatif sederhana. Segmen jaringan yang paling umum dalam Protokol Internet saat ini adalah kelas C, dengan 8 bit dialokasikan untuk pengalamatan. Saat ini, melakukan serangan jenis ini pada segmen jaringan ini tidak memerlukan waktu lebih dari beberapa menit. Mengalokasikan 64 bit untuk pengalamatan (seperti yang diharapkan dalam subnet IPv6) berarti melakukan pemindaian bersih dari 2^64 (18446744073709551616) host. Secara praktis tidak mungkin.
  
−
3) Neighbor Discovery:
+
==Neighbor Discovery==
  
−
ND (Neighbor Discovery) is the mechanism used for router and prefix discovery. This is a network layer protocol, like IPv4 equivalents ARP and RARP. ND works very closely with address auto-configuration, which is the mechanism used by IPv6 nodes to acquire configuration information. Both ND and address auto-configuration contribute to make IPv6 more secure than its predecessor.
+
ND (Neighbor Discovery) adalah mekanisme yang digunakan untuk router dan prefix discovery. Ini adalah protokol lapisan jaringan, seperti IPv4 yang setara dengan ARP dan RARP. ND bekerja sangat erat dengan konfigurasi otomatis alamat, yang merupakan mekanisme yang digunakan oleh node IPv6 untuk memperoleh informasi konfigurasi. Konfigurasi otomatis ND dan alamat berkontribusi untuk membuat IPv6 lebih aman daripada pendahulunya.
  
−
IPng vs old attacks
 
−
In this section we will analyze some of the most popular cyber attacks in a perspective focused on the comparison and on the possible impact of these with the IPng.
 
  
−
1) Reconnaissance Attacks:
+
==IPv6 vs old attack==
  
−
Reconnaissance attacks, in IPv6, are different for two major reasons: The first is that “Ports Scan” and/or “Ping Sweep” are much less effective in IPv6, because of, as already said, the vastness of the subnet into play. The second is that new multicast addresses in IPv6 will allow finding key systems in a network easier, like routers and some type of servers. In addition, the IPv6 network has a much closer relationship with ICMPv6 (compared to the IPv4 counterparty ICMP) which does not allow too aggressive filters on this protocol. For the rest, the techniques remain the same.
+
Di bagian ini kita akan menganalisis beberapa serangan cyber paling populer dalam perspektif yang berfokus pada perbandingan dan kemungkinan dampaknya dengan IPv6.
  
−
2) Over the Wall:
+
===Reconnaissance Attack===
  
−
This class will discuss the type of attacks in which an adversary tries to exploit little restrictive filtering policies. Currently, we are used to developing access lists (ACLs) to restrict unauthorized access to the network we want to be protected by set specific policies on gateway devices in between the IPv4 endpoints. The need for access control is the same in IPv6 as in IPv4. In IPv6, the basic functions for mitigation of unauthorized access are the same. However, considering the significant differences between the headers of the two protocols, it is possible to imagine different ways to implement them.
+
Serangan pengintaian, di IPv6, berbeda karena dua alasan utama: Yang pertama adalah bahwa "Ports Scan" dan/atau "Ping Sweep" jauh kurang efektif di IPv6, karena, seperti yang telah dikatakan, luasnya subnet yang berperan. Yang kedua adalah bahwa alamat multicast baru di IPv6 akan memungkinkan menemukan sistem kunci dalam jaringan lebih mudah, seperti router dan beberapa jenis server. Selain itu, jaringan IPv6 memiliki hubungan yang lebih dekat dengan ICMPv6 (dibandingkan dengan ICMP rekanan IPv4) yang tidak memungkinkan filter yang terlalu agresif pada protokol ini. Selebihnya, tekniknya tetap sama.
  
−
3) Spoofing Attacks:
+
===Over the Wall===
  
−
While L4 spoofing remains the same, due to the globally aggregated nature of IPv6, spoofing mitigation is expected to be easier to deploy. However the host part of the address is not protected. Layer 4 spoofing attacks are not changed, because L4 protocols do not change in IPv6 with regard to spoofing.
+
Kelas ini akan membahas jenis serangan di mana musuh mencoba mengeksploitasi sedikit kebijakan filtering yang membatasi. Saat ini, kita terbiasa mengembangkan access list (ACL) untuk membatasi akses tidak sah ke jaringan yang ingin kita lindungi dengan menetapkan kebijakan khusus pada perangkat gateway di antara titik akhir IPv4. Kebutuhan akan kontrol akses sama di IPv6 seperti di IPv4. Di IPv6, fungsi dasar untuk mitigasi akses yang tidak sah adalah sama. Namun, mengingat perbedaan yang signifikan antara header dari kedua protokol, adalah mungkin untuk membayangkan cara yang berbeda untuk mengimplementasikannya.
  
−
4) DDoS Attacks:
+
===Spoofing Attack===
  
−
In IPv6, we cannot find the broadcast address. This means that all resulting amplification attacks, like smurf, will be stopped. IPv6 specifications forbid the generation of ICMPv6 packets in response to messages to IPv6 multicast destination address, a link-layer multicast address or a link-layer broadcast address. In general, through the adoption of the new standard, we should find an improvement in this regard.
+
Meskipun spoofing L4 tetap sama, karena sifat IPv6 yang teragregasi secara global, mitigasi spoofing diharapkan lebih mudah diterapkan. Namun bagian host dari alamat tidak dilindungi. Serangan spoofing layer 4 tidak berubah, karena protokol L4 tidak berubah di IPv6 sehubungan dengan spoofing.
  
−
5) Routing Attacks:
+
===Serangan DDoS===
  
−
Routing attacks refer to activities that try to redirect traffic flow within a network. Currently, routing protocols are protected using cryptographic authentication (MD5 with Pre-Shared Key) between peers. This protection mechanism will not be changing with IPng. BGP has been updated to carry IPv6 routing information.
+
Di IPv6, kita tidak dapat menemukan alamat broadcast. Ini berarti bahwa semua serangan amplifikasi yang dihasilkan, seperti smurf, akan dihentikan. Spesifikasi IPv6 melarang pembuatan paket ICMPv6 sebagai tanggapan atas pesan ke alamat tujuan multicast IPv6, alamat multicast lapisan tautan atau alamat siaran lapisan tautan. Secara umum, melalui penerapan standar baru, kita seharusnya menemukan peningkatan dalam hal ini.
  
−
6) Malware:
+
===Routing Attack===
  
−
There is no particular implementation in IPv6 which will allow changing the classical approach to malware. However, worms that use the internet to find vulnerable hosts may find difficulties in propagation due to the large address space.
+
Routing attack mengacu pada aktivitas yang mencoba mengarahkan arus lalu lintas dalam jaringan. Saat ini, protokol routing dilindungi menggunakan otentikasi kriptografi (MD5 dengan Kunci yang Dibagikan Sebelumnya) antar mitra router. Mekanisme perlindungan ini tidak akan berubah dengan IPv6. BGP telah diperbarui untuk membawa informasi routing IPv6.
  
−
7) Sniffing:
+
===Malware===
  
−
This is the classical attack that involves capturing data in transit across a network. IPv6 provides the technology for the prevention of these types of attacks with IPSec, but it does not simplify the problems for keys management. For this reason, this technique can still continue to be practiced.
+
Tidak ada implementasi khusus dalam IPv6 yang memungkinkan perubahan pendekatan klasik terhadap malware. Namun, worm yang menggunakan internet untuk menemukan host yang rentan mungkin mengalami kesulitan dalam propagasi karena address space yang besar.
  
−
8) L7 Attacks:
+
===Sniffing===
  
−
Here we refer to all those types of attacks performed at Layer 7 of the OSI model. Also considering a worldwide adoption of IPSec, this type of attacks will remain almost unchanged. Buffer Overflow, Web Applications Vulnerability, etc., cannot be stopped through the IPv6 adoption. There is also another consideration: if IPSec will be implemented as a standard for communication between endpoints, all devices such as IDS/IPS, firewalls and antivirus will only see encrypted traffic, promoting this type of attacks.
+
Ini adalah serangan klasik yang melibatkan pengambilan data saat transit di jaringan. IPv6 menyediakan teknologi untuk pencegahan jenis serangan ini dengan IPSec, tetapi tidak menyederhanakan masalah manajemen kunci. Untuk itu, teknik ini masih bisa terus dipraktekkan.
  
−
9) Man-in-the-Middle:
+
===L7 Attack===
  
−
The IPv6 is subjected to the same security risks that we may encounter in a man-in-the-middle attack that affects the suite of IPSec protocols.
+
Di sini kita mengacu pada semua jenis serangan yang dilakukan pada Layer 7 model OSI. Juga mempertimbangkan adopsi IPSec di seluruh dunia, jenis serangan ini hampir tidak akan berubah. Buffer Overflow, Kerentanan Aplikasi Web, dll., tidak dapat dihentikan melalui adopsi IPv6. Ada juga pertimbangan lain: jika IPSec akan diimplementasikan sebagai standar untuk komunikasi antara titik akhir, semua perangkat seperti IDS/IPS, firewall, dan antivirus hanya akan melihat lalu lintas terenkripsi, mempromosikan jenis serangan ini.
  
−
10) Flooding Attacks:
+
===Man-in-the-Middle===
  
−
A flooding attack is a Denial of Service (DoS) attack wherein the attacker sends a slew of SYN requests to a target’s system in order to overwhelm the server and bring down the network / make it unresponsive to actual traffic. So, in short, it’s exactly what it sounds like. The core principles of a flooding attack remain the same in IPv6.
+
IPv6 mengalami risiko keamanan yang sama yang mungkin kita hadapi dalam serangan man-in-the-middle yang memengaruhi rangkaian protokol IPSec.
  
 +
===Flooding Attacks===
  
 +
Flooding attack adalah serangan Denial of Service (DoS) di mana penyerang mengirimkan banyak permintaan SYN ke sistem target untuk membanjiri server dan menjatuhkan jaringan / membuatnya tidak responsif terhadap lalu lintas yang sebenarnya. Jadi, singkatnya, persis seperti apa kedengarannya. Prinsip inti dari serangan flooding tetap sama di IPv6.
  
 +
==Referensi==
  
 +
* https://resources.infosecinstitute.com/topic/ipv6-security-overview-a-small-view-of-the-future/
  
  
−
==Referensi==
+
==Pranala Menarik==
  
−
* https://resources.infosecinstitute.com/topic/ipv6-security-overview-a-small-view-of-the-future/
+
* [[IPv6]]

Latest revision as of 10:50, 12 November 2022

Sumber: https://resources.infosecinstitute.com/topic/ipv6-security-overview-a-small-view-of-the-future/

Untuk sudut pandang yang benar, wajar untuk mempertimbangkan bahwa IPv6 tidak selalu lebih aman daripada IPv4. Pendekatan keamanan yang diterapkan, meskipun diterapkan secara signifikan, masih marjinal dan tidak sepenuhnya baru. Namun, ada beberapa pertimbangan yang, tanpa diragukan lagi, meningkatkan tingkat keandalan IPv6.

Wajib menggunakan IPSec

IPv4 juga menawarkan dukungan IPSec. Namun, dukungan untuk IPSec di IPv4 bersifat opsional. RFC4301 malah membuatnya wajib untuk digunakan di IPv6. IPSec terdiri dari sekumpulan protokol kriptografi yang dirancang untuk menyediakan keamanan dalam komunikasi data. IPSec memiliki beberapa protokol yang merupakan bagian dari rangkaiannya: AH (Authentication Header) dan ESP (Encapsulating Security Payload). Yang pertama menyediakan otentikasi dan integritas data, yang kedua, selain itu, juga untuk kerahasiaan. Di IPv6, header AH dan header ESP didefinisikan sebagai header ekstensi.

Konsep dasar IPSec adalah “Security Association” (SA). SA diidentifikasi secara unik oleh beberapa parameter seperti SPI (Security Parameters Index – kolom di header AH/ESP), protokol keamanan, dan alamat IP tujuan. SA menentukan jenis layanan keamanan untuk koneksi dan biasanya berisi kunci untuk enkripsi data serta algoritme enkripsi yang akan digunakan. IKE (Internet Key Exchange) adalah proses yang digunakan untuk menegosiasikan parameter yang diperlukan untuk membuat SA baru. Berikut adalah beberapa detail tentang AH dan ESP:

AH (Header Autentikasi)

Seperti yang telah dikatakan, AH menyediakan otentikasi dan integritas data untuk seluruh paket IPv6. “Authentication” berarti bahwa jika titik akhir menerima paket dengan alamat sumber tertentu, dapat dipastikan bahwa paket IP memang berasal dari alamat IP tersebut.

“Integrity,” di sisi lain, berarti bahwa jika titik akhir menerima data, konten data tersebut tidak diubah sepanjang jalur dari sumber ke tujuan. Gambar di bawah menunjukkan format AH:

IPv6Securit3.png

Dari gambar di atas, kita dapat melihat beberapa field yang berbeda. Field “Next Header” mengidentifikasi jenis protocol transport, seperti TCP. “Payload Length” mengidentifikasi panjang Header Otentikasi. Bidang SPI mengidentifikasi indeks parameter keamanan yang akan digunakan untuk mengidentifikasi SA. Field “Sequence Number” (SNF) adalah penghitung yang bertambah 1 saat pengirim atau penerima menerima atau mengirimkan data. Melalui SNF, perlindungan anti-replay disediakan, karena ketika penerima menerima paket dengan Field Sequence Number duplikat, ini dibuang (kita dapat melihat serangan "Session Replay" di IPv4).

“Authentication Data” berisi ICV (Integrity Check Value) yang menyediakan integritas dan otentikasi data. ICV dihitung menggunakan header IP, muatan paket IP, dan header AH. Apa yang sebenarnya terjadi adalah ketika penerima menerima paket, ia menghitung ICV dengan algoritme dan kunci yang ditentukan di SA. Sesuai dengan detail yang ditampilkan dan teknologi yang digunakan, AH dapat mencegah “IP Spoofing Attack”.


ESP (Encapsulating Security Payload)

ESP menyediakan kerahasiaan, autentikasi, dan integritas data atau confidentiality, authentication dan data integrity. Dengan istilah “confidentiality”, kita maksudkan bahwa tidak ada orang lain, bahkan penerima yang dimaksud, dapat membaca konten komunikasi dalam perjalanan. Seperti yang sudah disebutkan untuk AH, ESP juga memberikan perlindungan anti-replay. Gambar di bawah menunjukkan format paket ESP:

IPv6Securit4.png

Sedangkan untuk AH, ESP juga berisi bidang SPI yang digunakan untuk mengidentifikasi SA. Field “Sequence Number”, seperti pada AH, memberikan perlindungan anti-replay. Yang menarik untuk diperhatikan adalah kolom “Next Header”, yang menjelaskan tipe data yang terdapat di kolom “Payload Data” (seluruh paket jika ESP digunakan dalam Tunnel Mode atau hanya payload jika digunakan dalam Transport Mode). Field “Authentication Data” berisi ICV (jika layanan autentikasi ditentukan oleh SA terkait dengan SPI), yang menyediakan otentikasi dan integritas data. Algoritme otentikasi yang digunakan untuk menghitung ICV juga ditentukan oleh SA.

Address Space yang Besar

Seperti disebutkan di atas, di IPv4, serangan pengintaian dan scanning port adalah tugas yang relatif sederhana. Segmen jaringan yang paling umum dalam Protokol Internet saat ini adalah kelas C, dengan 8 bit dialokasikan untuk pengalamatan. Saat ini, melakukan serangan jenis ini pada segmen jaringan ini tidak memerlukan waktu lebih dari beberapa menit. Mengalokasikan 64 bit untuk pengalamatan (seperti yang diharapkan dalam subnet IPv6) berarti melakukan pemindaian bersih dari 2^64 (18446744073709551616) host. Secara praktis tidak mungkin.

Neighbor Discovery

ND (Neighbor Discovery) adalah mekanisme yang digunakan untuk router dan prefix discovery. Ini adalah protokol lapisan jaringan, seperti IPv4 yang setara dengan ARP dan RARP. ND bekerja sangat erat dengan konfigurasi otomatis alamat, yang merupakan mekanisme yang digunakan oleh node IPv6 untuk memperoleh informasi konfigurasi. Konfigurasi otomatis ND dan alamat berkontribusi untuk membuat IPv6 lebih aman daripada pendahulunya.


IPv6 vs old attack

Di bagian ini kita akan menganalisis beberapa serangan cyber paling populer dalam perspektif yang berfokus pada perbandingan dan kemungkinan dampaknya dengan IPv6.

Reconnaissance Attack

Serangan pengintaian, di IPv6, berbeda karena dua alasan utama: Yang pertama adalah bahwa "Ports Scan" dan/atau "Ping Sweep" jauh kurang efektif di IPv6, karena, seperti yang telah dikatakan, luasnya subnet yang berperan. Yang kedua adalah bahwa alamat multicast baru di IPv6 akan memungkinkan menemukan sistem kunci dalam jaringan lebih mudah, seperti router dan beberapa jenis server. Selain itu, jaringan IPv6 memiliki hubungan yang lebih dekat dengan ICMPv6 (dibandingkan dengan ICMP rekanan IPv4) yang tidak memungkinkan filter yang terlalu agresif pada protokol ini. Selebihnya, tekniknya tetap sama.

Over the Wall

Kelas ini akan membahas jenis serangan di mana musuh mencoba mengeksploitasi sedikit kebijakan filtering yang membatasi. Saat ini, kita terbiasa mengembangkan access list (ACL) untuk membatasi akses tidak sah ke jaringan yang ingin kita lindungi dengan menetapkan kebijakan khusus pada perangkat gateway di antara titik akhir IPv4. Kebutuhan akan kontrol akses sama di IPv6 seperti di IPv4. Di IPv6, fungsi dasar untuk mitigasi akses yang tidak sah adalah sama. Namun, mengingat perbedaan yang signifikan antara header dari kedua protokol, adalah mungkin untuk membayangkan cara yang berbeda untuk mengimplementasikannya.

Spoofing Attack

Meskipun spoofing L4 tetap sama, karena sifat IPv6 yang teragregasi secara global, mitigasi spoofing diharapkan lebih mudah diterapkan. Namun bagian host dari alamat tidak dilindungi. Serangan spoofing layer 4 tidak berubah, karena protokol L4 tidak berubah di IPv6 sehubungan dengan spoofing.

Serangan DDoS

Di IPv6, kita tidak dapat menemukan alamat broadcast. Ini berarti bahwa semua serangan amplifikasi yang dihasilkan, seperti smurf, akan dihentikan. Spesifikasi IPv6 melarang pembuatan paket ICMPv6 sebagai tanggapan atas pesan ke alamat tujuan multicast IPv6, alamat multicast lapisan tautan atau alamat siaran lapisan tautan. Secara umum, melalui penerapan standar baru, kita seharusnya menemukan peningkatan dalam hal ini.

Routing Attack

Routing attack mengacu pada aktivitas yang mencoba mengarahkan arus lalu lintas dalam jaringan. Saat ini, protokol routing dilindungi menggunakan otentikasi kriptografi (MD5 dengan Kunci yang Dibagikan Sebelumnya) antar mitra router. Mekanisme perlindungan ini tidak akan berubah dengan IPv6. BGP telah diperbarui untuk membawa informasi routing IPv6.

Malware

Tidak ada implementasi khusus dalam IPv6 yang memungkinkan perubahan pendekatan klasik terhadap malware. Namun, worm yang menggunakan internet untuk menemukan host yang rentan mungkin mengalami kesulitan dalam propagasi karena address space yang besar.

Sniffing

Ini adalah serangan klasik yang melibatkan pengambilan data saat transit di jaringan. IPv6 menyediakan teknologi untuk pencegahan jenis serangan ini dengan IPSec, tetapi tidak menyederhanakan masalah manajemen kunci. Untuk itu, teknik ini masih bisa terus dipraktekkan.

L7 Attack

Di sini kita mengacu pada semua jenis serangan yang dilakukan pada Layer 7 model OSI. Juga mempertimbangkan adopsi IPSec di seluruh dunia, jenis serangan ini hampir tidak akan berubah. Buffer Overflow, Kerentanan Aplikasi Web, dll., tidak dapat dihentikan melalui adopsi IPv6. Ada juga pertimbangan lain: jika IPSec akan diimplementasikan sebagai standar untuk komunikasi antara titik akhir, semua perangkat seperti IDS/IPS, firewall, dan antivirus hanya akan melihat lalu lintas terenkripsi, mempromosikan jenis serangan ini.

Man-in-the-Middle

IPv6 mengalami risiko keamanan yang sama yang mungkin kita hadapi dalam serangan man-in-the-middle yang memengaruhi rangkaian protokol IPSec.

Flooding Attacks

Flooding attack adalah serangan Denial of Service (DoS) di mana penyerang mengirimkan banyak permintaan SYN ke sistem target untuk membanjiri server dan menjatuhkan jaringan / membuatnya tidak responsif terhadap lalu lintas yang sebenarnya. Jadi, singkatnya, persis seperti apa kedengarannya. Prinsip inti dari serangan flooding tetap sama di IPv6.

Referensi


Pranala Menarik

Retrieved from "https://onnocenter.or.id/wiki/index.php?title=IPv6_Security:_Overview&oldid=66780"