[LAC-TF] IPv6 host scanning in IPv6

[Fernando Gont]

Hola, Luis,

Mis comentarios van entre lineas....

On 04/20/2012 02:20 PM, Luis Carlos Solano wrote:
> Siempre más que interesante tu trabajo. Opino poco (más bien casi nada),
> pero soy un lector silencioso, sobre todo de la discusión de
> I-D.gont-6man-stable-privacy-addresses.

Muchas gracias por tus comentarios!



> Con respecto a este draft:
> 
> i. Increíble a lo que puede reducirse la asignación de IIDs y por ende,
> lo fácil que podrían adivinarse (caso VMWare ESX).

Si... yo venia jugando con esta idea en la cabeza desde hace tiempo...
de hecho, creo que hace como 2 años le había comentado a Nico Antoniello
que me quería poner a estudiar un poco el tema... VBox ya hace una
reducción importante del "search space"... Pero vmware es terrible :-)


> ii. El contexto de este borrador está enfocado más en host de usuarios
> finales? 

Diria, mas bien, todos los sistemas (clientes mas servidores), salvo
routers.


> Es decir, la idea del draf está es proteger las redes internas?
> Como bien se discute creo que en enrutadores, por adminitración, siempre
> terminaremos poniendo algo fácil de ver, además que las topologías de
> core de red creo que siempre se podrán deducir fácilmente con cosas
> simples como trazas de rutas. 

Si, personalmente creo que en el caso de routers, no tiene mucho
sentido, dado que las direcciones pueden descubrirse mediante
herramientas como traceroute.


> Luego, servidores públicos, por razones
> obvias, muestran sus direcciones v6.

El tema con los servidores es el siguiente:

Suponete que hay una subred con 1000 servidores, cada uno con una
direccion IPv6 distinta. SI las direcciones son facilmente perdecibles,
es trivial encontrar a todos los servidores.

Por el contrario, si las direcciones no siguen patrones, para encontrar
todos los servidores habria que hacer un "ataque de diccionario" para
encontrarlos, lo cual es mucho mas dificil.

Por eso, creo que el uso de direcciones no-predecibles es tambien
justificable en el caso de servidores.



> iii. Leo entre líneas, un mensaje importante, me corriges: sería genial
> tener un mecanismo de asignación de IIDs que 'desmotive' los host scans,
> como lo que mencionaste de nmap. Es eso parte del espíritu de este
> draft? Yo lo vería muy positivo, como establecer algo en v6 que haga
> pensar a un posbile 'hacker', "el host scan ni pensar hacerlo, total, no
> servirá de nada".

Si. De hecho este I-D lo publiqué como "soporte" a
draft-gont-6man-stable-privacy addresses: en el 6man wg de la IETF me
pidieron numeros sobre "cual es la dificultad de hacer ataques de
escaneo", y entonces decidi publicar este I-D, que discute el tema en
mas detalle que lo que yo lo hubiera explicado si contestaba la pregunta
en un mail.

Dicho esto, creo que los ataques de escaneo cambiarán.. por ej.,
utilizando direcciones que se "leakean" en protocolos de aplicacion
(como por ej. en los encabezados de mensajes de e-mail, etc.). Pero está
claro que si se utilizan direcciones no predecibles, "it's the end of
the world as we know it, and I feel fine"  :-) (como dice la canción de
R.E.M. :-) ).

Saludos cordiales, y gracias!
-- 
Fernando Gont
SI6 Networks
e-mail: fgont at si6networks.com
PGP Fingerprint: 6666 31C6 D484 63B2 8FB1 E3C4 AE25 0D55 1D4E 7492