[LACNIC/Seguridad] [LAC-TF] Revisión de IETF I-D: draft-ietf-6man-stable-privacy-addresses-00.txt

[Fernando Gont]

On 05/20/2012 10:51 PM, Matthias Bethke wrote:
> Arturo Servin on Sat, May 19, 2012 at 06:13:57PM -0300:
>> Si, pueden ser mala idea y tu draft lo puede reparar. Pero no
>> creo que sea el momento de dar de baja un estandar. El primer
>> paso es proponer una solucion alterna, el segundo sera verificar
>> que funciona, y finalmete adoptarla como estandar y hacer
>> obsoleto lo que no sirve. Estamos en el primero.
> 
> No ha sido implementado eso? Creo que se debería

Lo unico "parecido" hecho al respecto es: MS genera las direcciones
"estables" utilizando el algoritmo de RFC 4941, con la unica
diferencia que no "regeneran" las direcciones (de ahi que sean estables).

Mi plan es poder dedicar algo de tiempo este año a hacer algunos
parches para algunos OSes, y entonces hacer una implementación de
draft-ietf-6man-stable-privacy-addresses tanto para Linux como apra *BSDs.



> -- por otro lado, afecta una parte muy limitada del protocolo que
> se puede analizar fácilmente en la teoría.

Y es algo terriblemente acotado. Sin embargo, tal como lo mencionaba,
las unicas "objeciones" son politicas, y no tecnicas.



>> De los ataques, sigo creyendo que siguen siendo hoy por hoy, 
>> infactibles. De entrada no creo que solo necesitemos 2^24 bits
>> que adivinar (creo que en practica se requieren al menos 2^30 o
>> mas si no tienes suerte), pero aun asi son 16M de intentos, a uno
>> por milisegundo son 16k segundos, o sea 279 horas (o casi 12
>> dias). Posible, pero en practica bastante ilusorio como atacante
>> si pienso que va a funcionar.
> 
> Tampoco creo que la complejidad se reduzca *tanto* como Fernando
> lo presentó

Todo depende de las condiciones de contorno: cuan heterogenea (o no)
sea la red "victima", y que tipo de cosas pueda asumir el atacante.

-- De ahi que en mi presentación intenté mas bien probar que estos
ataques son factibles, mas que arrojar un numero de cuanto pueden tardar.


> pero quiero mencionar que 2^24 a un milisegundo por intento son 
> sólo 2^24/3600/1000 = 4.66 horas -- nada que presentaría un gran 
> problema en una red sin IDS. Eso es el caso para un escaneo
> exhaustivo (sin tomar en cuenta los clusters de MACs) de un sólo
> manufacturer de tarjetas. En la realidad vas a tener que escanear
> quizás una docena de estos para tener la mayoría de equipos en una
> compañía mediana cubiertos.

Ese es el punto: incluso si asumis que vas a tener que escanear varios
OUIs (correspondientes a distintos manufacturers), el ataque sigue
siendo viable. Por ej., asumiendo 100 manufacturers, y 4.66 horas para
cada uno, el ataque tomaria 46 horas (tres dias).

500,000 años es inviable. 46 horas es mas que factible.

Saludos,
-- 
Fernando Gont
SI6 Networks
e-mail: fgont en si6networks.com
PGP Fingerprint: 6666 31C6 D484 63B2 8FB1 E3C4 AE25 0D55 1D4E 7492