Seguridad en Redes IPv6 aplicada a Infraestructuras Críticas

Abstract

Las redes IPv4 deberán ser migradas no solo por la escasez de direcciones IPv4, sino porque IPv6 es un protocolo creado para optimizar el procesamiento de tráfico en la nueva generación de redes de alta velocidad; centrándose en la escalabilidad del protocolo y estableciendo nuevas funcionalidades de comunicación. Al momento de implementar IPv6 en una infraestructura crítica se debe conocer el funcionamiento del mismo en detalle para poder aprovechar los beneficios que otorga, sin verse afectado por problemas de seguridad inherentes a las nuevas funcionalidades implementadas. Se debe tener presente que los ataques al segmento IPv6 pueden estar originados en hosts malintencionados o simplemente en equipos mal configurados, por lo que se deberá monitorear el comportamiento de la red en todo momento. Hemos demostrado que manipulando los paquetes del tipo ICMPv6, se pueden introducir ataques de suplantación de identidad, denegación de servicio o de reinyección de paquetes. Dicha manipulación se basa en el uso de las funciones propias del protocolo IPv6 y no por una falla de diseño del mismo. Los arquitectos de soluciones IPv6 deben diseñar en detalle el escenario en donde se va a implementar el protocolo, defiendo cuales son los equipos críticos y cuales son las técnicas de mitigación de ataques a utilizar para la defensa de la red. Se debe definir previamente la función de los hosts en el segmento, bloqueando los mensajes que no se correspondan con la funcionalidad del host. Si se decide utilizar el protocolo SeND, se podrá autenticar los mensajes ICMPv6 securizando el segmento IPv6. Se debe tener en cuenta que el protocolo SeND no está implementado en todos los productos que soporten IPv6, con lo que se deberá analizar cada equipamiento presente al momento de diseñar una red segura con dicho protocolo. Cada proveedor de soluciones IPv6 puede implementar SeND de una manera en particular y no necesariamente se basa 100% en el estándar de mensajería o funcionalidad, pudiendo provocar problemas de interoperabilidad entre los equipos del segmento. Se debe implementar SeND en un entorno controlado y con un plan de contingencia definido, analizando la comunicación entre los hosts previo a la puesta en producción. Es muy importante proveer seguridad a las infraestructuras críticas en todas las capas del modelo de referencia OSI. En este documento nos hemos centrado en establecer seguridad en el enlace de datos (NDP) que impedirá el acceso de hosts malintencionados a una infraestructura crítica, pero no se debe perder el foco en la seguridad de todas las otras capas. Es necesario establecer un plan efectivo de mitigación de ataques a todos los protocolos que con soporte a IPv6 (como por ejemplo DHCPv6, DNSv6, etc.).