vakus
2018-03-21 01:02:01 UTC
Czytałem ten artykuł o zwiększaniu bezpieczeństwa na serwerach Linux, aw punkcie 23, artykuł mówi:
# 23: Wyłącz IPv6
Protokół internetowy w wersji 6 (IPv6) zapewnia nową warstwę internetową zestawu protokołów TCP / IP, który zastępuje protokół internetowy w wersji 4 (IPv4) i zapewnia wiele korzyści. Jeśli NIE używasz IPv6, wyłącz go:
Następnie artykuł zawiera linki do różnych stron internetowych, które informują, jak wyłączyć IPv6. Jednak ani artykuł, ani żaden z linków nie wydają się wyjaśniać, dlaczego protokół IPv6 powinien być wyłączony, jeśli nie jest używany.
Ponieważ artykuł dotyczył zwiększania bezpieczeństwa na serwerach Linux, w jaki sposób wyłączenie IPv6 zwiększyłoby bezpieczeństwo serwera?
* „Jeśli NIE używasz protokołu IPv6, wyłącz go” * - Ogólnie: im więcej zainstalujesz oprogramowania i im więcej funkcji włączyłeś, tym większa jest powierzchnia ataku systemu.Dlatego nie instaluj oprogramowania, którego tak naprawdę nie potrzebujesz i nie włączaj funkcji, których nie potrzebujesz.
@SteffenUllrich Ogólnie rozumiem, że mniej oprogramowania / funkcji jest lepsze, jednak nie widzę, w jaki sposób wyłączenie IPv6 zwiększyłoby bezpieczeństwo systemu, nie oznacza to jednak, że nie zgadzam się, że wyłączenie IPv6 czyni system bezpieczniejszym
Zgaduję, że wiele witryn internetowych, do których odwołuje się OP, jest również przestarzałych.Przez długi czas funkcji bezpieczeństwa IPv6 w wielu produktach „brakowało” w porównaniu z IPv4.Ogólnie rzecz biorąc, nie jest to już prawdą.IPv6 jest obecnie wymagane, jeśli chcesz komunikować się z niektórymi hostami internetowymi bez uciekania się do jakiegoś pośredniego tunelu / bramy 6to4.Ponadto protokół IPv4 jest obecnie często obsługiwany przez CGN / LSN przez wielu operatorów, podczas gdy protokół IPv6 nie.Wyłączenie IPv6 dzisiaj jest prawdopodobnie złym pomysłem, chyba że naprawdę masz taką potrzebę.
Jeśli możesz wystarczająco dobrze komunikować się przez IPv6, aby zostać zaatakowanym zdalnie, to z definicji „używasz protokołu IPv6”.
@vakus Kod implementujący IPv6 nie jest tym samym, co ten, który implementuje IPv4.Dlatego możliwe jest, że w pierwszym przypadku istnieje luka, której nie ma w drugim.Wyłączenie czegoś, co może wprowadzić dodatkową lukę, zwiększa bezpieczeństwo systemu.Alternatywnie, odwróć to.Czy po wyłączeniu poprawia / obniża poziom bezpieczeństwa, aby go włączyć?
Bruce Schneier wyjaśnił kiedyś, dlaczego jego urządzenia zabezpieczające wykluczyły powłokę „bash” zgodnie z prostą zasadą:
Jeśli czegoś nie _potrzebujemy_, nie _ chcemy_ udostępnić go do wykorzystania przez atakującego.
Oszczędza czas - np.nie musisz pisać żadnych reguł `ip6tables`, jeśli wiesz, że nie dostarczasz przypadkowo żadnych usług IPv6.
Ostatecznie wszyscy musimy znać ipv6 :( IPv4 było o wiele łatwiejsze, ale rozumiem potrzebę ipv6
Jeśli masz dwoje drzwi, ale nigdy nie korzystasz z jednych, zamknij je.
Jeśli korzystasz z NAT: https://security.stackexchange.com/questions/7821/is-ipv6-with-nat-less-secure-than-ipv4/7831#7831
Moją pierwszą myślą, gdy zobaczyłem to pytanie, było: „Dlaczego nadal używasz IPv4?”Każdy dostawca usług internetowych, z którym łączyłem się w ciągu ostatnich kilku lat, ma adresowanie IPv6.Wydaje mi się, że ważniejsze pytanie brzmi: „Czy zdecydowana większość użytkowników w ogóle potrzebuje już IPv4?”
@FreeSoftwareServers Co w tym prostszego?Czy to tylko krótsze adresy?
@immibis, ponieważ jest krótszy i nie jest alfanumeryczny, tylko numeryczny.Jest wyraźnie łatwiejszy do zapamiętania, co jest miłe.
Jest rok 2018. Dlaczego w artykułach dotyczących bezpieczeństwa nie jest napisane „Wyłącz IPv4”?
@GreenstoneWalker, ponieważ IPv6 jest nadal opcjonalny, a IPv4 nadal nie jest.
Vakus, aby odnieść się do twojego komentarza, pytając, dlaczego wyłączenie go jest bezpieczniejsze w odniesieniu do komentarza @SteffenUllrich dotyczącego zmniejszenia powierzchni ataku: Zmniejszenie powierzchni ataku nie polega wyłącznie na zmniejszeniu * znanego * ryzyka.To tyle samo lub więcej, jeśli chodzi o zmniejszenie * nieznanych * zagrożeń.Innymi słowy, nawet jeśli nie * wiesz *, że coś wiąże się ze szczególnym ryzykiem, zakłada się, że wyłączenie tego (jeśli nie jest używane) zmniejszy Twój profil ryzyka, ponieważ eliminujesz * szansę *, że stwarza to ryzyko dla Ciebie ”nie są świadomi.Ryzyko całkowite to suma znanego ryzyka plus zakładane oszacowanie nieznanego ryzyka
Idąc dalej analogią @Martijn - przypuśćmy, że twój wróg nie wie, jak otwierać drzwi.Nie ma żadnego znanego ryzyka!Jednak nadal warto zamknąć nieużywane drzwi, aby uchronić się przed ryzykiem, że jutro wróg nauczy się otwierać drzwi.
@immibis Źle.[RFC 6540] (https://tools.ietf.org/html/rfc6540) sprawia, że protokół IPv6 jest obowiązkowy.Wielu uważa jednak, że stare IP są opcjonalne.
Istotne dla wszystkich hejterów IPv6: https://ipv6bingo.com/
Ponieważ wyłączenie IPv6 sprawia, że IPv4 jest jedynym stosem, który pozostał, a IPv6 jest znany z tego, że jest używany jako ukryty kanał i obejście ochrony stosu.
@MartinSchröder I tutaj widzimy różnicę między standardami a światem rzeczywistym.
@TracyCramer Nigdy nie miałem adresu IPv6 poza EC2.Mój prywatny dostawca usług internetowych nie oferuje protokołu IPv6 (być może na żądanie, powinienem zapytać).Moje biuro nie ma IPv6.Mój telefon komórkowy nie otrzymuje adresu IPv6.Wygląda na to, że cały kraj Nowej Zelandii wspólnie chowa głowę w piasek, chociaż zakładam, że podstawowa infrastruktura została ulepszona, aby ją obsługiwać.Tylko nowi dostawcy usług internetowych, którzy nie mogą uzyskać adresów IPv4 na początek, używają protokołu IPv6.A NZ nie jest krajem najbardziej zacofanym technologicznie na świecie (choć prawdopodobnie plasuje się pośrodku).