Besonderheiten bei IPv6-Netzen

In der heutigen Zeit darf das Scannen von Netzwerken nicht mehr auf IPv4-Netze reduziert werden. Viele Unternehmen steigen nach und nach auf IPv6 um und dies hat für uns als Pentester eine folgenreiche Konsequenz: Im Vergleich zu IPv4 bestehen IPv6-Adressen aus 128 Bit, wobei die ersten 64 Bit (0-63) für den Interface Identifier und die letzten 64 Bit (64-127) für den Netzanteil stehen. Es ergeben sich somit 18 446 744 073 709 551 616 Adressen in einem /64-IPv6-Netz, welche in einem Pentest untersucht werden müssten. (Du solltest einmal versuchen, diese Zahl laut auszusprechen.)

Selbst wenn wir ein Jahr für einen Pentest einplanen würden, müssten wir pro Sekunde ca. 584 Milliarden IPs scannen, wie uns mit der nachfolgenden Rechnung bewusst werden sollte:

• 18 446 744 073 709 551 616 IPs / 365 Tage / 24 Std. / 60 Min. / 60 Sek.

Es ist daher während eines Pentests unmöglich, sämtliche Adressen auch nur auf die Erreichbarkeit eines einzelnen Dienstes zu prüfen. Dennoch stellt IPv6 keinen realistischen Schutz vor Angreifern dar, sondern nur eine (überwindbare) Hürde. Denn nicht nur wir als Angreifer müssen nach IT-Systemen in einem Netzwerk scannen, die IT-Administratoren müssen ihre Systeme ebenfalls managen können.

2ab0:a0b0:1:12:dead:0:b:1 ist beispielsweise eine IPv6-Adresse. Wie wir aus ihr entnehmen können, werden IPv6-Adressen u. a. in acht Blöcke á 16 Bit aufgeteilt und in Hexadezimalziffern angegeben. Hierdurch können Wörter wie dead oder beef gewählt werden. Da Administratoren auch nur Menschen sind, werden sie für gewöhnlich ein bestimmtes Namensschema verwenden. Kennen wir beispielsweise bereits bestehende IPv6-Adressen durch die Auflösung von Domain-Namen, können wir womöglich ein Namensschema erkennen oder erraten.

Im Falle eines internen Penetrationstests steht uns eine weitere Methodik zur Verfügung, IPv6-Adressen zu ermitteln: Durch das Absetzen eines Multicasts an alle Nodes über den Befehl ping6 ff02::1%${interface} können wir IT-Systeme in unserem lokalen IPv6-Netz identifizieren. Jedoch werden auf unsere Anfrage nur die Zielsysteme antworten, welche Ping-Requests annehmen. Weiterhin werden wir Link-Local-Adressen als Antwort auf unseren Befehl erhalten, weshalb wir hinter den IPv6 Adressen noch die Interface-ID angeben müssen, um die Zielsysteme erfolgreich adressieren zu können. Der Befehl für einen SSH-Verbindungsaufbau zu einer IPv6-Link-Local-Adresse hätte beispielsweise folgende Syntax:

• ssh dwestcott@fe80::c48d:69ff:fe5f:8227%eth0