Dal punto di vista del firewall è importante rendersi conto che sia IPv4 che IPv6 (se abilitati) sono configurati su un sistema e questo non è sempre il caso.

Nella mia esperienza, sono stato in grado di bypassare i firewall (interni). In uno scenario, su una macchina Linux, iptables era configurato, tuttavia, ip6tables non lo era, il che esponeva servizi (vulnerabili) che non erano disponibili su IPv4.

Poiché la maggior parte dei servizi si associa a 0.0.0.0 e [:: ]: [port] (ogni interfaccia), questi servizi sono disponibili anche su IPv6.

Quindi, sì, è importante considerare di disabilitare IPv6 se non lo si utilizza. Se lo usi, tu o gli amministratori in generale dovreste essere consapevoli che (almeno sui server Linux) è richiesta una configurazione aggiuntiva del firewall.

E prima di iniziare che gli amministratori dovrebbero essere consapevoli di questo, lo siete totalmente corretto. Tuttavia, per esperienza mancano molte conoscenze IPv6 tra gli amministratori di sistema.

Non c'è un vantaggio specifico nella disabilitazione di IPv6. In particolare, IPv6 non è più vulnerabile di IPv4, anzi direi che è più sicuro (es: IPv6 suggerisce di supportare IPSec).

Il punto è che mentre rafforza il tuo sistema operativo la filosofia generale consiglia di rimuovere tutti i servizi / strumenti inutilizzati. Ciò consente un migliore controllo sul proprio sistema operativo, migliora le prestazioni (in modo generico) e riduce la probabilità che gli aggressori possano sfruttare possibili bug o errori di configurazione del software e ottenere il controllo / accesso (parziale) del / al sistema. Pertanto, la rimozione di un IPv6 inutilizzato è solo un'azione genericamente consigliata per finalizzare l'hardening.

Il consiglio è ben intenzionato ma datato.

IPv6 è specificamente progettato per essere molto facile da configurare e amministrare, molto più semplice di IPv4. Ha molte funzionalità pensate per far sì che host e intere reti siano autoconfigurati o facilmente configurati centralmente. In molti casi è possibile che intere reti ottengano improvvisamente connettività IPv6 a Internet non appena vengono portate al limite della rete, il che potrebbe sorprendere alcune persone.

Questo consiglio era storicamente inteso a proteggere gli amministratori da se stessi - poiché potrebbero non avere familiarità con le funzionalità IPv6 - e da parte di malintenzionati - poiché quando finalmente ottengono la connettività IPv6 a Internet, i dispositivi tenteranno di autoconfigurarsi e talvolta riusciranno. Inoltre, alcune versioni di Windows tentano di stabilire tunnel IPv6 a Internet immediatamente, sorprendendo ancora una volta alcuni utenti e amministratori. (Per inciso, disabilitare questi tunnel è quasi sempre una buona idea a meno che non siano specificamente desiderati.)

E come altri hanno già detto, alcuni firewall antichi di 5-10 anni fa o più non venivano configurati correttamente se stessi al firewall IPv6 oltre a IPv4. Questo non è un problema così grande oggi, in quanto tali dispositivi antichi diventano più rari ogni giorno che passa.

Oggigiorno, la maggior parte delle persone utilizza effettivamente IPv6 anche se non dispone di connettività IPv6 globale. Windows 8 e versioni successive utilizzano ampiamente IPv6 sulle reti domestiche e alcune funzionalità di Windows richiedono assolutamente IPv6.

Dal punto di vista del bilanciamento tra funzionalità e sicurezza, sarebbe meglio consigliare alle persone di assicurarsi che IPv6 sia protetto da firewall in modo corrispondente a IPv4, anche se non dispongono di connettività IPv6 globale. Ciò preserverà la funzionalità IPv6 già esistente proteggendo gli utenti quando finalmente ottengono la connettività IPv6 globale.

Risposta breve: sì, ma per ottenere l'effetto migliore dovresti disabilitare anche IPv4.

Risposta seria: se non usi attivamente un protocollo ma accetti pacchetti, aumenti il ​​rischio. La cosa più ovvia è lo stack di rete, poiché deve elaborare i pacchetti anche se non c'è nulla che utilizzi IPv6.

Ma il rischio effettivo è che tu stia effettivamente utilizzando IPv6, ma non attivamente. Potresti non usare IPv6, ma alcuni dei tuoi programmi aprono socket di ascolto su IPv6 (e anche IPv4) ed elaboreranno i pacchetti in arrivo. Ancora una volta hai una complessità aggiuntiva (gestiscono i pacchetti v6 con la stessa attenzione di quelli v4?) E potresti avere un buon firewall IPv4 ma hai dimenticato le regole appropriate per la v6 perché pensavi di non usarlo comunque.

E un altro "Sei sicuro di non usarlo": potresti non usarlo attivamente , ma programmi come il tuo browser lo useranno se è disponibile. Quando ora, ad esempio, blocchi alcuni siti Web di monitoraggio a livello IP, questi potrebbero essere caricati dal loro indirizzo IPv6 e il tuo firewall non ti protegge da questo finché non aggiungi le regole v6 corrispondenti.

detto questo, non dovresti disabilitare IPv6. Internet lo utilizza sempre di più e disabilitarlo renderà prima la tua rete più lenta e presto o tardi ti renderà impossibile raggiungere determinati servizi. Assicurati solo di regolare il firewall anche per IPv6 quando aggiungi regole per IPv4.

Molte applicazioni dipendono dal supporto IPv6 anche se non lo usano. Ad esempio, usano socket IPv6. Disattivare completamente IPv6 rimuovendo il modulo del kernel ipv6 interromperà le cose.

È molto meglio assicurarsi che IPv6 sia adeguatamente protetto da firewall, tenendo conto che IPv6 è sempre presente sul collegamento locale anche quando nessun altro IPv6 gli indirizzi sono configurati. Le distribuzioni Linux più recenti hanno un firewall decente (di solito ufw o firewalld) abilitato per impostazione predefinita che filtrerà sia IPv4 che IPv6.

In breve: è meglio riconoscere la presenza di IPv6 e gestirlo / filtrarlo che cercare di ignorarlo o eliminarlo e causare altri problemi.

Se non ne hai la legittima necessità, IPv6 servirà solo come un altro canale per consentire agli exploit di entrare nella tua rete e per far fuoriuscire i tuoi dati senza essere rilevati. La regola generale per la sicurezza è disabilitare tutto ciò che non è necessario.

Anche se lo blocchi sul firewall perimetrale, un utente malintenzionato potrebbe compromettere un host (forse DMZ?) su IPv4 e si diffondono tramite IPv6 dall'interno.

La maggior parte dei firewall e dei prodotti IDS ora hanno un discreto supporto IPv6, quindi le preoccupazioni iniziali sullo scarso monitoraggio IPv6 sono per lo più obsolete.

Indipendentemente da ciò, lo è meglio negare l'opportunità a un avversario disabilitandola. Se non può essere disabilitato, limita IPv6 sul firewall locale in modo che consenta solo la comunicazione locale / loopback per le applicazioni che richiedono socket IPv6.

È un'entità di sicurezza generale disabilitare qualsiasi funzionalità non utilizzata. Inoltre, considera che IPv6 ha IPSec integrato e potrebbe essere un'opzione migliore di IPv4 per impostazione predefinita.

Questo è fondamentalmente lo stesso di ciò che è stato detto, ma mettiamola in questo modo:

Opzione 1 : usa IPv6 e fai lo stesso sforzo per configurarlo e proteggerlo come fai tu IPv4.

Opzione 2 : non usarla e disabilitala.

Entrambi sono completamente ragionevoli e sono molto migliori posizione da prendere rispetto all'opzione 3: non utilizzare IPv6, ma ignorarlo nelle regole del firewall e nella configurazione del servizio e lasciarlo completamente aperto.

In altre parole, il consiglio è buono, ed è non sconsiglio davvero di usare IPv6 se lo vuoi specificamente usare, ma piuttosto mette in guardia le persone che non lo usano contro la trappola di ignorarlo e non dargli lo stesso controllo che fai con la configurazione IPv4. Quelle persone farebbero meglio a disabilitarlo.

Dal punto di vista della sicurezza, meno è meglio quando si tratta di software e applicazioni. IPV6 dovrebbe essere disabilitato a meno che non si stia attualmente distribuendo una rete IPv6. Tieni presente che, a quanto mi risulta, tutti gli indirizzi IPv4 sono stati distribuiti e IPv6 è entrato in scena e altri ti stanno avvisando di lasciare il protocollo IPv6 abilitato. Non sono d'accordo! Quando hai bisogno del protocollo abilitalo. Lo stesso vale per applicazioni e porte.

C'è un aspetto diverso in questo.

Prima di tutto, da un punto di vista puramente statistico, più punti / porte di accesso si aprono più il sistema diventa vulnerabile. Tuttavia, questo è vero per la maggior parte dei servizi.

Più specificamente, tuttavia, IPv6 non è stato ancora implementato su una scala sufficientemente ampia per essere in grado di comprendere appieno le sue vulnerabilità e correggerle, anche i migliori esperti di IP non hanno praticamente alcuna esperienza concreta sul campo quando si tratta di IPv6.

Inoltre, IPv6 gestisce alcune operazioni in un modo radicalmente diverso rispetto a IPv4 e questo ha creato nuove opportunità per gli aggressori ... la vulnerabilità nota, ad esempio, deriva dal diverso modo in cui un router invia annunci IPv6, il che rende una LAN un obiettivo DOS IPv6 molto semplice, vedere Annuncio del router IPv6 DOS.

Intero suite di strumenti, pensati per sfruttare le vulnerabilità di IPv6, sono facilmente disponibili su Internet.

Mi assicuro sempre che IPv6 sia disabilitato su tutti i miei dispositivi. Perché correre rischi inutili, per qualcosa che sostanzialmente nessuno usa / supporta ancora?