[Перевод] Практическое руководство по атакам на IPv6 в локальной сети

Отключение IPv6 на шлюзе давно перестало быть надежной защитой. Протокол по умолчанию активен на большинстве клиентских машин, которые периодически отправляют в сеть служебные запросы вроде Router Solicitation. Именно эта «скрытая» активность открывает двери для целого класса атак, позволяющих перехватить трафик, подменить DNS или провести NTLM-Relay. В этой статье мы подробно, с примерами кода на Python/Scapy и командами для настройки, рассмотрим самые распространенные векторы атак на IPv6 в локальном сегменте: RA Spoofing: Как навязать себя в качестве шлюза по умолчанию. RDNSS Spoofing: Как стать DNS-сервером для современных ОС без DHCPv6. DHCPv6-атаки: Механика работы mitm6 и ее ручная реализация. Пассивный сбор данных: Как составить карту сети, просто слушая эфир. Материал будет полезен пентестерам, сетевым инженерам и системным администраторам, которые хотят понять реальные риски IPv6 и научиться им противостоять.

https://habr.com/ru/articles/930526/

#ipv6 #пентест #RA_Spoofing #RDNSS #DHCPv6 #Scapy #MITM #Kali_Linux #информационная_безопасность #infosec

I've published the -00 for a new IETF draft: #DHCPv6 Recommended #IPv6 Address Option"

https://datatracker.ietf.org/doc/html/draft-nygren-dhc-recommended-ipv6-address-00

The primary use-case for this is hosting, datacenter, and cloud environments that want to assign a /64 per host but which also want to ensure the host configures one or more addresses (such as for management and running services). Operators configuring servers in these environments want to be able to ensure that a host will be available on a given /128 (for ssh'ing into, putting into DNS as a service endpoint, etc) while DHCPv6-PD also means that the host is free to use the rest of the /64 for its own purposes (eg, containers, K8s pods, temporary addresses, etc).

I'd also be happy to add a co-author if someone else is interested in seeing this through.

For those who specialize in DHCPv6 and systemd: Is there a way to tell the DHCPv6 server "If this IP is available, just give me it, don't give me anything else", or at least get systemd to do that? I'm trying to make an oracle cloud instance running Arch+systemd-networkd that uses DHCPv6 for IP configuration only use one of two IPs assigned to the oracle instance, but leave the other one unused so I can do NDP proxying and route it to my laptop over wireguard, giving my laptop a public IPv6 address as a result, but it appears that oracle is forcing my VPS to use both IPv6 addresses, which is not what I want.
Redacted logs, for context:

Jun 18 06:08:27 somewhere systemd-networkd[-1]: eth0: DHCPv6 address 2000::4201/128 (valid for 1d 5
9min 59s, preferred for 23h 59min 59s)
Jun 18 06:08:27 somewhere systemd-networkd[-1]: eth0: DHCPv6 address 2000::1337/128 (valid for 1d 5
9min 59s, preferred for 23h 59min 59s)

Feel free to boost this for increased visibility if you wish, and if you know of any mailing lists or IRC channels I should ask on, please let me know.
Relevant tags to try to help people who might know something see this:
#dhcp #ipv6 #systemd #oracle #dhcpv6 #networking #systemdnetworkd #systemd-networkd

#DHCPv6 isch au e Wüsseschaft für sich 😄
Aber die knack ich scho no, schwör!

Jedefalls: Persönleche Iidruck bishär isch, das falsch alles, was me so a Router überchund, sich mal hauptsächlech (au Feature-Mässig) uf IPv4 fokussiert, so das me praktisch zwunge isch, Dual Stack z fahre.
Ich glaube darum, NAT isch cho, um z bliibe - für immer 🙃

IPv6-only, anyone? 😅