<style> /* Logo-Positionierung */ .reveal .slides { background: url(https://hedgedoc.xinux.net/uploads/xinux-weiss.png) no-repeat; background-position: right 10px bottom 10px; background-size: 80px; } /* Listen-Anpassungen */ .reveal ul li { font-size: 28px !important; line-height: 1.3 !important; margin-bottom: 10px !important; } /* Lesbarkeit verbessern */ .reveal .slides section { text-align: left; padding: 20px 40px !important; } </style> ## IPv6 Security – Typische Angriffe - IPv6 bringt neue Mechanismen und damit neue Angriffsflächen - Fokus: Layer-2/3 Angriffe, die es bei IPv4 so nicht gab --- ## Neighbor Discovery (ND) Angriffe - ND ersetzt ARP in IPv6 und ist anfällig für Manipulation - **ND Spoofing/Poisoning**: falsche IPv6–MAC-Zuordnung - **Rogue Neighbor Advertisement**: Angreifer meldet sich als Gateway oder Host - **ND Solicitation Flood**: DoS durch Anfrage-Flut --- ## Router Advertisement (RA) Angriffe - **Rogue RA (Evil radvd)**: Clients bekommen falsche Präfixe - **RA Flood**: CPU-Last und Routing-Chaos - **Prefix Injection**: Angreifer kündigt zusätzliche Subnetze an → Gegenmaßnahmen: RA-Guard, Filterung --- ## DHCPv6 Angriffe - **Rogue DHCPv6 Server**: verteilt falsche Adressen, Gateways, DNS - **DHCPv6 Starvation**: Angreifer belegt alle Leases → Gegenmaßnahmen: DHCPv6-Snooping, Port-Security --- ## Multicast Listener Discovery (MLD) - IPv6 nutzt Multicast intensiv - **MLD Flood**: Überflutung mit MLD-Nachrichten - **Fake Group Memberships**: Last durch viele Gruppenanmeldungen → Gegenmaßnahmen: MLD-Snooping, Limitierung --- ## Extension Header & Fragmentation - **Header-Ketten**: Firewalls/IDS können umgangen werden - **Fragmentation DoS**: viele kleine Fragmente blockieren Sessions → Gegenmaßnahmen: unnötige Extension Header blockieren --- ## SLAAC Manipulation - **Gefälschtes RA mit Default-Route**: Clients routen über Angreifer - **MITM**: Kombination aus falschem Präfix + DNS-Manipulation → Gegenmaßnahmen: RA-Guard, Router-Authentifizierung --- ## Weitere Bedrohungen - **DNS Hijacking via DHCPv6**: Rogue-Server liefert falsche DNS - **Dual-Stack Fake Router**: Clients bevorzugen IPv6 und nutzen Angreifer - **ICMPv6 Floods**: Überlastung durch Echo Requests --- ## Zusammenfassung - Neue Angriffsvektoren durch ND, RA, DHCPv6 und Multicast - Besonders kritisch: - ND Spoofing (IPv6-Variante von ARP-Spoofing) - Rogue Router Advertisements - Rogue DHCPv6 Server - Extension Header Missbrauch - SLAAC Manipulation - **Empfehlung**: RA-Guard, DHCPv6-Snooping, ND-Inspection, Monitoring