IPv6 et la sécurité

IPsec (IP Security)

Ce mécanisme est présenté comme le point majeur de sécurisation d’IPv6. C’est un raccourci un peu brutal car ce n’est pas tout à fait exact.

D’une part, IPsec a été également implanté depuis en IPv4, essentiellement dans le cadre de VPN (Virtual Private Network ou Réseaux Privés Virtuels) pour établir des connexions sécurisées entre des sites distants, entre des nomades et un site central...

D’autre part, il est faux de penser qu’IPsec est automatiquement en fonction sous IPv6 et qu’il sécurise donc systématiquement toute connexion IPv6.

Ce qui est par contre exact et essentiel c’est qu’IPsec est nativement présent dans la pile TCP/IP de chaque logiciel ou matériel censé supporter IPv6.

Le grand intérêt d’IPv6 pour IPsec c’est que, sauf cas exceptionnel, il n’y a plus besoin de translation d’adresses entre la source et la destination. Cela autorise une grande souplesse dans l’utilisation d’IPsec aussi bien dans le choix entre les modes transport et tunnel qu’entre AH et ESP puisqu’en IPv4, AH est pratiquement inutilisable dès qu’il y a translation.

Adressage temporaire et adressage aléatoire

Il est parfois souhaitable de masquer son identité lors de certaines connexions Internet, soit pour conserver l’anonymat, soit pour éviter que notre adresse soit utilisée comme cible d’attaques.

Or, le propre de l’autoconfiguration est de baser l’identifiant d’interface sur l’adresse MAC de notre carte réseau. Cela est certes très pratique, mais quand nous changeons de réseau (maison, autre lieu de travail…), il est possible, voire probable, que notre identifiant ne change pas pour autant (sous réserve d’utiliser toujours l’autoconfiguration et de ne pas changer d’interface réseau), contrairement à ce qui se passe en IPv4, où en plus intervient souvent une translation d’adresse.

Cela veut dire que l’ensemble de nos échanges sur Internet peut conduire à une collecte de données sur nos habitudes, sur les sites fréquentés, sur nos interrogations de moteurs de recherche...

Cela peut nuire à notre vie privée ou à la discrétion lors d’échanges professionnels.

Comme nous l’avons déjà vu, il existe néanmoins une fonctionnalité qui coupe le lien entre l’adresse MAC et l’IPv6 générée par l’autoconfiguration. C’est la fonction randomize que nous avons abordée dans le chapitre Autoconfiguration...

Sécurisation des échanges

Tous les échanges peuvent faire l’objet d’attaques. Nous allons nous intéresser à ceux qui peuvent rendre particulièrement vulnérable notre architecture et plus particulièrement ceux qui automatisent une partie de notre configuration, que ce soit dans le cadre de l’autoconfiguration ou dans celui des acquisitions de routes.