IPv6 Sicherheitsrisiko

[IT-T0bi]

Hallo zusammen,

mal eine kurze Frage... Mein Provider verteilt via DS Lite eine IPv6-Adresse. Ich habe meinen Rechner neuaufgesetzt und anschließend direkt Updates installiert. In diesem kurzen Zeitraum war der Rechner ja quasi ungepatcht mit einer IPv6 Adresse im Netz?

Wie hoch besteht die Gefahr, dass Angreifer in diesem kurzen Zeitraum Exploits bzw. allgemeine Sicherheitslücken ausnutzen könnten? Sollte ich mir darum Gedanken machen?

 

[XN04113]

und was wäre anders wenn Du eine IPv4 Adresse hättest?

 

[mesohorny]

Bist du ein von der Interpol gesuchter Drogenhändler oder Waffenhändler, dann vermutlich ja.

Sonst nein.
Aluhut absetzen.

 

[0x7c9aa894]

Normalerweise hat man bei IPv6 genauso eine Firewall wie bei IPv4.

 

[IT-T0bi]

und was wäre anders wenn Du eine IPv4 Adresse hättest?

Durch das NATing stehen die Systeme direkt 'nackig' im Netz

 

[Tulol]

Du könntest auch einfach vermeiden die Straßenseite zu wechseln. Die Wahrscheinlichkeit von einem Auto erfasst zu werden ist nicht nur größer als wegen einer IPv6 Adresse "gehackt" zu werden, sondern es geht dabei sogar um dein leibliches Wohl.

 

[areiland]

Wenn Du nicht gerade ein uraltes Windows installiert hattest, das Du dann auf die aktuelle Version heben musstest, warst Du sicher nicht vollkommen ungepatcht im Netz unterwegs.

 

[Serana]

Die Gefahr (wenn man überhaupt von einer solchen sprechen will) ist exakt dieselbe wie die ganzen Jahre vorher mit IPv4.

Um es mal etwas drastisch auszudrücken:
Wenn du dir bei so einem kurzen Zeitraum Sorgen machen mußt, daß der Computer trotz aktuellem Installationsmedium "übernommen" wurde, dann solltest du dich wahrscheinlich besser in ein Land zurückziehen das nicht an Staaten der westlichen Welt ausliefert. Denn dann hast du mit ziemlicher Sicherheit Probleme entweder mit den deutschen Strafverfolgungsbehörden oder einem deutschen (oder verbündeten) Geheimdienst.

 

[Helge01]

Bei IPv6 existiert wie bei IPv4 eine Stateful Firewall. NAT wird zwar immer als Sicherheitsfeature angepriesen, ist aber keins. Wenn du mit einem neu aufgesetzten OS gleich Updates machst und nicht zuvor im Internet surfst, kann nichts passieren.

 

[0x7c9aa894]

Du bist ja nicht "direkt" mit dem PC im Internet. Da ist ja meist der Router mit einer Firewall dazwischen, die fängt mormalerweise schon praktisch alles ab, selbst wenn der PC unsicher ist.

Edit:
Der PC hat ja normalerweise eine dynamische IPv6 Adresse mit Prefix "2axx", und die kann man mit der Firewall filtern.

 

[Hayda Ministral]

Die Gefahr (wenn man überhaupt von einer solchen sprechen will) ist exakt dieselbe wie die ganzen Jahre vorher mit IPv4.

Nein. IPv4 im Consumerbereich verwendet NAT. NAT wiederum bedeutet das ein Verbindungsversuch aus dem Internet nicht ohne weiteres beim Rechner ankommt - denn der Router weiß ja nicht, an welche IP aus dem genatteten Bereich er das Paket schicken soll.

Das ist genau der Unterschied zu IPv6 ohne NAT. (und ein Grund weshalb ich mir ganz naiv ein genatetes Teilnetz wünschen würde).

Natürlich kann man nun einwenden dass ja alle relevanten und aktuellen Betriebssysteme eine Firewall besitzen die von außen kommende Verbindungen auch erstmal ablehnt. Die ist aber bei Windows ebenso wie jeder Port den sie von Haus aus durch stellt ein überaus lohnendes Angriffsziel und entsprechend ist davon auszugehen dass Angreifer jeder Art erheblichen bis beliebig großen Aufwand treiben werden um dort Fehler zu finden und auszunutzen.

tl;dr: Ein PC per NAT im Internet ist damit nicht sicher, NAT stellt aber einen zusätzlichen Schutz dar.

 

[Nilson]

Die meisten (Consumer) Router haben auch eine Firewall verbaut, die dich auch ohne NAT schützen. Wäre ja um so schöner wenn Millionen von Privat-Rechner einfach so direkt im Internet hingen. Auszug von AVM:

Die Firewall der FRITZ!Box schützt alle Geräte im FRITZ!Box-Heimnetz standardmäßig vor eingehenden Verbindungen und unangeforderten Daten aus dem Internet.

Durch das Einrichten von IPv6-Freigaben können Sie Benutzern im Internet den Zugriff auf IPv6-kompatible Geräte (z.B. NAS-Systeme), Web- oder Fernwartungs-Server und andere Serverdienste in Ihrem Heimnetz ermöglichen.

Quelle

 

[0x7c9aa894]

Den einzigen Fehler dan man machen kann ist UPnP zu aktivieren, denn das bohrt Dir u.U ein Loch in die Firewall, wenn eine Anwendung das braucht.

 

[IT-T0bi]

Den einzigen Fehler dan man machen kann ist UPnP zu aktivieren, denn das bohrt Dir u.U ein Loch in die Firewall, wenn eine Anwendung das braucht.

Ist deaktiviert

 

[Toms]

IPv4 im Consumerbereich verwendet NAT

Kommt auf den Provider an! Bei der Telekom bekommt man eine öffentliche IPv4 über Dual-Stack. Keine DS-Lite Rotze.

 

[Nilson]

@Toms
@Hayda Ministral hat schon recht. IPv4 nutz immer NAT. Du meist wohl CG-NAT (Carrier Grade NAT), was teil der "DS-Light" Lösung ist.

 

[blackbirdone]

Kommt auf den Provider an! Bei der Telekom bekommt man eine öffentliche IPv4 über Dual-Stack. Keine DS-Lite Rotze.

Die DS Lite Rotze ist halt notwendig. Tests wurden davon von der Telekom auch schon gemacht. Solang wird das nicht mehr dauern. Nachteile gibt es ja auch eigentlich keine.
Das Problem sind nicht die Provider, es sind die Softwareentwickler.

 

[Crumar]

NAT bietet keinerlei zusätzlichen Schutz. Wenn du deinem Router nicht sagst, dass er die Pakete durchlassen soll, lässt er auch nichts durch. Sonst wäre die computerwelt ja gar nicht mehr zu retten.

Eine Ausnahme ist upnp, aber dafür musst du auch erst mal Software installieren, die ports öffnen will

 

[Sykehouse]

(und ein Grund weshalb ich mir ganz naiv ein genatetes Teilnetz wünschen würde)

Mit Betonung auf dem naiv Eine Firewall reicht völlig aus, die jegliche unangefragten Pakete aus dem WAN verwirft. Es gibt wirklich keinen Grund, bei IPv6 wieder mit den NAT Rotz anzufangen...

 

[RalphS]

Alles richtig, bloß blöderweise kenne ich keinen Heimrouter, der einem Zugriff auf die Firewallkomponente gewährt...

.... Und Firewalling ist keine inhärente Eigenschaft eines Routers.

Anders ausgedrückt, wenn ich IPv6 Connectivity habe, dann muß entweder dem Routerhersteller vertrauen (und warum sollte ich das, wenn es um meine Sicherheit geht und nicht um die des Routerherstellers) ODER ich muß mich selbst ums Firewalling kümmern.

Ja, bzw nein, NATing ist kein zuverlässiger Schutz, auch da kann man sich von außen durchbuddeln. Aber es ist erstmal ein Tor, wo man davorsteht.
Eben so, wie man nicht sofort sieht, für welchen Client ein Proxy "dieses" Datenpaket angefordert (oder erhalten) hat.