FIT2010 IPv6移行時におけるセキュリティ対策の展望−予測不能なサイバー攻撃に備えるためには−

@expl01t

#fit2010 #fitv6 4. 意図せぬ端末IPアドレス変更 / 5. 「端末のIPアドレス」の持つ意味が変わった

@expl01t

ここからmazさん） #fit2010 #fitv6 汚い運用のIPv4に綺麗なIPv6が加わるw →IPv6導入で汚い運用の課題が顕在化→意外と汚い運用に依存していた事を思い知るww

@expl01t

#fit2010 #fitv6 Path MTU discovery : 大きなIPパケットで効率的な通信(利用できるPath MTUを検出する)，IPv6での実装はSHOULD．

@expl01t

#fit2010 #fitv6 ICMPメッセージを生成するルータの性能限界ががが

Kenji Rikitake @jj1bdx

#fit2010 #fitv6 昨年，一昨年の今頃，いろいろと議論していたわけですが，2010年になって加わったカレントトピックがあったら教えてください

@expl01t

#fit2010 #fitv6 すすこ：icmperrors are limited to one every 100msec / ずにぱー：max 1000pps for icmpto/from RE // 書いて良いのかわかんない

@expl01t

#fit2010 #fitv6 IPv4の事例に学ぶなら... ほとんどのブロードバンドルータがTCP MSSに関する機能を持つ(トンネルリンク等でTCP MSSの値を書き換え,必要のないフォールバックを避けるため)→うまく動いているじぇ

@expl01t

#fit2010 #fitv6 考えどころ：TCPはMSSの調整で救うのが無難だけど，それでもPath MTU discoveryは必要→何にせよMTUの異なるリンクを収容しているルータでは要注意

@expl01t

#fit2010 #fitv6 異なる思想：IPv6アドレスはいっぱいある（anonymousアドレス：ホストの追跡が難しい），IPv6 linklocalアドレス（便利だけど必須かと言われればそうでもない：家庭内にはあってもいいけどバックボーンとか企業網では無くてもいいかなあ）

@expl01t

#fit2010 #fitv6 ＼それでも便利だから使っちゃう！／ インターネットは繋がったら勝ち．機器間の連携がもっと簡単に！

@expl01t

#fit2010 #fitv6 v4は汚い．運用を見直そう．どこまで許す？

@expl01t

#fit2010 #fitv6 すまん，グラフは呟けないorz 40%位のユーザがAAAA query出してる．昨年より増えてるじぇ．

@expl01t

#fit2010 #fitv6 質問ある？→ディスカッションへ

@expl01t

ここからディスカッション） #fit2010 #fitv6 議論テーマ：IPv6導入で増えそうなインシデント．ネットワーク管理者が取るべき行動．IPv6導入で良くなること今後必要となる研究トピック．

@expl01t

#fit2010 #fitv6 続) IPv6サーバを運用する際に気をつける事．実施しているIPv6のセキュリティ対策．ホームネットワークはどのように変化するか

@expl01t

#fit2010 #fitv6 v6 exploit code 実際出てる？→衛藤さん）理論的には可能だよね．Windowsに侵入できた研究結果あり．

@expl01t

#fit2010 #fitv6 高倉先生）6to4 を使って v6つついてv4に悪さする事例あり．まだ彼らも実験段階かなぁ．衛藤さん）NICT観測網で6to4経由で445ポートを叩いている攻撃を観測．高倉先生）NATもね．

@expl01t

#fit2010 #fitv6 maz) 俺トンネル嫌いなんで藁

@expl01t

#fit2010 #fitv6 maz) なるべくトンネル使わないほうがよくね．

@expl01t

#fit2010 #fitv6 鈴木さん）長いアドレス．逆引き．maz)逆引きは設定しない方向で動いてるよ．サーバなら固定アドレスには設定するけど．

@expl01t

#fit2010 #fitv6 北口先生）運用で気をつける点：デュアル maz) やるならはやめにv6使ってみれば．実践から悪い運用を学ぶ．高倉先生）スイッチバグってるじゃんとかわかるようになってくるじぇ．いろんな問題を思いつくし．macのdhcpv6使えねぇし．

@expl01t

#fit2010 #fitv6 高倉先生）今年度スタートと宣言してるけど，じぶんの周りでも導入が進まない．ばぐ潰さないと．衛藤さん）NICTも検討中．運用コスト減らしたいんだけど．FWでv4.v6両方のルールを設定しないといけない．コスト2倍だよね．ミスすうｒ確率上がるし

@expl01t

#fit2010 #fitv6 鈴木さん）v4/v6共通のLayer2で管理ならコストがそんなに小さくてすむはず

@expl01t

#fit2010 #fitv6 北口先生）研究の余地があるエリアある？衛藤さん）アドレス膨大→IDSステートフルインスペクションがv4ならなんとか対応できていたものがv6でできないよね．いかにメモリ減らす工夫とか．もろもろ．

@expl01t

#fit2010 #fitv6 まずう）なるべくステートを持たないようなことを考えてくりくり　高倉先生）ステートもたなあかん．/ アドレス広大でスキャンできないって言われるけど本当かどうか検証したい．