IPv6 Security & Dual-Stack-Gefahren

Das IPv6-Shadow-Netzwerk — warum „ignorieren“ keine Strategie ist

Jedes moderne Betriebssystem — Windows, Linux, macOS, iOS, Android — hat IPv6 standardmäßig aktiviert und bevorzugt IPv6 gegenüber IPv4 (RFC 6724, Default Address Selection). Das bedeutet: Selbst wenn Ihr Netzwerk kein IPv6 bereitstellt, haben alle Geräte bereits Link-Local IPv6-Adressen (fe80::/10), die automatisch generiert werden und für die Kommunikation im lokalen Netzwerksegment voll funktionsfähig sind. Ein Angreifer im selben Netzwerksegment kann über diese Link-Local-Adressen kommunizieren, ohne dass Ihre IPv4-Firewall, Ihr IDS/IPS oder Ihr SIEM etwas davon mitbekommt — weil diese Systeme in den meisten Umgebungen nur IPv4-Traffic überwachen.

Noch problematischer wird es durch SLAAC (Stateless Address Autoconfiguration, RFC 4862): Wenn ein Angreifer einen Rogue Router Advertisement (RA) ins Netzwerk sendet, konfigurieren sich alle Geräte automatisch mit einer globalen IPv6-Adresse und einem Default Gateway — dem Angreifer-System. Windows und Linux akzeptieren Router Advertisements ohne jegliche Authentifizierung. Da IPv6 standardmäßig bevorzugt wird, leiten die Geräte ihren gesamten Traffic über den Angreifer — ein perfekter Man-in-the-Middle. Das Tool mitm6 (von Fox-IT) automatisiert diesen Angriff vollständig und kann innerhalb von Sekunden den DNS-Traffic eines gesamten Netzwerksegments übernehmen.

Der dritte Aspekt des Shadow-Netzwerks sind IPv6-Tunnel-Protokolle. Wenn ein System IPv6-Konnektivität möchte, aber nur IPv4 verfügbar ist, aktivieren ältere Windows-Versionen (vor Windows 10 1803) automatisch Tunnel wie Teredo (IPv6-über-UDP-über-IPv4 via Microsoft-Server), 6to4 (Protocol 41) und ISATAP (Intra-Site Automatic Tunnel Addressing Protocol). Diese Tunnel umgehen Ihre IPv4-Firewall vollständig, da der IPv6-Traffic in IPv4-Pakete eingekapselt wird und als normaler UDP- oder Protokoll-41-Traffic erscheint. Ein externer Angreifer kann über Teredo eine direkte Verbindung zu einem internen System aufbauen — durch die Firewall hindurch.

• Link-Local-Kommunikation nachweisen: Auf jedem Windows-System: ping -6 ff02::1%eth0 (Multicast an alle Geräte im Segment) — die Antworten zeigen alle IPv6-fähigen Geräte, die über das „unsichtbare“ IPv6-Netzwerk erreichbar sind. Auf Linux: ping6 -c 3 ff02::1%eth0. In einem typischen Unternehmensnetzwerk antworten 80-100 % aller Geräte.
• Windows IPv6-Priorität prüfen: netsh interface ipv6 show prefixpolicies zeigt die Address-Selection-Tabelle. Standard: IPv6 (::/0, Precedence 40) hat höhere Priorität als IPv4 (::ffff:0:0/96, Precedence 35). Um IPv4 zu bevorzugen (ohne IPv6 zu deaktivieren): netsh interface ipv6 set prefixpolicy ::ffff:0:0/96 50 0.
• IPv6-Tunnel-Status prüfen: netsh interface teredo show state und netsh interface 6to4 show state zeigen, ob Tunnel aktiv sind. Deaktivieren: netsh interface teredo set state disabled und netsh interface 6to4 set state disabled. Per GPO: Computer Configuration → Administrative Templates → Network → TCPIP Settings → IPv6 Transition Technologies → „Set Teredo State = Disabled“.
• Netzwerk-Scanning über IPv6: Traditionelles Port-Scanning funktioniert bei IPv6 nicht — der Adressraum ist zu groß (2⁶⁴ Adressen pro /64-Subnetz). Stattdessen: Multicast-basierte Aufklärung mit nmap -6 --script ipv6-multicast-mld-list ff02::1%eth0 oder IPv6-Neighbor-Discovery: ip -6 neigh show (Linux) / netsh interface ipv6 show neighbors (Windows).

IPv6-spezifische Angriffe — Techniken die kaum jemand kennt

Der gefährlichste IPv6-Angriff in Unternehmensnetzwerken ist der Rogue Router Advertisement (RA) Angriff, automatisiert durch das Tool mitm6. Der Ablauf: 1) mitm6 -d corp.local sendet Router Advertisements ins lokale Netzwerk und bietet sich als DNS-Server an. 2) Windows-Systeme konfigurieren automatisch eine IPv6-Adresse und verwenden den Angreifer als DNS-Server — mit höherer Priorität als den IPv4-DNS-Server. 3) Der Angreifer beantwortet DNS-Queries selektiv: Anfragen für wpad.corp.local werden auf den eigenen HTTP-Proxy umgeleitet, alle anderen Anfragen werden transparent weitergeleitet. 4) Über WPAD (Web Proxy Auto-Discovery) wird der gesamte HTTP-Traffic durch den Angreifer geleitet — inklusive NTLM-Authentifizierungen, die für NTLM Relay genutzt werden können.

Die Kombination von mitm6 + ntlmrelayx (Impacket) ist besonders verheerend: Der Angreifer fängt NTLM-Authentifizierungen ab und leitet sie an LDAP(S) auf dem Domain Controller weiter. Über LDAP kann der Angreifer dann einen neuen Computer-Account erstellen, Resource-Based Constrained Delegation (RBCD) konfigurieren und sich anschließend über S4U2Self/S4U2Proxy als beliebiger Benutzer authentifizieren — vom normalen Netzwerkteilnehmer zum Domain Admin in unter 60 Sekunden. Dieser Angriff funktioniert in der überwiegenden Mehrheit aller AD-Umgebungen, da die Voraussetzungen (IPv6 aktiviert, WPAD nicht explizit deaktiviert, LDAP Signing nicht erzwungen) fast immer gegeben sind.

• NDP Spoofing (IPv6 ARP Spoofing): Das Neighbor Discovery Protocol (NDP, RFC 4861) ist das IPv6-Äquivalent zu ARP — und ebenso anfällig für Spoofing. Statt ARP-Replies fälscht der Angreifer Neighbor Advertisements (NA). Tool: parasite6 (THC IPv6 Toolkit) oder scapy. Im Gegensatz zu ARP Spoofing gibt es für NDP Spoofing kein Äquivalent zu Dynamic ARP Inspection (DAI) auf den meisten Enterprise-Switches — nur hochwertige Modelle unterstützen RA Guard (RFC 6105) und DHCP Guard für IPv6.
• DHCPv6 Rogue Server: Neben SLAAC unterstützt IPv6 auch DHCPv6. Ein Angreifer kann einen gefälschten DHCPv6-Server betreiben, der DNS-Server-Adressen und Suchdomänen zuweist. Da Windows DHCPv6-DNS-Server mit höherer Priorität als IPv4-DHCP-DNS-Server behandelt, übernimmt der Angreifer die DNS-Auflösung — selbst wenn der Benutzer nur IPv4 verwendet. Tool: mitm6 kombiniert RA und DHCPv6 automatisch.
• IPv6 Extension Header Evasion: IPv6 verwendet Extension Headers statt des IPv4-Options-Felds. Diese Headers können in beliebiger Anzahl und Reihenfolge eingefügt werden. Viele Firewalls und IDS/IPS-Systeme parsen Extension Headers nicht korrekt oder geben bei zu vielen Headers auf. Ein Angreifer kann bösartige Pakete mit einem Fragmentation Header oder Routing Header Type 0 versehen, um Sicherheitsgeräte zu umgehen.
• DNS64/NAT64 — die Übersetzungsfalle: In IPv6-only-Netzwerken wird DNS64/NAT64 verwendet, um IPv4-Dienste erreichbar zu machen. DNS64 gibt für IPv4-only-Hosts eine synthetisierte IPv6-Adresse zurück (z. B. 64:ff9b::c000:0201 für 192.0.2.1). Der NAT64-Gateway übersetzt dann IPv6 → IPv4. Problem: DNSSEC-Validierung bricht, weil DNS64 die DNS-Antworten verändert. Und die synthetisierten Adressen können für gezielte Umleitungen missbraucht werden, wenn der Angreifer den DNS64-Resolver kontrolliert.

IPv6 richtig absichern — deaktivieren ist keine Lösung

Microsoft empfiehlt ausdrücklich, IPv6 nicht zu deaktivieren (KB929852). Einige Windows-Dienste — darunter Teile von Direct Access, HomeGroup und Windows Update Delivery Optimization — funktionieren ohne IPv6 nicht korrekt. Stattdessen sollte IPv6 aktiv verwaltet werden: Konfigurieren Sie es entweder korrekt mit SLAAC oder DHCPv6 und schützen Sie das Netzwerk gegen Rogue-RA-Angriffe, oder bevorzugen Sie IPv4 in der Address-Selection-Policy. Die dritte Option — IPv6 auf allen Geräten per GPO deaktivieren und auf allen Switches blockieren — ist nur in Umgebungen praktikabel, in denen keine IPv6-abhängigen Dienste benötigt werden.

Die effektivste Verteidigung gegen Rogue-RA- und DHCPv6-Angriffe ist die Implementierung von RA Guard (RFC 6105) auf allen Access-Switches. RA Guard filtert Router Advertisements auf Switch-Ports, die nicht als Router-Ports konfiguriert sind — ähnlich wie DHCP Snooping für IPv4. Zusätzlich bietet SEND (Secure Neighbor Discovery, RFC 3971) kryptographische Authentifizierung für NDP-Nachrichten. In der Praxis ist SEND aufgrund der Komplexität der PKI-Anforderungen selten implementiert — RA Guard auf Switch-Ebene ist der pragmatische Ansatz.

• RA Guard auf Cisco IOS: ipv6 nd raguard policy HOSTS / device-role host / interface GigabitEthernet0/1 / ipv6 nd raguard attach-policy HOSTS. Definieren Sie eine Policy, die nur den Device-Role „host“ erlaubt (keine Router Advertisements), und wenden Sie diese auf alle Access-Ports an. Router-Ports (Uplinks) erhalten die Policy mit device-role router.
• Windows IPv6-Härtung per GPO: 1) Teredo deaktivieren: Set-NetTeredoConfiguration -Type Disabled. 2) ISATAP deaktivieren: Set-NetIsatapConfiguration -State Disabled. 3) 6to4 deaktivieren: Set-Net6to4Configuration -State Disabled. 4) WPAD deaktivieren (verhindert mitm6-Angriff): GPO → „Disable Web Proxy Auto-Discovery (WPAD)“. 5) LLMNR und mDNS deaktivieren: GPO → „Turn off Multicast Name Resolution“.
• Firewall-Regeln für IPv6: Stellen Sie sicher, dass Ihre Firewall IPv6-Traffic genauso filtert wie IPv4. Prüfen Sie: Hat die Firewall separate IPv4- und IPv6-Regelwerke? Werden IPv6-Extension-Headers korrekt geparst? Unterstützt sie ICMPv6-Filterung? Wichtig: ICMPv6 darf nicht pauschal blockiert werden — NDP (Neighbor Discovery) und PMTUD (Path MTU Discovery) benötigen ICMPv6 Types 133-137.
• IPv6-Monitoring im SIEM: Konfigurieren Sie Ihr SIEM/IDS für IPv6-spezifische Alerts: 1) Unerwartete Router Advertisements (ICMPv6 Type 134 von nicht-Router-IPs). 2) Mehrere IPv6-Adressen pro Host. 3) DHCPv6 SOLICIT von unbekannten Quellen. 4) Protokoll 41 (6to4-Tunnel) oder UDP Port 3544 (Teredo) — wenn diese nicht benötigt werden, ist ihr Auftreten ein IoC.
• IPv6 Penetration Testing: Integrieren Sie IPv6 in Ihre Pentest-Checkliste: mitm6 -d corp.local -i eth0 (Rogue RA + DNS-Takeover), alive6 eth0 (Host-Discovery), detect-new-ip6 eth0 (neue IPv6-Hosts erkennen), fake_router6 eth0 2001:db8::/64 (Rogue Router). Wenn diese Tools in Ihrem Netzwerk funktionieren, funktionieren sie auch für einen echten Angreifer. Ziel: RA Guard auf Switches, WPAD deaktiviert, LDAP Signing erzwungen.