[论文解读] Current State of IPv6 Security in IoT

Lisandro Ubiedo, Thomas J. O'Hara+2 more|arXiv (Cornell University)|May 5, 2021

Network Security and Intrusion Detection参考文献 1被引用 4

一句话总结

本研究调查了物联网设备中IPv6安全的现状，分析了采用趋势、漏洞、恶意软件活动以及数据外泄技术。尽管全球IPv6采用率已达35%，但针对IPv6的恶意软件仍极为罕见——仅有一个已知的恶意软件家族利用IPv6，这为防御者在大规模攻击出现前加强IPv6防护提供了宝贵窗口期。

ABSTRACT

This report presents the current state of security in IPv6 for IoT devices. In this research conducted from May 2020 to July 2020, we explored the global growth of IPv6 and compared it with the real growth of IPv6 in a medium size network. If IPv6 is already being used, are attackers already attacking using this protocol? To answer this question we look at the current vulnerabilities, attacks, and malware leveraging IPv6. Our research showed that while IPv6 adoption is growing, we are years away of a full adoption. The current global adoption is of 35\%, however there are countries rapidly adopting IPv6, such as India with 60\% of IPv6 enabled in the country. IPv6 brings new challenges for both attackers and defenders. With a larger address space, the activity of device discovery will force attackers to devise new techniques and tools. Defenders will also have to adapt their tools and monitoring technology to be able to work with IPv6. There are currently more than 16 million devices exposed on the internet on IPv6, however malware authors seem to be still focused mainly on IPv4. There is to date, one malware capable of attacking IPv6 networks. This may give an edge to defenders, who have now the opportunity to give the first step ahead of attackers.

研究动机与目标

• 评估物联网中IPv6当前的采用水平及其对网络安全的影响。
• 识别现有针对物联网环境中IPv6的漏洞和攻击向量。
• 评估恶意软件和攻击者目前利用IPv6协议的程度。
• 研究利用IPv6（尤其是ICMPv6和基于DNS的方法）进行数据外泄的技术。
• 为防御者提供切实可行的建议，以在广泛利用之前加强IPv6安全防护。

提出的方法

• 从APNIC、Google、Akamai和Cisco等来源收集并分析全球IPv6采用率指标。
• 在本地网络中开展实际网络测量，比较IPv4与IPv6的流量及攻击模式。
• 开发并测试了自定义工具IPv6teal和IPv6DNSExfil，用于通过ICMPv6和DNS协议外泄数据。
• 搭建了一个仅支持IPv6的蜜罐，以监控和分析攻击者在IPv6环境中的行为。
• 实现YARA规则，用于检测二进制文件中与IPv6相关的恶意软件和恶意载荷。
• 设计并执行了基于ICMPv6回送请求序列字段与XOR加密载荷的原型数据外泄方法。

实验结果

研究问题

• RQ1 物联网网络中IPv6的全球及区域采用率是多少？与IPv4使用情况相比如何？
• RQ2 攻击者目前在多大程度上正在利用IPv6漏洞或使用IPv6进行攻击？
• RQ3 IPv6扫描和设备发现技术与IPv4有何不同？它们对防御者带来了哪些挑战？
• RQ4 恶意软件当前在IPv6上运行的能力如何？是否存在已知针对仅IPv6网络的恶意软件家族？
• RQ5 利用IPv6协议（如ICMPv6和DNS）的现代数据外泄技术有多有效？

主要发现

• 全球IPv6采用率为35%，印度等国家的采用率甚至达到60%，表明区域增长迅速。
• 超过1600万台IPv6设备暴露在互联网上，但仅有一个已知的恶意软件家族针对IPv6网络。
• 由于地址空间极大，IPv6扫描比IPv4复杂得多，需要新的工具和技术进行发现。
• 通过ICMPv6序列字段进行数据外泄，可在8分42秒内传输1 KB数据，证明了其实际的隐蔽性。
• 依赖底层网络数据的防御工具必须更新以支持IPv6，因为当前工具大多聚焦于IPv4。
• 同一IPv6地址可用多种有效字符串格式表示（例如 fe80::1 和 fe80:0000::1），这增加了基于IoC和黑名单检测的难度。