IPv6 : sécurité, attaques et durcissement réseau

IPv6 est la version 6 du protocole Internet, conçu pour remplacer IPv4 en élargissant l'espace d'adressage à 128 bits. La sécurité réseau autour d'IPv6 est souvent négligée, car de nombreuses infrastructures activent IPv6 par défaut sans politique de durcissement associée. Le protocole introduit des mécanismes absents d'IPv4 : le Neighbor Discovery Protocol (NDP) remplace ARP, les Router Advertisements (RA) permettent l'autoconfiguration SLAAC, et DHCPv6 gère l'attribution d'adresses avec état. Ces mécanismes reposent sur la confiance implicite des messages ICMPv6. Un attaquant positionné sur le même segment réseau peut envoyer des RA frauduleux pour rediriger le trafic, empoisonner la table de voisinage NDP à la manière d'un ARP poisoning, ou exploiter des tunnels IPv6 pour contourner des règles de filtrage écrites uniquement pour IPv4. La double pile IPv4/IPv6 active simultanément les deux protocoles sur la majorité des systèmes modernes. Cela crée une surface d'attaque invisible si les politiques de sécurité ne couvrent que IPv4.

La détection des attaques IPv6 côté SOC repose principalement sur l'analyse des messages ICMPv6. Un Router Advertisement (type 134) émis par un hôte autre que la passerelle légitime constitue un indicateur fort de rogue RA. Les logs de commutateurs compatibles RA Guard (RFC 6105) remontent ces événements. Sur Windows, l'Event ID 4227 (TCP/IP) et les journaux du service DHCP Client signalent les reconfigurations d'adresse anormales. Wireshark et tcpdump filtrent efficacement le trafic ICMPv6 via l'expression 'icmp6'. L'outil ndpmon surveille en temps réel les annonces NDP et alerte sur les changements de préfixe ou de passerelle. Zeek (ex-Bro) dispose de scripts dédiés à la détection de NDP spoofing et de RA flooding. Sur les équipements Cisco, la commande 'show ipv6 neighbors' révèle des entrées STALE ou INCOMPLETE suspectes. Les SIEM doivent intégrer des règles de corrélation sur les changements de passerelle IPv6 détectés à intervalle court. Un volume élevé de messages Neighbor Solicitation ou Advertisement sur un segment peut indiquer un scan de découverte réseau IPv6 en cours.

Côté Red Team, l'outil THC-IPv6 regroupe des modules offensifs couvrant le RA flooding, le NDP spoofing et l'attaque de tables de voisinage. L'outil fake_router6 envoie des RA malveillants pour s'imposer comme passerelle par défaut sur le segment. Mitm6, développé pour les environnements Active Directory, exploite DHCPv6 et les requêtes WPAD pour capturer des authentifications NTLM via IPv6, même lorsque IPv4 est correctement segmenté. Responder utilisé conjointement avec mitm6 permet le relais NTLMv2. Le durcissement passe par plusieurs mesures concrètes. RA Guard doit être activé sur tous les ports d'accès des commutateurs managés. DHCPv6 snooping filtre les réponses DHCPv6 non autorisées. Les pare-feux doivent disposer de règles ICMPv6 explicites : bloquer les RA entrants sur les interfaces non routeurs, filtrer les types 133 à 137. Si IPv6 n'est pas utilisé, il faut le désactiver explicitement via GPO sur Windows ou sysctl sur Linux, et non simplement ignorer le protocole. Les tunnels 6to4 et Teredo doivent être bloqués au niveau périmétrique car ils encapsulent IPv6 dans UDP ou IP proto 41, contournant ainsi les contrôles IPv4.