Hackers podem atrapalhar o Dia do IPv6

Centenas de sites populares – incluindo Google, Facebook, Yahoo e Bing –  participam de um teste de 24h, amanhã, dia 8 de junho, com o novo padrão de Internet IPv6. Muitos deles, no entanto, estão temerosos de que hackers explorem as fraquezas dessa tecnologia emergente para lançar ataques.

Apelidado de World IPv6 Day, o teste do IPv6 será executado a partir das 21h (horário de Brasília) de hoje até às 21h de quarta-feira, 8/6.

Especialistas em segurança estão preocupados com mais de 400 governos, universidades e sites de empresas que estão participando do Dia Mundial do IPv6 e podem ser atingidos com ataques de negação de serviço distribuído (DDoS), ou outros ataques de hackers durante a experiência.

“Nos últimos cinco meses, tem havido grande aumento em ataques DDoS”, diz Ron Meyran, diretor de Marketing de Produto e Segurança na Radware, empresa de dispositivos de rede que não vai participar no Dia Mundial do IPv6. “O IPv6 vai ser ainda mais fácil para os criminosos … pois o tráfego IPv6 vai passar de sistemas com inspeção profunda para pacotes sem inspeção.”

Meyran diz que outra preocupação é que os cabeçalhos dos pacotes IPv6 são quatro vezes maiores do que os cabeçalhos IPv4. Isso significa que os roteadores, firewalls e outros dispositivos de rede devem processar mais dados, o que torna mais fácil dominá-los em um ataque DDoS.

“Com um ataque DDoS, é preciso chegar a 100% de utilização dos dispositivos de rede e segurança para saturar os serviços”, diz Meyran. Os maiores cabeçalhos em IPv6 “devem ser processados completamente para tomar decisões de rota”.

“Pergunto a mim mesmo se não vai haver hackers sondando os servidores que tem dual-stack habilitado [rodando IPv4 e IPv6, ao mesmo tempo]”, afirma Jean McManus, diretor executivo da Corporativa de Tecnologia da Organização Verizon, que participa do Dia Mundial do IPv6. “Provedores de conteúdo precisam ter cuidado e prestar atenção para ter certeza de que tudo está devidamente trancado.”

Há muitas ameaças de segurança relacionadas com o IPv6 em razão de a tecnologia ser nova, e ainda não ter sido  tão bem testada ou conter bugs corrigidos como IPv4. Além disso, os gerentes de rede têm menos experiência com o IPv6, portanto, eles não estão tão familiarizados com as regras do IPv6 para os seus firewalls ou outros dispositivos de segurança.

“Nós sabemos que falta treinamento e experiência com as regras de segurança que permitem que você veja melhor a rede e as aplicações com o IPv6,” afirma  Meyran . “O novo software é muito mais complexo … e há poucos programadores familiarizados.”

Os participantes do Dia Mundial do IPv6 dizem que o evento foi divulgado a todos da comunidade de engenharia da Internet, incluindo os hackers, e eles estão aumentando as medidas de segurança em seus sites por essa razão.

“Este é um evento bem divulgado”, declara John Brzozowski, engenheiro e arquiteto-chefe de IPv6 da Comcast, que participa do World IPv6 Day como prestador de serviços . “Tudo pode acontecer. IPv6 não é diferente de outras novas tecnologias. A chance [dos ataques] está aí. Proteger a rede é fundamental para nós.”

Brzozowski falou que a Comcast vai acompanhar a rede de sinais de ataque durante todo o teste do novo padrão. “Nós estamos tomando as medidas necessárias para que a infraestrutura da Comcast esteja protegida”, acrescenta o engenheiro.

A empresa de redes Juniper diz que caso seu site esteja sob ataque de DDoS ou de outros tipos de ataque durante o Dia Mundial do IPv6, ela simplesmente voltará para o IPv4. “Podemos voltar para IPv4 em cinco minutos”, decalra Alain Durand, diretor de Engenharia de Software da Juniper, que está usando seu serviço próprio de tradução em nuvem para o IPv6, que permitirá que seu site principal use o novo padrão em 8 de junho.

Já a Akamai, rede de distribuição de conteúdo com 30 clientes que participa do Dia Mundial IPv6, afirma não estar muito preocupada com hackers ou ataques DDoS durante o julgamento IPv6.

“Todos os nossos sistemas de comando e controle vão ficar em IPv4”, afirma Andy Champagne, vice-presidente de Engenharia da Akamai, que está desenvolvendo um serviço comercial em IPv6. “Exceto pela exposição de alguns protocolos que não conhecemos… achamos que estamos bem. Temos capacidade suficiente para o IPv6. Não espero nenhum problema.”

Meyran da Radware diz que hackers podem ser tão espertos que não ataquem os sites no Dia Mundial do IPv6, mas em vez disso, esperem até que esses sites adotem definitivamente o IPv6. “Os hackers vão ser muito felizes em ver esse dia passar com sucesso e os sites decidirem adotar o IPv6 mais rápido, já que isso abre novas áreas de ataque”, prevê.

É por isso que Meyran recomenda aos administradores de rede que participem do Dia Mundial do IPv6 e lancem um evento focado em testes de segurança IPV6. “A próxima etapa será realizar simulações de ataques IPv6 para garantir que seu firewall esteja realmente vendo a rede e que os seus sistemas de proteção contra intrusões possam realmente fazer uma inspeção profunda de pacotes de tráfego IPv6”, diz ele.

O Dia Mundial do IPv6 é uma experiêcia em grande escala patrocinada pela Internet Society, que é foca em descobrir problemas com o IPv6 antes de o novo protocolo ser amplamente utilizado. No Brasil, as ações estão sendo coordenadas pelo Centro de Estudos e Pesquisas em Tecnologia de Redes e Operações (CEPTRO.br), responsável por projetos que visam melhorar a qualidade da Internet no Brasil e disseminar seu uso, com especial atenção para seus aspectos técnicos e de infraestrutura. O CEPTRO.br gerencia, entre outros projetos, o PTT.br, NTP.br, e IPv6.br, e é um dos braços do NIC.br, órgão executor das ações definidas pelo Comitê Gestor de Internet (CGI.br).

Em fevereiro, o NIC.br disponibilizou um validador para verificar se sites Web são acessíveis diretamente via IPv6. A ferramenta em (http://validador.ipv6.br) foi desenvolvida pelo CEPTRO.br e permite testar o funcionamento via IPv6, estimulando assim a disseminação e a implantação do novo protocolo. Foram criados selos “IPv6 Verificado”, que podem ser adicionados ao sítio, de modo a informar que ele é acessível via IPv6.

A Internet precisa de IPv6, porque está ficando sem endereços IPv4 disponíveis para uso. O espaço livre de endereços não assinados de IPv4 expirou em fevereiro e, em abril, a região Ásia-Pacífico ficou quase sem endereços IPv4 com poucos sendo mantidos em reserva para novos usuários. O American Registry for Internet Numbers (ARIN), que distribui endereços IP para operadoras de rede na América do Norte, afirmou que seu suprimento de endereços IPv4  vai esgotar neste outono.

O IPv4 utiliza endereços de 32 bits e pode suportar 4,3 bilhões de dispositivos conectados diretamente à Internet, mas o IPv6 utiliza endereços de 128 bits e pode conectar um número virtualmente ilimitado de dispositivos: 2 elevado à potência 128. O IPv6 promete ser mais rápido, oferecendo serviços de Internet menos onerosos do que o anterior, para estender a vida do IPv4 usando Network Address Translation (NAT). E promete ser mais seguro também.

Um grande obstáculo para a implantação do IPv6 é que ele não é compatível com IPv4. Isso significa que os operadores de sites precisam atualizar seus equipamentos de rede e software para suportar o tráfego IPv6.