DAs Internet Control Message Protocol Version 6

Transkript

1 DIE INTERNET-PROTOKOLLWELT, WINTERSEMESTER 2016/17 1 Internet Control Message Protocol Version 6 Benjamin Fiedler, Student im Master Elektrotechnik/Informationstechnik Zusammenfassung Das Thema der Ausarbeitung ist das Internet Control Message Protocol Version 6 (ICMPv6). Ein Vergleich mit dem Vorgänger auf Basis von IPv4 dient dem Herausstellen der Vorteile des neuen Protokolls. Die Neuerungen sowie Aufbau und Eigenschaften von ICMPv6 werden im Folgenden näher beschrieben. Index Terms Internet, Kommunikationsprotokoll, Internetschicht. I. ÜBERSICHT DAs Internet Control Message Protocol Version 6 ist ein integraler Bestandteil eines jeden IP Version 6 Pakets und ist im Internet Schichtenmodell auf der zweiten Schicht (IP-Schicht) zu finden (CDMG06). Es vereint viele Funktionen die früher in verschiedene Protokolle aufgeteilt waren (neben ICMP noch IGMP und ARP) (Das). Eine Umstellung von IPv4 zum neuen Standard ist notwendig, da die Anzahl der IPv4 Adressen zu gering ist. Immer mehr moderne Geräte besitzen eine Internetverbindung und benötigen dementsprechend IP- Adressen. Mit IPv6 steigt die Anzahl der Adressen auf 340 Sextillionen. Um Fehler erkennen zu können wird das ICMPv6 benötigt. Genutzt wird es von jedem IPv6 Knoten, wobei die Integration notwendig ist. Es dient vor allem dazu zwischen verschiedenen Knoten Statusund Fehlerinformationen auszutauschen. Einen Teil davon stellen die Neighbor Discovery Protocol (NDP) Nachrichten dar (Kom). Der Informationsaustausch ist vor allem ein Risiko für die Sicherheit des Protokolls. Denn jeder wenn auch geschützte Informationsaustausch birgt die Gefahr eines Angriffes durch Unbefugte. Die Vorteile von ICMPv6 gegenüber dem Vorgänger sind in der folgenden Tabelle dargestellt. Tabelle I VERGLEICH ZWISCHEN ICMPV4 UND ICMPV6 ICMPv4 optional en/codes zufällig, Status- und Fehlerinformation werden übermittelt ICMPv6 notwendig en/codes getrennt nach Status- und Fehlerinformation Festlegung durch IANA Tabelle I zeigt, dass das Internet Control Message Protocol in Version 6 umfangreichere Funktionen bietet als der direkte Vorgänger (Amb). Besonders auffällig ist dabei die nicht mehr willkürliche Festlegung von en und Codes. A. Paketaufbau II. PROTOKOLLMECHANISMEN Abbildung 1 zeigt den Aufbau eines ICMPv6 Paketes. Die ersten 8 Bit geben den der Nachricht an. Dieser legt fest, um welche Art Fehler- bzw. Statusinformation es sich handelt. Mit den folgenden 8 Bit wird der Code der Mitteilung festgelegt. Dadurch kann der Nachrichtentyp weiter spezifiziert werden. Eine 16 Bit lange Prüfsumme bildet mit den zu übertragenden Daten das komplette ICMPv6 Paket. Die Prüfsumme wird genutzt um Datenfehler in der ICMPv6 Nachricht und Teilen des IPv6 Headers zu ermitteln. Für Fehlerinformationen hat das höchstwertige Bit (Bit 7) den Wert 0. Die Nachrichtentypen haben deshalb Werte von 0 bis 127. Bei den Statusinformationen ist das höchstwertige Bit 1. Sie haben aufgrund dessen Werte zwischen 128 und 255. B. ICMPv6 Fehlerinformationen Es gibt vier festgelegte en für Fehlerinformationen sowie zwei weitere für private Tests. Der Bereich zwischen 102 und 126 ist noch nicht Vergeben und der Wert 127 ist reserviert für zukünftige Erweiterungen von ICMPv6 Fehlermeldungen. Für die ersten vier möglichen Fehler gibt es zudem unterschiedliche Codes, die den Fehler eingrenzen. Tabelle II gibt einen Überblick über den Aufbau des s mit den zugehörigen Codes (Cra). Die unterschiedlichen Fehlertypen werden immer vom jeweiligen IPv6 Knoten erfasst und entsprechend übermittelt. Für den Fall, dass das gewünschte Ziel nicht erreichbar ist muss eine Unterscheidung getroffen werden. Wenn das Paket aufgrund eines Paketstaus nicht zugestellt werden kann, so muss der entsprechende Router keine ICMPv6 Nachricht zurücksenden. Für alle anderen Fälle kann anhand der entsprechenden Codes der genaue Fehler ermittelt werden. Sollte das Paket zu groß sein, kann der Router das Paket nicht weiterleiten und generiert die Meldung mit 2 für den Sender des Paktes. Dieser Fehler tritt auf, wenn die Maximum Transmission Unit (MTU) des Paketes größer ist, als die

2 2 DIE INTERNET-PROTOKOLLWELT, WINTERSEMESTER 2016/17 Tabelle II FEHLERINFORMATIONEN ICMPV6 Code 1 - Destination Unreachable 0 keine Route zum Ziel 1 Kommunikation mit Ziel administrativ verboten (z.b. Firewall) 2 hinter Geltungsbereich der Quelladresse 3 Adresse nicht erreichbar 4 Port nicht erreichbar 5 Quelladressfehler Zugangsrechte 6 Ablehnen der Route zum Ziel 7 Fehler im Source Routing Header 2 - Packet Too Big Time Exceeded 0 - Hop Limit ausgelaufen 1 - Fragment Zusammenbau Zeit abgelaufen 4 - Parameter Problem 0 fehlerhaftes Header Feld 1 unerkannte Next Header 2 unerkannte IPv6 Option 3 erstes IPv6 Fragment hat unvollständige Headerkette im Router eingestellte MTU. Die MTU gibt dabei die maximale Rahmengröße eines Paketes in Bytes an. Für DSL Pakete ist die typische MTU <=1492. Abbildung 2 zeigt exemplarisch den Paketaufbau für den 2. Ein Parameter Problem (Abbildung 3) kann auftreten, wenn der zugehörige Knoten einen Fehler im Header bzw. Next Header feststellt. Die Nachricht wird zur Quelle zurückgesendet mit dem entsprechenden Code. Der Pointer ermittelt wo im aufzurufenden Paket der Fehler festgestellt wurde. C. ICMPv6 Statusinformationen Aufgrund der klaren Trennung von Status- und Fehlerinformationen ist den Statusinformationen der Bereich von 128 bis 159 zugeordnet (Cra). Der Bereich zwischen 160 und 199 ist noch nicht zugewiesen. Auch die Statusinformationen bieten zwei en für private Versuche (200 und 201). Für eine mögliche Erweiterung ist bisher die 255 geplant. Bei den Statusinformationen sind Codes zur weiteren Spezifizierung selten zu finden. Einzig die en 138 bis 140 benutzen diese Option. Die Bedeutung der einzelnen Codes für die en 138 bis 140 veranschaulicht Tabelle III Besonders interessante en von Statusinformationen sind jedoch die Nachrichtentypen 128 und 129, da mit ihnen die Erreichbarkeit von Knoten überprüft werden kann. Die Echo Request Message ist vom 128. Das Paket besteht aus 8 Bit und Code sowie einer Tabelle III STATUSINFORMATIONEN ICMPV6 Code Destination Unreachable 0 Kommando für Neunummerierung Router 1 Ergebnis Router Neunummerierung 255 Zurücksetzen der Sequenznummer ICMP Node Information 0 - Datenfeld beinhaltet IPv6 Query Adresse, die Teil der Abfrage ist 1 - Datenfeld beinhaltet Namen, der Teil der Abfrage oder leer ist 2 - Datenfeld beinhaltet IPv4 Adresse, die Teil der Abfrage ist ICMP Node Information 0 - erfolgreiche Antwort, Response Antwortdaten können leer sein 1 - Empfänger verweigert Antwort Antwortdaten sind leer 2 - Qtype der Anfrage unbekannt für Empfänger Antwortdaten sind leer 16 Bit Checksumme. Daran schließen sich ein 16 Bit Identifier und die genauso lange Sequenznummer an. Das Datenfeld bildet den Abschluss des Paketes. Der Identifier und die Sequenznummer helfen die passenden Echo Antworten zu den Anfragen zusammenzufügen. Dabei besteht jedoch die Möglichkeit, dass diese 16 Bit auch den Wert Null annehmen können. Die Echo Reply Message ist vom 129 und besitzt denselben Paketaufbau wie die Request Message. Der Identifier besteht aus der aufgerufenen Request Message ebenso verhält es sich mit der Sequenznummer. Ein Beispiel für Echo Request und Reply ist das Ausführen eines Ping Kommandos. Im enbereich von 133 bis 137 (Koz) (Sysa) werden die Nachrichten des Neighbor Discovery Protocols verschickt. Diese dienen dazu, einzelnen Netzwerkknoten bestimmte in Tabelle IV dargestellte Routinginformationen zu übermitteln. III. BEWERTUNG Die Vorteile von ICMPv6 liegen in der nun nicht mehr optionalen Integration dieses sehr wichtigen Protokolls zum Auslesen und Ermitteln von aufgetretenen Übertragungsfehlern. Des Weiteren können auf diese Art und Weise auch wichtige Statusinformationen zwischen einzelnen Knoten eines Netzwerkes ausgetauscht werden. Somit ist es nun möglich ein Netzwerk effizient zu analysieren und demzufolge auch die Konfiguration des selbigen hinsichtlich bestimmter selbst gewählter Parameter zu optimieren. Der Nachteil ist wie bei jedem Protokoll, dass dem Austausch von Informationen

3 BENJAMIN FIEDLER: INTERNET CONTROL MESSAGE PROTOCOL VERSION 6 3 Tabelle IV STATUSINFORMATIONEN ICMPV6 Beschreibung Router Solicitation Der Host fordert mit dem Senden der Nachricht ein Router Advertisement an Router Advertisment Senden vom Router an Multicast Adresse ff02::1 Alle Hosts erhalten Adresse des Routers dient Verbreitung von Routinginformationen Neighbor Solicitation Wird von Knoten gesendet um Link Layer Adresse des Zielknotens zu erhalten gleichzeitig wird die eigene Link Layer Adresse mitgeteilt Neigbor Advertisement Antworten auf Anfragen vom Redirect Router, dem das Paket gesendet wird stellt fest, dass eine bessere Route möglich ist, sendet an den Host eine Nachricht vom 137 zurück dient, der Sicherheitsaspekt. Mit einem Ängriffäuf das ICMPv6 ist es möglich Netzknoten durch Denial-of- Service Attacken zum Absturz zu bringen Nach RFC 4443 gibt es verschiedene Möglichkeiten ICMPv6 zu manipulieren und anzugreifen. Einige davon können mit der Integration geeigneter Sicherheitsmechanismen abgewehrt werden. Mit der Verwendung von IPv6 Authentifizierung (IPv6-AUTH) ist es nicht mehr möglich die Quelladresse einer ICMPv6 Nachricht zu manipulieren. Neben der Manipulation der Quelladresse ist es aber ebenso auch möglich die entsprechende Zieladresse zu ändern. Um dies zu vermeiden empfiehlt es sich als Teil der IPv6 Authentifizierung auch den Header separat zu verifizieren. Eine andere Variante zur Vermeidung eines Angriffs auf die Zieladresse ist die Verwendung eines gekapselten Security Payload headers. Dieser Header bietet allerdings keinen direkten Schutz. Indem er allerdings die Checksumme schützt, in der sowohl die Quell- als auch die Zieladresse hinterlegt sind bietet er einen Schutz gegenüber dieser Manipulationsmethode. Um die Datenintegrität zu gewährleisten empfiehlt sich ebenfalls die Integration von IPv6-AUTH. Ein beliebtes Angriffsziel sind Denial-of-Service (DoS) Angriffe. Dabei wird ein Knoten mit fehlerhaften IP-Pakten geflutet. Da fehlerhafte IPv6 Pakte eine ICMPv6 Nachricht erfordern, ist es notwendig dieses Szenario bestmöglich abzusichern, um die Funktionalität des Routers weiterhin gewährleisten zu können. Dazu kann im zugehörigen Knoten die Anzahl der ICMPv6 Nachrichten begrenzt werden um einer Überlastung vorzubeugen. Ein äußerst hohes Gefährdungspotential besitzt der Multicast Traffic. Multicast ist eine die Bandbreite schonende Technologie. Dabei wird z.b. ein Stream von einem einzelnen Teilnehmer mehreren Geräten gleichzeitig zur Verfügung gestellt (Sysb). Ein bereits infizierter Knoten kann auf diese Weise ein Paket mit unbekanntem Ziel emittieren. Die Quelladresse ist jedoch eine gültige Multicast Adresse. Nahezu alle Knoten, die das fehlerhafte Paket erhalten schicken eine ICMPv6 Fehlermeldung des s 4 zurück. Das infizierte Endgerät wird so durch eine DoS-Angriffe, die es selbst ausgelöst hat überlastet. Eine umsichtige Verwendung von Multicast ist deshalb absolut notwendig. Da die Verarbeitung von ICMPv6 Nachrichten auf einer höheren Schicht stattfindet ist es möglich auch auf diesen Schichten mithilfe von ICMP Angriffe durchzuführen. Deshalb ist eine Verifikation durch die übergeordneten Schichten empfehlenswert. IV. ZUSAMMENFASSUNG UND AUSBLICK ICMPv6 ist ein Protokoll dessen Verwendung es Administratoren ermöglicht, dass Netzwerk gezielt hinsichtlich bestimmter möglicher auftretender Fehler zu überwachen. Es ist sehr vielfältig was die Zahl der Fehlerund Statusinformationen anbelangt. Seit 2005 RFC 4443 verabschiedet wurde hat die IANA zahlreiche neue en und Codes festgelegt. Da in beiden Bereichen jedoch nach wie vor nicht alle Bitkombinationen des enfeldes genutzt werden ist für die Zukunft noch Platz für Erweiterungen. Bei den Fehlerinformationen sind derzeit die en von 102 bis 126 nicht zugewiesen und 127 ist bereits reserviert für eine noch nicht spezifizierte Fehlermeldung. Bei den Statusinformationen sind die en 160 bis 199 noch nicht zugewiesen und eine Reservierung besteht bereits für den 255. Jeder IPv6-fähige Internetknoten muss ICMPv6 unterstützen. Noch nutzen Endgeräte nicht ausschließlich IPv6 sondern ebenfalls IPv4. Da die Zahl von internetfähigen Geräten im Zuge der Digitalisierung jedoch weiter zunimmt, wird IPv4 trotz Erweiterungen des Adressraumes z.b. durch NAT zeitnah an seine Grenzen stoßen. Eine durchgehende Verwendung von IPv6 wird dann unumgänglich. Mit dieser Verwendung wird sich dann auch ICMPv6 durchsetzen. Da IPv6 340 Sextillionen Adressen bietet ist ein neuer IP Standard in absehbarer Zeit nicht nötig und somit wird wahrscheinlich auch ICMPv6 als Teil von IPv6 ein langer Begleiter im Bereich der Internetprotokolle bleiben. LITERATUR [Amb] AMBERG, Eric: Einführung in ICMPv6. Webseite,. Online erhältlich unter

4 4 DIE INTERNET-PROTOKOLLWELT, WINTERSEMESTER 2016/17 Abbildung 1. Der Paketaufbau Abbildung 2. Packet Too Big Abbildung 3. Parameter Problem einfuhrung-in-icmpv6/; abgerufen am 15. Januar 2017 [CDMG06] CONTA, A. ; DEERING, S. ; M. GUPTA, Ed.: Internet Control Message Protocol (ICMPv6) for the Internet Protocol Version 6 (IPv6) Specification / Network Working Group. Version: March (4443). Request for Comments [Cra] CRAWFORD, Matt: ICMPv6 - Tech Details Advantages. Webseite,. Online erhältlich unter icmpv6-parameters/icmpv6-parameters. xhtml#icmpv6-parameters-codes-4; abgrufen am 15. Januar 2017 [Das] DAS, Kaushik: Internet Control Message Protocol Version 6 (ICMPv6) Parameters. Webseite,. Online erhältlich unter ICMPv6.htm; abgerufen am 15. Januar 2017 [Kom] KOMPENDIUM, Elektronik: ICMPv6 - Internet Control Message Protocol Version 6. Webseite,. Online erhältlich unter sites/net/ htm; abgerufen am 15. Januar 2017 [Koz] KOZIEROK, Charles M.: ICMPv6 Redirect Messages. Webseite,. Online erhältlich

5 BENJAMIN FIEDLER: INTERNET CONTROL MESSAGE PROTOCOL VERSION 6 5 unter ICMPv6RedirectMessages.htm; abgerufen am 15. Januar 2017 [Sysa] SYSTEMS, Cisco: ICMPv6 Packet es and Codes. Webseite,. Online erhältlich unter docs/ip/routing-information-protocol-rip/ icmpv6codes.html; abgerufen am 15. Januar 2017 [Sysb] SYSTEMS, Cisco: IP Multicast Technology Overview. Webseite,. Online erhältlich unter docs/ios/solutions_docs/ip_multicast/ White_papers/mcst_ovr.html; abgerufen am 15. Januar 2017