Tecnologia IPV6

IPv6: Nova alvorada para o protocolo Internet
tocolos IPv4 e IPv6. As versões mais recentes de vários sistemas
operacionais também são compatíveis, como as distribuições
Linux e Microsoft Windows.
Durante a criação do IPv6 foram idealizados diversos procedimentos
de transição, organizados em três categorias
principais:
• Pilha dupla (Dual-stack): neste mecanismo, os dispositivos
suportam simultaneamente as duas pilhas de protocolos, permitindo
que hosts IPv6 se comuniquem com hosts IPv4 e vice-versa
(Figura 15). Esta técnica exige duas tabelas de roteamento com
funções de administração e gerenciamento similares, sendo que
os hosts também possuem dois endereços configurados em sua
interface. É muito utilizada, pois, atualmente, grande parte dos
hardwares e softwares de rede possuem suporte IPv4 e IPv6.
Além disso, permite que a implantação deste último seja feita
sem mudanças na arquitetura de redes atual;
Figura 15. Comparação entre a pilha IPv4 e a pilha dupla IPv4/IPv6
• Túneis (Encapsulation): neste método, um pacote IPv6 é transmitido
como parte dos dados de um pacote IPv4, criando um túnel
entre os nós (Figura 16). No futuro, este túnel também suportará
o inverso, ou seja, redes IPv4 conectadas por redes IPv6. É importante
notar que, nos dois cenários, os nós nas extremidades do
túnel devem ser compatíveis com ambos os protocolos.
Figura 16. IPv6 sobre túnel IPv4
• Traduções: nesta técnica, um dispositivo com suporte aos
protocolos IPv4 e IPv6 interage com os demais nós que desejam
estabelecer a comunicação, traduzindo os pacotes IPv6 em IPv4
e vice-versa.
20 Infra Magazine • Edição 03
A coexistência entre as diferentes versões do IP aumenta ainda
mais as preocupações com as questões relacionadas à segurança
dos dados, pois, como diversos tipos de transações ocorrem
por meio da infraestrutura suportada por estes protocolos, as
informações podem ser capturadas e alteradas por usuários malintencionados.
Assim, a próxima seção apresentará os principais
aspectos de segurança em redes IPv6.
Segurança da informação em redes IPv6
Originalmente, o IPv4 visava o estabelecimento da comunicação
entre os computadores dos centros militares e os de pesquisa, ou
seja, as informações percorriam somente locais seguros e com
acesso restrito. Posteriormente, seu uso comercial demandou um
nível maior de segurança, que possibilitasse a identificação dos
usuários e a privacidade dos dados transmitidos. Neste contexto, o
IPSec (IP Security) foi criado para prover os seguintes serviços:
• Autenticação: para ratificar a identidade das partes envolvidas
na troca de mensagens;
• Integridade: garantindo que os dados não fossem alterados
durante sua passagem pelos diferentes dispositivos de rede;
• Privacidade: restringindo a compreensão da mensagem somente
ao emissor e ao destinatário da comunicação por intermédio de
técnicas de criptografia;
• Não-repúdio: para impedir que as partes envolvidas na comunicação
negassem sua participação no evento.
O IPSec, suportado opcionalmente pelo IPv4, foi desenvolvido
como parte integrante do IPv6, através dos cabeçalhos de extensão
AH (Authentication Header) – usado para autenticar o emissor
dos dados e assegurar a integridade dos mesmos – e ESP (Encapsulation
Security Payload) – empregado para prover privacidade
entre o originador e o receptor dos dados.
Entretanto, para que duas entidades possam se comunicar
utilizando o IPSec, é necessário estabelecer uma associação de
segurança (AS) para determinar os algoritmos a serem configurados,
as chaves criptográficas, o tempo de expiração destas chaves,
entre outras especificações. As associações de segurança podem
ser estáticas ou dinâmicas: no primeiro caso, os parâmetros são
configurados manualmente no emissor e no destinatário; já no
segundo, são determinados automaticamente por protocolos como
o IKE (Internet Key Exchange).
A seguir são ilustrados dois exemplos de ataques comumente
observados em redes IPv4 e a maneira como são mitigados pelo
IPv6/IPSec:
• IP Spoofing: técnica que consiste no envio de pacotes com o
endereço de origem adulterado. Desta maneira, os pacotes de
retorno nunca regressam para o falsificador. No IPv6, o cabeçalho
de extensão AH obriga o usuário mal-intencionado a calcular um
hash (Nota DevMan 5) semelhante àquele que seria gerado entre
a entidade falsificada e a vítima; no entanto, para a obtenção deste,
seria necessário conhecer os parâmetros da AS, incluindo as
chaves criptográficas e os algoritmos. Assim, caso a vítima receba
um pacote com o hash incorreto, esta deve descartá-lo;