Du point de vue du pare-feu, il est important de réaliser que IPv4 et IPv6 (si activé) sont configurés sur un système et ce n'est pas toujours le cas.

D'après mon expérience, j'ai pu contourner les pare-feu (internes). Dans un scénario, sur une machine Linux, iptables était configuré cependant, ip6tables ne l'était pas, ce qui exposait des services (vulnérables) qui n'étaient pas disponibles sur IPv4.

Étant donné que la plupart des services se lient à 0.0.0.0 et [:: ]: [port] (chaque interface), ces services sont également disponibles sur IPv6.

Donc, oui, il est important d'envisager de désactiver IPv6 si vous ne l'utilisez pas. Si vous l'utilisez, vous ou les administrateurs en général devez savoir que (au moins sur les serveurs Linux) une configuration supplémentaire du pare-feu est nécessaire.

Et avant de commencer que les administrateurs doivent en être conscients, vous êtes tout à fait correct. Cependant, par expérience, il manque beaucoup de connaissances IPv6 parmi les administrateurs système.

Il n'y a pas d'avantage spécifique à désactiver IPv6. En particulier, IPv6 n'est pas plus vulnérable que IPv4, je dirais plutôt qu'il est plus sécurisé (par exemple: IPv6 suggère de prendre en charge IPSec).

Le fait est que tout en renforçant votre système d'exploitation, la philosophie générale recommande de supprimer tous les services / outils inutilisés. Cela permet un meilleur contrôle de votre O.S., d'améliorer les performances (de manière générique) et de réduire la probabilité que les attaquants puissent exploiter d'éventuels bogues ou erreurs de configuration du logiciel et obtenir un contrôle / accès (partiel) du / au système. Ainsi, la suppression d'un IPv6 inutilisé n'est qu'une action générique recommandée pour finaliser le durcissement.

Le conseil est bien intentionné mais daté.

IPv6 est spécifiquement conçu pour être très facile à configurer et à administrer, beaucoup plus facile que IPv4. Il possède de nombreuses fonctionnalités destinées à permettre aux hôtes et à des réseaux entiers d'être configurés automatiquement ou facilement configurés de manière centralisée. Dans de nombreux cas, il est possible que des réseaux entiers obtiennent soudainement une connectivité IPv6 à Internet dès qu'il est amené à la périphérie du réseau, ce qui peut surprendre certaines personnes.

Ce conseil visait historiquement à protéger les administrateurs à la fois d'eux-mêmes - comme ils peuvent ne pas être familiers avec les fonctionnalités IPv6 - et des acteurs malveillants - comme quand ils obtiennent enfin la connectivité IPv6 à Internet, les appareils tenteront de se configurer automatiquement et réussiront parfois. De plus, certaines versions de Windows tentent d’établir des tunnels IPv6 vers Internet hors de la boîte, surprenant encore une fois certains utilisateurs et administrateurs. (En passant, la désactivation de ces tunnels est presque toujours une bonne idée à moins qu'ils ne soient spécifiquement souhaités.)

Et comme d'autres l'ont mentionné, certains anciens pare-feu d'il y a 5 à 10 ans ou plus ne se configuraient pas correctement eux-mêmes au pare-feu IPv6 en plus de IPv4. Ce n'est pas un problème aussi grave aujourd'hui, car ces anciens appareils deviennent de plus en plus rares chaque jour qui passe.

De nos jours, la plupart des gens utilisent réellement IPv6 même s'ils n'ont pas de connectivité IPv6 globale. Windows 8 et les versions ultérieures utilisent largement IPv6 sur les réseaux domestiques, et certaines fonctionnalités de Windows nécessitent absolument IPv6.

Du point de vue de l'équilibre entre fonctionnalité et sécurité, il serait préférable de conseiller aux utilisateurs de assurez-vous qu'IPv6 est pare-feu en fonction de IPv4, même s'ils n'ont pas de connectivité IPv6 globale. Cela préserverait la fonctionnalité IPv6 qui existe déjà tout en protégeant les utilisateurs lorsqu'ils obtiendront enfin une connectivité IPv6 globale.

Réponse courte: Oui, mais pour le meilleur effet, vous devez également désactiver IPv4.

Réponse sérieuse: Si vous n'utilisez pas un protocole activement mais acceptez les paquets, vous augmentez le risque. La chose la plus évidente est la pile réseau, car elle doit traiter les paquets même si rien n'utilise IPv6.

Mais le risque réel est que vous utilisiez effectivement IPv6, mais pas activement. Vous n'utilisez peut-être pas IPv6, mais certains de vos programmes ouvrent des sockets d'écoute sur IPv6 (et IPv4 également) et traiteront les paquets entrants. Encore une fois, vous avez une complexité supplémentaire (traitent-ils les paquets v6 aussi prudemment que ceux v4?) Et vous pouvez avoir un bon pare-feu IPv4 mais j'ai oublié les règles appropriées pour la v6 car vous pensiez ne pas l'utiliser de toute façon.

Et un autre "Êtes-vous sûr de ne pas l'utiliser": vous ne pouvez pas l'utiliser activement , mais des programmes comme votre navigateur l'utiliseront s'il est disponible. Lorsque vous bloquez maintenant, par exemple, certains sites Web de suivi au niveau IP, ils peuvent être chargés à partir de leur adresse IPv6 et votre pare-feu ne vous protège pas contre cela jusqu'à ce que vous ajoutiez les règles v6 correspondantes.

Avoir ceci dit, vous ne devez pas désactiver IPv6. De plus en plus d'Internet l'utilise et sa désactivation ralentira d'abord votre réseau et vous empêchera tôt ou tard d'accéder à certains services. Assurez-vous simplement d'ajuster également votre pare-feu pour IPv6 lorsque vous ajoutez des règles pour IPv4.

De nombreuses applications dépendent du support IPv6 même si elles ne l'utilisent pas. Ils utilisent par exemple des sockets IPv6. La désactivation complète d'IPv6 en supprimant le module du noyau ipv6 cassera des choses.

Il est préférable de s'assurer qu'IPv6 est correctement protégé par un pare-feu, en tenant compte du fait qu'IPv6 est toujours présent sur la liaison locale même si aucun autre IPv6 les adresses sont configurées. Les distributions Linux les plus récentes ont un pare-feu décent (généralement ufw ou firewalld) activé par défaut qui filtrera à la fois IPv4 et IPv6.

En bref: il vaut mieux reconnaître la présence d'IPv6 et le gérer / le filtrer que d'essayer de l'ignorer ou de s'en débarrasser et de causer d'autres problèmes.

Si vous n'en avez pas besoin légitimement, IPv6 ne servira que de canal supplémentaire pour que les exploits pénètrent dans votre réseau et que vos données s'exfiltrent sans être détectées. La règle générale de sécurité est de désactiver tout ce dont vous n'avez pas besoin.

Même si vous le bloquez au niveau du pare-feu de périmètre, un attaquant pourrait compromettre un hôte (peut-être DMZ?) sur IPv4 et se propage via IPv6 de l'intérieur.

La plupart des pare-feu et des produits IDS ont maintenant un support IPv6 décent, donc les préoccupations initiales concernant une mauvaise surveillance IPv6 sont pour la plupart dépassées.

Quoi qu'il en soit, c'est mieux vaut refuser à un adversaire l'opportunité en la désactivant. S'il ne peut pas être désactivé, limitez IPv6 sur le pare-feu local afin qu'il n'autorise la communication locale / en boucle que pour les applications qui nécessitent des sockets IPv6.

C'est un principe de sécurité général pour désactiver toute fonctionnalité qui n'est pas utilisée. Considérez également qu'IPv6 a IPSec intégré et peut être une meilleure option que IPv4 par défaut.

C'est fondamentalement la même chose que ce qui a été dit, mais disons les choses de cette façon:

Option 1 : utilisez IPv6, et faites le même effort pour le configurer et le sécuriser comme vous le faites IPv4.

Option 2 : ne l'utilisez pas et désactivez-la.

Les deux sont tout à fait raisonnables et sont bien meilleurs position à prendre que l'option 3: n'utilisez pas IPv6, mais ignorez-le dans vos règles de pare-feu et dans la configuration de votre service, et laissez-le complètement ouvert.

En d'autres termes, le conseil est bon, et c'est ne recommande pas vraiment d'utiliser IPv6 si vous souhaitez spécifiquement l'utiliser, mais il met plutôt en garde les personnes qui ne l'utilisent pas contre le piège de l'ignorer, et de ne pas lui donner le même examen que vous faites votre configuration IPv4. Ces personnes feraient mieux de la désactiver.

Du point de vue de la sécurité, moins c'est mieux quand il s'agit de logiciels et d'applications. IPV6 doit être désactivé sauf si vous déployez actuellement un réseau IPv6. Gardez à l'esprit que si je comprends bien, toutes les adresses IPv4 ont été distribuées et IPv6 arrive sur les lieux et d'autres vous conseillent de laisser le protocole IPv6 activé. Je ne suis pas d'accord! Lorsque vous avez besoin du protocole, activez-le. Il en va de même pour les applications et les ports.

Il y a des côtés différents à cela.

Tout d'abord, d'un point de vue purement statistique, plus vous ouvrez de points d'accès / portes, plus votre système devient vulnérable. Cependant, cela est vrai pour la plupart des services.

Plus spécifiquement, cependant, IPv6 n'a pas encore été implémenté à une échelle suffisamment grande pour pouvoir comprendre pleinement ses vulnérabilités et les corriger, même les meilleurs experts en IP. n'ont pratiquement aucune expérience concrète sur le terrain en matière d'IPv6.

En plus de cela, IPv6 gère certaines opérations d'une manière radicalement différente de celle d'IPv4 et cela a créé de nouvelles opportunités pour les attaquants ... Un très bien La vulnérabilité connue, par exemple, provient de la manière différente dont un routeur envoie des publicités IPv6, ce qui fait d'un LAN une cible DOS IPv6 très facile, voir IPv6 Router Advertisement DOS.

Entier des suites d'outils, destinées à exploiter les vulnérabilités d'IPv6, sont facilement disponibles partout sur Internet.

Je m'assure toujours qu'IPv6 est désactivé sur tous mes appareils. Pourquoi prendre des risques inutiles, pour quelque chose que personne n'utilise / ne supporte pas encore?