Seguridad

Retos en seguridad con IPv6

El lanzamiento global del protocolo IPv6 el 6 de junio marca el comienzo de una nueva era en la evolución y la adopción generalizada de la infraestructura de internet en todo el mundo.

En el Día Mundial IPv6 celebrado el año pasado tuvimos ocasión de ver una muestra de lo que nos depara el futuro. Esta iniciativa, encabezada por la Internet Society, movilizó, durante 24 horas, a más de 1.000 sitios web, empresas de tecnología y proveedores de Internet para cambiar colectivamente a IPv6 en un esfuerzo para "probar" el nuevo protocolo e identificar y mitigar los posibles errores que pudieran surgir durante el lanzamiento real.

El 6 de junio de 2012, las principales compañías tecnológicas y los líderes del mundo Web como Google, Facebook y Yahoo!, entre otros, darán el salto al nuevo protocolo de Internet en el lanzamiento oficial a nivel global. Esta vez, IPv6 viene para quedarse.

La transición es cada vez más necesaria. El actual protocolo IPv4, que puede gestionar alrededor de 3.700 millones de direcciones, se ha quedado sencillamente sin espacio suficiente para dar cabida a nuevas direcciones, gracias, sobre todo, a la explosión de los dispositivos móviles. Por el contrario IPv6 cuenta con una capacidad ilimitada para ofrecer direcciones y adaptarse rápidamente al crecimiento global de internet y las infraestructuras móviles.

Ante el inminente lanzamiento del protocolo IPv6 a nivel mundial, los investigadores y profesionales de TI se están anticipando a algunos cambios, especiRetos en seguridad con IPv6 (Acacio Martín, Fortinet)almente en lo que concierne a la seguridad de las redes.

Por un lado, la relativa novedad y la falta de conocimiento en torno al protocolo IPv6, conllevarán, inevitablemente, errores de configuración, problemas de compatibilidad y otros fallos de implementación. No hay el mismo conocimiento sobre IPv6 que sobre IPv4, un protocolo con el que hemos coexistido desde hace décadas.

Pero quizás el mayor problema de seguridad es que muchos dispositivos de seguridad de red están equipados con las capacidades que les permiten reenviar el tráfico IPv6, pero no inspeccionarlo. Y, dado que IPv6 está habilitado por defecto en muchas plataformas de redes actuales - como Windows 7 - los sistemas compatibles con IPv6 ya están instalados en sus redes.

La mayoría de los sistemas que no están habilitados para IPv6 tienen la capacidad de gestionar otros trabajos, es decir, envolver un paquete IPv6 con un encabezado IPv4. Esto supone que pueden leer la cabecera, pero no el contenido del propio paquete. Por lo tanto no pueden realizar la clásica inspección en profundidad, tan sólo redireccionar el paquete. Sólo cuando disponen de una implementación en doble pila son capaces de permitir, simultáneamente, la funcionalidad de red de seguridad para la inspección del proceso y la inspección de los paquetes desde ambos protocolos, IPv4 e IPv6.

Hay proveedores que ofrecen esta funcionalidad, pero no todos, siendo uno de los riesgos a los que se enfrentan los responsables de seguridad. Es básico asegurarse que nuestra solución de seguridad es capaz de inspeccionar el tráfico IPv6. Si sólo se puede reenviar el tráfico IPv6, podremos estar transmitiendo contenido malicioso.

Incluso con una implementación en doble pila, las organizaciones necesitan determinar si las características habilitadas para el protocolo IPv4 también las tienen para IPv6. Si no es así, los dispositivos de seguridad de red podrían pasar por alto elementos clave del tráfico malicioso que, potencialmente, podrían comprometer su red.

Algunas de las políticas y tecnologías en IPv4 en las que confiamos sólo son válidas en IPv4 y no en IPv6, lo que supone que pueda haber algunas lagunas de seguridad. Mejorar la infraestructura de las redes de seguridad para dar cabida a IPv6 no es una empresa fácil y probablemente tardaremos tiempo en adaptarnos. Por ello, muchas organizaciones, frente a una actualización de hardware supuestamente costosa y larga, no tienen intención de adoptar IPv6 a corto plazo.

Pero no es posible rehuir el problema por mucho tiempo. Tras el lanzamiento del 6 de junio, llegará mucho más tráfico IPv6 a sus redes. Cuando el tráfico en IPv6 suponga entre un 5 y 10 por ciento de los datos - en lugar de una fracción de un uno por ciento – será más difícil justificar la inercia. Los CIOs necesitan empezar ya a reflexionar sobre los retos que se les plantean.

Por Acacio Martín, Director General de Fortinet Iberia



TE PUEDE INTERESAR...

Nuevo número de nuestra revista de canal 
 
DealerWorld Digital

 

Cobertura de nuestros encuentros

 

Documentos ComputerWorld



Forma parte de nuestra comunidad

 

¿Te interesan nuestras conferencias?