Zusammenfassung

  • Ein /64 lässt sich praktisch nicht vollständig durchmustern; vorhersehbare Interface-Identifier können den tatsächlich interessanten Suchraum dennoch auf erheblich kleinere Familien reduzieren.
  • DNS, Flowdaten, Neighbor Caches und aktive Sonden sehen unterschiedliche Populationen. Ein gefundener Adresswert belegt weder Geräteidentität noch Vollständigkeit des Bestands.

Für den Betrieb ist ::1 angenehm. Die Adresse lässt sich am Telefon nennen, in einem Ticket erkennen und in einer Konfiguration wiederfinden. Werden Router, DNS-Dienste, Server und DHCPv6-Pools nach solchen Regeln nummeriert, entsteht nebenbei eine zweite Funktion: Der Adressplan wird zum Index für Beobachter.

Tim Chown steht für eine bemerkenswerte Korrektur dieses Themenfelds. Sein RFC 5157 von 2008 erklärte, weshalb die geringe Hostdichte in IPv6-Subnetzen klassische Scans gegenüber IPv4 stark erschwert. Schon damals warnte der Text davor, sich ausschließlich auf die Unvorhersehbarkeit zu verlassen, und empfahl, fortlaufende Nummern zu vermeiden.

2016 veröffentlichte Chown zusammen mit Fernando Gont den RFC 7707, der das frühere Dokument formell ablöste. Nicht die Größe des /64 hatte sich geändert. Geändert hatte sich die Betriebserfahrung: Ein Aufklärer muss nicht jeden möglichen Interface-Identifier prüfen, wenn er die Erzeugungsregeln erkennen oder bereits beobachtete Adressen aus anderen Quellen beziehen kann.

64 Bit Feldbreite sind nicht 64 Bit Ungewissheit

RFC 7707 beschreibt bedingte Verkürzungen. Vergibt ein DHCPv6-Server fortlaufende Werte, können acht oder sechzehn variable Bits für die Suche genügen. Bei Low-Byte-Adressen stehen die höheren Teile meist auf null; viele Systeme liegen dann in Bereichen von 2^8 oder 2^16 Versuchen, für dieses Muster nennt der RFC 2^24 als ungünstigen Fall. Integriert eine Adresse den früheren IPv4-Wert, übernimmt sie dessen kleineren Kandidatenraum. Kodiert sie eine Dienstportnummer, verrät die Funktion selbst eine Vermutung.

Ältere SLAAC-Verfahren auf Basis von Modified EUI-64 können außerdem die Herstellerstruktur des OUI offenlegen. Ist der Hersteller bekannt, sinkt die Suche in bestimmten Fällen auf eine 24-Bit-Familie; bei einzelnen Virtualisierungsplattformen können die Bereiche noch enger sein. Solche Zahlen sind keine allgemeine Erfolgsformel. Sie gelten nur, wenn die konkrete Implementierung das jeweilige Muster tatsächlich erzeugt.

Damit ist die Adressvergabe eine Sicherheitssteuerung. Sie bestimmt, wie viel sich aus einer einzelnen Beobachtung ableiten lässt. Ein /64 voller merkbarer Werte behält seine nominelle Größe, nicht aber seine nominelle Ungewissheit.

RFC 8064 empfiehlt deshalb die stabilen, semantisch opaken Identifier nach RFC 7217 als SLAAC-Voreinstellung anstelle eingebetteter stabiler Link-Layer-Adressen. Sie erhalten die betriebliche Stabilität innerhalb des vorgesehenen Netzes und verringern Korrelation, Scanning und gerätespezifische Risiken. Ein Zugriffsschutz werden sie dadurch nicht. Veröffentlichte oder im Verkehr sichtbare Dienste bleiben auffindbar.

Aufklärung ohne Suchpaket

Öffentliches DNS nennt Webserver und Mail-Relays absichtlich. Offene Zonentransfers, erratbare Hostnamen und die Struktur des Reverse DNS können die Liste erweitern. Öffentliche Archive, Suchindizes und Peer-to-Peer-Systeme speichern weitere Adressen, die bereits benutzt wurden.

Im lokalen Netz sind die Spuren dichter. Der Neighbor Cache zeigt kürzlich gesehene Teilnehmer eines Links. Routingtabellen und -protokolle zeigen Präfixe und Infrastruktur. Konfigurationsdateien und Logs erinnern sich an Abhängigkeiten. IPFIX sammelt Quelladressen, die einen bestimmten Exporter passiert haben. SNMP, traceroute6 und passive Verkehrssicht liefern zusätzliche Perspektiven.

Keine Perspektive ist ein Zensus. Ein DNS-Eintrag belegt Veröffentlichung, nicht gegenwärtige Erreichbarkeit. IPFIX sieht nur Verkehr am gewählten Messpunkt und übersieht stille Geräte sowie Link-Local-Kommunikation. Ein Neighbor Cache ist lokal und altert. Eine Antwort auf eine Sonde belegt eine Reaktion unter konkreten Paket- und Filterbedingungen; Schweigen kann Abwesenheit, Filterung, Schlafzustand oder die falsche Sonde bedeuten.

Entdeckte Adresse, identifiziertes Gerät, aktiver Dienst, administrative Verantwortung und Kompromittierung sind deshalb getrennte Aussagen. Ohne Herkunft, Zeitpunkt und Reichweite werden sie zu einer scheinbar präzisen, tatsächlich aber unbelegten Gesamterzählung.

Der Verteidiger muss die Lücke erklären

Dem Angreifer reicht ein Ziel. Der Betreiber muss wissen, was in seiner Liste fehlt. RFC 9099 macht aus dieser Asymmetrie eine Aufgabe des sicheren Betriebs: Der große Raum erschwert auch die eigene Inventur.

IPFIX findet effizient Knoten, die über den beobachteten Router gesendet haben, aber keine stillen Knoten und keine Link-Local-Adressen. Neighbor Caches ergänzen die Sicht eines Links. Eine All-Nodes-Multicast-Anfrage kann auf einem lokalen Segment weitere Antworten liefern. DNS, Logs und Service Discovery füllen andere Ausschnitte. Keine Methode schließt das Inventar allein.

Die belastbare Kontrolle ist daher ein Abgleich. IPAM und DHCPv6-Historie beschreiben die autorisierte Sollseite. SLAAC- und Router-Advertisement-Regeln zeigen, was entstehen kann. Nachbar- und Switch-Beobachtungen zeigen lokales Auftreten. Flowdaten zeigen ausgewählte Übergänge. DNS und Dienstkatalog beschreiben absichtliche Veröffentlichung. Aktive Prüfungen testen, ob ein Kandidat jetzt reagiert.

Abweichungen sind Hinweise. Eine beobachtete, aber nicht zugewiesene Adresse kann zu einem unverwalteten Gerät gehören. Eine nie gesehene Zuweisung kann veraltet, still oder außerhalb des Messpfads sein. Ein öffentlicher AAAA-Eintrag ohne Verantwortlichen kann vergessene Exposition markieren. Die Abweichung eröffnet eine Untersuchung; sie liefert noch keine Attribution.

Chowns Dokumentenfolge ersetzt damit zwei bequeme Irrtümer durch eine prüfbare Methode. IPv6 ist weder ein größeres IPv4, das vollständig abgetastet wird, noch ein unsichtbarer Raum. Jede Quelle muss ausweisen, welche Kandidaten sie erzeugt und welche Population sie nicht sehen kann.

Quellen