Resumen

  • IPv6 encarece el barrido exhaustivo, pero una política predecible de identificadores puede reducir la búsqueda efectiva de 64 bits a familias mucho menores.
  • Para defender una red hay que reconciliar fuentes con puntos ciegos distintos; una dirección descubierta no demuestra identidad, propiedad, servicio activo ni intrusión.

Imaginemos una hoja vacía con 18 trillones de posiciones posibles para la parte de host de un /64. El dibujo sugiere anonimato. Ahora un administrador reserva ::1 para el router, entrega direcciones DHCPv6 en orden, conserva una parte de la antigua IPv4 y publica los servidores en DNS. La hoja sigue siendo enorme, pero la organización ha marcado con lápiz los rincones donde vale la pena mirar.

La trayectoria documental de Tim Chown captura ese cambio de perspectiva. En 2008, su RFC 5157 explicó que la baja densidad de hosts hacía mucho menos viable el escaneo tradicional que en IPv4. También advirtió que la imprevisibilidad no debía ser la única defensa y que convenía evitar numeraciones secuenciales.

En 2016, Chown y Fernando Gont publicaron RFC 7707, que dejó obsoleto aquel texto. No concluyeron que fuese sencillo recorrer un /64 completo. Reformularon la tarea: el atacante no necesita recorrerlo si puede inferir cómo se generan las direcciones o recoger direcciones ya observadas en otros sistemas.

Del universo nominal al conjunto de candidatos

La diferencia entre 64 bits de longitud y 64 bits de incertidumbre es el centro del problema. RFC 7707 muestra que un servidor DHCPv6 secuencial puede dejar solo ocho o dieciséis bits útiles para explorar. Las direcciones manuales con bytes bajos —::1, ::2 y variantes— concentran equipos en espacios que a menudo caben en 2^8 o 2^16 intentos. Las direcciones que incorporan una IPv4 reducen la búsqueda al prefijo IPv4 correspondiente. Las que incorporan un puerto de servicio añaden otra convención reconocible.

Los identificadores SLAAC antiguos basados en Modified EUI-64 pueden revelar el OUI del fabricante. Con ese dato, algunos escenarios se reducen a una familia de 24 bits; ciertos rangos de máquinas virtuales son aún más estrechos. Los números describen condiciones concretas, no una garantía de hallazgo ni una velocidad universal.

Por eso la política de asignación forma parte de la superficie de control. Una dirección estable puede ser necesaria para un servidor y, al mismo tiempo, no tiene por qué revelar la MAC ni seguir una serie humana. RFC 8064 recomienda como opción predeterminada los identificadores estables y semánticamente opacos de RFC 7217. Conservan estabilidad dentro del ámbito previsto y reducen correlación y predictibilidad. No son un cortafuegos: un servicio publicado sigue siendo público.

La enumeración que no envía paquetes

La búsqueda puede comenzar en el DNS. Los registros de correo y web entregan objetivos legítimamente publicados. Una transferencia de zona abierta, un diccionario de nombres o la estructura del DNS inverso amplían la muestra. Archivos públicos, índices de búsqueda y sistemas entre pares pueden contener direcciones recogidas durante una actividad anterior.

Desde dentro aparecen otras huellas. La caché de vecinos registra participantes del enlace. Las tablas y protocolos de encaminamiento muestran prefijos e infraestructura. Los ficheros de configuración y los registros guardan dependencias. IPFIX reúne direcciones origen que cruzaron un exportador. SNMP, traceroute6 y la observación pasiva aportan perspectivas adicionales.

Ninguna perspectiva equivale a un censo. El DNS certifica que alguien publicó una relación entre nombre y dirección, no que el servicio responda hoy. IPFIX solo ve tráfico que cruza su punto de medida y no ve direcciones link-local. Una caché de vecinos es local y envejece. Una sonda que recibe respuesta prueba una interacción bajo unas condiciones; el silencio también puede ser filtrado, reposo o falta de tráfico.

Es importante conservar esas fronteras porque las afirmaciones son distintas. «Existe una dirección» no equivale a «este dispositivo la usa». «Este dispositivo la usó» no equivale a «este equipo administra el servicio». Y ninguna de ellas demuestra que haya ocurrido un ataque.

El inventario defensivo exige más pruebas

El adversario puede detenerse tras hallar un objetivo. El operador necesita conocer los que faltan. RFC 9099 convierte esa asimetría en una obligación operativa: el amplio espacio IPv6 dificulta también el inventario propio.

El RFC propone combinar técnicas. IPFIX encuentra con eficiencia nodos que transmitieron a través del router observado, pero omite nodos silenciosos y tráfico de alcance local. Las cachés de vecinos recuperan participantes del enlace. Una consulta multicast a todos los nodos puede servir en un segmento. DNS, registros y descubrimiento de servicios añaden fuentes que responden a preguntas diferentes.

La práctica madura no busca un «scanner definitivo». Confronta el inventario autorizado de IPAM y DHCPv6 con la política SLAAC; contrasta ambos con vecinos, conmutadores y flujos observados; revisa DNS y el catálogo de servicios; y valida activamente solo los candidatos que necesitan confirmación.

Las discrepancias generan trabajo. Una dirección observada sin asignación puede señalar un activo no gestionado. Una asignación nunca vista puede estar obsoleta, silenciosa o fuera del punto de medida. Un registro público sin dueño puede ser exposición abandonada. El sistema debe abrir una investigación y conservar la procedencia, no convertir una diferencia en atribución automática.

El aporte de Chown es, en último término, metodológico. Sustituye dos certezas cómodas —«IPv6 se escanea igual que IPv4» y «IPv6 es demasiado grande para ser descubierto»— por una pregunta verificable: ¿qué lista produce cada mecanismo y qué población deja fuera?

Fuentes