10. Security Considerations (Sicherheitsüberlegungen)
10.1 Integrität des Paket-Headers
Der IPsec-Authentifizierungs-Header (Authentication Header, AH), definiert in [RFC4302], kann verwendet werden, um die Integrität der IPv6-Header-Felder des Pakets und der Erweiterungsheader sowie der Nutzlastdaten bereitzustellen.
10.2 Paketvertraulichkeit
Die IPsec-Encapsulating-Security-Payload (ESP), definiert in [RFC4303], kann verwendet werden, um die Vertraulichkeit der Paket-Nutzlastdaten und optional die Verkehrsfluss-Vertraulichkeit bereitzustellen.
Beachten Sie jedoch, dass die IPv6-Header-Felder und alle Erweiterungsheader, einschließlich des Routing-Headers, nicht durch ESP geschützt sind. Daher muss sich der Empfänger bewusst sein, dass die Werte dieser Felder während des Transports möglicherweise geändert wurden.
10.3 Verkehrsanalyse
Ein passiver Lauscher kann möglicherweise Informationen über den IPv6-Verkehr ableiten, indem er die unverschlüsselten Felder beobachtet, wie das Traffic-Class-Feld, das Flow-Label-Feld, die Quell- und Zieladressen, das Payload-Length-Feld und das Next-Header-Feld.
Die Verkehrsfluss-Vertraulichkeitsfunktion von ESP, wie in [RFC4303] beschrieben, kann verwendet werden, um eine solche Informationsoffenlegung zu mildern.
10.4 Routing-Header
Der Missbrauch des Routing-Headers kann zu Denial-of-Service-Angriffen (DoS) und anderen Sicherheitsproblemen führen. [RFC5095] macht die Verwendung von Routing-Header-Typ 0 obsolet und spezifiziert, dass IPv6-Knoten Pakete mit diesem Typ von Routing-Header nicht (MUST NOT) weiterleiten dürfen.
10.5 Fragmentierung
Fragmentierung kann die Quelle verschiedener Sicherheitsprobleme sein. Angreifer können versuchen, fragmentierte Pakete zu verwenden, um Firewalls und andere Sicherheitsmechanismen zu umgehen. Darüber hinaus erfordert die Wiederzusammensetzung von Fragmenten Speicherressourcen und kann für Denial-of-Service-Angriffe ausgenutzt werden.
Implementierer sollten (SHOULD) Schutzmaßnahmen gegen den in [RFC5722] beschriebenen Angriff mit sich überlappenden Fragmenten implementieren.
10.6 Länge der IPv6-Header-Kette
Sehr lange Erweiterungsheader-Ketten können Verarbeitungsressourcen verbrauchen und für Denial-of-Service-Angriffe ausgenutzt werden. Implementierer sollten (SHOULD) in Erwägung ziehen, Grenzen für die maximale Länge der Erweiterungsheader-Ketten zu setzen, die sie akzeptieren.