วิธีการค้นพบที่อยู่ IPv6 และชื่อ AAAA โดยผู้โจมตีที่อาจเกิดขึ้น?

เป็นเรื่องปกติที่จะได้รับการแฮ็คจำนวนเล็กน้อยในแต่ละวันโดยพยายามใช้ชื่อผู้ใช้ / รหัสผ่านทั่วไปสำหรับบริการต่างๆเช่น SSH และ SMTP ฉันคิดว่าความพยายามเหล่านี้มักจะใช้พื้นที่ที่อยู่ "เล็ก" ของ IPv4 เพื่อคาดเดาที่อยู่ IP ฉันสังเกตเห็นว่าฉันได้รับความพยายามในการแฮ็คเป็นศูนย์บน IPv6 แม้ว่าโดเมนของฉันจะมีระเบียนชื่อ AAAA ที่สะท้อนทุกรายการชื่อ A และบริการ IPv4 ทั้งหมดก็จะเปิดเป็น IPv6 เช่นกัน

สมมติว่า DNS สาธารณะ (AWS เส้นทาง 53) มีโดเมนย่อยที่ไม่ชัดเจนชี้ไปที่ส่วนต่อท้ายแบบสุ่ม / 64 ที่สมเหตุสมผล ที่อยู่ IPv6 และ / โดเมนย่อยสามารถค้นพบจากระยะไกลได้โดยไม่ต้องลองทุกที่อยู่ในส่วนนำหน้า / 64 บิตหรือทุกโดเมนย่อยในรายการชื่อทั่วไปที่ยาวมาก?

ฉันรู้แน่นอนว่าการรวบรวมข้อมูลเว็บเพื่อค้นหาชื่อโดเมนย่อย (sub) นั้นง่ายพอ ฉันยังทราบว่าเครื่องในซับเน็ตเดียวกันสามารถใช้ NDP ได้ ฉันสนใจว่า DNS หรือโปรโตคอลพื้นฐานของ IPv6 อนุญาตให้ค้นพบ / แสดงรายการโดเมนและที่อยู่ที่ไม่รู้จักตามระยะไกลได้หรือไม่

บอทที่เป็นอันตรายไม่ต้องเดาที่อยู่ IPv4 อีกต่อไป พวกเขาลองพวกเขาทั้งหมด ในระบบที่ทันสมัยอาจใช้เวลาเพียงไม่กี่ชั่วโมง

ด้วย IPv6 สิ่งนี้เป็นไปไม่ได้อีกต่อไปตามที่คุณคาดการณ์ไว้ พื้นที่ที่อยู่มีขนาดใหญ่กว่ามากจนไม่สามารถแม้แต่จะทำการสแกนเดรัจฉาน / 64 เครือข่ายย่อยภายในชีวิตของมนุษย์

บอตจะต้องมีความคิดสร้างสรรค์มากขึ้นถ้าหากพวกเขาทำการสแกนแบบ blind ต่อไปใน IPv6 บน IPv4 และผู้ให้บริการบอทที่เป็นอันตรายจะต้องคุ้นเคยกับการรอนานกว่าระหว่างการค้นหาเครื่องใด ๆ

โชคดีสำหรับคนไม่ดีและน่าเสียดายสำหรับคนอื่น ๆ การยอมรับ IPv6 นั้นช้ากว่าที่ควรมี IPv6 มีอายุ 23 ปี แต่เห็นการยอมรับที่สำคัญในช่วงห้าปีที่ผ่านมา แต่ทุกคนกำลังทำให้เครือข่าย IPv4 ทำงานอยู่และโฮสต์เพียงไม่กี่ตัวเท่านั้นที่เป็น IPv6 เท่านั้นดังนั้นผู้ให้บริการบ็อตที่เป็นอันตรายจึงมีแรงจูงใจเล็กน้อยในการเปลี่ยน พวกเขาอาจจะไม่ทำจนกว่าจะมีการยกเลิก IPv4 อย่างมีนัยสำคัญซึ่งอาจจะไม่เกิดขึ้นในอีกห้าปีข้างหน้า

ฉันคาดหวังว่าการคาดเดาที่ตาบอดอาจจะไม่ได้ผลสำหรับบอทที่เป็นอันตรายในที่สุดเมื่อพวกเขาย้ายไปที่ IPv6 ดังนั้นพวกเขาจะต้องย้ายไปใช้วิธีการอื่นเช่นชื่อ DNS ที่บังคับไม่ได้หรือการบังคับใช้ชุดย่อยเล็ก ๆ แต่ละเครือข่ายย่อย

ตัวอย่างเช่นการกำหนดค่าเซิร์ฟเวอร์ DHCPv6 ทั่วไปให้ที่อยู่ที่ส่ง::100ผ่าน::1ffตามค่าเริ่มต้น นั่นเป็นเพียง 256 ที่อยู่ในการลองจากทั้งหมด / 64 กำหนดค่าเซิร์ฟเวอร์ DHCPv6 อีกครั้งเพื่อเลือกที่อยู่จากช่วงที่มีขนาดใหญ่กว่าช่วยลดปัญหานี้ได้

และการใช้ที่อยู่ EUI-64 ที่ได้รับการแก้ไขสำหรับ SLAAC จะลดพื้นที่การค้นหาเป็น 2 ²⁴คูณด้วยจำนวน OUI ที่กำหนด ขณะนี้มีมากกว่า 100 พันล้านอยู่ก็ไกลน้อยกว่า 2 64 บอตแบบสุ่มจะไม่รบกวนการค้นหาพื้นที่นี้ แต่นักแสดงประสงค์ร้ายระดับรัฐจะทำการโจมตีเป้าหมายโดยเฉพาะอย่างยิ่งหากพวกเขาสามารถคาดเดาการศึกษาได้ว่าควรใช้ NIC ใดเพื่อลดพื้นที่การค้นหาต่อไป การใช้ที่อยู่ความเป็นส่วนตัวที่มั่นคงของ RFC 7217 สำหรับ SLAAC นั้นเป็นเรื่องง่าย (อย่างน้อยก็ในระบบปฏิบัติการสมัยใหม่ที่รองรับ) และลดความเสี่ยงนี้

RFC 7707อธิบายวิธีอื่น ๆ อีกหลายวิธีที่การลาดตระเวนอาจดำเนินการในเครือข่าย IPv6 เพื่อค้นหาที่อยู่ IPv6 และวิธีบรรเทาภัยคุกคามเหล่านั้น

ฉันพบว่าบ็อตจำนวนมากในทุกวันนี้ไม่ได้คาดเดาด้วย IPv4 หรือ IPv6 ความปลอดภัยจากความสับสนนั้นไม่ใช่ความปลอดภัยเลย ความสับสนนั้นทำให้เกิดความล่าช้า / ลดจำนวนการโจมตีชั่วขณะหนึ่งจากนั้นจะไม่เกี่ยวข้อง

แฮกเกอร์รู้จักชื่อโดเมนของ บริษัท ของคุณจากเว็บไซต์หรือที่อยู่อีเมล IP สาธารณะที่คุณเผยแพร่เพื่อสิ่งต่าง ๆ เช่นอีเมล, SPF, เว็บเซิร์ฟเวอร์เป็นต้นแม้ว่ามันอาจใช้เวลานานกว่านี้ในการเรียนรู้ชื่อเซิร์ฟเวอร์แบบสุ่ม แต่พวกเขาจะเดา ชื่อทั่วไปเช่น www, mail, smtp, imap, pop, pop3, ns1, ฯลฯ และจากนั้นก็ขูดเว็บไซต์ของคุณเพื่อหาข้อมูลเพิ่มเติมที่พวกเขาสามารถหาได้ พวกเขาจะดึงข้อมูลจากร้านค้าของพวกเขาก่อนหน้าสแกนชื่อ DNS ของคุณ IP และพอร์ตใดที่จะเน้น พวกเขายังจะเรียกรายชื่อคู่ที่อยู่อีเมล / รหัสผ่านจากการละเมิดข้อมูลใด ๆ ที่พวกเขาสามารถค้นหาและลองใช้การเข้าสู่ระบบเหล่านั้นทั้งหมดรวมทั้งรายการพิเศษบางอย่างกับระบบที่พวกเขาคิดว่าคุณกำลังทำงานอยู่ พวกเขาไปถึงขอบเขตของการเรียนรู้ชื่อและบทบาทงานของพนักงานของคุณเพื่อลองและดำเนินการโจมตีทางวิศวกรรมทางสังคม ตัวกรองสแปมของเราถูกโจมตีอย่างต่อเนื่องโดยความพยายามของนักต้มตุ๋นที่อ้างว่าเป็นผู้ที่ต้องการการโอนเงินด่วน โอ้พวกเขายังได้เรียนรู้ว่าคู่ค้าทางธุรกิจของคุณคือใครและอ้างว่าเป็นพวกเขาและแจ้งให้คุณทราบว่ารายละเอียดธนาคารของพวกเขาเปลี่ยนไป บางครั้งพวกเขาก็รู้ว่าแพลตฟอร์มคลาวด์ที่คู่ค้าทางธุรกิจของคุณใช้สำหรับการออกใบแจ้งหนี้

อาชญากรสามารถเข้าถึงเครื่องมือข้อมูลขนาดใหญ่เช่นเดียวกับคนอื่น ๆ และพวกเขาได้รวบรวมข้อมูลจำนวนมหาศาลอย่างน่าประหลาดใจ ดูประจักษ์พยานนี้โดยผู้เชี่ยวชาญด้านไอทีบางคนถึงสภาคองเกรสสหรัฐฯhttps://www.troyhunt.com/heres-what-im-telling-us-congress-about-data-breaches/

การพูดคุยเกี่ยวกับการรั่วไหลของข้อมูลหาก บริษัท สูญเสียบางสิ่งที่ดูเหมือนไม่มีประโยชน์เหมือนบันทึกการใช้เว็บเซิร์ฟเวอร์จะมีที่อยู่ IP v4 หรือ v6 ของทุกคนที่ใช้เซิร์ฟเวอร์นั้นในเวลานั้นและหน้าที่เข้าถึง

โดยสรุปแล้วไม่มีวิธีการใดที่ผู้โจมตีต้องคาดเดาว่าคุณใช้ IP ใดอยู่พวกเขารู้แล้ว

แก้ไข : จากการออกกำลังกายฉันใช้เวลาทั้งหมด 2 นาทีในการเรียกดูไซต์ของคุณ (จากโปรไฟล์ของคุณ) ลองใช้หนึ่งในเครื่องมือสแกนออนไลน์ที่เชื่อมโยงที่อื่นที่นี่และดูด้วย nslookup และค้นพบบางสิ่งเกี่ยวกับคุณ . ฉันเดาว่าหนึ่งในที่อยู่ที่คลุมเครือคุณกำลังพูดถึงเกี่ยวข้องกับ

• ชื่อดาวเคราะห์คล้ายกับชื่อที่คุณเผยแพร่
• freeddns
• และที่อยู่ IPv6 ที่ลงท้ายด้วย 2e85: eb7a
• และมันทำงาน ssh

เนื่องจากที่อยู่ IPv6 อื่น ๆ ที่เผยแพร่ส่วนใหญ่ของคุณลงท้ายด้วย :: 1 นี่เป็นเพียงข้อมูลที่คุณเผยแพร่สู่สาธารณะโดยคาดเดาเพียงเล็กน้อย มาจาก IP ที่คุณต้องการซ่อนหรือไม่

แก้ไข 2 : อีกอย่างรวดเร็วฉันเห็นคุณเผยแพร่ที่อยู่อีเมลของคุณบนเว็บไซต์ของคุณ ตรวจสอบเว็บไซต์https://haveibeenpwned.com/เพื่อดูว่ามีการละเมิดข้อมูลใดในที่อยู่นั้นและมีข้อมูลใดบ้างในตลาดมืด ฉันเห็นว่ามันอยู่ในช่องโหว่

• Adobe ฝ่าฝืนตุลาคม 2013: ข้อมูลที่ถูกบุกรุก: ที่อยู่อีเมล, คำแนะนำรหัสผ่าน, รหัสผ่าน, ชื่อผู้ใช้
• MyFitnessPal: ในเดือนกุมภาพันธ์ 2018 ข้อมูลที่เป็นอันตราย: ที่อยู่อีเมล, ที่อยู่ IP, รหัสผ่าน, ชื่อผู้ใช้
• MySpace: ในปี 2008 ข้อมูลที่ถูกบุกรุก: ที่อยู่อีเมล, รหัสผ่าน, ชื่อผู้ใช้
• PHP Freaks: ในเดือนตุลาคม 2558 ข้อมูลที่ถูกบุกรุก: วันเกิด, ที่อยู่อีเมล, ที่อยู่ IP, รหัสผ่าน, ชื่อผู้ใช้, กิจกรรมเว็บไซต์
• QuinStreet: ปลายปี 2558 ข้อมูลที่ถูกบุกรุก: วันเกิด, ที่อยู่อีเมล, ที่อยู่ IP, รหัสผ่าน, ชื่อผู้ใช้, กิจกรรมเว็บไซต์

ดูว่ามีการใช้ส่วนชื่อผู้ใช้ของที่อยู่อีเมลกับผู้ให้บริการอีเมลยอดนิยมรายอื่นหรือไม่ฉันเห็นว่ามีข้อมูลมากมาย นี่อาจเป็นอีกคำเดาเล็ก ๆ ที่บอทสามารถทำได้ หากบางส่วนนั้นมีความสัมพันธ์กับส่วนที่คุณรู้จักอยู่แล้วบอทสามารถสันนิษฐานได้ว่ามันคือทั้งหมดที่คุณมีมันไม่จำเป็นต้องมีความแน่นอนพอสมควร ด้วยข้อมูลเพิ่มเติมในช่องโหว่เหล่านี้

• Verifications.io: ในเดือนกุมภาพันธ์ 2019 ข้อมูลที่เป็นอันตราย: วันเดือนปีเกิด, ที่อยู่อีเมล, นายจ้าง, Genders, ที่ตั้งทางภูมิศาสตร์, ที่อยู่ IP, ตำแหน่งงาน, ชื่อ, หมายเลขโทรศัพท์, ที่อยู่ทางกายภาพ
• รายการสแปมของสื่อ River City ในเดือนมกราคม 2017 ข้อมูลที่ถูกบุกรุก: ที่อยู่อีเมล, ที่อยู่ IP, ชื่อ, ที่อยู่ทางกายภาพ
• อพอลโล: ในเดือนกรกฎาคมปี 2018 การเริ่มต้นการมีส่วนร่วมในการขายข้อมูลที่ถูกบุกรุก: ที่อยู่อีเมล, นายจ้าง, ที่ตั้งทางภูมิศาสตร์, ตำแหน่งงาน, ชื่อ, หมายเลขโทรศัพท์, คำทักทาย, โปรไฟล์สื่อสังคมออนไลน์
• ธุรกิจ B2B สหรัฐอเมริกาในช่วงกลางปี ​​2560 ข้อมูลที่ถูกบุกรุก: ที่อยู่อีเมลนายจ้างชื่อตำแหน่งชื่อหมายเลขโทรศัพท์ที่อยู่ทางกายภาพ
• Bitly: ในเดือนพฤษภาคม 2014 ข้อมูลที่ถูกบุกรุก: ที่อยู่อีเมลรหัสผ่านชื่อผู้ใช้
• คอลเล็กชันที่ 1 (ไม่ได้ตรวจสอบ): ในเดือนมกราคม 2019 มีการรวบรวมรายการบรรจุข้อมูลรับรองจำนวนมาก (รวมที่อยู่อีเมลและรหัสผ่านที่ใช้ในการขโมยบัญชีในบริการอื่น ๆ ) พบว่ามีการเผยแพร่ในฟอรัมแฮ็คยอดนิยม
• Dropbox: ในช่วงกลางปี ​​2012 ข้อมูลที่ถูกบุกรุก: ที่อยู่อีเมลรหัสผ่าน
• Exploit.In (ไม่ได้รับการยืนยัน): ในช่วงปลายปี 2016 รายการที่อยู่อีเมลและรหัสผ่านจำนวนมากปรากฏใน "รายการคำสั่งผสม" ที่เรียกว่า "Exploit.In"
• HauteLook: ในช่วงกลางปี ​​2018 ข้อมูลที่เป็นอันตราย: วันเกิด, ที่อยู่อีเมล, เพศ, ตำแหน่งทางภูมิศาสตร์, ชื่อ, รหัสผ่าน
• Pemiblanc (ไม่ได้ยืนยัน): ในเดือนเมษายน 2018 รายการบรรจุข้อมูลรับรองที่มีที่อยู่อีเมลและรหัสผ่าน 111 ล้านที่รู้จักในชื่อ Pemiblanc ถูกค้นพบบนเซิร์ฟเวอร์ฝรั่งเศส
• ShareThis: ในเดือนกรกฎาคม 2018 ข้อมูลที่เป็นอันตราย: วันเดือนปีเกิด, ที่อยู่อีเมล, ชื่อ, รหัสผ่าน
• Ticketfly: ในเดือนพฤษภาคม 2018 ข้อมูลที่เป็นอันตราย: ที่อยู่อีเมลชื่อหมายเลขโทรศัพท์ที่อยู่จริง

ในขณะที่บอทอยู่ที่นั่นก็สามารถตรวจสอบ Facebook และจะเห็นว่าหนึ่งในหน้า Facebook ที่มีชื่อของคุณมีรูปถ่ายเหมือนในเว็บไซต์ของคุณและตอนนี้ก็รู้เพิ่มเติมเกี่ยวกับคุณและเพื่อน ๆ นอกจากนี้ฉันคาดเดาว่าสมาชิกในครอบครัวที่คุณระบุไว้คือแม่ของคุณซึ่งแสดงรายการ "นามสกุลเดิมของแม่" จาก facebook มันยังสามารถตรวจสอบว่าโปรไฟล์ LinkedIn ของคุณคืออะไร

มีข้อมูลออนไลน์เกี่ยวกับเรามากกว่าที่ผู้คนจะรับรู้ การวิเคราะห์ข้อมูลขนาดใหญ่และการเรียนรู้ของเครื่องจักรนั้นเป็นจริงแล้วตอนนี้และข้อมูลส่วนใหญ่ที่โพสต์หรือรั่วไหลทางออนไลน์สามารถมีความสัมพันธ์และใช้งานได้ สิ่งที่คุณควรรู้เมื่อเห็นว่าคุณสำเร็จการศึกษาระดับปริญญาตรีด้าน AI และวิทยาการคอมพิวเตอร์ในปี 2546-2550 สิ่งต่าง ๆ เริ่มมาไกลโดยเฉพาะอย่างยิ่งเมื่อมีความก้าวหน้าที่ Google เผยแพร่ตั้งแต่ต้นจนจบปริญญาของคุณเป็นต้นไป คนที่เป็นคนส่วนใหญ่จะมองหาผลกำไรจากคุณโดยที่บางคนใช้ข้อมูลอย่างสมเหตุสมผลและถูกต้องตามกฎหมาย แต่คนอื่นจะใช้ข้อมูลเหล่านั้นในแบบที่พวกเขาทำได้

ประเด็นของฉันทั้งหมดนี้คือสองเท่าที่เราเผยแพร่ข้อมูลมากกว่าที่เราคิดและจุดรวมของ DNS คือการเผยแพร่การแปลงชื่อเป็นที่อยู่ IP

เกี่ยวกับระเบียน AAAA:

DNS ไม่มีการเข้ารหัสแบบดั้งเดิม ในขณะที่มีตระกูลของมาตรฐาน (DNSSEC) สำหรับการลงนาม DNS การเข้ารหัสของระเบียน DNS มีกระบวนการปรับใช้แบบสุ่มมากขึ้นและดังนั้นจึงเป็นเรื่องที่ปลอดภัยที่สุดที่จะสันนิษฐานว่า MitM ใด ๆ สามารถอ่านแบบสอบถาม DNS ทั้งหมดของคุณได้ วิธีการกำหนดค่า DNS ที่เข้ารหัสอย่างชัดเจนในฝั่งไคลเอ็นต์ คุณจะได้รู้ว่าถ้าคุณไม่ได้ทำเช่นนั้นเพราะมันค่อนข้างเป็นอุปสรรค

(นอกจากนี้เว็บเบราว์เซอร์ของคุณอาจส่งSNI ที่ไม่ได้เข้ารหัสใน handshake TLS หลังจากแก้ไขโดเมนแล้วไม่ชัดเจนว่าคุณจะเสียบรูนี้อย่างไรเนื่องจาก VPN หรือ Tor ยังคงเป็น MitM ระหว่างการออก จุดสิ้นสุดโหนดหรือ VPN และเซิร์ฟเวอร์ระยะไกลผู้คนที่ดีที่Cloudflareกำลังทำงานเพื่อแก้ไขปัญหานี้ให้ดี แต่ ESNI ก็จะขึ้นอยู่กับการใช้งานของลูกค้าโดยเฉพาะอย่างยิ่งสำหรับChromeหากเป็นไปได้อย่างแท้จริง)

อย่างไรก็ตามการโจมตี MitM อาจมีหรือไม่มีปัญหาขึ้นอยู่กับรุ่นภัยคุกคามของคุณ ที่สำคัญกว่านั้นคือความจริงง่ายๆที่ชื่อ DNS นั้นตั้งใจให้เป็นข้อมูลสาธารณะ ผู้คนจำนวนมาก (เครื่องมือค้นหา, ผู้รับจดทะเบียน DNS และอื่น ๆ ) รวบรวมและเผยแพร่ชื่อ DNS ด้วยเหตุผลที่ไม่สุภาพ โดยทั่วไปตัวแก้ไข DNS จะใช้การ จำกัด อัตรา แต่ข้อ จำกัด เหล่านี้มักจะค่อนข้างใจกว้างเพราะมันหมายถึงการหยุดการโจมตี DoS ไม่ใช่การระบุโดเมนย่อย การสร้างใบรับรอง HTTPS มักเกี่ยวข้องกับการเผยแพร่ชื่อโดเมนเพื่อให้ทุกคนเห็นทั้งนี้ขึ้นอยู่กับ CA ( Let's Encrypt ทำขึ้นมาและอื่น ๆ อีกมากมาย) ในทางปฏิบัติมันเป็นไปไม่ได้เลยทีเดียวที่จะเก็บโดเมนหรือโดเมนย่อยเป็นความลับเพราะเพียงเกี่ยวกับทุกคนถือว่าพวกเขาเป็นสาธารณะและไม่พยายามซ่อนพวกเขา

ดังนั้นเพื่อตอบคำถามนี้:

ฉันสนใจว่า DNSหรือโปรโตคอลพื้นฐานของ IPv6 อนุญาตให้ค้นพบ / แสดงรายการโดเมนและที่อยู่ที่ไม่รู้จักตามระยะไกลได้หรือไม่

ในทางเทคนิคแล้วไม่เป็นเช่นนั้น แต่นั่นไม่สำคัญเพราะเทคโนโลยีชั้นสูงจำนวนมหาศาลจะถือว่าระเบียน DNS ของคุณเป็นสาธารณะดังนั้นสาธารณะจะต้องเป็นอย่างหลีกเลี่ยงไม่ได้