IPv6 kullanırken MAC adresimi göstermek nasıl engellenir?

Mac'lerde her IPv6 adresi , belirli bir bilgisayarın MAC adresini ( yönlendiricimin değil ) içerir. İpv6-test.com gibi siteler yalnızca göstermiyor, hatta bir Apple bilgisayarına ait olduğunu bile gösteriyor.

Bu süper bir çerez gibi geliyor ve diğer işletim sistemlerinde de geçerli olabilir. MAC adreslerimin açığa çıkmasını nasıl önleyebilirim?

Arka plan: MAC adresi görünürde değil . Gibi 2001:0db8:1:2:60:8ff:fe52:f9d8:

• Son 64 bit (ana bilgisayar tanımlayıcı) alın ve önde gelen sıfır ekleyin: 0060:08ff:fe52:f9d8.
• Parçayı ff:feortasından soyun . Bu bayt değil varsa, o zaman hiçbir MAC adresi var.
• İlk bayt için: ikinci düşük sıra bitini tamamlayın (evrensel / yerel bit; bit 1 ise, 0 yapın ve 0 ise 1 yapın). Böylece: 0x00(00000000) 0x02(00000010) olur .
• Presto: 60:8ff:fe52:f9d8geri MAC adresine çevirir 02:60:08:52:f9:d8.

Not: macOS 10.12'den beri Sierra, Ars Technica'ya göre Apple, Windows’un zaten yıllardır yapmakta olduğu MAC adreslerine dayanmayan yeni adresler üretme yöntemini benimsemiştir .

Bu soru Haftanın Süper Kullanıcısı Sorusuydu . Daha fazla ayrıntı için blog girişini
okuyun veya bloga kendiniz katkıda bulunun

Bu IPv6'ya iki uzantı ile çözüldü:

• RFC 4941 aka "Privacy Addressing", giden bağlantıların geçici, rasgele oluşturulmuş adresleri kullanmasına izin verir (birkaç saatte bir döndürülür).
• RFC 7217 , birincil, statik adresin, herhangi bir bilgiyi açığa çıkarmayan opak bir karma değerden üretilmesine izin verir.

En az bir fakat giderek artan bir şekilde her iki yöntem de popüler işletim sistemleri tarafından desteklenmektedir.

Bu özelliklerin dikey olduğuna dikkat edin. İsterseniz ikisini de aynı anda kullanabilirsiniz.

Kararlı özel adresler

Bazı işletim sistemlerinde MAC (EUI-48) adresi, artık arabirim tanımlayıcıları için kullanılmamaktadır. Bunun yerine, genellikle RFC 7217'ye göre rastgele veya karma tabanlı bir tanımlayıcı kullanılır.

• Windows , Windows Vista'dan başlayarak varsayılan olarak özel bir şema kullanır.

  Özelliğin etkin olup olmadığını kontrol etmek için bir PowerShell komutu çalıştırın:

  Get-NetIPv6Protocol | fl RandomizeIdentifiers
  

  Özelliği etkinleştirmek / devre dışı bırakmak için:

  Set-NetIPv6Protocol -RandomizeIdentifiers Enabled
  Set-NetIPv6Protocol -RandomizeIdentifiers Disabled
  

• Linux (NetworkManager) , bağlantı profilinin UUID'sini tohumun bir parçası olarak kullanan, NetworkManager v1.2.0'dan itibaren RFC 7217'yi destekler. Bu özellik, son NM sürümlerinde varsayılan olarak etkindir.

  Bu özelliği etkinleştirmek veya devre dışı bırakmak için:

  nmcli con modify "<profilename>" ipv6.addr-gen-mode stable-privacy
  nmcli con modify "<profilename>" ipv6.addr-gen-mode eui64
  

• Linux (çekirdek SLAAC) , çekirdek v4.0.0'dan itibaren RFC 7217'yi destekler; Ancak, gizli tohum sysctl ile saklanarak elle aktive edilmelidir.

  Gizli anahtar, net.ipv6.conf.default.stable_secretsysctl'de saklanması gereken 128 bitlik onaltılık bir dizedir (IPv6 adresi gibi şekillendirilir) . Kalıcı hale getirmek için, içine konulabilir /etc/sysctl.d/50-rfc7217.confveya benzer şekilde:

  net.ipv6.conf.default.stable_secret = 84a0:d5aa:52b0:4d35:k567:3aa6:7af5:474c
  

  Sırrı ayarlamak, otomatik olarak tüm ağ arayüzleri için bu modu etkinleştirir. Özelliğin etkin olup olmadığını kontrol etmek için içinde "addrgenmode stable_secret" ip -d linkveya "2" in değerini bulun sysctl net.ipv6.conf.<ifname>.addr_gen_mode.

Geçici özel adresler

RFC 4941'de tanımlandığı gibi, geçici gizlilik adresleri rastgele oluşturulur ve birkaç saatte bir döndürülür.

• Windows , Windows XP SP2'den itibaren geçici adresleri desteklemektedir.

  Bu özelliği etkinleştirmek / devre dışı bırakmak için:

  netsh interface ipv6 set privacy state=enabled
  netsh interface ipv6 set privacy state=disabled
  

  Windows'un artık Windows Vista ile başlayan MAC adresi tabanlı birincil adresleri kullanmadığını unutmayın.

• Linux (NetworkManager) : NetworkManager'ın son sürümleri RA'yı kendi başlarına ele alır, ancak aşağıdaki iki değer sysctl ile aynı anlama gelir (2 = gizlilik adresini tercih, 1 = ana adresi tercih et):

   nmcli con modify <name> ipv6.ip6-privacy 2
  

  Ayrıca, 1.2.0'dan itibaren, ana adresi artık MAC tabanlı değil, her ağ için benzersiz olacak şekilde değiştiren daha iyi bir mod mevcuttu (RFC 7217):

  (Gizlilik adreslemesinin addr-gen-mode ile ortogonal olduğunu unutmayın; ikisini de kullanmak mümkündür.)

  Yan not: 1.4.0'dan itibaren NM, MAC adresinin kendisinin de rastgele seçilmesine izin verir. Set wifi.cloned-mac-addressiçin stableher ağ (önerilir) için farklı bir MAC olması veya randombunu rastgele kullanmak için her (sorunlara neden olabilir) bağlantısı.

  Her durumda, <name>bağlantı adı, örneğin WiFi SSID veya "Wired Connection 1". nmcli conTümünü listelemek için kullanın .

  Bunu yeni bağlantılar için varsayılan yapmak için , 1.2.0'dan itibaren şunları değiştirebilirsiniz /etc/NetworkManager/NetworkManager.conf:

   [connection]
   ipv6.addr-gen-mode=stable-privacy
   wifi.cloned-mac-address=stable
  

• Linux (çekirdek SLAAC) geçici adresleri destekler, ancak bunları varsayılan olarak kullanmaz. Sistemler aracılığıyla aktive edilebilirler.

  Geçici adresleri etkinleştirmek ve giden bağlantılar için tercih edilmelerini sağlamak için:

   sysctl net.ipv6.conf.all.use_tempaddr=2
   sysctl net.ipv6.conf.default.use_tempaddr=2
  

  Geçici adres oluşturmayı etkinleştirmek, ancak statik SLAAC adresini tercih edildiği şekilde saklayın:

   sysctl net.ipv6.conf.all.use_tempaddr=1
   sysctl net.ipv6.conf.default.use_tempaddr=1
  

  allYa da defaultparça özel bir arayüz adı ile ikame edilmiş olabilir; örn net.ipv6.conf.eth0.use_tempaddr.

  ( ip link set eth0 down && ip link set eth0 upBir adres tahsisini zorlamak için kullanılırdım , ancak rdisc6 eth0bir sonraki periyodik Yönlendirici Reklamı için de çalışabilir veya birkaç dakika bekleyebilirsiniz.)

• Mac OS X - OS X 10.7 Lion’dan beri varsayılan olarak etkindir:

   sysctl -w net.inet6.ip6.use_tempaddr=1
  

  Geçici adresler etkinse tercih edilir.

• FreeBSD :

   sysctl net.inet6.ip6.use_tempaddr=1
  
   sysctl net.inet6.ip6.prefer_tempaddr=1
  

• NetBSD :

   sysctl -w net.inet6.ip6.use_tempaddr=1
  

  Geçici adres tercihi? Hiç bir fikrim yok. Autoconf adresi tercih ediliyor gibi görünüyor. ifconfigAdres özelliklerini listeleme görünmüyor.

• OpenBSD - 5.2'de eklenen destek ; 5.3'te varsayılan olarak etkin ve tercih edilir .

   ifconfig em0 autoconfprivacy
  

  ifconfig geçici adreslerin yanındaki "otomatik gizliliği" gösterir.

Yapılandırma ile ilgili notlar:

• Linux, OS X ve tüm BSD'lerde /etc/sysctl.confayarları kalıcı yapmak için düzenleyin .

• Windows'ta değişiklikler otomatik olarak devam eder. ( Yalnızca yeniden başlatılıncaya kadar devam etmesini istiyorsanız store=active, netshkomuta ekleyebilirsiniz .)

Kısmen IPv6INT.net'teki IPv6 İşletim Sistemlerine dayanır. Ayrıca bakınız Genel IPv6 Notları

Donanım adresi IPv6 adresinde kullanılıyorsa, bu genellikle ağınızın IPv6 Stateless Autoconfiguration kullandığı anlamına gelir. Bu durumda, kendi adres sonekinizi seçebilir ve IPv6'yı manuel olarak yapılandırabilirsiniz.

Bununla birlikte, manuel olarak eklenmiş adres donanım bilginize sahip olmasa da, yine de statik olacaktır (adresleri sık sık değiştiren Gizlilik Adreslemesinin aksine). Ayrıca statik adresler, 2-3 cihazdan daha büyük bir ağda ağrı olabilir.

Bilginize, bu sadece belirli IP adresleme şemaları için geçerlidir. Büyük olasılıkla siz (veya ISS'niz) IPv6 otomatik yapılandırma kullanıyorsunuz ki bu, ilk etapta gerçekleştirmek için oldukça büyük bir IP bloğu gerektiriyor. Çözüm, bu özelliği kapatmak olabilir. ISS'niz IPv6 ile hala mümkün olan adresleri de atamak için DHCP kullanabilir.