Hersteller stellen Produkte um
Ein Mangel, der jedoch bereits bald der Vergangenheit angehören dürfte. Letztes Jahr preschte etwa AVM vor und kündigte für etliche seiner populären Fritzboxen ein IPv6-Update an. Auch bei D-Link glaubt man, dass IPv6 im Jahr 2011 bei den Carriern im Edge-Bereich an Bedeutung gewinnt und etliche Anbieter selbst im Consumer-Sektor auf das neue Protokoll umstellen. Deshalb liefert das Unternehmen künftig nur noch IPv6-fähige Endgeräte aus. Ältere für den Enterprise-Bereich konzipierte Geräte, so D-Link-Manager Mike Lange, seien schon seit längerem von Haus aus IPv6-bereit oder Upgrade-fähig. Anders sieht es jedoch bei den meisten Consumer-Geräten aus. Da hier meist Prozessorleistung und Arbeitsspeicher nicht ausreichen, wird der Anwender um eine Neuanschaffung nicht herumkommen. Ähnlich beschreibt man die Situation beim Wettbewerber Netgear.
Dagegen ist IPv6 bei den Herstellern von Enterprise-Equipment kein Thema. "Wo es möglich ist, wird es auch für alte Geräte ein Upgrade geben", bringt etwa Cisco-Manager Föry die Haltung seines Hauses auf den Punkt.
IPv6-bereit in Theorie und Praxis
Jedoch warnt Controlware-Consultant Pilger davor, blind den Readyness-Versprechen zu vertrauen. Die IT-Hersteller verständen hierunter teilweise Unterschiedliches. So seien beispielsweise alle aktuellen Betriebssysteme wie etwa Windows, Apple, Solaris, Linux oder BSD IPv6-fähig. Allerdings unterstütze nicht jedes System alle Features. Deshalb solle der Anwender genau prüfen, inwieweit IPv6 wirklich implementiert ist und was IPv6 für die Performance der Komponenten bedeutet.
Ebenso verhält es sich dem Berater zufolge mit der Hardware. Relativ gut bewertet Pilger hier den Umsetzungsstatus bei Netzkomponenten wie Routern, Firewalls oder Intrusion-Detection- und Prevention-Systemen. Nachholbedarf sieht er noch bei Content-Security-Systemen oder Personal Firewalls. Pilger weist ausdrücklich darauf hin, die Sicherheitsrisiken im IPv6-Umfeld nicht zu unterschätzen: "Die bösen Jungs sind schon IPv6-ready. Es gibt bereits Angriffs-Tools und Viren-Konstruktions-Kits, wo per Knopfdruck zwischen IPv4 und IPv6 gewechselt werden kann." Im Gegenzug werden klassische Netzwerk-Scans sehr aufwendig. "Pro Subnetz benötigt ein Angreifer 100 Millionen Pings pro Sekunde, das entspricht bei einem Durchsatz von 40 Gbit/s, mehr als 5800 Jahren", rechnet der Berater vor. Im Umkehrschluss bedeutet dies aber auch, dass sich ein Netz nicht mehr einfach mit Netzwerk-Scannern auf Sicherheitslücken untersuchen lässt. Zusätzliches Angriffspotenzial ergibt sich, wenn Betriebssysteme wie Windows 7 automatisch IPv6 aktivieren, aber im Unternehmen keine Sicherheitsmaßnahmen für IPv6 etabliert sind. Ohne angemessene Vorkehrungen muss der erste Schritt an dieser Stelle die Deaktivierung von IPv6 sein. Pilger zufolge sollte bei der Einführung von IPv6 die zentrale Frage aus Sicht der Informationssicherheit lauten: Wie kann das heute mit IPv4 erreichte Sicherheitsniveau eines Unternehmens auch mit IPv6 gehalten werden?