La propuesta del Internet Protocol Version 8 (IPv8) para tener compatibilidad con IPv4 e ignorar IPv6

Estamos en el proceso de migrar todo el tráfico IPv4 a IPv6 desde hace ya unos años, y la verdad es que poco a poco esto está creciendo, pero aún estamos lejos de llegar al objetivo de tener más tráfico IPv6 que tráfico IPv4 en las redes de todo el mundo. Sin embargo, existen algunas otras propuestas de cambios para IPv4 distintas a la de IPv6, y recientemente se ha publicado la propuesta hecha por James Thain de, en lugar de migrar a IPv6, hacerlo a IPv8, que es cuanto menos interesante.

Figura 1: La propuesta del Internet Protocol Version 8 (IPv8)

para tener compatibilidad con IPv4 e ignorar IPv6

La propuesta fue publicada hace menos de un mes, con una serie completa de documentos para definir los protocolos necesarios para pasar a IPv8, como serían los protocolos DHCP8, WHOIS8, y el conjunto mínimo de protocolos de gestión del enrutamiento de tráfico IPv8 en las redes de Internet de hoy en día.

Figura 2: Propuesta de Internet Protocol Version 8 (IPv8)

El objetivo principal de esta propuesta, como bien se explica a lo largo de todo el documento, que la verdad, es bastante sencillo de leer, consiste en mantener la compatibilidad hacia atrás con todo lo construido hasta el momento, haciendo un cambio muy pequeño, que es cambiar la dirección IPv4 por la dirección IPv8.

Figura 3: Paquete de dirección IPv8

La gran diferencia, como se puede ver en el paquete IPv8 es que se añaden las cabeceras ASN de 32 bits tanto a la dirección IP de origen, como a la dirección IP de destino, lo que permite a los protocolos de enrutamiento reenviar correctamente al ASN correspondiente el paquete correctamente.

Figura 4: Compatibilidad hacia atrás de IPv8 con IPv4

Al añadir el Autonomous System Number (ASN), marcado como r.r.r.r, en los cuatro primeros bytes, una dirección IPv8 sería la suma de la parte de ASN r.r.r.r más la parte de IPv4 clásica, a la que se llama en el documento como n.n.n.n. 

Figura 5: Direcciones IPV8

Esto sería como tener 2 a la 32 veces el tamaño de direcciones IPv4 que tenemos hoy en día, y dejando la dirección 0.0.0.0.n.n.n.n como la red de IPv4 que tenemos en Internet funcionando ahora mismo.

Figura 6: r.r.r.r igual 0.0.0.0 sería el IPv4 de hoy en día.

Es decir, con un cambio sencillo en el envío de paquetes de red IPv4 se podría resolver el problema de que se acaben las direcciones IPv4 manteniendo todo el software construido sobre él funcionando. Y la propuesta es porque está costando ir más rápido a IPv6 de lo que se estaba esperando al inicio. Si miramos radar, podemos ver en Radar de Cloudflare que en los últimos doce meses el tráfico sobre IPv6 está estable en un 30% más o menos.

Figura 7: Trafico IPv4 vs. Tráfico IPv6 en Radar de Cloudflare

Claro, mantener la compatibilidad hacia atrás implica que sigan funcionando todos los ataque en redes de datos IPv4 que ya conocemos, además de todas sus medidas de seguridad. Es decir, se supone que el conocimiento que tenemos de estos protocolos debemos usarlos en hacerlos más seguros y no en migrarlos.

Figura 8: Ataques en redes de datos IPv4&IPv6 (4ª Edición) de

JL. Rambla, ampliado y revisado por Pablo González y Chema Alonso

Los cambios que sí que habría que hacer son los relativos a la interconexión de redes, por lo que todos los protocolos de enrutamiento de tráfico y gestión de redes deberían cambiar a IPv8, como serían BGP8, OSPF8, WHOIS8, SNMP8, etcétera, que están definidos en sus correspondientes documentos.

Figura 9: Documentos para los protocolos de gestión de redes IPv8

Y por supuesto, crear los tipos de redes especiales con direccionamientos reservados, al igual que tenemos en IPv4 e IPv6, que están descritos con detalle en el documento de Internet Protocol Version 8 (IPv8) del que estamos hablando.

Figura 10: Tipos de redes en IPv8

El documento recoge también las direcciones especiales que deben existir en estas redes IPv8, donde los nodos de enrutamiento dentro de tráfico a través de los ASNs deben ser tenidos en cuenta de manera especial, así que en la definición de estándar están especificados.

Figura 11: Direcciones especiales en IPv8

En definitiva, me parece una propuesta súper bonita como trabajo técnico de arquitectura de redes. Me falta criterio tan pronto para decir si es una opción mejor que ir hacia IPv6 o no, pero desde luego mis felicitaciones a James Thain por este trabajo tan bonito que ha publicado. Así es la investigación y la innovación, proponer ideas concretas que puedan ser evaluadas y aprender de ellas. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Pon a prueba la calidad de tu conexión a Internet con Cloudflare

El equipo de Radar en Cloudflare acaba de incorporar el Test de Velocidad para tu conexión a Internet que puedes probar gratuitamente desde las herramientas disponibles. Con este test se miden cosas como la velocidad de descarga de datos, de subida de datos, pero también condiciones de latencia, y lo mejor, una comparativa con otras conexiones cercanas geográficamente a ti, así que puedes darle una prueba rápida, a ver qué descubres.

Figura 1: Pon a prueba la calidad de tu conexión a Internet con Cloudflare

Yo lo he probado desde mi piso en Lisboa, donde mi conexión a Internet está compartida y ya sabéis que no es un Internet tan rápido y bueno como el de España, así que los resultados no han sido muy espectaculares, por lo que mejor aún porque me sirve para ver que tengo espacio para mejorar en la calidad de mis conexiones a Internet.

Figura 2: Network Quality Test en Cloudflare Radar

Para hacer el test, se consume la descarga de 200Mb de tráfico sintético desde tu dirección IP a servidores de Cloudflare, donde se tienen medidos todos los tests que se realizan con este proceso de comparación de la calidad de la conexión.

Figura 3: Funcionamiento del Test en Cloudflare Radar

En mi caso, como podéis ver, la conexión la he hecho desde Lisboa, Portugal, y utilizando conexión IPv6 que como me conecto con el cliente WARP a Internet, mi tráfico va todo en IPv6 y PQC por defecto.

Figura 4: Datos de conexión en el Test

Y los resultados, pues a parte de tener los números en la primera captura, tenemos las gráficas que nos sitúan en comparación con otras conexiones y test realizados desde mismas ubicaciones geográficas, que en mi caso es que yo estoy por debajo de la media en velocidad de descarga y de subida.

Figura 5: Por debajo en ancho de banda de tráfico de subida y bajada

Y sin embargo, en latencias estoy por encima, es decir peor, porque mi conexión genera más retraso en las peticiones de transferencia de paquetes, así que tengo espacio para mejorar con mi proveedor de Internet en donde vivo aquí.

Figura 6: Comparativa de latencias. También peor que la media

Si quieres más detalles, puedes aún tener más información de tu conexión, si te vas a utilizar la herramienta de Speed Test de Cloudflare, que es una versión con algunos datos extras, aunque en el fondo veréis que los puntos de medición son los mismos.

Figura 7: Ataques en redes de datos IPv4&IPv6 (4ª Edición) de

JL. Rambla, ampliado y revisado por Pablo González y Chema Alonso

Para ello te vas a Speed Test Cloudflare, y allí seleccionas la opción de realizar ejecutar el test de velocidad y listo. No tiene ninguna complejidad más que dar al botón de Start.

Figura 8: Realizar un test en Sppedtest Cloudflare

Una vez realizado, como lo estoy haciendo desde el mismo equipo y la misma red, y la prueba es la misma, podéis ver que los datos son muy similares, a excepción de detalles de anomalías puntuales de contexto en la red. En este caso, prácticamente iguales. 

Figura 9: 95.4 Mbps de descarga, 13.2 de subida

Como podéis ver, la conexión es buena para ver vídeo en streaming, pero para jugar online o vídeo conferencias múltiples es una conexión "Average". Vamos, del montón, por culpa de la latencia, que no da buenos resultados.

Figura 10: Medidas de latencia con 0 pérdidas de paquetes.

Como podéis ver, mi conexión es desde el Barrio de Alcantara en Lisboa, y usando IPv6 para conectarme al servidor de medición en la red de Cloudflare.

Figura 11: Conexión a la red de Cloudflare con cliente WARP

Del funcionamiento del cliente WARP os publiqué un artículo hace unas semanas, que te permite tener la conexión acelerada, evitar bloqueos de red, navegar con WAF de protección, utilizando IPv6 y con criptografía PQC (Post-Quantum Criptography), así que más que recomendado. 

Figura 12: Un clic en WARP y conexión Securizada

Y por supuesto, tienes también las mediciones detalladas del tráfico de subida y tráfico de bajada para que tengas los detalles de cómo se ha hecho el test de velocidad con tu conexión.

Figura 13: Detalles de las mediciones de tráfico de bajada

Como véis, se hacen los 200Mb en 4 tests de 25Mb, en 6 tests de 10Mb, 8 tests de 1Mb y 10 tests de 100Kb, para ver cómo se comporta la red ante diferentes tipos de tamaños de descargas. Y lo mismo para la subida de tráfico.

Figura 14: Detalles de las mediciones de subida de tráfico

Esta información te puede dar una buena idea de dónde estás con tu conexión a Internet. Yo te recomiendo que hagas la prueba con tu conexión, y luego te instales el Cliente WARP y pruebes lo que es navegar con la aceleración del Edge de Cloudflare, la seguridad del WAF por defecto, las conexiones IPv6 y el cifrado PQC. Ya te lo he dicho.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

Cloudflare Radar URL Scanner

Ya os he hablado de Cloudflare Radar varias veces. Como herramienta de OSINT o para saber cómo evoluciona Internet.. Lo hemos usado para ver cómo está evolucionando el uso de Post-Quantum Cryptography en Internet, o para revisar las Non-Human Identities en forma de bots que están crawleando Internet. Hoy os hablo de una pequeña utilidad que tal vez os sirva alguna vez, para revisar la salud de una web. En este caso, se trata de Cloudflare Radar URL Scanner.

Figura 1: Cloudflare Radar URL Scanner

La herramienta la tienes dentro de Cloudflare Radar, y está disponible para todo el mundo. Basta con que te vayas a la sección de Herramientas - URL Scanner, e introduzcas la URL de la que quieres tener información.

Figura 2: Cloudflare Radar URL Scanner

En esta pantalla se puede configurar la URL a escanear, o se puede buscar en escanéos realizados durante los últimos 7 días. En la parte de búsqueda, se puede buscar informes donde aparezca una determinada dirección IP, un determinado Path, una IP, un ASN (Autonomous System Network), un dominio, una URL o hasta un determinado hash. 

Figura 3: Buscando rutas de "admin" en los informes de los últimos 7 días

Si miramos la parte de Additional Settings, podéis ver cómo se puede hacer un URL Scanner eligiendo el USER-Agent que se quiera, o incluso añadiendo Custom Headers para lograr revisar determinados comportamientos, que muchas veces hace que cambie radicalmente el resultado del informe.

Figura 4: Additional Settings 

Yo lo he probado con elladodelmal.com y el resultado es bastante curioso. Como podéis ver en esta primera imagen, te da información general del sitio, en este caso con el USER-Agent por defecto de un Web-browser, como se puede ver en la captura de pantalla que ha hecho.

Figura 5: Resumen de El lado del mal

Como podéis ver, te da información general, tecnologías utilizadas, y ranking en tráfico de este dominio. En el caso de este dominio, en el Top 200.000, lo que me hizo preguntarme si eso era mucho o poco. Así que le pregunté a Gemini cuantos dominios había en Internet, y no está mal.

Figura 6: En Internet hay 375 Millones de nombres de dominios

En el informe aparece también información de seguridad del domino, a ver si ha sido denunciado y tiene alguna categoría peligrosa. No es el caso de este blog, además de traer la lista de certificados que se transfieren para cargar el contenido. En este caso, como incluí algún contenido desde mi cuenta Instagram, se cargan esos certificados.

Figura 7: Información de seguridad

En el apartado de Network tenemos información de las URLs que se solicitan durante la carga de la página, así como de el tipo de contenido, de qué dirección IP se descarga y el tamaño de dicho contenido, lo que te ayuda a optimizar tu página web.

Figura 8: Sección Network en URL Scanner

Además, URL Scanner se lee el contenido de la página web que se carga, y extrae todos los enlaces que se pueden ver en ella, lo que puede ser útil para detectar relaciones entre webs, o ataques escondidos en una determinad URL.

Figura 9: Links en una URL

La última parte que os traigo con captura es la de Behavior, donde de analizan las cookies y los valores de las variables declaradas en Javascript, que puede ser de utilidad para analizar el comportamiento de una web ante determinadas configuraciones.

Figura 10: URL Scanner Behavior

El informe de Cloudflare Radar URL Scanner tiene aún más secciones, y si lo pruebas con diferentes URLs públicas seguro que encuentras cosas curiosas, pero yo lo he hecho con mi dominio para que todo quede en casa. No obstante, te animo a que lo pruebes con diferentes sitios, te sorprenderá.

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

¿Cuál es la mejor solución AntiDDos para defenderse de los Ataques DDoS en Internet?

Si eres un profesional del mundo de la Ciberseguridad, ya sea en el Blue Team, en el Red Team o directamente el CISO de una compañía, seguro que ya sabes la respuesta a esta pregunta, y sabes que Cloudflare tiene la mejor solución AntiDDoS en Internet por algo que es intrínseco a la arquitectura de la plataforma de la compañía, pero para los que no sabéis por qué, dejadme que os lo explique en un artículo cortito que va a hacer que lo entendáis e una forma muy sencilla.

Figura 1: ¿Cuál es la mejor solución AntiDDos para

defenderse de los Ataques DDoS en Internet?

Esta pregunta que os hecho en el título la podías responder sin necesidad de que yo escribiera este artículo, ya que si vas a cualquier lugar de Internet lo vas a encontrar de una forma u otra. Podéis preguntarle a cualquier buscador de GenAI, y si no os contesta que es Cloudflare, entonces es que no funciona y tienes que cambiar de buscador.

Figura 2: La mejor solución AntiDDoS hoy en día según ChatGPT

Como os he dicho, esta información es fácil de conocer, y cualquier CISO de una organización que tiene claro que perder su puesto de trabajo por que la solución AntiDDoS que ha implantado no proteja suficientemente sus activos, probablemente tiene Cloudflare como protección. Las grandes empresas digitales en Internet que basan sus ingresos en modelos de suscripción SaaS, pero la mayoría de los e-commerce que vemos hoy en día. 

Intensidad de los Ataques DDoS

La primera de ellas es la virulencia e intensidad de los Ataques DDoS que tenemos hoy en día, donde en Cloudflare se han detectado ataques de hasta 29,4 y 29,7 Tbs, que seguro que es un tráfico mucho mayor que el que soporta la conexión a Internet de todos los servidores expuestos en la red. 

Figura 3: Los ataques DDosS más grandes mitigados por Cloudflare

Y estos dos últimos han sido en este mes de Octubre, e indica que esto no va a parar, sino que va a seguir creciendo en intensidad. Así que, si tienes un activo en Internet que es la fuente de tus ingresos, y no estás protegido contra estos ataques que se ejecutan a nivel mundial, la cosa pinta mal.

El Edge como Superficie de Exposición

El segundo punto importante de por qué las soluciones AntiDDoS de Cloudflare son capaces de mitigar estos ataques se basan en varios conceptos que tienen que ver con el diseño de la plataforma en el Edge de Cloudflare, que desde el inicio está pensada para dotar de Seguridad y Alto Rendimiento a todos los servicios de Internet. ¿Cómo? Pues sencillo, con una red global de nodos en el Edge que forman una única plataforma.

Figura 4: La plataforma y la red de Cloudfalre en el Edge

Como podéis ver en la imagen, en Julio de este año, la capacidad de tráfico en el Edge que soporta la red de Cloudflare es de 405 Tbps, gracias a tener una red distribuida por más de 330 ciudades en el mundo en más de 120 países, lo que hace que tenga 3 veces más capacidad en el Edge que la suma de todos los otros proveedores AntiDDos. Pero es que está conectado a más de 13.000 redes directamente para lograr la distribución de tráfico más rápida en el Edge posible. Y es que la plataforma de Cloudflare tiene el Doble de Puntos de Presencia en Edge en el mundo a la suma de todos los demás proveedores. Vamos, Cloudflare es el "Big Gorilla" en el Edge.

Figura 5: Un Edge que se gestiona a escala global

Pero la magia final es que es una única plataforma mundial, que cuando detecta un ataque de DDoS, este es distribuido tanto en origen como de manera coordinada, para evitar que se pueda tumbar un PoP, haciendo que todos los nodos colaboren en las distribución del ataque. ¿Cómo? Pues gracias primero a la gestión de manera global del tráfico, y en segundo lugar, gracias al diseño de la red AnyCast de Cloudflare.

Una red Anycast para distribuir la superficie en el Edge

Cuando un servicio está publicado en Cloudflare, su dirección IP está distribuida de forma Anycast, o lo que es lo mismo, está en todos los nodos del Edge. Cuando un cliente se quiere conectar a esa dirección IP, la dirección está publicada en el nodo más cercano a la persona. Es decir, que las 12.000 redes a las que está conectado alguno de los PoP de Cloudflare, cada cliente tiene a unos 20 ms la dirección IP que busca, porque está en el nodo más cercano a él, igual que está en el resto de los PoPs. 

Figura 6: Diferencia entre Anycast & Unicast

¿Y qué efecto tiene en la protección AntiDDoS? Pues sencillo, supongamos una botnet que controla millones de dispositivos en Internet, y son utilizados para hacer un Ataque de DDoS contra una dirección IP de Internet. Este tráfico de ataque tendrá muchos orígenes distintos, y vendrá desde muchas redes distintas, así que si la dirección IP es una dirección IP Anycast en la plataforma Edge de Cloudflare, cada parte del tráfico de ataque se gestiona en un nodo diferente. Divide y Vencerás en la protección por diseño.

Figura 7: El ataque es distribuido en origen, y distribuido en destino

Después, si se diera el caso de que hay mayor impacto en un nodo en concreto del PoP, la gestión global de la red permite que parte de este tráfico sea redirigido a PoPs más cercanos sin pararse a limpiarlo, con lo que se el análisis del tráfico y su limpieza se comparte entre nodos más descargados. Y mientras tanto, el tráfico legítimo que ha sido limpiado es enviado correctamente al servicio que sigue funcionando.

Figura 8: La mejor solución AntiDDoS según Gemini, y las razones de por qué

Estas características únicas de la plataforma de Cloudflare le permiten a cualquier sitio de Internet protegido por los servicios AntiDDoS tener una superficie mundial de defensa. Y la magia se produce ya cuando, desde una de las herramientas de seguridad de la plataforma, ya sea WAF, DLP,  Cloud Access Security Broker, Bot Control, AI Audit, e-mail Filtering, Content Filtering, etcétera, da igual la que sea, la configuras, la aplicas, y en segundos está distribuida en todos los PoP del mundo. Único. 

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)  

IPv6 Council Madrid 2024: Una charla sobre despliegue, seguridad y hacking en redes IPv6

Durante la pasada OpenExpo Europe 2024, donde cómo podéis ver sucedieron muchas cosas, como la presentación del libro de Hacking Web3: [New] Challenge Acepted! o la mesa de debate con INCIBE sobre el programa de capacitación en ciberseguridad para empresas, también participé en el IPv6 Council MeetUp que este año se realizó dentro de OpenExpo Europe 2024, y donde estuve con Carlos Ralli, Fran Gómez, o Rafa Sánchez, entre otros ponentes.

Figura 1: IPv6 Council Madrid 2024 - Una charla sobre

despliegue, seguridad y hacking en redes IPv6

La verdad es que estuvo todo superbien organizado y he de felicitar a estos tres compañeros de muchas batallas por su trabajo en empujar IPv6 en el mundo de la empresa, donde además ellos en primera persona llevan muchos años trabajando.

Figura 2: Contactar con Carlos Ralli Ucendo

Si quieres colaborar con ellos, puedes contactar con Carlos Ralli, Fran Gómez, o Rafa Sánchez, que todos ellos tiene su buzón en MyPublicinbox, y así ser parte de este movimiento que intenta empujar el uso de IPv6 para mejorar la seguridad de las redes que tenemos hoy en día.

Figura 3: [2024] Chema Alonso en el IPV6 Council

La sesión de preguntas y respuestas no está grabada entera, pero uno de los asistentes la grabó, y la he subido a mi canal youtube en dos formatos. El que tienes arriba por si la quieres ver la televisión en un monitor "horizontal", y el que te dejo al final del artículo por si la quieres ver en "vertical".

Figura 4: Contactar con Fran Gómez

Como os podéis imaginar, hablamos de este libro que escribimos para los que se adentran en este mundo del hacking y auditoría de redes IPv4 e IPv6 - que a veces se hace menos común para muchos jóvenes pentesters - y que va ya por la 4ª Edición.

Figura 5: Ataques en redes de datos IPv4&IPv6 (4ª Edición) de

JL. Rambla, ampliado y revisado por Pablo González y Chema Alonso

El libro lo lanzamos inicialmente en Informática 64, y lo hemos ido actualizando periódicamente en 0xWord. Tiene mucho de ataques en redes IPv4, pero explica también lardo y detallado el funcionamiento de IPv6, que sigue siendo uno de los talones de Aquiles de muchos jóvenes que vienen a entrevistas de trabajo. Cuando les pido que me expliquen cómo se hace un ataque de man in the middle en IPv6 no todos están sueltos para explicarme las diferentes alternativas.

Figura 6: Índice del libro "Ataques en redes de datos IPv4&IPv6 (4ª Edición)" 

Aquí tienes el índice del libro de Ataques en redes de datos IPv4&IPv6 (4ª Edición), que además tiene 100 Tempos gratuitos en todas las compras que puedes utilizar para consultar dudas a través de MyPublicInbox, donde estamos Pablo González y yo. En esta edición he hecho un pequeño prólogo, y lo mejor es que los ataques de man in the middle siguen estando tan de actualidad como siempre, que aún seguimos jugando con el Network Packet Manipulation en muchos entornos...

Figura 7: Contactar con Rafa Sánchez

Por último, os dejo la grabación original en vertical, por si quieres ver la en un terminal móvil, aunque esto no es muy Generación X, pero si eres de la siguiente, todo tuyo.

Figura 8: [2024] Chema Alonso en el IPV6 Council [vertical]

Y eso es todo por hoy domingo que, recordad, hay un partido esta noche entre España e Inglaterra que sólo puede acabar de una manera posible...(esperamos).

¡Saludos Malignos!

Autor: Chema Alonso (Contactar con Chema Alonso)