IPv6 güvenliği

IPv6 güvenliğinin çoğu sorusu protokolün kendisinden çıkmaz. Kaynağı, iki protokolün aynı ağda birlikte çalışmasıdır. Çift yığın (dual-stack) bir ortamda her cihazın iki adresi ve her güvenlik duvarının iki ayrı kural kümesi vardır. IPv4 tarafındaki kural IPv6 trafiğine uygulanmaz. Bu, unutulduğunda sessizce çalışan bir boşluktur. Politikanın kapattığı bir servis, aynı makineye IPv6 üzerinden hâlâ ulaşılabilir durumda kalır.

Daha yaygın olan durum, IPv6'nın bilinçli bir kararla açılmamış olmasıdır. Modern işletim sistemleri IPv6'yı varsayılan olarak etkin tutar ve yerel bağlantı adresleri her zaman vardır. Ağda bir yönlendirici duyurusu (router advertisement) dolaşıyorsa istemciler küresel adres de alır. Kurum IPv6 kullanmadığını düşünürken trafiğin bir kısmı oradan akar. O kısım hiçbir kuralla karşılaşmaz.

Adres çevirisine olan bağımlılığın kalkması ayrı bir yanlış anlamanın kaynağıdır. IPv4'te çeviri, yan etki olarak dışarıdan içeriye doğrudan erişimi engeller ve bu koruma sanılır. IPv6'da adres kıtlığı olmadığı için IPv4 tipi çeviriye tipik olarak ihtiyaç duyulmaz ve o yan etki ortadan kalkar; koruma artık açıkça yazılmış bir politikadan gelmek zorundadır. Önek çevirisi yapan mekanizmalar tanımlıdır, ama onlar da bir güvenlik katmanı değildir. ICMPv6 ise IPv4'teki ICMP ile aynı şey değildir: adres çözümlemesi, yol MTU keşfi ve otomatik yapılandırma ona bağlıdır, bu yüzden toptan kapatmak ağı bozar.