IPv6 et détection des proxy : ce que cela change pour l’IP intelligence

L’explosion de l’espace d’adressage : l’impact d’IPv6 sur l’IP intelligence

Pendant des années, la rareté des adresses IPv4 a favorisé le recours au Network Address Translation (NAT) et aux services de proxy. Avec la progression régulière d’IPv6, notamment chez les opérateurs mobiles et les fournisseurs d’accès, les plateformes d’IP intelligence doivent composer avec de nouveaux comportements réseau pour identifier les trafics malveillants, qu’il s’agisse de proxy, de VPN ou de nœuds de sortie TOR. Cet article revient sur ce qu’IPv6 change réellement — et ce qu’il ne change pas — dans les méthodes de détection des proxy IP.

Les signaux fondamentaux restent pertinents

Une grande partie des signaux historiquement utilisés pour repérer des adresses IP ou des services suspects s’applique aussi à IPv6, avec quelques nuances importantes.

• Autonomous System Number (ASN) et organisation : L’ASN reste un identifiant clé pour comprendre à qui appartient un bloc d’adresses IP. Qu’il s’agisse d’IPv4 ou d’IPv6, il permet de qualifier le réseau d’origine : fournisseur d’accès résidentiel, acteur cloud, hébergeur, entreprise, etc. Les ASN associés aux datacenters et aux hébergeurs demeurent de solides indicateurs de trafic non résidentiel, quelle que soit la version du protocole. Une adresse IPv6 rattachée à AS15169 (Google) ou AS16509 (Amazon) renvoie ainsi à une infrastructure cloud, exactement comme son équivalent IPv4.

• Reverse DNS (rDNS) Hostname : Le rDNS reste un signal très utile. Un enregistrement rDNS proprement configuré donne souvent une indication sur l’usage légitime d’une adresse IP. Avec IPv6, on continue donc à rechercher des motifs reconnaissables. Par exemple, un enregistrement rDNS comme 2a03:2880:f12f:83:face:b00c:0:25de.ipv6.google.com (un véritable rDNS IPv6 de Google) est cohérent pour un grand acteur d’infrastructure. À l’inverse, des rDNS génériques — par exemple ip-2a03-b0c0-1-0-0-0-0-2.hostingprovider.com — ou l’absence de rDNS sur une plage non résidentielle peuvent constituer un signal d’alerte pour des proxy. Les attaquants qui utilisent des serveurs compromis ou des instances cloud créées à la volée prennent rarement le temps de soigner cette configuration ; elle reste souvent absente ou figée dans un format générique par défaut.

• Classification hébergeur et datacenter : C’est probablement l’un des signaux les plus robustes, en IPv4 comme en IPv6. Une adresse IP est généralement allouée à un fournisseur d’accès résidentiel, à une entreprise ou à un hébergeur/datacenter. Les plateformes d’IP intelligence maintiennent des bases très larges de blocs IPv4 et IPv6 pour effectuer cette distinction. Une adresse IPv6 issue d’une plage connue de datacenter sera donc identifiée comme telle, indépendamment du protocole utilisé. C’est essentiel, car les utilisateurs résidentiels légitimes se connectent rarement — pour ne pas dire jamais — depuis des IP de datacenter.

• Listes de nœuds de sortie TOR : Le réseau Tor fonctionne à la fois sur IPv4 et sur IPv6. Les nœuds de sortie Tor, publiquement connus, disposent de listes d’adresses IPv4 et IPv6. Les services d’IP intelligence les ingèrent et les mettent à jour en continu. Si une connexion entrante, quelle que soit sa version IP, correspond à une entrée présente dans une liste de sortie Tor récente, elle peut être identifiée comme telle.

• Listes noires et réputation : Même si les listes noires sont souvent construites autour d’adresses IP précises, les méthodes de scoring de réputation et de blocage s’appliquent aux deux versions du protocole. Si une adresse IPv6 est observée dans le cadre d’activités malveillantes — participation à un botnet, spam, credential stuffing, etc. — elle sera ajoutée aux listes pertinentes et contribuera à un score de réputation négatif, comme le ferait une adresse IPv4. Le volume de trafic IPv6 malveillant reste aujourd’hui inférieur à celui d’IPv4, mais le principe est identique.

Nouveaux points d’attention pour la détection des proxy IPv6

Les signaux de base restent donc valables, mais IPv6 introduit aussi des défis et des comportements spécifiques.

• Adresses éphémères et taille des sous-réseaux : Les sous-réseaux IPv6 sont immenses : un /64 contient par exemple 18 quintillions d’adresses. Cet espace quasi illimité rend les adresses beaucoup plus éphémères et individualisées. Contrairement à IPv4, où de nombreux utilisateurs partagent une même IP derrière du NAT, chaque équipement d’un réseau IPv6 dispose souvent de sa propre adresse publique. Cela réduit le “bruit” lié aux IP partagées, mais peut compliquer l’identification de _schémas_ d’abus lorsque des attaquants changent fréquemment d’adresse au sein d’un vaste /64 ou d’une allocation similaire.

• Moins de scans massifs et d’énumération : L’immensité de l’espace IPv6 rend les scans exhaustifs à la recherche de proxy ouverts — SOCKS5, HTTP/S, etc. — beaucoup plus difficiles et nettement moins fréquents qu’en IPv4. Cela ne signifie pas que les proxy ouverts IPv6 n’existent pas, mais ils sont souvent découverts et exploités autrement : via des services vulnérables, des ciblages précis ou des compromissions spécifiques, plutôt que par balayage opportuniste à très grande échelle.

• Préfixes attribués par les fournisseurs d’accès : Beaucoup d’ISP attribuent à leurs clients des préfixes IPv6 stables, parfois dynamiques, en /64 ou plus larges. Un même utilisateur résidentiel peut donc sembler provenir de différentes adresses au sein du même préfixe au fil du temps. L’IP intelligence doit alors déterminer si l’ensemble du préfixe est bien “résidentiel” ou s’il contient des usages mixtes. L’ASN et les motifs rDNS aident généralement à faire cette distinction.

• Services de tunneling : La transition vers IPv6 a longtemps reposé sur des mécanismes de tunneling — 6to4, Teredo, ISATAP, par exemple — qui encapsulent du trafic IPv6 dans un réseau IPv4. Même s’ils sont moins répandus aujourd’hui, ces tunnels peuvent masquer l’origine réelle du trafic et ajouter une couche d’indirection comparable à celle d’un proxy. La clé consiste alors à identifier le point de terminaison du tunnel broker, ce qui revient souvent à analyser son ASN et sa classification datacenter.

• Réseaux mobiles et contournement du CGNAT : En IPv4, le Carrier-Grade NAT (CGNAT) est très présent dans les réseaux mobiles, avec parfois des milliers d’utilisateurs derrière une seule adresse IPv4 publique. Cela complique fortement la détection fine des abus. Avec IPv6, les opérateurs mobiles attribuent plus souvent des adresses IPv6 publiques uniques à chaque appareil, ce qui améliore en théorie la précision de la réputation. En contrepartie, il faut suivre beaucoup plus d’adresses individuelles, et des attaquants peuvent exploiter ces vastes pools mobiles pour répartir leur trafic malveillant sur de nombreuses adresses IPv6 uniques, mais temporaires.

Le rôle du scoring de risque IP

Malgré ces différences, l’objectif de l’IP intelligence ne change pas : attribuer à une adresse IP un score de risque à partir d’un ensemble de signaux agrégés. Pour IPv6, cela implique notamment :

• Combinaison des signaux : Une adresse IPv6 sera soumise à la même batterie de contrôles : son ASN correspond-il à un hébergeur connu ? Son rDNS est-il générique ou absent ? Figure-t-elle dans une liste de sortie TOR ? Appartient-elle à une plage associée à un botnet ? Est-elle liée à un fournisseur de VPN ? Chaque signal contribue au score de risque global.

• Analyse comportementale, lorsqu’elle est disponible : Même si cela dépasse le simple lookup IP, les systèmes d’analyse comportementale à l’échelle réseau peuvent corréler plusieurs adresses IPv6 issues d’un même /64 ou d’un même ASN lorsqu’elles présentent des activités suspectes similaires. Ils permettent ainsi de détecter des motifs qui ne seraient pas visibles en observant chaque adresse isolément.

Limites

Il faut garder à l’esprit qu’aucune technique ne constitue une solution parfaite. La principale limite de la détection des proxy IPv6, comme en IPv4, tient à la course permanente entre défenseurs et attaquants. De nouveaux services de proxy apparaissent, les services existants s’adaptent, et des outils légitimes — certains VPN, par exemple — peuvent être détournés à des fins malveillantes. L’immensité d’IPv6 complique encore davantage l’énumération exhaustive de tous les proxy possibles.

Conclusion

IPv6 ne bouleverse pas les principes de la détection des proxy IP. Les signaux essentiels — ASN, rDNS, classification hébergement et réputation — restent pleinement pertinents. Ce qui change, c’est l’échelle : l’espace d’adressage beaucoup plus vaste impose des systèmes robustes, capables de gérer et de classifier efficacement ces adresses. Les plateformes d’IP intelligence doivent continuer à faire évoluer leurs bases de données et leurs algorithmes de détection pour tenir compte des spécificités d’IPv6, comme l’adressage unique largement distribué ou certains mécanismes de tunneling, tout en s’appuyant sur les méthodes éprouvées de détection des datacenters et des listes d’adresses malveillantes connues. L’objectif reste le même : identifier avec précision les connexions non résidentielles, anonymisées ou suspectes, quelle que soit la version du protocole IP.

Pour vérifier le niveau de risque associé à une adresse IPv4 ou IPv6 — y compris son statut proxy ou datacenter — rendez-vous sur guarda.net et utilisez gratuitement l’outil de lookup IP disponible sur la page d’accueil.