IPv6は脆弱なのか

プライバシーに対する懸念をやたら増幅して活動する人たちがいますが、それでもプライバシーは重要だと思います。

ただプライバシーは企業活動上の危機管理などと直交する問題を含んでいるため、一般的な仕様に含まれると少し面倒なことになりそうです。

• プライバシーの懸念
• IPv6アドレスのバーゲンセール
• 保険としてのログの重要性
• IPv6にするとより安全なのか
• 現状の課題はIPv6でも引き続き
• ネットワークに接続する端末の選択
• さいごに

プライバシーの懸念

IPv6はIPv4にはない機能が実装されています。 特にネットワークに簡単に接続できるように、IPv4では後付けだった仕組みが、IPv6では標準仕様に含まれています。

現状(IPv4)との違いについてセキュリティの観点から「 情報セキュリティ技術動向調査（2009 年下期） 4.IPv6セキュリティ」にまとめられています。

この中でプライバシーについて RFC3041と RFC4941に触れて、MACアドレスを元にIPアドレスを設定した場合にネットワークを変えても機器が特定される可能性、解決策と関連する課題についてまとめられています。

IPv6アドレスのバーゲンセール

プライバシーの懸念が広がっていくと、より多くのランダム化されたIPv6アドレスを端末機器が要求し、湯水のようにIPv6アドレスが単一の物理ポートに割り当てられる時代がくるかもしれません。

つまりDHCPやらRAやらが割り当てた以外のアドレスをエンドユーザが要求するということですが、FirewallやらN-IDSやらの通信記録を元に端末を特定したいニーズは危機管理上、確実に存在しています。

機器毎にユニークなMACアドレス と ランダム化されたり、されなかったりするIPv6アドレス との対応を記録する仕組みは今でも必要ですが、今後はより重要になりそうな気がしています。

それもよく管理されている場所ではなくて、不特定多数が利用するような場所においてより必要に思えます。

保険としてのログの重要性

ネットカフェやらネットワーク管理者が存在しない中小企業など、ランダム化されたIPv6アドレスを使われたくないと思っていても、それは無理でしょう。

MACアドレスベースのフィルタをかけているつもりでも、元々IPv6は通信を許す方向で設計されていますから、DHCPからの割り当てが行なわれないだけでRAベースでは重複しないアドレスを割り当てるかもしれません。

何はなくともログを記録して残す仕組みがブロードバンドルータやら、ネットワーク機器ではより重要になりそうに思えます。

IPv6にするとより安全なのか

IPAの文書では総当たりのネットワーク探索や機器の特定といった点についてIPv4ネットワークとの違いに触れられていますが、現状よりも時間や投資のコストが違うというだけで、エンドユーザが考慮しなければいけない(プライバシーや侵入といった)脅威のレベルに違いはないと感じました。

現状の課題はIPv6でも引き続き

IPv6では機能が増える分だけ安全ではないようにみえますが、現状でもMACアドレスを詐称することが可能ですから、できることはいろいろあります。

ネットワークに接続する端末の選択

不正なブロードキャスト通信やMACアドレスの詐称に対応するためには、IEEE 802.1x認証だけが現状の解決策ではないでしょうか。

これからはMACアドレスフィルタと組み合せて、IEEE 802.1x認証を、ID/Passwordをキーボードから入力するという以外の、より一般的な形で普及することが必要そうに思えます。

例えばコーヒーメーカーをネットワークに接続する時の手順はどうなるでしょう。

• 手元のAndroidやiPhone端末にコーヒーメーカーの管理アプリをダウンロードする
• コーヒーメーカーと手元のスマートフォンをbluetoothで接続する
• 設置責任者が持つ認証に必要な情報(ID/Password)を入力する
• 構内WiFi網を経由して管理アプリは、コーヒーメーカーのMACアドレスをサーバに登録する
• コーヒーメーカーをLANに接続する

bluetoothだけで良いんじゃない 、というのは置いておいて、このケースだとID/Passwordに相当する情報の漏洩が心配です。

その作業を行なう人と情報の組み合せが一致している事が必要です。

それなら接続に必要な情報は文字列としてのID/Passwordである必要ないわけで、スマートフォンに登録してボタン一つで送信すれば良いんじゃないかという感じがします。

漏洩を考えると公開鍵暗号の仕組みを取り入れるのが一番でしょうね。それも使い易い形で。

そもそもLAN内部からどうやってこのコーヒーメーカーサーバに接続するのかを考えれば、LAN内部のアプリケーションレベルでは サービスの発見能力 が問われそうです。

IPv6の長いアドレスを直接入力するような状況は避けたいですが、それを全部DNSで管理するというのは情報の信頼性を下げてしまいそうで、間違ったアプローチのように思えるからです。

さいごに

MACアドレスについては、下位層の話しですし、あまり議論されないんですよね。

現状のIPv4ネットワークでは機器を特定するためにMACアドレスを利用していたり、DHCPがIPを割り振る際に登録された機器かどうかみていたりします。

でもMACアドレスの偽造は簡単だし、ノートPCの裏側などに印字されている場合も多くて、産業スパイ等外部からその企業内部の秘密を守るというよりは、 社員がプライベートなPCを持ち込む事を防ぐ程度の役割 しかありません。

IPv6になっても、そういう状況に変化はないわけで、IPv4が枯渇するという理由以外にIPv6を導入する理由をみつけるのは難しいでしょうね。

それでもNATを使わずに機器が直接(Firewallを経由して)、外部のサーバと通信をするのは本格的でワクワクすると思うのは私だけでしょうか。