Zusammenfassung

  • Temporäre IPv6-Adressen verkürzen das Zeitfenster, in dem eine gleichbleibende Interface-ID ausgehende Sitzungen verknüpfen kann; ein Nachfolger wird vor der Deprecation vorbereitet.
  • Eine deprecated Adresse ist weiterhin gültig und kann bestehende Kommunikation tragen. Erst das Ende der valid lifetime macht sie ungültig.
  • Rotation schafft weder Anonymität noch Verschlüsselung oder Authentisierung. Präfixe, stabile Adressen, Konten, Cookies, Protokolle und Beobachtung auf dem Link bleiben erhalten.

Kurz vor dem Ende ihrer preferred lifetime beginnt eine temporäre Adresse, ihre Nachfolge zu organisieren. Der Host erzeugt eine neue Interface-ID, bildet daraus eine Adresse und prüft mittels Duplicate Address Detection, ob sie verwendbar ist. Wenn die alte Adresse deprecated wird, steht die neue bereits für kommende Verbindungen bereit. Die alte kann vorhandene Verbindungen noch bedienen. Diese Überlappung verhindert, dass Datenschutz durch einen abrupten Kommunikationsabbruch erkauft wird.

Der Mechanismus schützt nicht, weil eine Adresse unsichtbar wäre. Er schützt, weil ein sichtbarer Wert nicht unbegrenzt die Standardwahl für neue Arbeit bleibt.

Der historische Ausgangspunkt

Stateless Address Autoconfiguration verbindet ein vom Router angekündigtes Präfix mit einer Interface-ID. Wurde diese aus einer global eindeutigen IEEE-Kennung abgeleitet, konnte der untere Teil der IPv6-Adresse über lange Zeit gleich bleiben. Beim Wechsel des Netzes änderte sich das Präfix, doch eine wiedererkennbare Spur wanderte mit dem Gerät.

RFC 3041 führte im Januar 2001 zusätzliche globale Adressen mit wechselnden Interface-IDs ein. Sie sollten ausgehende Sitzungen beginnen, für Stunden oder Tage verwendet, danach deprecated und ersetzt werden. Bereits etablierte Verbindungen durften die alte Adresse behalten. Das Grundverhalten der Autokonfiguration blieb bestehen; eine stabile Adresse wurde nicht generell abgeschafft.

Die Wirkung hing deshalb von der Quelladressauswahl ab. Eine temporäre Adresse, die Anwendungen nie auswählen, ändert die externe Beobachtung nicht. Eine bevorzugte Adresse ohne Ablaufdatum wäre lediglich eine neue dauerhafte Kennung. Erzeugung, Auswahl und Lebensdauer mussten gemeinsam wirken.

Was 2007 geändert wurde

RFC 4941 löste RFC 3041 im September 2007 ab. Duplicate Address Detection galt nun für jede temporäre Adresse. Nutzer erhielten eine Einstellung pro Präfix. Implementierungen durften für verschiedene Präfixe verschiedene IDs verwenden, und der Algorithmus war nicht mehr auf MD5 festgelegt. Die Spezifikation empfahl dennoch, temporäre Adressen standardmäßig zu deaktivieren. Als Standard galten ein Tag preferred lifetime und eine Woche valid lifetime.

Standardmäßig konnte dieselbe zufällige ID in mehreren Präfixen eines Interfaces verwendet werden. Das verringerte die Zahl benötigter Multicast-Gruppen, ließ aber eine Verknüpfung zwischen den Adressen zu. Schon hier zeigte sich der Zielkonflikt zwischen weniger Netzwerkzustand und weniger beobachtbarer Kontinuität.

Die Überarbeitung von 2021

RFC 8981 ist seit Februar 2021 die aktuelle Spezifikation. Sie strich die Empfehlung zur standardmäßigen Deaktivierung. Alle temporären Adressen eines Hosts sollen statistisch verschiedene Interface-IDs besitzen, auch über Präfixe und Interfaces hinweg. Der DESYNC_FACTOR wird für jede Adresse neu berechnet, damit Erneuerungen keinem festen, leicht vorhersagbaren Takt folgen.

Die maximale valid lifetime wurde als Standard von sieben auf zwei Tage verkürzt; die preferred lifetime blieb bei einem Tag. Dadurch verbleiben weniger alte, aber noch gültige Adressen gleichzeitig auf dem Host. RFC 8981 korrigierte also nicht nur einen Zufallsalgorithmus. Es änderte Wiederverwendung, Rhythmus und Überlappung.

Die aktuelle Spezifikation erlaubt sowohl stabile plus temporäre als auch ausschließlich temporäre Adressen. Aus einem einzelnen Paket lässt sich daher nicht ableiten, welche weiteren Adressen auf dem Interface existieren. Der Beobachter sieht eine Auswahl, kein vollständiges Inventar.

Zwei Lebensdauern, zwei Aussagen

RFC 4862 definiert eine preferred Adresse als uneingeschränkt nutzbar. Nach Ablauf der preferred lifetime wird sie deprecated. Ihre Nutzung wird vermieden, ist aber nicht verboten. Wenn eine passende nicht-deprecated Adresse verfügbar ist, soll neue Kommunikation diese verwenden. Eine bestehende Verbindung darf die alte Adresse weiterverwenden, falls ein Wechsel die Anwendung stören würde. An eine deprecated Adresse gerichtete Pakete werden weiter verarbeitet.

Mit Ablauf der valid lifetime wird die Adresse ungültig und ist dem Interface nicht mehr zugeordnet. Sie darf weder als Quelle verwendet noch als Ziel anerkannt werden. Deprecation ändert damit die normale Auswahl; Invalidierung beendet die Verwendbarkeit.

RFC 8981 startet die Regeneration REGEN_ADVANCE vor der Deprecation. Das berücksichtigt die Zeit für Erzeugung und Duplicate Address Detection. Im normalen Betrieb gibt es pro Präfix und Interface höchstens eine nicht-deprecated temporäre Adresse, abgesehen vom kurzen Übergang. Mehrere deprecated, aber gültige Adressen können weiterbestehen, solange höhere Schichten sie nutzen.

Ein Tag und zwei Tage sind veränderbare Standardwerte, keine Messwerte aller Geräte. Die angekündigte Lebensdauer des Präfixes kann beide verkürzen. Der individuelle DESYNC_FACTOR verkürzt zusätzlich die preferred lifetime. Ohne Konfiguration und Router Advertisement lässt sich aus einer Aufzeichnung kein exakter Wechselzeitpunkt ableiten.

Beim Anschluss an einen anderen Link müssen die bisherigen temporären Adressen entfernt und neue erzeugt werden. So erhält jeder Link andere zufällige IDs. Ein Host darf einen echten Linkwechsel von einem kurzen Ausfall desselben Links unterscheiden und unnötige Neuerzeugung vermeiden.

Die verbleibenden Korrelationen

Eine IP-Adresse ist für den Kommunikationspartner und für Systeme auf dem Pfad sichtbar. Dienste können sie protokollieren. Eine lange konstante Interface-ID ist eine bequeme Verknüpfung für Transaktionen. Rotation teilt diese Verknüpfung in kürzere Abschnitte: spätere neue Sitzungen verwenden den Nachfolger, und eine durch aktive Kommunikation bekannt gewordene Adresse bleibt kürzer erreichbar.

Das Präfix kann jedoch gleich bleiben und einen Haushalt oder ein kleines Netz erkennen lassen. Eine stabile Adresse kann in anderem Verkehr auftauchen. DNS-Namen, Cookies, angemeldete Konten und Dienstprotokolle verbinden mehrere Adressen. Der Standardrouter sieht als Beobachter auf dem Link alle Adressen. Ein Beobachter auf dem Pfad kann auch bei verschlüsselter Nutzlast Größe und Zeitpunkt von Paketen vergleichen.

Temporäre Adressen verschlüsseln weder Header noch Inhalte. Sie authentisieren weder Nutzer noch Host oder Gegenstelle. Sie garantieren keine Anonymität und widerrufen bereits offengelegte Daten nicht. Meldet sich ein Nutzer an, kann der Dienst das Konto mit der aktuellen temporären Adresse verknüpfen.

Betriebsbeobachtung ohne dauerhafte Identität

Rotation erschwert Fehlersuche und Sicherheitsanalyse. Ein Host erscheint unter mehreren Adressen. Ein wiederkehrender Fehler kann wie mehrere Geräte aussehen. Sicherheitsgeräte können schnelle Erneuerung als Spoofing missdeuten. Mehrere gültige Adressen belasten Neighbor Cache und Multicast-Zustand. Anwendungen mit zusammengehörigen Sitzungen können eine konstante Quelladresse erwarten.

Ein belastbarer Datensatz kombiniert Adresse, Zeitstempel, Präfix, Link oder Interface, Auswahlzustand und gegebenenfalls Flow oder authentisierte Sitzung. Eine mittags beobachtete Adresse belegt diesen Vorgang, nicht den dauerhaften Namen eines Geräts. Eine noch verwendete deprecated Adresse ist kein Scheitern der Rotation; eine ungültig gewordene Adresse belegt keine erfolgreiche Migration der Anwendung.

Die Kontrolle bleibt verteilt. Router setzen Präfix-Lebensdauern, Hosts erzeugen und entfernen, Administratoren definieren globale und präfixbezogene Regeln, Anwendungen beeinflussen die Quelladresswahl, und Gegenstellen führen eigene Protokolle. Die Spezifikation ordnet Zustände, ohne einer Partei eine vollständige Nutzeridentität zu verleihen.

Die historische Leistung war begrenzt und wichtig: Eine sichtbare Kennung wurde vergänglich. Nicht alle Beobachtung verschwand, aber die alte Adresse verlor ihren Anspruch auf die nächste Verbindung.

Quellen