要約

  • RFC 8981 は無作為化した IPv6 インターフェース識別子を更新し、同じアドレスの反復利用から活動を容易に相関できる期間を短くする。
  • この仕組みはネットワークプレフィックスを隠さず、パケットサイズ・時系列・DNS・Cookie・アカウントによる相関も防がない。
  • デフォルトルーターなどリンク上の観測者は、同一ホストが使う複数のアドレスを引き続き把握できる。
  • プライバシー評価には、アドレスだけでなくプレフィックス、観測地点、トランスポート、アプリケーションを横断する証拠が要る。

あるノート PC が夜間に新しい一時 IPv6 アドレスを得たとする。管理画面では二つの異なる識別子が見え、プライバシー拡張も有効である。しかし両方は端末数の少ない同じ /64 に属し、同じ時間帯に同じサービスへ接続し、同じ認証済みセッションを再開する。アドレスは変わったが、相関可能な手掛かりはほとんど変わっていない。

これは仮想的な運用例である。アドレス更新という限定的な制御を、匿名性そのものと混同してはならない。

一時アドレスが変える範囲

RFC 8981 は SLAAC を拡張し、対象となる各広告プレフィックスについて、無作為なインターフェース識別子を持つ一時アドレスをホストが生成できるようにする。時間とともに更新されるため、全く同じアドレスを鍵として複数の通信を簡単に結び付けられる期間が短くなる。

効果は具体的だ。長寿命のアドレスは接続先のログで持続的な手掛かりとなり、外向き通信で露出した後も標的として残りやすい。更新はその二つの期間を狭める。

一方で、安定アドレスと一時アドレスは併存でき、どちらを送信元に使うかはアプリケーションにも左右される。機能が有効というだけでは、実際のフローが一時アドレスを選んだことも、旧アドレスが使われなくなったことも、関連ログが失効したことも証明できない。

更新後も残る手掛かり

規格は限界を明記している。一時アドレスは、経路上の観測者が平文内容やパケットの大きさ、時系列から通信を相関することを防がない。デフォルトルーターのようなリンク上の観測者が、そのホストの全アドレスを追うことも防げない。

プレフィックスはしばしば固定され、同じトポロジー上の集団を示し続ける。家庭や小規模拠点で /64 内の実働端末が一台か数台なら、識別子だけを変えても匿名集合は小さい。

DNS 名、Cookie、認証アカウント、再開トークン、特徴的な利用時刻も更新をまたいで残る。RFC 7721 はアドレス生成方式を個別の脅威とトレードオフに照らして評価しており、万能な追跡防止策とはしていない。

限定された効果を実測する

安定・一時アドレスの一覧、preferred lifetime と valid lifetime、アプリごとの送信元選択、プレフィックスの継続、旧アドレスからの通信停止を記録する。そのうえで、外部、経路上、リンク上という観測地点ごとに、なお結び付けられる情報を確認する。

証明できるのは「測定した時間後、同一アドレス再利用による直接相関が難しくなった」という範囲である。他の経路を検証せずに匿名と結論付けることはできない。