要約

  • /64全体の総当たりは現実的でなくても、連番や下位バイト、IPv4由来、EUI-64といった規則性は有効な探索範囲を大幅に狭める。
  • DNS、IPFIX、近隣キャッシュ、能動計測は別々の母集団を見る。発見されたアドレスは、機器の同一性や資産一覧の完全性を証明しない。

運用現場では、短いアドレスが好まれる。電話で伝えやすく、障害票にも書きやすい。ルーターを ::1、DNSを ::53、Webを ::80 とすれば、担当者の負担は減る。その小さな利便性を組織全体で積み重ねると、第三者にも読める索引が出来上がる。

Tim Chownは、この問題に対するIETFの見方が更新される過程に二度立ち会った。彼が2008年に著した RFC 5157 は、IPv6サブネットの低いホスト密度によって従来型スキャンの効率が大きく落ちると論じた。同時に、空間の疎らさだけに防御を預けず、連番を避けるよう求めてもいた。

2016年、ChownとFernando Gontは、その文書を正式に廃止・更新する RFC 7707 を公表した。/64の全候補を調べることが容易になったわけではない。問いが変わったのである。アドレス生成規則を推測し、DNSや運用記録から既知のアドレスを拾えるなら、なぜ全候補を調べる必要があるのか。

桁数より残った不確実性を見る

インターフェース識別子が64ビット長でも、未知量が常に64ビットあるとは限らない。RFC 7707では、DHCPv6が順番に払い出す構成なら、探索対象が8ビットまたは16ビット程度に縮む場合が示される。高位をゼロにした下位バイト型の手動アドレスは、多くの場合2^8や2^16の範囲に集中する。IPv4アドレスを埋め込めば候補は元のIPv4プレフィックスに従い、サービスのポート番号を埋め込めば用途が手掛かりになる。

Modified EUI-64に基づく古いSLAAC識別子では、機器メーカーのOUIも構造として現れる。メーカーが分かる条件では24ビットの候補群まで減り、特定の仮想化製品ではさらに狭い例もある。ただし、これは配備方式ごとの条件付き評価である。あらゆるIPv6ネットワークに同じ試行回数を当てはめることはできない。

ここから、アドレス計画は資源配分だけでなくセキュリティ上の制御面だと分かる。人に覚えやすい規則は、観測者にとっても外挿しやすい。RFC 8064 は、安定したリンク層アドレスを埋め込む方式に代えて、RFC 7217の安定かつ意味的に不透明な識別子をSLAACの既定として推奨した。必要な安定性を保ちながら追跡や探索の手掛かりを減らすためだ。それでも、アドレス自体がファイアウォールになるわけではない。

パケットを送らずに作れる候補表

公開DNSに載るWebやメールのアドレスは、正当な運用のために外部へ示される。制限されていないゾーン転送、推測しやすいホスト名、逆引きDNSの構造から、さらに候補を得られることがある。公開アーカイブ、検索インデックス、P2Pの参加情報にも過去の利用痕跡が残る。

ローカルな位置を得れば、観測面は増える。近隣キャッシュは同じリンクで最近通信した相手を、経路表とルーティングプロトコルはプレフィックスや基盤機器を、設定とログは依存先を示す。IPFIXは特定のエクスポーターを通った送信元を集める。SNMP、traceroute6、トラフィック観測も異なる候補を返す。

大切なのは、どの一覧にも境界があることだ。DNSレコードは公開の事実を示すが、現在の稼働を示さない。IPFIXは観測点を通らない通信、沈黙中の機器、リンクローカルのやり取りを見ない。近隣キャッシュはリンクと時間に依存する。プローブへの応答は特定条件での反応を示すだけで、無応答は不在、フィルタリング、休止、プローブ選択のいずれでもあり得る。

アドレスの発見、端末の特定、サービスの稼働、管理責任、侵害の発生は、それぞれ別の主張である。出所と観測時刻を捨てて結合すれば、一覧は詳しく見えるほど誤解を強める。

防御側は欠落を説明しなければならない

攻撃者には一つの標的で足りる。運用者には「一覧にいないもの」の説明が求められる。RFC 9099 がIPv6資産把握を重要な安全運用として扱うのは、この非対称性があるからだ。

同RFCは、IPFIXが観測ルーターを通った送信元を効率よく拾う一方、沈黙中のノードやリンクローカルを見逃すと明記する。近隣キャッシュはリンク上の像を補い、全ノード向けマルチキャストはローカルセグメントで別の応答を得る。DNS、ログ、サービス探索も加わるが、単独で完全な方法はない。

したがって、実務上の制御は照合である。IPAMとDHCPv6リースは許可された状態を、SLAACとルーター広告の方針は生成可能な状態を示す。近隣・スイッチ観測はリンク上の出現を、フローデータは境界通過を、DNSとサービス台帳は公開意図を、能動確認は現在の応答を示す。

一覧の差分が調査対象になる。割り当てのない観測アドレスは未管理資産かもしれない。観測されない割り当ては、古い、沈黙している、または観測範囲外かもしれない。所有者のいない公開レコードは放置された露出かもしれない。「かもしれない」を残すことが、証拠と推論の境界を守る。

Chownの仕事が残したものは、単なる「IPv6もスキャンできる」という標語ではない。各手法がどの候補を作り、何を見落とすかを明示する、証拠設計の考え方である。

出典