IPv6移行で必要となるセキュリティ対策

IPv6アドレスに潜むリスクを解決するセキュリティツール登場

企業のIT管理者を悩ます問題の1つがIPv6移行に伴うセキュリティ課題への取り組みだ。そうした中、米バージニア工科大学がIPv6独自のセキュリティ課題を解決するツールを開発した。

公開 2011年06月22日 09時00分

更新 2012年09月04日 15時16分

著者

Eric B. Parizo

[TechTarget]

印刷する

　IPアドレスの次世代規格「IPv6（Internet Protocol version 6）」の採用が次第に広まりつつあるが、IPv6の仕組みを理解するために多くの時間や労力をつぎ込んでいる企業や組織はまだほとんどない。ましてやセキュリティ対策など、なおさらだ。だが米バージニア工科大学の学生や教授が開発した新技術には、大いに学ぶところがありそうだ。同大学がIPv6ネットワークのセキュリティ対策として開発した革新的な新技術が高い評価を受けている。

　同大学の情報技術セキュリティ研究所のチームが開発したセキュリティツール「Moving Target IPv6 Defense（MT6D）」は先ごろ、National Homeland Defense Foundation（全米国土防衛基金）が実施したコンテストでの入賞を果たした。この基金は、テロ攻撃や自然災害などへの対処を目的とした非営利団体だ。

　IPv6には、IPv4にはない独自のセキュリティ問題が幾つかあるが、MT6Dはそのうちの1つを解消する。IPv6アドレスは、簡単に言えば2つのパートで構成される。1つは64ビットのネットワークプレフィックス、もう1つは64ビットのホストアドレスだ。ネットワークプレフィックスはネットワークによって決定されるが、ホストアドレスはデフォルトでは端末のMACアドレスによって決定される。

米国に学ぶIPv6移行期のセキュリティ

IPv6への移行戦略──企業にとって最低限の準備作業とは

　バージニア工科大学の博士課程でコンピュータエンジニアリングを学ぶスティーブン・グロート氏によると、このままではIPv6アドレスによってマシンのMACアドレスが明らかとなるため、マシンは潜在的な攻撃者に追跡されやすくなるという。

　「IPv6では、1つのサブネットをスキャンするのに何百年もかかる。だが攻撃者がいったんMACアドレスを知ってしまえば、その攻撃者はシステムに対して、やりたいことをほぼ何でもできるようになる」とグロート氏は言う。

　またグロート氏によると、攻撃者は少し作業すれば、IPv6アドレスを使ってシステムの製造業者を突き止めたり、複数のセッションにわたってトラフィックを収集したりもできるという。接続の切断や再接続があっても、IPv6アドレスのうちMACアドレスの部分は変更されないからだ。

　既に現在、クライアントのIPv6アドレスをある程度ぼかせるメカニズムは幾つかある。例えば、Windows 7のIPv6プライバシー拡張機能もその1つだ。だがグロート氏によると、バージニア工科大学のチームはセッションの両端でセキュリティを確保したいと考えたという。Windows 7のプライバシー拡張機能を使えば、クライアントは保護できるかもしれないが、サーバはセッションを終了せずにアドレスを変更することはできない。

Windows 7 DirectAccessのメリットとデメリット

　そこで、MT6Dの出番だ。MT6Dは、1対のネットワークホストが互いに相手の次のアドレスを予測できるような方法で、アドレスを動的に変更するためのアルゴリズムを作成するツールだ。これにより、ネットワークトンネルを確立できる。この技術は、サブネットのセキュリティを保護するための単体のアプライアンスとしてネットワークに導入することもできるだろうし、スマートグリッド型の電気メーターのような専用のネットワーク端末に組み込むこともできるだろう。だが恐らくはベンダーに公開され、商用のネットワーキング製品やセキュリティ製品に組み込まれることになりそうだ。

　MT6Dによって、IPv6のセキュリティ問題の1つは解消できる。だがIPv6には、他にもまだ問題がある。「既存のネットワークセキュリティ製品には、IPv6の堅固なサポートを提供するものがほとんどない。たとえIPv6対応をうたっていても、バージニア工科大学のネットワークのように大規模なIPv6環境でテストされた製品はほとんどない」とグロート氏は言う。同大学のネットワークは2005年から配備されており、現在のノード数は3万だという。またIPv6対応の端末を持っているにもかかわらず、それを知らずにいるため、IPv6を「無防備な裏ルート」として利用するチャンスをマルウェアに与えてしまっているケースも少なくないという。しかもこれは問題の一部にすぎない。

　「われわれのチームにはホスティング会社で働いている人がいる。この会社では、ブラックリストがIPv4にしか対応していないために、メールサーバでIPv6のサポートを有効にできずにいるという」とグロート氏。「もしこの会社がIPv6を有効にすれば、いきなりスパムが急増することになるだろう。もう1つの問題は、IPv6対応のブラックリストをどのように作成するかというものだ。ホストが頻繁にアドレスを変更できるのだから、サブネット全体をブロックするしかないのか。こうした重大な問題が未解決のまま残っている」

　2011年6月8日、IPv6に関する世界規模の運用実証実験「World IPv6 Day」が実施された。米Googleや米FacebookをはじめとするグローバルネットワークやWebサイトの運営業者が数多く参加し、IPv6インターネットがどのようなものになるかについて、皆で検証を行った。World IPv6 Dayのような取り組みやMT6Dツールの開発は「IPv6の普及に伴い、自社のセキュリティ戦略をどのように進化させるべきか」について、企業のセキュリティ担当者に熟慮を促すきっかけになってくれるだろう。

印刷する