MACアドレスの組み込み

　IPv6ホストの大部分は、インターネットに関する非営利組織である米Internet Society（ISOC）が開発した従来方式の「Stateless Address Auto Configuration（SLAAC）」に従ってアドレスを生成する。SLAACでは、MACアドレスの中央に16ビットの番号を挿入するため、イーサネットの場合は以下のような構成のインタフェースID（アドレスの下位の64ビット）が出来上がる。インタフェースIDのうち少なくとも16ビットは誰でも分かるし、残りのビットも特定のパターンに沿っている。

図：SLAACに従って生成されるインタフェースID

　IPv6ホストスキャンを仕掛ける攻撃者は、標的とする組織がどのベンダーからネットワーク機器を調達しているのかを知っていることもある。調達元が分かっていれば、検索範囲を限定し、米IEEEが割り当てたベンダー固有の番号である「OUI（Organizational Unique Identifier）」を絞り込むことなどで、検索範囲をさらに狭めることができる。これは、イーサネットアドレスの下位24ビットは通常、ネットワークインタフェースカード（NIC）の製造順に連続的に割り当てられるためだ。

　例えば、ある組織が同じベンダーから400台のシステムを購入した場合、そのシステムは連続したイーサネットアドレスを持つ可能性がある。つまり、IPv6アドレスも連続したものになる。攻撃者は、標的とするネットワークでノードを1つでも発見できれば、連続したアドレスを試すことで残りのノードも容易に見つけ出せる。

　また、ほとんどの仮想化製品は仮想マシンのNICに特定のOUIを採用している。つまり、攻撃者が仮想マシンを狙う場合、仮想化技術で採用されていることが分かっているOUIだけにアドレスの検索範囲を絞り込める。

　以上のシナリオから、攻撃者はごく少数のアドレスを手に入れるだけで検索範囲を限定できるため、IPv6ホストスキャン攻撃がより現実的になることが分かる。

下位バイトアドレスの採用

　下位バイトアドレスとは、インタフェースIDの末尾8ビットあるいは16ビットを除く全てがゼロのIPv6アドレスを指す（例えば、2001:db8::1、2001:db8::2など）。下位バイトアドレスは手作業で設定するのが一般的（インフラ機器の場合はほぼ全て）だが、一部のDHCPv6（Dynamic Hosted Configuration Protocol version 6）サーバを利用することで自動的に設定される場合もある。

　DHCPv6サーバは、特定のアドレス範囲の中で連続したIPv6アドレスを割り当てる。下位バイトアドレスが使われている場合、IPv6アドレスの検索範囲は最も多くても216アドレスに限定されるため、IPv6ホストスキャン攻撃の実現性が増すことになる。

IPv4アドレスの組み込み

　インターネットの標準化機関であるInternet Engineering Task Force（IETF）の仕様では、「2001:db8::W.X.Y.Z」という形式のIPv6アドレス表示を認めている。「W.X.Y.Z」の部分はIPv4アドレスである。この形式のアドレス生成はインフラ機器でよく見られる。これは、機器のIPv4アドレスが分かっていればIPv6アドレスを覚えやすくなるという理由からだ。

　こうしたIPv4組み込みアドレスを採用するネットワークでは、対応するIPv4ネットワークとほぼ同程度まで攻撃対象の検索範囲を絞り込むことが可能だ。

冗長なアドレスの使用

　IPv6の（10進数ではなく）16進数の表記では、手作業でアドレスを設定する場合、ある程度の創造性が発揮できる。例えば本稿の執筆時点では、Facebookのドメインに対応するIPv6アドレスは「2a03:2880:2110:3f02:face:b00c::」となっている。

　こうした「冗長な」アドレスの検索範囲を特定するのは容易ではないが、2の64乗（約1800京）個というIPv6のアドレス範囲全体と比べれば限定されるのは間違いない。「冗長な」アドレスを狙った辞書ベースのIPv6ホストスキャンは実際に確認されており、攻撃オペレーションに関する多数のメーリングリストでも公表されている。

プライバシーアドレスや一時アドレスの使用

　ホストスキャンの懸念に対してIETFは、予測不可能なアドレスの生成を目標に、インタフェースIDのランダム化と時間の経過に伴う変更を義務付ける「Privacy Extensions for Stateless Address Autoconfiguration in IPv6」をRFC 4941として標準化した。

　RFC 4941では、こうした一時アドレスを従来のSLAACアドレスに加えて生成し、一時アドレスを送信用に、SLAACアドレスを受信用に採用することを求めている。従って、一時アドレスを採用したホストに依然として予測可能なSLAACアドレスが設定されていることになり、ホストスキャン攻撃は避けられない。ただし、OpenBSDはプライバシーアドレスを有効にすると、従来型のSLAACアドレスが無効になる。

移行技術や共存技術の利用

　IPv4からIPv6への移行や共存のための「6to4」「Teredo」といった技術の多くは、IPv6のグローバルユニキャストアドレスに専用の構成を割り当てるため、ほとんどの場合、IPv4アドレスをIPv6アドレスの一部として組み込んでいる（6to4やTeredoについては「Windows 7 DirectAccessのメリットとデメリット」も参照）。こうした技術は、アドレスを一定のパターンに沿って生成するため、IPv6アドレスの検索範囲を狭める結果になる。

IPv6ホストスキャン攻撃の回避方法

　IPv6ホストスキャン攻撃を防止する最も確実な方法は、明らかなパターン化をIPv6アドレスから排除することだ。IPv6のメンテナンスを実施するIETFの6manワーキンググループは現在、以下のような特性を持ったIPv6アドレス生成方法に取り組んでいる。

• インタフェースIDが容易に推測されない
• インタフェースIDが各サブネット内部では不変で、1つのネットワークから別のネットワークへホストが移動すると変化する
• インタフェースIDがリンクレイヤーアドレスに依存しない

　セキュアなIPv6導入を保証するためには、IETFがこの標準化を完成させなければならず、さらにベンダーがそれを実装する必要がある。ただし、こうしたアドレス生成方法が導入されれば、アドレスが予測不可能になり、IPv6ホストスキャン攻撃はさらに実行困難になるだろう。

　IPv6ホストスキャン攻撃対策として、ネットワークベースの侵入防止システム（IPS）なども考えられる。IPSは、ローカルサブネット内のIPv6アドレスを狙った大量の試験パケットを受信した場合、標的とされたアドレスの多くが存在しなければ、ソースアドレスから送信されたパケットを遮断することによってホストスキャン攻撃に対処することができる。

　DHCPv6ベースと手動設定のシステム用に予測不可能なアドレスを設定する方法もある。Windowsシステムは予測不可能なアドレスを生成するが、他のエンドポイントは全て（米Cisco Systemsの製品やLinuxベースの機器を含めて）追加設定が必要になる。具体的には、DHCPv6サーバを有効にして予測不可能なアドレスが発行されるようにする方法と、手動でシステムを設定して予測不可能なアドレスを使う方法がある。DHCPv6の方がはるかに大規模なアドレス空間を生成するため、望ましいのは明らかだ。だが全てのDHCPv6サーバソフトウェアにこうした機能があるのではなく、システムのIPv6アドレスを個別に手作業で設定するしかないこともある。もちろん、それには相当の労力が必要だ。

　本稿では、インターネットでIPv6アドレスがどのように割り当てられるかを見てきた。IPv6によってホストスキャン攻撃に対する耐性は大幅に向上するものの、攻撃を一層困難にするために、IETFと業界がすべきことはまだあるのだという認識が広まればと思う。