見過ごせないIPv6のセキュリティ上の注意点

IPv6を、アドレス空間が広いだけで、IPv4をそのまま置き換えられるものと考えたくなるのは自然なことです。しかしセキュリティの面では、IPv4のあらゆる対策がそのまま通用すると思い込むのではなく、理解しておくべき実際の違いがいくつかあります。

ブロックリストは、長くするだけでなく別に作る必要がある

IPv6には、IPv4とは構造が異なる、独自のプライベート、ループバック、リンクローカルの範囲があります。IPv4の範囲しか解析してフィルタリングできないセキュリティチェックは、IPv6側ではこれらをすべて素通しにしてしまいます。IPv6が安全でないからではなく、同等の保護がそもそも作られていないからです。

IPv4射影アドレス：見落としやすい盲点

IPv6には、IPv4アドレスをIPv6アドレスの中に埋め込む表記があります。たとえば ::ffff:127.0.0.1 は、通常の 127.0.0.1 と同じループバックアドレスを指しており、単にIPv6の形式で書いたものです。IPv4のループバックは正しくフィルタリングできても、この埋め込み形式を展開しないチェックでは、本来なら完全にブロックしたはずのアドレスと機能的に同一のアドレスを、通してしまいます。

• 解決されたアドレスをブロックリストと照合するシステムは、IPv4のルールが自動的に一般化されると思い込まず、IPv6用の別個の完全なロジックを持つ必要があります。
• IPv4射影IPv6アドレスは、中身の分からないIPv6アドレスとして評価するのではなく、展開したうえでIPv4のルールに照らして確認する必要があります。
• デュアルスタックのシステム（最近のものの大半）では、両方のチェックを一貫して適用する必要があります。攻撃者は、弱いチェックのほうのアドレスファミリーを使うだけだからです。

これはIPv6を避ける理由にはなりません。普及が広がることは概して良いことであり、IPv6固有の攻撃面が、本質的にIPv4より大きいわけでもありません。アドレスを扱うセキュリティロジックが、一方を後付けの扱いにするのではなく、両方のアドレスファミリーに対して実際に作られ、テストされていることを確認すべきだ、ということです。

NAT64は、知っておくべき第2の変換層を追加する

IPv6のみのネットワークの中には、クライアントがIPv4のみのインターネットに到達できるように、NAT64とDNS64を使うものがあります。DNS64は、Aレコードしか持たないドメインに対して、その場でAAAAレコードを合成し、IPv4アドレスを特別なプレフィックスの中に埋め込みます（64:ff9b::/96 が、よく知られた既定値です）。NAT64は、その合成されたアドレス宛てのトラフィックを、ネットワークの境界で本物のIPv4に変換し直します。これは正当で有用な仕組みです。しかしそれは、その範囲に入ったアドレスが、単独で評価すべき素のIPv6アドレスではなく、IPv6の衣装をまとったIPv4であることを意味します。IPv4射影アドレスと同じように、展開してIPv4のルールで確認する必要があります。

セキュリティロジックのテストとは、両方のファミリーをテストすること

自動テストは、気づかないうちにIPv4に偏りがちです。ほとんどのサンプルドメイン、ほとんどのテストフィクスチャ、ほとんどの簡易な手動チェックが、誰かが意図的に決めたわけでもなく、IPv4を既定にしています。アドレスを解決してフィルタリングするものに対するテストスイートは、IPv6のカバレッジの分だけ信頼できます。上に挙げたプライベート、ループバック、リンクローカルの範囲、IPv4射影アドレス、NAT64方式で合成されたアドレスは、それぞれ専用のアサーションに値するもので、「おそらく同じように動くだろう」では済みません。アドレスを扱うセキュリティコードは、テストされていない経路と壊れた経路が、攻撃者が先にその違いを見つけるまで区別できない、まさにそういう種類のロジックです。