たまには・・・・

そう考えると、案外、最近の日記は安易に写真に頼りすぎていたような気もする。もちろん、百聞は一見にしかず、というので写真の威力は絶大ではあるのだけど、なんとなく文章的にはどんどん質が落ちてるかもしれない、という危機感も。

つーか、まぁ、どうでもいいのだけど、さすがになにか、お題がないと辛い。で、昨夜のIPｖ４枯渇会見の話・・・っても、昨夜は見過ごしてニュースとかTwitterで中身を拾ったのだけど。

そもそも、IPｖ４枯渇はもう10年くらい前から近いと言われ続けてきた。それが予想以上に持ったのは、ひとえにNATとプライベートアドレスという節約手段のおかげだった。しかし、ここにきてインターネットがビジネスに不可欠になり、そのうえ新興国でのIPアドレス需要が急増したことで、とうとうお尻に火がついたということらしい。

IPｖ６実装、という意味では、ネットワーク機器とOSは既に、かなりこなれた状態にある。実際、現在主流のOSの多くが、IPｖ６ネットワークにつないだだけで、すぐにｖ６をしゃべり始める。このことは、多くの一般利用者は知らない。いや、IT技術者でもネットワーク系以外の人は案外知らない。

ネットワーク機器はもうほぼ完成の域にあるといってもいいだろう。コンピュータのアプリケーションも、各プラットホームで用意されたアプリケーションフレームワークを使っていれば、多くがｖ６環境でも動作する。

問題は、セキュリティ製品だ。もはや、ネットワーク機器と言っていいファイアウォール製品を除けば、まだまだIPｖ６への対応は進んでいないのが実情だ。もちろん、IPｖ６においても、ネットワーク防御の最前線はファイアウォールだろうと私は思っている。ｖ６推進派の中には、ｖ６になれば、すべてのセキュリティはエンドツーエンドでの実装が主流になるとの持論を展開する人たちもいるが、個人利用ならばともかく、組織の場合は最低限の境界を設定することは必要だし、すべての物事をエンドポイントに押し込めるのは無理があると思う。ただ、ｖ６を引き合いに出すまでもなく、現在すでに、境界防御の限界は見えている。マルウエアは容易にネットワーク境界を越えてしまう。だが、そういうマルウエアができてきた背景には、ネットワーク境界の存在があることは忘れてはならないだろう。直接的な攻撃を仕掛けるだけのワームはなりを潜めつつある。だが、境界がなくなったとたんに、これは息を吹き返すだろう。つまり、ネットワーク境界は第一次の防御線であり、一定の役割をこれからも果たしていくはずだ。一方、それを越えた攻撃に対しては次のレベルの防御が必要になる。その点ではｖ４もｖ６も同じだ。しかも、ｖ６の広大なアドレス空間は攻撃側にとっても難物だ。なので、マルウエアのドライブバイダウンロードなどでエンドポイントを狙う攻撃が今以上に増えるだろうと思う。

このようなマルウエアはどんどん変化するし、特定の目的、目標に特化したものになっていくから、もはや従来のウイルス対策では、まったく追いつかない。最近では、大手対策ベンダの製品のほとんどが、たとえばWebアクセスを監視して、不審なサイトへのアクセスをブロックするような機能を備えている。問題は、いきなりIPｖ６化が進んだ時に、こうした仕組みがうまく追従できるかどうかという点である。今でも、ネットワーク境界に保護されない状態でインターネットに接続されているデバイスは多い。今後IPｖ６化で、様々なデバイスが直接接続されるようになると、攻撃側にとって踏み台にできる対象は大きく広がる。結果として、こうしたWebアクセスフィルタリングまでもがうまく機能しないようになりはしないかとの不安もある。

ｖ６への移行シナリオもちょっと変わるかもしれない。この10年、IPｖ６とｖ４を一定期間併存させ、順次ｖ６への移行を進めていくというソフトランディングのシナリオに基づいて、OSやネットワーク機器のデュアルスタック化が進んできた。だが、思ったように移行は進んでいない。その状態でｖ４割り当てがもうできなくなるとすれば、ｖ６のみしか割り当てができず、デュアルスタックでの移行シナリオが使えないケースが一気に増えそうな気がするのだ。そもそもISPですら、一部はまだｖ６を正式にサポートしていない。デュアルスタックのようにエンドポイントに任せる方法ではなく、よりインフラに近い部分でのシームレスな接続が求められそうな気がする。

デュアルスタックシナリオの弊害はもうひとつある。OSだ。たとえばWindowsはVISTA以降、勝手にIPｖ６を喋ってしまう。つまり、誰かがこっそり会社のネットワークの中でIPｖ６のトンネルを張り、ルータ広告を流したとしたら、少なくともL2で同じネットワークにいるPCのいくつかは勝手にｖ６ネットワークに繋がってしまうだろう。しかも、一般の利用者はそれに気づかない。ある種の Man in the middle 攻撃ができる可能性もある。こういう攻撃に対して、現状のセキュリティ監視機器は結構無力だと思う。ネットワークをｖ６パケットが流れていることすら気づかないケースも多いのではないだろうかと危惧するのだ。もちろん、トンネルを見つける方法は存在するかもしれないが、これも常に偽装技術とのいたちごっこである。一番いやなのはこれをやるマルウエアが出回ることだ。

Googleがこの夏にもAppsのIPｖ６全面サポートを始めるように、クラウドも今後はｖ６に展開していくだろう。今アドレスを大量に食いつぶしつつあるスマートホンも遠からずｖ６アドレスを使い始めざるをえなくなるだろう。なぜなら、もう割り当てるｖ４アドレスが僅かしか残っていないからだ。そろそろセキュリティ屋さんも本腰を入れて、というよりはすでにビハインドな状況を打開すべく全力で取り組む必要があるのだろうと思う。

書くときりがないのだが、公にこういう議論をする場を、どんどん増やしていく必要があるだろうと思う。