メインコンテンツまでスキップ

2. Review of Inventoried ND Issues (ND問題インベントリのレビュー)

2.1. Multicast May Cause Performance and Reliability Issues (マルチキャストがパフォーマンスと信頼性の問題を引き起こす可能性)​

場合によっては、NDはNS、NA、RS、RAにマルチキャストを使用します。マルチキャストは特定のシナリオ（例：有線ネットワーク）では非常に効率的ですが、他のシナリオ（例：大規模L2ネットワークまたはワイヤレスネットワーク）では非効率的である可能性もあります。

通常、マルチキャストは大規模L2ネットワークで大量のプロトコルトラフィックを生成する可能性があります。これにより、ネットワーク帯域幅が消費され、処理オーバーヘッドが増加し、ネットワークパフォーマンスが低下する可能性があります[RFC7342]。

ワイヤレスネットワークでは、送信干渉の確率が高く、データレートが低く、確認応答がないため、マルチキャストは非効率的または信頼性が低い可能性があります（[RFC9119]のセクション3.1）。

さまざまなNDメッセージのマルチキャスト関連のパフォーマンス問題を以下にまとめます：

  • 問題1：LLA DADがパフォーマンスを低下させる

    Nアドレスのl2ネットワーク（各ホストが複数のアドレスを持つ可能性があるため、ホスト数よりはるかに大きくなる可能性があります）では、このようなマルチキャストメッセージがN個存在する可能性があります。Nが大きい場合、これはパフォーマンス問題を引き起こす可能性があります。

  • 問題2：ルーターの定期的な非送信請求RAがホストのバッテリーを消耗させる

    マルチキャストRAは通常、MIN_DELAY_BETWEEN_RAS（3秒）ごとに1パケットに制限され、リンク上には通常1つまたは2つのルーターしかないため、パフォーマンス問題を引き起こす可能性は低いです。ただし、バッテリー駆動のホストの場合、このようなメッセージによってウェイクアップされ、バッテリーが消耗する可能性があります[RFC7772]。

  • 問題3：GUA DADがパフォーマンスを低下させる

    問題1と同じです。

  • 問題4：ホストに対するルーターのアドレス解決がパフォーマンスを低下させる

    問題1と同じです。

  • 問題5：ホストに対するホストのアドレス解決がパフォーマンスを低下させる

    問題1と同じです。

  • 今後の研究課題：ホストのMACアドレス変更のマルチキャストNAがパフォーマンスを低下させる可能性

    ランダム化および変更されるMACアドレス[MADINAS]では、このようなマルチキャストメッセージが多数存在する可能性があります。

ワイヤレスネットワークでは、マルチキャストがパケット損失を引き起こす可能性が高くなります。DADは応答がない場合を重複アドレスが検出されなかったものとして扱うため、パケット損失により重複アドレスが検出されない可能性があります。マルチキャストの信頼性の問題を以下にまとめます：

  • 問題6：ワイヤレスネットワークでLLA DADが完全に信頼できない

  • 問題7：ワイヤレスネットワークでGUA DADが完全に信頼できない

注：IPv6アドレスの衝突は極めてまれです。その結果、これら2つの問題は実用的というよりも理論的です。

パブリックアクセスネットワークなどのシナリオでは、一部のノードが信頼できない可能性があります。リンク上の攻撃者は、以下のリンク上のセキュリティ問題を引き起こす可能性があります[RFC3756] [RFC9099]：

  • 問題8：送信元IPアドレスのなりすまし

    攻撃者は、別のノードのIPアドレスをNDメッセージの送信元アドレスとして使用して、そのノードになりすますことができます。その後、攻撃者はさまざまなリダイレクトまたはサービス拒否（DoS）攻撃を開始できます。

  • 問題9：DADの拒否

    攻撃者は被害者のDADメッセージに繰り返し応答し、被害者のアドレス構成手順を失敗させ、被害者へのDoSを引き起こす可能性があります。

  • 問題10：不正なRA

    攻撃者は被害者ホストにRAを送信してルーターになりすますことができます。その後、攻撃者はさまざまなリダイレクトまたはDoS攻撃を開始できます。

  • 問題11：偽装されたリダイレクト

    攻撃者は被害者ホストに偽造されたリダイレクトを送信して、トラフィックを正当なルーター自体にリダイレクトできます。

  • 問題12：リプレイ攻撃

    攻撃者は有効なNDメッセージをキャプチャし、後で再生できます。

2.3. Router-NCE-on-Demand May Cause Forwarding Delay, NCE Exhaustion, and Address Accountability Issues (オンデマンドルーターNCEが転送遅延、NCE枯渇、アドレス説明責任の問題を引き起こす可能性)​

ルーターがノードにパケットを転送する必要があるが、そのノードのNeighbor-Cache Entry (NCE)をまだ持っていない場合、最初にINCOMPLETE状態のNCEを作成します。次に、ルーターはノードの要請ノードマルチキャストアドレスにNSをマルチキャストします。宛先がMACアドレスを含むNAで応答すると、ルーターはそのアドレスでNCEを更新し、状態をREACHABLEに変更して、エントリを完了します。このプロセスは、本文書では「オンデマンドルーターNCE（Router‑NCE‑on‑Demand）」と呼ばれます。

オンデマンドルーターNCEは以下の問題を引き起こす可能性があります：

  • 問題13：NCE枯渇

    攻撃者は存在しないIPアドレスを対象とした大量のパケットを送信し、ルーターにINCOMPLETE状態の多数のNCEを作成させる可能性があります。結果として生じるリソース枯渇により、ルーターが誤動作する可能性があります。本文書で「NCE枯渇」と説明されているこの脆弱性は、攻撃者がリンク上にいる必要はありません。

  • 問題14：ルーター転送遅延

    パケットがルーターに到着すると、ルーターはホストのMACアドレスを決定しようとしている間、それをバッファリングします。このバッファリングは転送を遅らせ、ルーターのバッファサイズによってはパケット損失につながる可能性があります。この遅延は、本文書では「オンデマンドルーターNCE転送遅延」と呼ばれます。

  • 問題15：アドレス説明責任の欠如

    SLAACでは、ホストがIPアドレスを生成します。ルーターは、NCEエントリが作成されるまでホストのIPアドレスを認識しません。DHCPv6 [RFC8415]では、DHCPv6スヌーピングを実行しない限り、ルーターはホストのアドレスを知らない可能性があります。サブスクライバー管理がIPアドレス（またはプレフィックス）識別に依存することが多いパブリックアクセスネットワークでは、このアドレス説明責任の欠如は課題となります[AddrAcc]。ホストのIPアドレスを知らないと、ネットワーク管理者はサブスクライバーを効果的に管理できず、これは特にパブリックアクセスネットワークで問題となります。さらに、ルーターがNCEを作成すると、ND [RFC4861]は管理または監視のためにそれらを取得するメカニズムを提供しません（[RFC9099]のセクション2.6.1に記載）。

2.4. Summary of ND Issues (ND問題の要約)​

セクション2.1、2.2、2.3で説明したND問題を以下にまとめます。これらの問題は、マルチキャスト、すべてのノードを信頼すること、オンデマンドルーターNCEという3つの主な原因に起因します。これらの原因のいずれかを排除すると、対応する問題も緩和されます。これらの観察は、ND関連の問題に対処し、防止するためのガイダンスを提供します。

  1. マルチキャスト関連の問題：

    • パフォーマンスの問題：

      • 問題1：LLA DADがパフォーマンスを低下させる
      • 問題2：ルーターの定期的な非送信請求RAがホストのバッテリーを消耗させる
      • 問題3：GUA DADがパフォーマンスを低下させる
      • 問題4：ホストに対するルーターのアドレス解決がパフォーマンスを低下させる
      • 問題5：ホストに対するホストのアドレス解決がパフォーマンスを低下させる

    • 信頼性の問題：

      • 問題6：ワイヤレスネットワークでLLA DADが完全に信頼できない
      • 問題7：ワイヤレスネットワークでGUA DADが完全に信頼できない

  2. すべてのノードを信頼することに関連する問題：

    • 問題8：送信元IPアドレスのなりすまし
    • 問題9：DADの拒否
    • 問題10：不正なRA
    • 問題11：偽装されたリダイレクト
    • 問題12：リプレイ攻撃

  3. オンデマンドルーターNCE関連の問題：

    • 問題13：NCE枯渇
    • 問題14：ルーター転送遅延
    • 問題15：アドレス説明責任の欠如

これらの問題は潜在的な脆弱性であり、すべての使用シナリオで現れるわけではありません。

特定の展開でこれらの問題が発生する可能性がある場合は、利用可能な緩和ソリューションを検討することをお勧めします。これらについては次のセクションで説明します。

に最終更新