[論文レビュー] Current State of IPv6 Security in IoT

Lisandro Ubiedo, Thomas J. O'Hara+2 more|arXiv (Cornell University)|May 5, 2021

Network Security and Intrusion Detection参考文献 1被引用数 4

ひとこと要約

本研究では、IoTデバイスにおけるIPv6セキュリティの現状を調査し、採用動向、脆弱性、マルウェア活動、およびデータ漏洩技術を分析している。世界で35％のIPv6採用率に達しているものの、IPv6を標的とするマルウェアは依然として稀である—唯一の既知のマルウェアファミリーしか存在しない—これにより、攻撃が広がる前に防御体制を強化するための時間的余地が得られる。

ABSTRACT

This report presents the current state of security in IPv6 for IoT devices. In this research conducted from May 2020 to July 2020, we explored the global growth of IPv6 and compared it with the real growth of IPv6 in a medium size network. If IPv6 is already being used, are attackers already attacking using this protocol? To answer this question we look at the current vulnerabilities, attacks, and malware leveraging IPv6. Our research showed that while IPv6 adoption is growing, we are years away of a full adoption. The current global adoption is of 35\%, however there are countries rapidly adopting IPv6, such as India with 60\% of IPv6 enabled in the country. IPv6 brings new challenges for both attackers and defenders. With a larger address space, the activity of device discovery will force attackers to devise new techniques and tools. Defenders will also have to adapt their tools and monitoring technology to be able to work with IPv6. There are currently more than 16 million devices exposed on the internet on IPv6, however malware authors seem to be still focused mainly on IPv4. There is to date, one malware capable of attacking IPv6 networks. This may give an edge to defenders, who have now the opportunity to give the first step ahead of attackers.

研究の動機と目的

• IoTにおけるIPv6の現在の採用レベルとネットワークセキュリティへの影響を評価すること。
• IPv6におけるIoT環境を標的とする既存の脆弱性および攻撃ベクトルを同定すること。
• マルウェアおよび攻撃者が現在どの程度IPv6プロトコルを活用しているかを評価すること。
• 特にICMPv6およびDNSベースの手法を用いたIPv6を介したデータ漏洩技術を調査すること。
• 広範な悪用が発生する前に、防御側がIPv6セキュリティを強化できる具体的な知見を提供すること。

提案手法

• APNIC、Google、Akamai、Ciscoなどのソースから、世界のIPv6採用メトリクスを収集・分析した。
• 局所ネットワークでの実際のネットワーク測定を実施し、IPv4とIPv6のトラフィックおよび攻撃パターンを比較した。
• ICMPv6およびDNSプロトコルを介したデータ漏洩を実行するためのカスタムツール（IPv6tealおよびIPv6DNSExfil）を開発・テストした。
• 攻撃者の行動をIPv6環境で監視・分析するため、IPv6専用のハニーポットを構築した。
• バイナリファイル内のIPv6関連のマルウェアおよび悪意あるペイロードを検出するためのYARAルールを実装した。
• XOR暗号化されたペイロードをICMPv6エコー要求のシーケンスフィールドに埋め込む、プロトタイプのデータ漏洩手法を設計・実行した。

実験結果

リサーチクエスチョン

• RQ1 IoTネットワークにおけるIPv6の現在の世界的および地域的採用率はどの程度で、IPv4使用と比べてどう異なるか？
• RQ2 攻撃者は現在、IPv6の脆弱性をどの程度活用しているか、またはIPv6を攻撃に利用しているか？
• RQ3 IPv6スキャンおよびデバイス発見技術はIPv4とどのように異なり、防御側にどのような課題をもたらすか？
• RQ4 マルウェアがIPv6上で動作できる能力は現在どの程度で、IPv6専用ネットワークを標的とする既知のマルウェアファミリーは存在するか？
• RQ5 ICMPv6およびDNSなどのIPv6プロトコルを用いた現代のデータ漏洩技術の有効性はどの程度か？

主な発見

• 世界のIPv6採用率は35％であり、インドでは60％に達するなど、地域的な急速な成長が顕著である。
• インターネットに露出しているIPv6対応デバイスは1,600万台以上に上るが、IPv6ネットワークを標的とするマルウェアは唯一のファミリーにとどまっている。
• IPv6スキャンは、膨大なアドレススペースのため、IPv4よりもはるかに複雑であり、発見のための新しいツールおよび技術が求められる。
• ICMPv6シーケンスフィールドを用いたデータ漏洩は、1 KBのデータを8分42秒で送信可能であり、実用的でかつ静か（ステルス性が高い）な漏洩を示している。
• 低レイヤーのネットワークデータに依存する防御ツールは、IPv6をサポートするために更新される必要がある。現在のツールは主にIPv4に特化している。
• 同じIPv6アドレスは複数の有効な文字列形式（例：fe80::1 と fe80:0000::1）で表現可能であり、これによりIoCやブラックリストベースの検出が複雑化している。