IPスプーフィングとは何か、その仕組みと身を守る方法

差出人住所は写すことができる。返信先を受取人に伝えるものではあっても、誰が送ったかを証明するものではない。

自分が送ったのではない手紙に、自分の住所が差出人住所として書かれていることはあり得ます。その住所は、受取人に返信先を伝えますが、誰が手紙を書いたかを証明するものではありません。IPスプーフィングは、インターネット通信にある同様の隔たりを悪用します。

何が偽装されるのか

情報は、パケットという単位でネットワーク上を移動します。各IPパケットには、宛先アドレスと送信元アドレスがあります。スプーフィングとは、そのパケットに偽の送信元アドレスを記載することです。別の仕組みでそのアドレスの妥当性を確認しない限り、受信側に見えるのは、送信者が名乗ったアドレスです。

IPアドレスは、ネットワークが通信を届けるために役立ちます。個人の身分証明書ではありません。複数の人が一つの公開IPアドレスを共有することもあれば、機器のアドレスが変わることもあります。したがって、特定のIPアドレスからの通信を許可するルールで確認できる範囲は、ログインや暗号技術による本人確認よりも限られています。

返信が重要な理由

誰かがあなたのアドレスを送信元としてリクエストを送ったとします。通常、サービスはあなたに向けて返信を送ります。送信者がその返信を自動的に受け取ったり、あなたのコンピューターにアクセスできたりするわけではありません。

これは、多くのアプリケーションが通信に使うTCPで重要な意味を持ちます。接続の開始には双方向のやり取りが必要で、確立した接続はそれぞれの状態を管理します。アドレスを写しただけでは、このやり取りは完了しません。TCPの仕様には、こうした接続やシーケンスの確認について記されています。これらは有用な保護策ですが、サービスや利用者の認証に代わるものではありません。

偽のアドレスが、それでも被害を引き起こせる仕組み

攻撃者の目的は、通信を成立させることとは限りません。サービスから別の誰かに、望まれていない返信を送りつけたいのかもしれません。多くのサービスが応答すれば、被害者には、自分が要求していない通信が届きます。これが反射攻撃です。返信がリクエストよりはるかに大きければ、増幅も生じます。

ほかにも、資源を直接使い尽くそうとする攻撃や、送信元アドレスを過信するサービスを悪用する攻撃があります。結果は、サービス、ネットワーク経路、そこで講じられている保護策によって変わります。送信元を偽装しただけで、暗号化されたセッションの内容を読んだり、アカウントを乗っ取ったりできるようになるわけではありません。

二つの異なる場所で行う、二つの異なる確認

ネットワークの境界では、運用者は、その接続から届くはずのない送信元を名乗る通信を拒否できます。たとえば、ある顧客の接続から、無関係な別の顧客のアドレス範囲に属するふりをしたパケットが送られるべきではありません。これが、BCP 38の送信元フィルタリングの基本原則です。

アプリケーション層では、認証によって、誰に参加する資格があるかを確認します。HTTPSはTLSを使い、設定と検証が正しく行われていれば、サーバーを認証して接続を保護します。一方、サインインは、それとは別にアカウントの身元を確立します。もっともらしいアドレスは、どちらの確認にも代わりません。

自分にできること

ネットワークの運用者ではなくインターネットの利用者であれば、ソフトウェアを最新に保ち、認証された暗号化接続を提供するサービスを使い、証明書の警告を軽視しないことが大切です。これらは、自分が行う通信を保護します。インターネット接続を通過する、送信元が偽装された通信を排除するのは、ネットワーク運用者の仕事です。パスワードを強くすればできることではありません。

ネットワークやサービスを運用している方は、まず送信元の確認と認証をどこで行うべきかをお読みください。反射、フラッディングといった手法や関連用語をより明確に理解するには、さまざまな攻撃パターンへお進みください。

主張を支える仕組みを確かめる

ここで役立つのは、そのシステムが実際には何を検証しているのかを問う習慣です。Lu Hengは、現実の層と象徴的権力を論じたノート20で、この問いを制度と権力に関する、より広い議論へと展開しています。その論考が扱うのは、より大きな議論です。ここで取り上げたネットワークの例は、主張と、それを支える仕組みを区別するための具体例にすぎません。