چالش های امنیتی پروتکل IPv6 و روش های رفع آن

آدرس‌های IPv4 به طور کامل به اتمام رسیده‌اند. سال‌هاست که وضعیت همین‌گونه است؛ به این معنی که ارائه‌دهندگان خدمات اینترنت (ISPها) و دیگر سرویس‌دهنده‌ها مدت‌هاست برای کمک به توسعه وب و در عین حال پایین نگه‌داشتن هزینه‌ها، به سمت استفاده از آدرس‌های ارزان‌تر IPv6 روی آورده‌اند.

این اتفاق بسیار خوب و مثبت است، اما چیزی که متوجه آن نشده بودم این است که IPv6 با برخی خطرات در زمینه حریم خصوصی همراه است؛ خطراتی که بیشتر مردم (که این قابلیت به صورت پیش‌فرض برایشان فعال است) اصلاً از آن خبری ندارند و البته این ریسک‌ها در طول سال‌ها دستخوش تغییر نیز شده است.

فاش شدن آدرس‌های اولیه IPv6 و قابل ردیابی بودن

این ویژگی قطعاً با ناشناس بودن در تضاد است! اگر از همان ابتدا بررسی کنیم، روش اصلی برای تولید شناسه رابط (Interface ID) در پروتکل IPv6 روشی به نام EUI-64 بود. این متد، آدرس MAC کارت شبکه شما را می‌گرفت و آن را مستقیماً در نیمه دوم آدرس IPv6 می‌گنجاند. این یعنی یک دستگاه مشخص، هر بار و در هر شبکه‌ای دقیقاً از یک پسوند یکسان استفاده می‌کرد.

آدرس MAC یک شناسه منحصربه‌فرد ۱۲ رقمی در مبنای ۱۶ (هگزادسیمال) است که به هر سخت‌افزار اختصاص داده می‌شود و شامل شناسه سازنده و شناسه خود دستگاه است؛ به عبارتی، این آدرس مانند اثر انگشت دیجیتال عمل می‌کند. آدرس MAC همواره همراه دستگاه شماست و اگرچه می‌توان آن را پنهان (Mask) یا دگرگون کرد، اما معمولاً روشی قطعی برای شناسایی یک دستگاه به شمار می‌رود.

بنابراین، با ادغام شدن آدرس MAC درون آدرس IPv6، به‌وضوح می‌توان دید که چه چالش بزرگی برای حریم خصوصی رخ می‌داد. لپ‌تاپ شما می‌توانست یک شناسه کاملاً یکسان را از شبکه خانگی به کافی‌شاپ، وای‌فای هتل، دفتر کار و هر جای دیگری که می‌روید با خود ببرد. به این ترتیب، سال‌ها قبل از اینکه روش‌های ردیابی مرورگر (Browser Fingerprinting) رایج شوند، آدرس IPv6 شما به‌تنهایی فاش می‌کرد که تمام این اتصال‌ها از یک دستگاه فیزیکی واحد انجام شده‌اند.

خوشبختانه، امروزه دیگر آدرس‌های IPv6 به این شیوه عمل نمی‌کنند؛ چرا که مجموعه‌ای از افزونه‌های حریم خصوصی (Privacy Extensions) برای حل این مشکل بزرگ روی کار آمده‌اند.

ثابت بودن آدرس IPv6 مودم و خانه

در کنار آدرس اختصاصی دستگاه شما، ISP (ارائه‌دهنده اینترنت) یک پیشوند شبکه (Network Prefix) نیز به کل خانه شما اختصاص می‌دهد و این پیشوند می‌تواند هفته‌ها یا ماه‌ها بدون تغییر باقی بماند. از آنجایی که در پروتکل IPv6 برخلاف گذشته دیگر مشکل کمبود آدرس وجود ندارد، اپراتور شبکه مجبور نیست آدرس‌ها را مدام جابه‌جا کند؛ در نتیجه، آن آدرس واحد می‌تواند به طور مستقیم به خانه شما پیوند بخورد و آن را بیش از آنچه تصور می‌کنید، ردیابی‌پذیر کند.

این بدان معناست که هر کسی ترافیک اینترنت شما را ردیابی می‌کند، نیازی ندارد دقیقاً بداند که آیا این دستگاه گوشی شماست، لپ‌تاپتان است یا هر گجت دیگری. رصد کردن همان آدرس IPv6 به‌تنهایی می‌تواند تمام اطلاعات لازم را فاش کند؛ یک پیشوند ثابت، متصل کردن و تحلیل فعالیت‌های انجام‌شده از یک شبکه واحد را در طول زمان بسیار آسان‌تر می‌کند، حتی اگر دستگاه‌های مختلف پشت آن شبکه از آدرس‌های متغیر استفاده کنند.

با این حال، این تمام ماجرا نیست؛ چرا که افزونه‌های حریم خصوصی IPv6 (Privacy Extensions) برای حل این مشکلات شناخته‌شده روی کار آمده‌اند. این افزونه‌ها ابتدا با استاندارد RFC 3041 معرفی شدند و متعاقباً با نسخه جدیدتر RFC 4941 جایگزین شدند. این ابزارها، شناسه‌های رابطِ مشتق‌شده از سخت‌افزار را با شناسه‌های موقت و تصادفی جایگزین می‌کنند که به‌مرور زمان تغییر می‌یابند. آخرین نسخه یعنی RFC 8981 (معرفی‌شده در سال ۲۰۲۱)، مدت زمان اعتبار پیش‌فرض آدرس‌های موقت را از ۷ روز به ۲ روز کاهش داده که این امر حریم خصوصی شما را به شدت ارتقا می‌دهد.

امروزه سیستم‌عامل‌های ویندوز، مک‌او‌اس، لینوکس، اندروید و iOS همگی به صورت پیش‌فرض از نوعی از این آدرس‌های موقت پشتیبانی می‌کنند، اگرچه نحوه پیاده‌سازی آن بسته به سیستم‌عامل متفاوت است.

در نگاه کلی، این مسئله به اندازه مشکل قدیمی فاش شدن آدرس‌های MAC حاد نبود، اما چالش دیگری در حوزه حریم خصوصی بود که باید حل می‌شد. با این وجود، حتی اکنون نیز این مشکل به طور کامل برطرف نشده است.

یک راهکار سریع برای تست: یک روش ساده برای بررسی این موضوع، تست کردن آدرس IPv6 خود در طول چند هفته است. نیازی به کار پیچیده‌ای نیست؛ فقط به وب‌سایت Test-IPv6 مراجعه کرده و آدرس خود را یادداشت کنید. هفته بعد و هفته‌های پس از آن دوباره به سایت سر بزنید و هر بار آدرس IPv6 خود را یادداشت و با دفعات قبل مقایسه کنید.

مشکل فیلترشکن ها با آدرس‌های IPv6

بسیاری از برنامه‌های VPN تنها با در نظر گرفتن اینترنت قدیمی (IPv4) ساخته شده‌اند. اگر وی‌پی‌ان شما فقط ترافیک IPv4 را تونل و رمزگذاری کند و آدرس‌های IPv6 را نادیده بگیرد، تمام ترافیک IPv6 دستگاه شما به صورت رمزگذاری‌نشده و مستقیماً از طریق ارائه‌دهنده اینترنت (ISP) عبور خواهد کرد؛ این در حالی است که آیکون سپر کوچک برنامه به شما نشان می‌دهد که همه چیز تحت پوشش و امن است!

مشابه سایر چالش‌های حریم خصوصی، این مورد نیز نسبت به چند سال گذشته کمتر رخ می‌دهد، اما همچنان موضوعی است که می‌تواند عملکرد برخی VPNها را تحت تأثیر قرار دهد.

پیش از این، موضوع نشت آدرس واقعی توسط WebRTC از میان تونل VPN (از طریق تماس‌های ویدیویی و کدهای مرورگر که بی‌صدا آن را دور می‌زنند) مطرح شده بود. مشکل عدم پوشش IPv6 نیز دقیقاً از همان جنس است، اما در لباسی دیگر؛ در واقع تونل وی‌پی‌ان دقیقاً همان‌طور که ادعا می‌شود کار می‌کند، اما این پروتکل حفاظتی برای تمام ترافیک خروجی از دستگاه شما اعمال نمی‌شود. این مسئله یکی از اولین ویژگی‌هایی است که باید در یک VPN بررسی کنید.

نحوه تست و راهکار اصلی:
برطرف کردن این مشکل به خودِ سرویس VPN شما بستگی دارد و نه به پروتکل IPv6. برای بررسی این موضوع، ابتدا بدون اتصال به فیلترشکن به یک سایت تست IPv6 مراجعه کرده و آدرس خود را یادداشت کنید. سپس VPN خود را روشن کرده و همان تست را دوباره انجام دهید. اگر آدرس نمایش‌داده‌شده دقیقاً همان قبلی بود، یعنی وی‌پی‌ان شما وظیفه‌اش را به‌درستی انجام نمی‌دهد؛ در این صورت پیشنهاد می‌شود به سراغ سرویس‌های معتبرتر و امن‌تری مانند Proton VPN یا Mullvad VPN بروید.

در پروتکل IPv6، NAT از حریم خصوصی شما محافظت نمی‌کنه

در سیستم قدیمی، بیشتر خانه‌ها یک آدرس عمومی (Public IP) واحد را بین تمام دستگاه‌های خود به اشتراک می‌گذاشتند، چرا که آدرس‌های کافی برای همه وجود نداشت. روتر شما وظیفه تقسیم این یک آی‌پی عمومی را بین لپ‌تاپ، گوشی، تلویزیون هوشمند و هر دستگاه متصل دیگری بر عهده داشت؛ فرآیندی که به آن ترجمه آدرس شبکه یا NAT (Network Address Translation) می‌گویند.

سیستم قدیمی به روشی غیرمستقیم، دستگاه‌های داخلی شما را مبهم و پنهان نگه می‌داشت. نه اینکه آن‌ها کاملاً مخفی باشند، اما به دلیل اشتراک‌گذاری آدرس، ردیابی و شناسایی دقیق یک دستگاه خاص چندان آسان نبود.

پروتکل IPv6 دیگر با مشکل کمبود آدرس مواجه نیست، بنابراین نیازی به این راهکار جایگزین ندارد. در تئوری، تک‌تک دستگاه‌های خانه شما از لپ‌تاپ و گوشی گرفته تا پریز هوشمند و دوربین درب ورودی می‌توانند آدرس کاملاً عمومی و اختصاصی خود را با قابلیت مسیریابی جهانی (Globally Routable) دریافت کنند. این ویژگی از جنبه‌های بسیاری یک ارتقای بزرگ محسوب می‌شود. این روش اصلاً ناامن‌تر از گذشته نیست و نمی‌خواهیم وانمود کنیم که سیستم قدیمی یک استاندارد طلایی بوده که اکنون از بین رفته است.

در اصل، اکنون یک لامپ هوشمند در خانه شما از بیرون شبکه به همان اندازه‌ای قابل دسترسی است که لپ‌تاپ شما دسترسی دارد؛ اینکه آیا واقعاً اتفاقی از طریق این دسترسی رخ می‌دهد یا خیر، به قوانین فایروال (Firewall Rules) روتر شما بستگی دارد، نه به نبود آدرس‌های آزاد.

اما واقعیت این است که بیشتر روترها و فایروال‌ها در تنظیمات اولیه پیش‌فرض به درستی پیکربندی شده‌اند و ترافیک ورودی ناخواسته را در IPv6 مسدود می‌کنند؛ دقیقاً همان کاری که همیشه در IPv4 انجام می‌دادند. با این حال، بررسی تنظیمات روتر برای اطمینان کامل، هنوز هم ارزشش را دارد.

IPv6 وضعیت حریم خصوصی را تغییر می‌دهد، اما جای نگرانی نیست

با وجود تمام آنچه گفته شد، قرار نیست IPv6 ناگهان رمزهای عبور شما را لو بدهد یا اطلاعات بانکی‌تان را برای یک هکر بفرستد. مکانیزم کارکرد آن اصلاً به این صورت نیست. این موضوع فقط به این معنی است که برخلاف مخزن محدود IPv4، فراوانی و در دسترس بودن بی‌سابقه آدرس‌های IPv6 ایجاب می‌کند که چند اقدام احتیاطی اضافی را رعایت کنید.

همان‌طور که اشاره شد، ارزشش را دارد که تست‌های نشت IPv6 را برای وی‌پی‌ان خود انجام دهید؛ اما بررسی مجدد آن‌ها در آینده نیز اهمیت زیادی دارد، چرا که پیشوندها مجدداً تغییر می‌کنند، برنامه‌های VPN به‌روزرسانی می‌شوند و تنظیمات روترها ممکن است به حالت کارخانه بازگردند.

منبع