Historia internetu to fascynująca opowieść o genialnych pomysłach, ale i o decyzjach, które z perspektywy czasu wydają się co najmniej dyskusyjne. Jednym z takich tematów jest zarządzanie pulą adresów IPv4. Gdyby na przełomie lat 70. i 80. XX wieku podjęto decyzję o "uwolnieniu" zarezerwowanych zakresów, takich jak 0.0.0.0/8 czy 240.0.0.0/4, dzisiejszy krajobraz cyberbezpieczeństwa mógłby wyglądać zupełnie inaczej – i to niekoniecznie w pozytywnym sensie. Choć dodatkowe 285 milionów adresów brzmi jak zbawienie dla kurczących się zasobów, w rzeczywistości mogłoby to zadziałać jak "narkotyk" przedłużający życie przestarzałej technologii.

Czym są "zmarnowane" miliony adresów IPv4

Zanim przejdziemy do kwestii bezpieczeństwa, warto zrozumieć, o jakich liczbach mówimy. Zakres od 0.0.0.1 do 0.255.255.255 (sieć 0.0.0.0/8) to ponad 16,7 miliona adresów, które historycznie zarezerwowano jako "tę sieć". Z kolei blok od 240.0.0.0 do 255.255.255.254 (tzw. Klasa E) to gigantyczna pula około 268 milionów adresów, przeznaczona pierwotnie do celów eksperymentalnych i przyszłościowych.

Razem daje to niemal 285 milionów adresów IP. W skali całego internetu IPv4, który oferuje łącznie około 4,3 miliarda kombinacji, jest to potężny zastrzyk. Gdyby te adresy trafiły do użytku publicznego w latach 80., moment "wyczerpania" puli IPv4 przesunąłby się o co najmniej kilka, a może nawet kilkanaście lat.

Pułapka fałszywego poczucia bezpieczeństwa i NAT

Głównym problemem wynikającym z opóźnienia przejścia na IPv6 byłoby przedłużenie dominacji technologii NAT (Network Address Translation). NAT powstał jako proteza mająca ratować IPv4 – pozwala on wielu urządzeniom w sieci lokalnej korzystać z jednego publicznego adresu IP.

Wielu użytkowników i administratorów błędnie uważa NAT za mechanizm bezpieczeństwa (rodzaj zapory ogniowej), ponieważ "ukrywa" on urządzenia wewnętrzne przed światem zewnętrznym. To złudne przekonanie sprawiło, że rozwój prawdziwych, nowoczesnych standardów bezpieczeństwa na poziomie hosta został spowolniony. Opóźnienie IPv6 oznaczałoby, że przez kolejne dekady tkwilibyśmy w architekturze opartej na "łataniu" dziurawego protokołu, zamiast wdrażać system, który od podstaw projektowano z myślą o bezpieczeństwie.

Dual-stack jako poligon dla hakerów

Przejście z IPv4 na IPv6 nie dzieje się z dnia na dzień. Obecnie żyjemy w erze "dual-stack", gdzie oba protokoły działają równolegle. Jest to jeden z najbardziej niebezpiecznych okresów dla infrastruktury sieciowej. Dlaczego? Ponieważ każda sieć ma teraz dwa razy więcej punktów wejścia.

Gdyby dodatkowe adresy IPv4 opóźniły migrację, okres współistnienia obu protokołów w XXI wieku byłby jeszcze bardziej chaotyczny. Administratorzy musieliby zabezpieczać stare, "rozdmuchane" sieci IPv4, jednocześnie ucząc się obsługi IPv6 w pośpiechu, gdy nowa pula w końcu by się wyczerpała. Większa pula IPv4 dałaby nam tylko więcej czasu na ignorowanie problemu, co w świecie IT zazwyczaj kończy się tragicznie w momencie, gdy "ściana" zostaje ostatecznie uderzona.

Ciekawostka: Dlaczego nie możemy po prostu "odblokować" tych adresów dzisiaj?

Choć technicznie zmiana definicji tych zakresów w dokumentacji RFC jest możliwa, problemem jest sprzęt. Miliony ruterów, przełączników i systemów operacyjnych na całym świecie mają na sztywno zakodowane (hardcoded), że adresy zaczynające się od 240... są nieprawidłowe. Próba ich użycia dzisiaj spowodowałaby, że pakiety byłyby odrzucane przez połowę internetu, tworząc gigantyczny chaos komunikacyjny.

IPv6 i wbudowane mechanizmy bezpieczeństwa

Protokół IPv6 nie jest tylko "większą wersją" IPv4. Został zaprojektowany w czasie, gdy zagrożenia sieciowe były już dobrze znane. Jednym z jego fundamentów (choć w praktyce różnie wdrażanym) jest IPsec, czyli zestaw protokołów służących do zapewnienia bezpiecznej komunikacji.

Opóźnienie wdrożenia IPv6 poprzez sztuczne powiększenie puli IPv4 oznaczałoby:

• Dłuższe korzystanie z ARP: Protokół ARP w IPv4 jest podatny na ataki typu "spoofing". IPv6 zastępuje go bezpieczniejszym protokołem NDP (Neighbor Discovery Protocol).
• Problemy z IoT: Internet Rzeczy (IoT) rozwija się błyskawicznie. IPv4 zmusza urządzenia IoT do korzystania z uciążliwych tuneli i serwerów pośredniczących, co tworzy dodatkowe wektory ataku. IPv6 pozwala na bezpośrednią, szyfrowaną komunikację end-to-end.
• Fragmentacja pakietów: W IPv4 routery mogą fragmentować pakiety, co bywa wykorzystywane do omijania systemów IDS/IPS. W IPv6 fragmentacja odbywa się tylko u nadawcy, co ułatwia monitorowanie ruchu.

Dług technologiczny, który zabija innowacje

Największym zagrożeniem dla bezpieczeństwa wynikającym z opóźnienia byłby jednak narastający dług technologiczny. Im dłużej świat polegałby na IPv4, tym trudniej byłoby wykorzenić stare nawyki i przestarzałe oprogramowanie. W XXI wieku, gdzie ataki ransomware i kampanie APT (Advanced Persistent Threat) są na porządku dziennym, poleganie na protokole z lat 70. jest jak budowanie nowoczesnego wieżowca na fundamentach z piasku.

Dodatkowe adresy IPv4 z zakresów 0/8 i 240/4 dałyby nam komfort, którego nie powinniśmy mieć. Ten komfort odsunąłby w czasie inwestycje w nowoczesne systemy detekcji, lepsze zarządzanie tożsamością w sieci i globalne standardy szyfrowania, które są naturalnym elementem ekosystemu IPv6. W efekcie, gdybyśmy w końcu musieli przejść na IPv6 (a musielibyśmy), robilibyśmy to w jeszcze większym pośpiechu, popełniając krytyczne błędy w konfiguracji, które hakerzy wykorzystaliby bez litości.