IPではなくIDを選んでください。

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

私はたくさん写真を撮ります。WiFiを使うこともあれば、池のほとりで（実を言うと、釣りをしながら）携帯電話回線を使うこともあります。同じ家、同じ場所です。

ところが、同じ場所で撮影した写真でも、埋め込まれる位置情報はWi-Fi接続かモバイル回線かによって異なります。「Wrightstownの近く」と表示されることもあれば、そうでないこともあります。有線接続のパソコンでは、さらにおかしなことになります。これを書いている今、私の現在地はここから南へ約20マイル離れたウィスコンシン州Appletonと判定されています。同じ机の上にあるiPhoneでは、正しくTown of Lawrenceと表示されます。一方、Facebookにアップロードした写真では、5～10マイルほど離れたWrightstownの近くとなっています。

言うまでもなく、IPアドレスに基づく位置情報の特定は、科学であると同時に職人技でもあることを、私たちは皆認識しています。かつて、まだコードを書くことを許されていた頃にGIS分野で働いていた経験から、精度に疑問のあるIPアドレスに頼らず、座標を地名に正確に対応付けるには、複雑な数学的処理が必要であることをよく理解しています。IPによるジオコーディングの不確かさが招いた、次の驚くべき事例をご覧ください。

MaxMindは、デバイスをインターネットに接続する際に使用されるIPアドレスを物理的な場所と照合します。同社によると、これは正確な位置を示すことを意図したものではありません。

James Arnold氏とTheresa Arnold氏によると、同社は6億件を超えるIPアドレスの所在地として夫妻の自宅を登録していました。

2人によると、このため多くの人が、その家で数々の犯罪が行われたと誤って信じるようになったとのことです。

「アーノルド一家が引っ越してきた最初の週、盗難トラックを捜していたバトラー郡保安官事務所の保安官代理2人がこの家を訪れた。その後5年間、同じようなことが数え切れないほど繰り返された」と、カンザス州の裁判所に提出された文書には記されています。

http://www.bbc.com/news/technology-37048521

自分がアーノルド一家*でなくてよかったと思います。この事例は極端ではありますが、IPアドレスに依存することが必ずしも適切とは限らないことを示しています。特に、アプリケーションへのアクセスを許可する手段の一部としてIPアドレスを使用している場合はなおさらです。

特に多くの金融機関では、ログイン試行の正当性を確認するために、デバイスと同程度にIPアドレスも重視しています。ほぼ常に同じ場所から同じデバイスを使用するのであれば、IPアドレスはそれほど変わらないため、これは有効です。しかし、顧客とのコミュニケーション手段としてますます主流になっているモバイルアプリでは、問題になる可能性があります。移動すればIPアドレスは変わりますし、自宅の外ではWiFiの到達範囲に限界があるため、移動していなくても変わることがあります。

いずれにせよ、識別手段としてのIPアドレスは、とうの昔にその有用性を失っています。かつては、ブロードバンド接続を利用する全員が、プロバイダーからDHCP経由で直接割り当てられた固有のIPアドレスを持っていました。しかし、家庭内でインターネットに接続するデバイスの数が人数を上回るようになると、それも過去のものとなりました。最近の調査によると、「現在、米国のインターネット接続世帯では7億3,400万台が使用されており、1世帯あたりの接続デバイス数は平均7.8台です」。これは、2015年の米国における1世帯あたりの平均人数3.14人の2倍に相当します。2015年の米国における1世帯あたりの人数。

つまり、プロバイダーが割り当てられるIPv4パブリックIPアドレスの数には限りがあるため、1人（今では1台）につき1つのIPアドレスを割り当てるという考え方は、ほぼ現実的ではありません。一般的に、各家庭で使用するパブリックIPアドレスは1つだけで、ほかのすべてのデバイスの通信は、あの小さな黒い箱を経由してルーティングされています。

信頼できる識別手段としてのIPは、もはや通用しません。

認証情報は、トークン、ユーザー名とパスワード、あるいは今後登場する未知の方式のいずれであっても、ユーザーを識別し、ひいては認証するための最善の手段です。また、さまざまな攻撃でIPアドレスが悪用されている現状を踏まえると、アプリを保護するうえでも最善の方法です。ユーザーエージェントと同じくらい簡単にIPアドレスを偽装できる以上、IPアドレスを信頼できる情報源と見なすべきではありません。

また、許可リストや拒否リストにIPアドレスを使用するのも適切ではありません。実際、インターネット上ではIPアドレスをわずか数秒で変更できるからです。DDoS攻撃への関与が日常的に確認されるIPアドレスは、数千万件に上ります。意図的に関与している場合もあれば、誤って不正なサイトにアクセスしたり、不適切なデバイスを購入したりした結果、偶然関与してしまう場合もあります。IPアドレスによるブロックは、利用者に問題をもたらします。インターネットがまだ黎明期にあり、善意の人々であふれていた時代と比べると、今後IPレピュテーションを利用しても、かつてほどの効果は期待できません。今やインターネットは成熟し、デバイスをはじめ、あらゆるものを悪用しようとする攻撃者が蔓延しています。そのため、別の手段に目を向ける必要があります。

アプリケーションという新たな境界を保護するため、アイデンティティを新たなファイアウォールとして活用する必要があります。フェデレーションを利用する場合でも、従来の企業向けアイデンティティ管理を利用する場合でも、IPよりもIDを重視することで、境界のないビジネスを保護し、企業ユーザーと一般消費者の双方を含む、ますますモバイル化するユーザーにアクセスを提供する必要があります。

* 興味深いことに、母方の家系もArnold姓です。きっと血縁関係はないと思いますが、もしかすると……

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事