CDNにAkamaiを使っている企業は、サイトをIPv6対応にしないと顧客を奪われるぞ
ある日突然、いつも使っていた企業サイトが表示できなくなった。
表示されたのは、
「Access Denied」
の文字。
自分のパソコンがおかしいのかと思った。しかし、別のWebサイトは普通に見られる。スマートフォンの4G回線からアクセスすると、その企業サイトも普通に表示される。
さらに調べてみると、原因として非常に気になることが分かった。
私が利用している固定回線は、IPv6 IPoE方式の「v6プラス」だ。
この方式では、IPv4通信について、複数の利用者が1つのグローバルIPv4アドレスを共有する。
つまり、「このIPv4アドレスから怪しいアクセスがあったから、このIPv4アドレスを拒否する」というセキュリティ対策を行うと、実際に不正アクセスを行った人だけでなく、同じIPv4アドレスを共有している無関係な大勢の利用者まで巻き添えになる可能性がある。
そして、現在の日本では、このようなIPv4 over IPv6方式が珍しくない。
実際に起きたこと
今回、アクセスできなくなったのは、AkamaiをCDNとして利用している複数の企業サイトだった。
例えば、
・ヨドバシ.com
・ELECOM
・TEPCO
・ファッションセンターしまむら
・OMRON
・無印良品
では「Access Denied」が表示された。
ところが、同じAkamaiを利用しているサイトでも、
・楽天
・American Express
・ANA
・トヨタ自動車
・サントリー
・NHK
・出前館
などは、自宅の同じIPv4接続から問題なくアクセスできた。
ここが重要だ。
「Akamaiを使っているからアクセスできない」のではない。
「共有IPv4だから必ずアクセスできない」のでもない。
Akamaiを利用していても、問題なくアクセスできる企業サイトは多数存在する。
つまり、Akamaiを利用する企業側のサイト構成やセキュリティ設定によって、結果が変わっている可能性がある。
そして、IPv6でアクセスできるサイトはどうなるのか
今回さらに興味深かったのが、IPv6対応の有無だった。
IPv6でアクセスできるサイトでは、共有IPv4側で問題が発生していてもアクセスできるケースがある。CDNがAkamaiでIPv6対応しているサイトは
・ヒルトンホテル
・プレイステーションネットワーク
などがあるが、いずれも問題なく接続できた。
象徴的だったのは、東京電力はアクセスできないのに、そのサブドメインである
・くらしTEPCO
には問題なくアクセスできたことだ。これは、TEPCOの親サイトはIPv4接続しか対応していないが、くらしTEPCOに限りIPv6接続が有効になっていたか、もしくはAkamai以外のCDNを使用していたからと推察される。
一方、IPv4でしかアクセスできないサイトでは、Akamai側のIPv4に対するセキュリティ判定の影響を直接受ける。
もちろん、すべてのAccess DeniedがIPv4共有だけで説明できるわけではない。
AkamaiにはWAF、Bot対策、IPレピュテーションなど、複数のセキュリティ機能があるためだ。
しかし、少なくとも「IPv4しか使えない利用者が、共有IPv4アドレスに対するセキュリティ判定によって巻き添えになる」という問題は、これから無視できなくなるのではないだろうか。
「悪いのは不正アクセスをした人だから」で済ませてよいのか
ここには、IPv4共有時代特有の問題がある。
例えば、ある共有IPv4アドレスを100人が利用しているとする。
そのうち1人が不正なアクセスを行った。
セキュリティ対策として、そのIPv4アドレスを丸ごと拒否した。
すると、残り99人の正当な利用者もずっとアクセスできなくなる。
もちろん、実際の共有人数や不正利用者の割合はケースによって異なる。
しかし、問題の構造そのものはこういうものだ。
実際に、Abuse(https://abuse.jpne.co.jp/)で私のグローバルIPv4アドレスを検索したところ、複数のISP名で15件がヒットした。
BIGLOBE・GMO・nifty・So-net・JCOM・enひかり・DTIなど、契約者から見れば別会社のはずのISPをまたいで、同じグローバルIPv4アドレスを共用していることが分かる。これは、v6プラスがJPNE(日本ネットワークイネイブラー)という一つの事業者が提供する共通インフラを、多数のISPが「卸供給」として利用しているためだ。
なお、15件という数字はabuse連絡先の登録件数であり、実際にこのIPv4アドレスを共用している「エンドユーザーの人数」はおそらくもっと多い(各ISPの契約者が同時にこのアドレスを使っている)と考えられる。不正行為を行うリスクのある人、およびその被害を被る人の母数がそれだけ大きいということである。
IPv4アドレスを「利用者そのもの」とみなしてアクセス制御する方法は、IPv4アドレスを複数人で共有する現在のインターネット環境では、以前ほど単純ではない。
「その人だけ別回線を使えばいい」は企業側にとって危険な発想
今回、スマートフォンの4G回線を使えばアクセスできた。
VPNを使うとアクセスできるサイトもあった。
しかし、これは利用者側が負担しているだけである。
「スマートフォン回線に切り替えてください」
「VPNを使ってください」
「現在のプロバイダに、IPv4アドレスを変更してもらってください」
「別のプロバイダに契約して、別のIPv4アドレスからアクセスしてください」
というのは、一般の利用者にとって現実的な解決策とは言いにくい。
IPv4 over IPv6方式の場合、現在のプロバイダに、IPv4アドレスを変更してもらうには、数週間の通信断絶期間が発生する。ひかり電話を契約している場合、家の固定電話もその期間使えなくなるのだ。
しかも、変更したIPv4アドレスも、今後未来永劫Akamaiのブラックリスト入りしないという保証はない。
ましてや、商品を買おうとしている人、電力会社の手続きをしようとしている人、メーカーのサポートページを探している人にとって、
「Access Denied」
と表示された時点で、そのサイトを諦めてしまう可能性は十分にある。
そして、その人は競合企業のサイトへ行ってしまうかもしれない。
「顧客を奪われるぞ」というのは大げさなのか
私は、必ずそうなると断定するつもりはない。
しかし、Webサイトが利用者を拒否してしまえば、その利用者が別のサイトへ移る可能性は当然ある。
特に、
・ECサイト
・旅行サイト
・金融サービス
・通信サービス
・メーカーのサポートサイト
などでは、Webサイトにアクセスできることそのものが顧客接点になっている。
「うちのサイトは正常に稼働している」
だけでは不十分だ。
「正当な利用者が、実際にアクセスできる」
ことが重要なのだ。
IPv6対応は「将来のため」だけではない
IPv6対応というと、
「IPv6の利用者なんてまだ少ないだろう」
「IPv4で問題なく動いている」
と考える企業もあるかもしれない。
しかし、IPv6 IPoEによるインターネット接続はすでに一般家庭に広く普及している。
そして重要なのは、IPv6そのものの普及率だけではない。
IPv6対応することで、
「共有IPv4アドレスの評判」という問題から、少なくともIPv6経路の利用者を切り離せる可能性がある。
IPv4とIPv6のデュアルスタックにしておけば、IPv6で接続できる利用者にはIPv6を利用してもらえる。
これは、セキュリティ上のアクセス制御とIPv4アドレス共有の問題を考えるうえでも、一つの重要な対策になる。
企業にお願いしたいこと
Akamaiを利用している企業には、ぜひ一度、自社サイトをIPv6環境から確認してほしい。
特に確認してほしいのは、
「IPv6から本当に正常にアクセスできるか」
「AAAAレコードが設定されているか」
「Akamai側がIPv6アクセスを受け付ける構成になっているか」
「IPv4共有環境からの正当な利用者を、WAFやBot対策などで巻き添えにしていないか」
という点だ。
そして、Access Deniedが発生した場合には、単に
「お客様の環境に問題があります」
と判断するのではなく、
「IPv4アドレスを複数利用者で共有する環境からアクセスしていないか」
という視点も持ってほしい。
IPv6対応は、利用者のためだけではない
IPv6対応には、もちろん設備や運用上のコストがかかる。
しかし、IPv4アドレスの共有が一般化した現在、
「IPv4だけでWebサイトを提供し続けること」
にも別のコストが発生する可能性がある。
それは、正当な顧客をアクセス制御で弾いてしまうことだ。
企業にとって怖いのは、障害が発生することだけではない。
利用者が「このサイトは使えない」と判断して、何も問い合わせずに競合サイトへ移ってしまうことだ。
その場合、企業側には「顧客を失った」という明確な障害記録すら残らない。
だからこそ、AkamaiなどのCDNを利用している企業には、IPv6対応を単なる「将来への備え」としてではなく、
「正当な顧客を確実にサイトへ到達させるためのインフラ対策」
として考えてほしい。
IPv4共有時代において、IPv6対応は「できればやるもの」ではなく、Webサイトの可用性を高めるための選択肢の一つになっているのではないだろうか。
そして最後に。
CDNにAkamaiを使っている企業は、サイトをIPv6対応にしないと顧客を奪われるぞ。
これは脅しではない。
「Access Denied」の向こう側に、実際にサイトへたどり着けなくなっている利用者がいる、という問題提起である。
その後
1週間経過後、「Access Denied」が出ていたサイトが、すべて一斉に普通にアクセスできるようになった・・・かと思いきや、翌日再びAccess Deniedとなった。共用IPアドレスで不正行為をするユーザーの行為が止まっていないのだろう。
企業サイトのCDNのAkamai依存は、少々問題ありではと思うのである。
