Включены ли расширения конфиденциальности по умолчанию?

Да, в Windows, macOS, iOS и большинстве современных дистрибутивов Linux. В старых системах или определенных конфигурациях серверов они могут быть не включены. Проверьте свой IPv6-адрес: если он меняется изо дня в день, значит, они работают.

Почему на моем IPv6-адресе указано несколько адресов?

Современные стеки поддерживают стабильный адрес для входящих соединений плюс один или несколько временных адресов для исходящих. ip -6 addr show в Linux или «Системные настройки» в macOS отображают оба варианта. Оба нормальные.

Делает ли использование VPN конфиденциальность IPv6 спорной?

IPv6-адрес выхода VPN (если есть) — это то, что видит пункт назначения. Но многие VPN только туннелируют IPv4 и передают IPv6 напрямую, раскрывая ваш реальный адрес. Убедитесь, что ваша VPN действительно поддерживает IPv6 — см. наш тест на утечку VPN .

Могу ли я изменить свой IPv6-адрес быстрее, чем ежедневно?

В Linux: sysctl net.ipv6.conf.all.temp_prefered_lft управляет временем жизни. Уменьшение его ротации происходит чаще за счет немного большего оборота соединений. Большинство пользователей получают достаточную конфиденциальность благодаря ежедневной ротации по умолчанию.

Раскрывает ли IPv6 мой MAC-адрес?

Только если расширения конфиденциальности отключены и используется адресация EUI-64. Современные системы по умолчанию используют либо расширения конфиденциальности, либо стабильные адреса RFC 7217 — оба случайные, а не полученные из MAC. Ваш MAC-адрес не должен быть выведен из вашего трафика IPv6 в современной конфигурации по умолчанию.

Объяснение расширений конфиденциальности IPv6: почему ваш IPv6-адрес меняется ежедневно

IPv6 изначально был разработан таким образом, чтобы каждое устройство имело один стабильный глобально маршрутизируемый адрес, полученный из MAC-адреса устройства, что делало его постоянным уникальным идентификатором. Сообщество конфиденциальности сопротивлялось; ответом стали расширения конфиденциальности, которые дают вашему устройству ротационные временные адреса, которые меняются ежедневно. Понимание того, как это работает, проясняет, что IPv6 делает, а что не раскрывает о вас.

Полный текст статьи на английском языке представлен ниже.

Расширения конфиденциальности

IPv6 (RFC 4941, обновленный в RFC 8981) генерируют случайные, ограниченные по времени адреса IPv6 для предотвращения отслеживания через стабильный адрес. Без них IPv6 сделал бы каждое подключенное к Интернету устройство постоянно и однозначно адресуемым во всех сетях, к которым оно когда-либо присоединялось, — кошмар для отслеживания. С их помощью IPv6 примерно так же конфиденциальен, как IPv4 + NAT по умолчанию, с некоторыми преимуществами и некоторыми оговорками.

Исходная проблема

IPv6 адреса имеют 128 бит — 64 бита обычно представляют префикс сети, 64 бита — идентификатор интерфейса. Исходный стандарт автоконфигурации адреса без сохранения состояния (SLAAC) получал идентификатор интерфейса из MAC-адреса устройства в формате EUI-64. Каждое устройство имело:

Один и тот же идентификатор интерфейса в каждой сети, к которой оно присоединялось
Адрес, постоянно привязанный к MAC
сетевой картыГлобально уникальную подпись, видимую для каждого сайта, к которому оно подключено

Это было эквивалентно тому, что каждое подключенное к Интернету устройство имело постоянный видимый серийный номер. Трекеры могут считывать данные с устройств в сети без каких-либо других инструментов. Проблема с конфиденциальностью была очевидна заранее.

Как работают расширения конфиденциальности

Исправить просто:

Устройство генерирует случайный 64-битный идентификатор интерфейса вместо использования EUI-64.
Оно объединяет его с сетевым префиксом для формирования временного IPv6. адрес.
Временный адрес используется для исходящих подключений.
Новый случайный идентификатор интерфейса генерируется периодически — обычно ежедневно — и старый считается устаревшим.
Старый адрес кратковременно сохраняется для текущих подключений, а затем удаляется.

Результат: исходящий трафик использует другой IPv6 адрес изо дня в день. Сайты, отслеживающие по IP-адресу, видят меняющийся идентификатор, аналогичный типичному динамическому адресу IPv4. Поддержка

OS

Windows — включена по умолчанию, начиная с Windows 7 в 2009 году.
macOS / iOS — включена по умолчанию в течение многих лет; iOS по умолчанию использует временные адреса для исходящего трафика.
Linux — поддерживается в ядре; зависит от дистрибутива, включено ли оно по умолчанию. Большинство современных дистрибутивов позволяют это.
Android — использует рандомизацию MAC на уровне Wi-Fi, отдельно, но связанную с конфиденциальностью IPv6.

Для большинства пользователей современных операционных систем расширения конфиденциальности уже включены.

Стабильный адрес по-прежнему Exist

Устройства обычно поддерживают как стабильный адрес (для входящих подключений, размещения служб), так и временный адрес (для исходящих). Когда вы инициируете соединение, временный адрес является источником. Когда кто-то подключается к вам (или ваше устройство действует как сервер), целью является стабильный адрес.

Стабильный адрес по-прежнему может быть основан на EUI-64 (полученный из MAC) или сгенерирован на основе RFC 7217 (стабильное псевдослучайное значение для каждой сети, рекомендованное современными стеками). Стабильные адреса RFC 7217 уникальны для каждой сети, к которой подключено устройство — ваша домашняя сеть видит один стабильный адрес, ваша офисная сеть видит другой.

Что расширения конфиденциальности не защищают

Отслеживание в рамках сеанса. Для одного сеанса просмотра используется один временный адрес; сайты могут коррелировать активность в течение нескольких часов.
Идентификаторы уровня приложения. Файлы cookie, учетные записи и отпечатки пальцев сохраняются при ротации адресов.
Связь с префиксом сети. Все адреса в вашей сети имеют один и тот же префикс /64; сайты могут идентифицировать вашу сеть даже при смене отдельных адресов.
Обратный DNS. Если на устройстве настроен обратный DNS для его стабильного адреса, стабильный адрес все равно может отображаться в некоторых контекстах.

Сравнение CGNAT

Для IPv4 с CGNAT ваш общедоступный IP-адрес используется совместно с тысячами других пользователи — сайты не могут легко отличить вас от кого-либо еще на том же выходе. Для IPv6 с расширениями конфиденциальности каждое устройство получает свои уникальные адреса, но они меняются. Различные свойства конфиденциальности:

CGNAT IPv4: плохое отслеживание с сайтов по IP; вы растворяетесь в толпе
IPv6 конфиденциальность: идентификация индивидуального устройства за короткие промежутки времени; вращение сводит на нет долгосрочное отслеживание

Ни то, ни другое не лучше; это разные компромиссы.

Проверка конфиденциальности IPv6

Быстрая проверка:

Посетите нашу домашнюю страницу или любой сайт поиска IP — отображаемый IPv6-адрес меняется ежедневно?
Если ваш IPv6-адрес заканчивается байтами, похожими на ваш MAC-адрес (с вставленным в середине FF:FE), расширения конфиденциальности отключены.
Если он выглядит случайным образом и меняется со временем, расширения конфиденциальности отключены. работает.

Полное отключение IPv6

Некоторые пользователи отключают IPv6, чтобы избежать утечек VPN или других проблем. Компромисс:

Устраняет риски отслеживания, связанные с IPv6
Форсально весь трафик проходит через IPv4 (часто CGNAT для мобильных пользователей)
Некоторые службы могут работать хуже или выходить из строя, если им требуется IPv6 в некоторых конфигурациях

Для большинства пользователей оставить IPv6 включенным с расширениями конфиденциальности — это правильный вариант по умолчанию. Пользователям, у которых есть опасения по поводу утечки VPN, следует убедиться, что ваша VPN-туннелирует IPv6 правильно, а не отключать протокол.

Часто задаваемые вопросы

Включены ли расширения конфиденциальности по умолчанию?: Да, в Windows, macOS, iOS и большинстве современных дистрибутивов Linux. В старых системах или определенных конфигурациях серверов они могут быть не включены. Проверьте свой IPv6-адрес: если он меняется изо дня в день, значит, они работают.
Почему на моем IPv6-адресе указано несколько адресов?: Современные стеки поддерживают стабильный адрес для входящих соединений плюс один или несколько временных адресов для исходящих. <code>ip -6 addr show</code> в Linux или «Системные настройки» в macOS отображают оба варианта. Оба нормальные.
Делает ли использование VPN конфиденциальность IPv6 спорной?: IPv6-адрес выхода VPN (если есть) — это то, что видит пункт назначения. Но многие VPN только туннелируют IPv4 и передают IPv6 напрямую, раскрывая ваш реальный адрес. Убедитесь, что ваша VPN действительно поддерживает IPv6 — см. наш тест на утечку <a href="/vpn-leak-test">VPN</a>.
Могу ли я изменить свой IPv6-адрес быстрее, чем ежедневно?: В Linux: <code>sysctl net.ipv6.conf.all.temp_prefered_lft</code> управляет временем жизни. Уменьшение его ротации происходит чаще за счет немного большего оборота соединений. Большинство пользователей получают достаточную конфиденциальность благодаря ежедневной ротации по умолчанию.
Раскрывает ли IPv6 мой MAC-адрес?: Только если расширения конфиденциальности отключены и используется адресация EUI-64. Современные системы по умолчанию используют либо расширения конфиденциальности, либо стабильные адреса RFC 7217 — оба случайные, а не полученные из MAC. Ваш MAC-адрес не должен быть выведен из вашего трафика IPv6 в современной конфигурации по умолчанию.