TCP シーケンス番号予測と接続乗っ取りの原理

シーケンス番号が認証を兼ねている

TCP は IP の上に信頼性を載せるプロトコルですが、その信頼性の土台であるシーケンス番号が、意図せずゆるい認証としても機能しています。受信側は「期待するシーケンス番号の範囲（受信ウィンドウ）に入ったセグメントだけを受理する」ため、攻撃者が偽装パケットを差し込むには、宛先が今まさに待っている seq を当てなければなりません。逆に言えば、seq を当てられればパケットの送信元 IP を詐称しても受理されうる——ここが攻撃の入り口です。

攻撃者を 2 種類に分けると理解が整理できます。経路上でパケットを盗聴できる on-path 攻撃者は seq を読めるので話は単純です。問題は経路を見られない off-path（ブラインド）攻撃者で、彼らは seq を推測するしかありません。本稿が扱うのはこの盲打ちの成立条件と、それを潰してきた歴史です。コネクション確立で双方向の初期シーケンス番号（ISN）を同期する手続きは TCPの状態遷移とコネクション確立・切断の内部 を前提とします。

ISN 予測：3 ウェイハンドシェイクの盲点

3 ウェイハンドシェイクで、サーバーは自分の ISN y を SYN+ACK で返します。クライアント（の IP）になりすました off-path 攻撃者は、この SYN+ACK を受け取れません（応答は本物のクライアント IP へ飛ぶため）。にもかかわらず接続を成立させるには、最後の ACK で ack = y+1 を返す必要があります。つまり攻撃者は y を見ずに当てるしかありません。

攻撃者(Aの送信元IPを詐称)        サーバー        本物のクライアントA
    |-- SYN(src=A, seq=x) ------->|
    |                             |-- SYN+ACK(seq=y) -->|  ← 攻撃者には届かない
    |                             |                     |（Aは身に覚えがなくRSTを返しうる）
    |-- ACK(ack=y+1) 推測 ------->|  ← yを当てられれば ESTABLISHED

初期の実装では ISN が一定間隔で単調増加するだけでした（例：一定時間ごとに固定量を加算）。これだと攻撃者はまず自分の正規 IP でサーバーに 1 本接続して現在の ISN を観測し、そこに「経過時間ぶんの増分」を足すだけで、次に詐称接続で返ってくる y を高精度に予測できます。1985 年に Morris が記述し、1994 年の Mitnick 事件で実用化されたのがこの手口です。

確立済み接続への注入：RST と データ

ISN 予測は「新規接続のなりすまし」ですが、既に確立済みの接続に割り込む攻撃もあります。こちらは ISN ではなく、現在進行中の seq が受信ウィンドウのどこにあるかを当てる問題になります。受信側は「seq が受信ウィンドウ [RCV.NXT, RCV.NXT + RCV.WND) に重なる」セグメントを受理するため、窓のどこか 1 点に当たれば偽装パケットが通ります。注入には主に 2 系統あります。

要点は許容のゆるさの差です。RFC 793 当時の RST 処理は「ウィンドウ内に入る seq なら受理」だったため、攻撃者は窓の幅ぶんだけ当たりやすくなります。受信ウィンドウが W バイトなら、2^32 通りの seq 空間のうち約 W 点が当たりで、推測の試行回数の期待値は概ね 2^32 / W です。広帯域回線では W が大きく（数十万〜数百万バイト）、現実的な試行数で当たってしまいます。

seq 空間（0 .. 2^32-1）を一周のリングとみなす
                RCV.NXT          RCV.NXT+RCV.WND
                  |                    |
  ────────────────[####受信ウィンドウ####]──────────────
                  └ この帯に入る seq の RST/データは受理されうる
  W が広い ⇒ 帯が太い ⇒ 盲打ちの命中率が上がる

緩和の本筋：ISN ランダム化（RFC 6528）

最も根本的な対策は ISN を予測困難にすることです。素朴には「ISN を完全な乱数にすればよい」と思えますが、それでは TIME_WAIT 中の古い重複セグメントが新接続に紛れ込むのを防げません。TCP は元々、ISN を約 4 マイクロ秒ごとに +1 するグローバルクロックで進める設計で、これが「同一 4 タプルの古いセグメント排除」を担っていたからです（ここを壊すと別の不具合が出ます）。

RFC 6528 が標準化した解は、クロックは残しつつ接続ごとに秘密値で味付けする方式です。

ISN = M + F(localIP, localPort, remoteIP, remotePort, secretKey)

  M : 4マイクロ秒粒度で進む従来のグローバルクロック（古い重複対策を維持）
  F : 4タプルと秘密鍵を入力とする暗号学的ハッシュ（例 MD5/SHA系）

ここで M が時間軸の単調増加を保ち、古い重複の排除という本来の役割を維持します。一方 F は 4 タプルごとに観測不能なオフセットを与えるので、攻撃者が自分の接続（別の 4 タプル）で ISN を観測しても、詐称したい接続の F 値は推定できません。secretKey がプロセス生存中は固定なので、同一 4 タプルでは ISN がきちんと単調増加し、整合性も保たれます。

帯域内検証と認証：盲打ちのコストを上げる

ISN ランダム化は新規接続のなりすましを潰しますが、確立済み接続への RST/データ注入には「窓内のどこかに当てればよい」ぶんの余地が残ります。これを補うのが帯域内（in-band）の追加検証です。

• RST のシーケンス検証強化（RFC 5961）：RST の seq が RCV.NXT に完全一致しなければ即リセットせず、代わりに Challenge ACK（現在の RCV.NXT を載せた ACK）を返す。攻撃者は窓内に当てるだけでは切れず、左端ぴったりを当てる必要が生じ、命中確率が窓幅ぶんから 1 点ぶんへ激減する。
• SYN・データの整合チェック強化：確立中接続に届く SYN や、窓外データに対しても Challenge ACK で正当性を問い返す。

より強い保証が要る経路では、TCP セグメントそのものを暗号学的に認証します。古い **TCP MD5 署名（RFC 2385）**は BGP 保護に広く使われましたが鍵更新やアルゴリズムが固定で弱く、後継の TCP-AO（Authentication Option, RFC 5925）が鍵交換・アルゴリズム選択・鍵ロールオーバを備えた標準として整理されました。これらが入ると、seq を当てても正しい MAC を付けられない限り注入は弾かれ、推測攻撃は原理的に無効化されます。

攻撃面の総まとめ

シーケンス番号予測は「TCP が送信元 IP を検証せず、seq の整合だけを頼りにセグメントを受理する」という構造的弱点に根ざします。攻撃と緩和を一段ずつ対応づけると整理できます。

防御の全体像はこう要約できます。第一にISNを乱数化して新規なりすましを断つ、第二に帯域内検証で確立済み接続の窓内注入を1点当てに引き上げる、第三に暗号認証（TCP-AO）で推測そのものを無意味化する。送信元詐称を最終的に減らすのはネットワーク側の 入口フィルタリング（BCP 38） であり、リフレクション系の悪用も含めた送信元偽装の脅威は DDoS の増幅攻撃：DNS/NTP リフレクションの原理 と地続きです。TCP がなぜここまで防御を重ねるのかは、その信頼性モデルの全体像を TCP と UDP の違い で押さえると一段深く理解できます。