Overheden wereldwijd verplichten IPv6

Uitleggen als smoes

Forum Standaardisatie, onderdeel van de Ministeries van Economische Zaken en Binnenlandse Zaken, heeft IPv6 al in 2010 aan de 'pas toe of leg uit'-lijst (ptolu) toegevoegd. Dat betekent dat IPv6 verplicht moet worden opgenomen in aanbestedingen boven de 50.000 euro, tenzij er goede argumenten zijn om dat niet te doen. Daarmee zou de implementatie van IPv6 in de publieke sector standaard onderdeel van vernieuwingen in de IT-infrastructuur moeten zijn.

Volgens Forum Standaardisatie maken overheidsorganisaties misbruik van de uitzonderingsregel: "Overheden hebben 12 jaar de tijd gehad om hun systemen gereed te maken voor de stap naar IPv6. Er zijn geen goede redenen meer om onder het 'toepassen' uit te komen door het 'uit te leggen'. Het 'pas toe of leg uit'-beleid en de latere implementatie-afspraak hebben niet bij iedereen voor voldoende urgentie gezorgd." Vandaar de aanzet tot een verplichting.

Economische grootmachten

Het zijn vooral de economische grootmachten die een dergelijke verplichting al hebben ingesteld. We beschreven eerder hoe in India en China honderden miljoenen mobiele gebruikers op IPv6-only-netwerken worden gezet, met een sterke groei van het IPv6-gebruik aldaar tot gevolg [India, China].

Voor Amerikaanse federale overheden geldt dat zij vorig jaar hun IPv6-beleid en een concreet implementatieplan moesten publiceren, inclusief een strategie om IPv4 uit te faseren. Eind volgend jaar moeten alle overheidsorganisaties native IPv6 ondersteunen, waarna over een periode van 3 jaar wordt toegewerkt naar een omgeving waarin minstens 80 procent IPv6-only draait.

In de begroting van het Amerikaanse leger voor het jaar 2020 (sectie 1088) stond in eerste instantie zelfs een amendement van het Huis van Afgevaardigden dat het leger verplichtte om al zijn IPv4-adresreeksen (waaronder dertien /8-reeksen tezamen goed voor ruim 218 miljoen adressen) binnen een periode van 10 jaar te verkopen tegen marktconforme prijzen. Dit onderdeel heeft het echter niet gehaald in de wet zoals die uiteindelijk door het Congres (bestaande uit het Huis van Afgevaardigden en de Senaat) werd goedgekeurd.

China: volledig IPv6-only in 2030

In China is de grootschalige uitrol van IPv6 onderdeel van een industriepolitiek die wilde dat alle Chinese internetgebruikers in 2025 op IPv6 aangesloten zouden zijn. Vorig jaar heeft het land die ambitie geactualiseerd en een nieuwe impuls gegeven: Het aantal (mobiele) gebruikers en IoT-apparaten dat IPv6 gebruikt moet de komende jaren sterk groeien. In 2030 moet IPv6 overal ondersteund worden en wil het land (in ieder geval intern) volledig overstappen op IPv6-only. De manier waarop zij dat willen bereiken is simpelweg door de ondersteuning van IPv4 in nieuwe netwerken vanaf 2024 te verbieden.

India: dit jaar overal IPv6

In India moet IPv6 deze zomer door alle overheidsorganisaties geïmplementeerd zijn. En eind dit jaar moet IPv6 door alle ISP-apparatuur bij eindgebruikers ondersteund worden. In zowel India als China worden dergelijke verplichtingen dus niet alleen aan overheden maar ook aan commerciële providers opgelegd.

EU: kritieke situatie

Waar de Europese Commissie tot voor kort terughoudend was wat betreft meer dwingende maatregelen om de adoptie van moderne internetstandaarden te stimuleren, heeft zij begin dit jaar het roer omgegooid. In haar 'EU Strategy on Standardisation' besteedt de Commissie heel specifiek aandacht aan standaarden voor een open en veilig internet. Zij noemt de standaardisatie van internetprotocollen gepolitiseerd en spreekt van een specifieke kritieke situatie die de doorontwikkeling van het open internet en de verdere wereldwijde digitalisering bedreigt. Naast het opbouwen van een sterkere aanwezigheid in internationale politieke en standaardisatie-organen, tuigt de Commissie ook een portal op om de adoptie van internetstandaarden te monitoren en te stimuleren.

Bijzonder is dat IPv6 in deze strategie als enige standaard concreet genoemd wordt. De Commissie komt met beleidsvoorstellen om de adoptie van IPv6 (en andere belangrijke internetstandaarden) te stimuleren.

Voor dat laatste volgt de Europese Commissie waarschijnlijk een aanpak vergelijkbaar met die van de Amerikanen en de Chinezen: in hun 'Cybersecurity Strategy for the Digital Decade' van eind 2020 oppert de Commissie om de adoptie van IPv6 te versnellen door de beschikbaarheid van IPv4-infrastructuur (zowel bij overheden zelf als in de markt) gedwongen af te bouwen (middels een zogenaamde sunset-regel). Deze maatregelen (net als die voor de adoptie van internetbeveiligingsstandaarden als BGP, DNSSEC en SPF/DKIM/DMARC) moeten genomen worden in samenwerking met de lidstaten en de industrie. Eerder dat jaar gaf Eurocommissaris voor de interne markt, Thierry Breton, in antwoord op vragen uit het Europese Parlement echter aan dat stimulering op het niveau van de lidstaten het beste werkt voor de adoptie van IPv6.

Nederland: verkenning naar verplichte adoptie

Volgens Larissa Zegveld, voorzitter van Forum Standaardisatie, is de tijd van 'uitleggen' in plaats van implementeren voor IPv6 echt voorbij. "IPv6 niet ondersteunen is geen optie. De overheid heeft een voorbeeldfunctie om moderne internetstandaarden zoals IPv6 te gebruiken. Deze standaarden zorgen er namelijk voor dat het internet nu en in de toekomst voor iedereen wereldwijd veiliger en toegankelijker wordt waardoor ook nieuwe innovatie kan plaatsvinden. Brede ondersteuning van IPv6 binnen Nederland is belangrijk voor onze concurrentiepositie. We kunnen hiermee invulling geven aan het regeerakkoord, waarin de ambitie is uitgesproken dat Nederland het digitale knooppunt van Europa wordt, en robuust, supersnel en veilig internet in alle delen van het land krijgt."

Bij het Ministerie van Economische Zaken en Klimaat staat men positief tegenover verdergaande verplichtingen voor de implementatie van IPv6 bij overheidsorganisaties. "IPv6 staat al 12 jaar op de ptolu-lijst; daarmee is gebruik eigenlijk al geruime tijd voorgeschreven. Zoals OBDO ook geconcludeerd heeft, blijft helaas de toepassing van IPv6 achter bij de verwachtingen. Tegelijkertijd is de noodzaak om IPv6 breed te ondersteunen alleen maar groter geworden, omdat het internet blijft groeien en daarmee het tekort aan IPv4-adressen alleen maar toeneemt. Deze problematiek is uiteraard niet beperkt tot de Nederlandse overheden, maar speelt een rol voor alle internetgebruikers en dienstverleners wereldwijd. Daarom wordt voor IPv6 nu ingezet op verkenning van een verplichte adoptie voor de externe bereikbaarheid van alle overheidslagen."

"De Nederlandse overheid streeft naar brede adoptie van moderne internetstandaarden, waaronder IPv6, in de gehele Nederlandse economie. Goede wereldwijde digitale bereikbaarheid is een fundament voor onze toekomst en IPv6 is een belangrijk component om die bereikbaarheid te kunnen blijven garanderen.

De Nederlandse overheid kan dus een voortrekkersrol spelen in de adoptie van IPv6. Niet alleen om de bereikbaarheid van onze eigen dienstverlening te verbeteren en te laten groeien, maar ook om op die manier de markt een impuls te geven hetzelfde te doen. Een eventuele toekomstige verplichting voor overheden voor ondersteuning van IPv6 kan hopelijk ook bijdragen om het omslagpunt in de adoptie van IPv6 te versnellen en investeringen in ondersteuning van IPv6 beter te kunnen verantwoorden."

Cybersecurity: één gebruiker per IP-adres

Hoewel wij uitkijken naar elk voorstel dat de adoptie van IPv6 verder brengt, maakt het nogal verschil uit welke koker dit afkomstig is. Waar de 'EU Strategy on Standardisation' een geo-economische insteek heeft, heeft IPv6 als onderdeel van een cybersecuritystrategie een heel ander uitgangspunt.

Zo liet Europol al in 2017 weten dat accessproviders die CGNAT inzetten technisch vaak niet meer aan hun wettelijke verplichting kunnen voldoen om de abonneegegevens achter een verbinding aan te leveren. Daardoor moeten volgens de dienst bij onderzoeken regelmatig de verbindingen van veel meer mensen dan eigenlijk noodzakelijk is worden opgevraagd of afgetapt.

Omstreeks dezelfde tijd publiceerde de Europese Commissie de brief 'Resilience, Deterrence and Defence: Building strong cybersecurity for the EU', waarin zij beschreef hoe zij de adoptie van IPv6 wilde stimuleren. Het uitgangspunt destijds was echter niet economisch maar puur op opsporing gericht. Doel was om uiteindelijk maar één gebruiker per IP-adres te hebben om zo onderzoek door politie- en veiligheidsdiensten veel gerichter te kunnen uitvoeren. Daarvoor zou de Commissie gebruikmaken van aanbestedingsbeleid, onderzoeks- en projectfinanciering, en convenanten. Lidstaten zouden daarvoor ook (niet-dwingende) convenanten moeten afsluiten met hun accessproviders.

Voor wat betreft de Europese internetinfrastructuur was IPv6 destijds onderdeel van het ISA2-programma (Interoperability solutions for public administrations, businesses and citizens). Actiepunt 10.9 omhelsde de ontwikkeling van een 'IPv6-raamwerk voor Europese overheden'. Bij de opvolger van het ISA2-programma, Interoperable Europe, vinden we IPv6 echter vooralsnog niet terug.

Opsporing en compliance

Hier in Nederland publiceerde het Wetenschappelijk Onderzoek- en Documentatiecentrum (WODC), de onderzoekstak van het Ministerie van Justitie en Veiligheid, in 2019 een onderzoek naar de identificatie van individuele gebruikers van IP-adressen ten behoeve van opsporing en vervolging (onderdeel van de Wet bewaarplicht telecommunicatiegegevens). Ook daarin wordt de brede adoptie van IPv6 als de meest voor de hand liggende oplossing aangedragen.

Hoewel je als eindgebruiker vanuit privacy-overwegingen bezwaren kunt hebben tegen het gebruik van IPv6 – wat dat betreft biedt CGNAT onbedoeld een zekere bescherming, enigszins vergelijkbaar met het gebruik van een VPN-provider – stellen de onderzoekers zich op het standpunt dat IPv6 in dit geval juist een privacyvoordeel oplevert. Gebruikers die niet gericht onderzocht worden kunnen dan immers buiten beschouwing worden gelaten. Afgezien van technische en zakelijke overwegingen maakt IPv6 het voor accessproviders sowieso veel makkelijker om aan hun compliance-eisen te voldoen dan dat nu met CGNAT het geval is.