文章探讨 IPv6 协议栈层面的安全属性，指出安全应从实现之初构建而非事后补救，重点分析代码库质量与地址生成隐私性两大核心指标。
代码库与代码质量：
Ripple20 漏洞暴露出 TCP/IP 协议栈的脆弱面可影响数百万物联网设备。FreeBSD IPv6 协议栈源自 KAME 项目，公认稳定安全，但 2018 年 Sergey Bratus 监督的技术报告披露其早期存在多个漏洞。原文未给出具体漏洞数量与严重等级分布。
地址生成的隐私属性：
EUI-64 构造的 SLAAC 地址隐私争议由来已久，1999 年即有文章质疑，2001 年发布首个隐私扩展 RFC，作者与 Chris Werny 2012 年在 Heise IPv6 Kongress 专题演讲。当前公认的安全 SLAAC 地址需满足两点：接口标识符不可跨网络追踪，且在前缀不变时保持相对稳定不频繁更换。
协议栈层面的前置防御：
Scott Hogg 强调 IPv6 必须从一开始就安全，这与 90 年代“硬化”理念一致。安全协议栈的特征包括：选用成熟代码库、默认启用隐私扩展、限制扩展头处理逻辑的攻击面、对邻居发现协议实施加密验证。原文未给出具体硬化清单与配置基线。
运维与网络工程师应优先选用经过长期验证的成熟协议栈实现，并在部署 SLAAC 时启用隐私扩展并兼顾地址稳定性，从协议栈源头降低攻击面。
原文: APNIC Blog（2020-08-10）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog