IPv6下基于逐跳认证的确定包标记算法Deterministic.pdfVIP

电子发烧友 电子技术论坛 IPv6 下基于逐跳认证的确定包标记算法 黄平，李立新，姜华林，李志鹏 （西南大学 计算机与信息科学学院，重庆 400715） 摘 要：对确定包标记算法中，标记信息在网络中传输缺乏验证，容易被受控路由器篡改而 产生虚假标记，导致获取错误入口地址的问题进行了研究，引入基于身份的签名方案，结合 IPv6协议特点，提出了逐跳认证的概念和新的认证确定包标记算法。 关键字：拒绝服务攻击；IP追踪；IPv6；基于身份认证；确定包标记 中图分类号: TP393.08 文献标识码：B Deterministic Packet Marking Algorithm Based on Hop-by-Hop Authenticated in IPv6 HUANG Ping LI Li-xin JIANG Hua-lin LI Zhi-peng (School of Computer Information Science, SouthWest University, Chongqing 400715) Abstract: In deterministic packet marking algorithm, when marking information transmitted in the network lack of verification, and be easily tampered with a false marker by controlled routers, leading to the wrong ingress address access issues, the paper introduced an identity-based signature scheme, combine the characteristic of IPv6 protocol, propose the Hop-by-Hop authentication concept and a new certification deterministic packet marking algorithm. Key words: denial of service attack; IP traceback; IPv6; identity-based authentication; deterministic packet marking 0 引言 随着 Internet 规模以惊人的速度不断扩大，原有 IP 协议版本严重制约了 IP 技术的应 用和未来网络的发展。IETF 以“简单互联网协议增强（SIPP）”为基础加以改进，形成了 IPv6 （Internet Protocol Version 6）。IPv6 虽然通过强制采用 IPSec 协议极大的提高了网络 的通讯安全，然而由于网络协议本身的缺陷以及整个网络的复杂性，同样也存在着遭受拒绝 服务（Denial of Service, DoS）攻击的危险。 DoS 攻击是指攻击者通过消耗受害网络的带宽或受害主机的系统资源，使被攻击目标不 能正常工作。而基于 DoS 攻击的分布式拒绝服务（Distributed DoS,DDoS）攻击，通过控制 大量分布在各地的主机，同时对目标发起 DoS 攻击，致使流向目标的服务请求极度拥塞而造 成目标的系统瘫痪。由于 IP 数据包的源地址是由主机自己填写，所以攻击者往往在其攻击 包中使用非真实地址。目前提出的一些定位真实攻击源的 IP 追踪(IP Traceback)技术，如 链路测试（Link Testing）、日志记录（Logging）、覆盖网溯源（Overlay Networks）、基于 ICMP 溯源（iTrace）和分组标记（IP Packet Marking）等[1]，虽然在一定条件下能达到追 踪的目的，但由于各自本身均有不同程度的弱点，都还不能够对 DDoS 攻击进行有效地追踪。 而一个新的问题，即如何与下一代互联网络协议 IPv6 兼容也成了必须考虑的一个重要因素。 本文提出一种在 IPv6 环境下，由数据包途经的路由器和受