基于混沌序列及IPv6地址分配及验证 (郑辉,清华大学).pptVIP

基于混沌序列的IPv6地址分配与验证 郑辉 清华大学网络中心 CERNET Computer Emergency Response Team zhenghui@ccert.edu.cn Agenda 基本原理 方案设计 相关分析 小结 问题的提出 完整的安全框架包含三个对象之间的关系 端用户--端用户 ISP--端用户 ISP--ISP 主要问题与对应解决方案 端用户--端用户 主要问题 信息的完整性； 信息的保密性； 解决方案 IPSec ISP--端用户 主要问题 用户上网的可控性； 用户上网的可审计性； 解决方案 认证策略； 计费策略； ISP--ISP 主要问题 地址欺骗（如DDoS 攻击）； 解决方案 地址分配--确认策略； IPv6地址结构 前缀 分配方案 后缀 分配方案 IPv6地址结构 Public Topology:48 FP, Fixed Prefix, 001, 3 TLA ID, Top-Level Aggregation Identifier, 13 RES, Reserved, 8 NLA ID, Next-Level Aggregation Identifier, 24 Site Topology:16 SLA ID, Site-Level Aggregation Identifier, 16 Interface Identifier:64 Interface ID 地址配置方式 Manual Autoconfiguration Stateless Stateful Address Autoconfiguration Stateless address autoconfiguration No central server needed to aid in address configuration Node forms its own suffix, checks if it is unique Node obtains prefix(es) from the nearest router Stateful address autoconfiguration Central server allocates full addresses to nodes on request DHCPv6 is the current protocol for stateful address autoconfiguration 混沌序列的性质 随机性：混沌序列的统计特性是随机的。 确定性：尽管混沌序列表现出随机的性质，但整个序列是由确定的方程给出的。 遍历性：混沌序列值在很大程度上不重复的取值。 对初值的敏感性：非常微小的初值变化，也将导致完全不同的混沌序列。 度量指标 概率分布函数PDF(Probability density function) OPT(一次性口令) 自相关函数ACF(auto-correlation functions) 可选的混沌映射 一维映射：Logistic映射； 二维映射：Smale映射、Henon映射； 三维映射：Lorenz映射； 方案设计 地址位分配 混沌映射公式选择 工作流程 地址位分配 64位（0~63）：路由前缀 + 子网标识符； 1位（64）：分配类型（0未采用随机序列/1采用随机序列）； 15位（65~79）：保留； 16位（80~95）：某个混沌序列值对应的迭代次数； 32位（96~127）：混沌序列值（长整形数）； 混沌映射公式选择 一维混沌映射:logistic映射 工作流程 地址生成 在区间[0.000001~0.100000]任取一值作为初值 通过迭代产生混沌序列，混沌序列值的精度取到小数点后10位， 因为32位无符号长整形数可以表示的数值范围为0~4294967295，如果混沌序列值大于0.4294967295，则减去0. 4294967295以便可以用对应的长整形数表示。 将迭代次数和对应的混沌序列值组合构造出网络所需的多个IPv6地址。 地址分配 DHCP 地址验证 不同管理域之间，通过相同的混沌映射公式和初值来验证访问本管理域的IP地址是否是对方产生的。 混沌映射公式可以事先协商，初值的传递应该采用安全的信息通道（如DNSSEC）。 混沌序列的性质（2）保证了可验证性，（1）、（4）保证了IP地址是很难仿冒的。 后继处理 根据地址验证的结果采取不同的处理措施，例如当发现针对本ISP的DoS攻击时，在网络边界屏蔽掉未能通过验证的某个ISP的所有地址。 周期性的选取新的初值来生成地址，可以增大本ISP的地址被伪造的难度。 相关性质分析 可表达网络规模 16位65535次不同迭代，相当于一个B类网络的规