IPv6安全体系结构分析与研究.docVIP

IPv6安全体系结构分析与研究 　　摘要:首先对IPv4网络协议的安全性存在的一些缺点进行了分析,然后给出了IPv6新的网络安全机制,详细描述了IPsec所提供的网络安全服务与实现原理,并对IPSec中的AH和ESP协议作了较详细的阐述。 　　关键词:IPv6;IP安全标准;AH协议;ESP协议 　　中图分类号:TP393文献标识码:A文章编号:1009-3044(2010)08-1856-02 　　1 IPv4存在的安全问题概述 　　当今大家所熟知的Internet是建立在TCP/IP协议基础之上的全球互连网,其最大的特点是开放性,而这一特点也是基于TCP/IP协议的Internet能够迅速发展的主要原因之一,遵循开放性原则的Internet,其终极目标是要在全世界范围内建立起一个技术共享和资源共享的虚拟网络社会。但是随着互联网的普及,政治、军事和经济信息在网络上传输,越来越多的电子商务在因特网上得到发展,从而对Internet的安全问题也提出了更高的要求,由于TCP/IP协议发展的初衷是遵循开放性的原则,以网络用户互信为基础,在网络安全方面并没有作过多的考虑,使得现行TCP/IP网络协议体系结构本身就存在许多安全隐患。 　　1) IP欺骗(IPSpoofing)。一个IP数据包是否来自其真正的源地址,IP协议本身并不提供任何技术保证。从IP协议的帧结构分析可知,任意一台主机可以发出含有任意源地址的IP数据包,使得基于IP地址标识的数据包从理论上来说是不可信的,从而可以使得一些基于IP地址实现的访问控制技术失效。目前网络上的很多攻击手段,如SYNFlooding,DoS/DDoS和SMURF等均是利用了IP协议这个缺陷。 　　2) 源路由攻击。源路由是IP帧结构的一个选项,它的设计功能为使IP数据包沿指定的路径从源地址到达目的地址。但是也被网络攻击者利用,它一方面可以被用来假冒源IP地址的数据包到达目的地址,另一方面也使得入侵者能够绕开某些网络的安全措施,从对方没有预料到的路径到达目的地址。 　　3) 网络侦听。目前网络上传输的信息大部分为明文信息,甚至一些操作系统的登录密码,如大多数Unix系统目前仍缺省采用明文密码方式,这些敏感信息很容易通过网络侦听工具获得,而网络上的窃听工具又非常丰富,如Sniffer、Tcpdump和Snoop等,使得网络用户很容易获取其他网络用户的密码。为了改善现有TCP/IP协议在安全等方面的不足,Internet工程专门小组(InternetEngineeringTaskForce,简称为IETF)之中的一个工作组,即下一代网络协议(IPng)工作组于1994年9月提出了一个正式的草案“TheRecommendationfortheIPNextGenerationProtocol”,1995年底确定了IPng协议规范,称为IPv6。IPv6在IP层实现了较为严格的安全标准,也提供了多项安全服务。这些标准由RFC1825(Internet协议安全体系结构)RFC1826(IP鉴别头)RFC1827(IP封装安全载荷)及用于鉴别和封装载荷的若干算法标准构成一个体系。 　　2 IPSec协议 　　IETF在IPv6中提出了全新的网络安全体系结构,即IPSec标准。尽管IPSec是为IPv6设计的,但也可应用于IPv4中。IPSec描述了新体系结构提供的安全服务以及这些服务的实现机制。IPSec提供的安全服务包括:数据私有性、基于无连接的数据完整性、数据包来源认证、访问控制、抗数据重发攻击(ProtectionofReplay)以及一定程度上的数据流量私有性(TrafficFlowConfidentiality)等。这些安全服务是通过ESP(EncapsulatingSecurityPayload)和AH(AuthenticationHeader)这两个安全协议来实现的。同时,除安全协议外,还有一系列与IPSec相关的技术标准,如加密算法及实现数据完整性的Hash算法的规范、密钥的交换标准IKE(InternetKeyExchange)、安全关联(SA)等。 　　2.1 安全关联与安全关联数据库 　　安全关联(SecurityAssociation,简称为SA)是PSec的基础,ESP和AH协议都要通过才能够实现安全服务。安全关联是用来描述和实现连接安全的,可用三元组来标识:,其中安全协议只能是ESP或AH中的一种,包括的安全参数有加密算法鉴别算法、各算法的密钥、初始向量和密钥的生存期等。 　　安全关联数据库(SecurityAssociationDatabase,简称SAD)用来存放安全关联,每一安全关联都在安全关联数据库中有唯一的记录,安全协议通过安全参数索引(Secur