IPv6网络安全性研究.docVIP

IPv6网络安全性研究 　　摘要:IPv6通过更好地支持IPSec机制,使得数据包的加密和身份认证技术的实现变得更加容易。该文将对IPSec机制进行研究,并对IPv6的安全隐患做了简单的阐述。 　　关键词:IPv6; IPSec; SA; AH; ESP; 安全隐患 　　中图分类号:TP393文献标识码:A文章编号:1009-3044(2009)26-7379-02 　　 　　Reserch on IPv6 Security 　　AN Bao-kun 　　(Tibet University, Department of Information and Network Technology in Library and Modern Education Technology Center, Lhasa 850000, China) 　　Abstract: Through better supporting for IPSec, IPv6 will make packet encryption and authentication technologies easier. In this paper, we will study the mechanism of IPSec, and introduce the hidden trouble of IPv6 security. 　　Key words: IPv6; IPSec; SA; AH; ESP; hidden trouble 　　 　　IPv6技术的提出就是为了解决IPv4技术所带来的一系列问题,如地址空间的危机、路由表过大的问题、网络配置和管理所存在的复杂性问题、IP选项问题,特别是IP安全性问题等等。虽然IPv6技术解决了IPv4所存在的大部分问题,但是其存在的新问题也出现了,尤其是安全方面的隐患应该更加引起我们的重视。 　　 　　1 IPSec 　　 　　IPv4的设计初衷只是为了实现简单地连接功能,而并没有考虑到安全性方面的问题,如果IPv4只是用在实验中,缺乏安全性并不是一个严重的缺陷。但是随着网络在商用和民用中被广泛地使用,安全性方面的要求与日俱增。RCF1825定义了IPSec,它提供了IP的安全性体系结构。它对于IPv4和IPv6均适用,但是在IPv6中更容易实现。 　　IPSec提供的安全服务包括:数据私有性、基于无连接的数据完整性、数据报来源认证、访问控制、抗数据重发攻击以及一定程度上的数据流量私有性等。在IPv4中这些服务放在选项字段里。在IPv6中则用现有的头字段ESP和AH两个安全协议来实现。 　　IPSec主要由三个协议构成:AH、ESP、IKE(Internet Key Exchange)。其中IKE用于协商信源节点和信宿节点间保护IP报文的AH和ESP的相关参数,如加密、认证的算法和密钥、密钥生存期等,称之为安全联盟。其中AH和ESP是网络层协议,IKE是应用层协议,使用的是UDP数据报格式。 　　AH字段为IP数据报提供了完整性服务、身份验证,并且防止重放攻击。ESP头提供了数据报的机密性服务,通过使用公共密钥加密对数据来源进行身份验证,防止重放攻击和通过使用安全网关来提供有限的业务料机密性。IKE协议用于协商AH和ESP协议所使用的密码算法,并将算法所需的必备密钥放在合适的位置。通过使用安全关联SA(Security Association),IPSec能够区分对不同的数据流提供的安全服务。 　　SA是IPSec的基础。安全性关联通过一个三元组来唯一标识一个安全性连接。安全参数所以(SPI)指出使用SA的IP头类型是AH还是ESP,占32位长度,用于对SA进行标识及区分同一个目标地址的多个SA。SA是单向的,进行安全通信的两个系统有两个不同的SA,每个目的地址对应一个。安全关联数据库用来存放安全关联,每一个安全关联都在数据库中有唯一的记录,都可以通过SPI、目的IP地址和安全协议来定位。另外安全关联数据库中的记录还包括:包序列号、AH采用的算法和密钥、ESP所采用的算法和密钥、安全关联的生命周期等。 　　IPSec有两种模式可供选择,分别是隧道模式和传输模式。定义用于隧道操作模式的SA称为隧道模式SA,而定义用于传输模式的SA称为传输模式SA。传输模式如图1所示,两个系统(A和B)建立了SA,其中负责发送的系统对业务流进行加密或者签名,然后发送给目的方。负责接收数据的一方首先对收到的数据报进行解密或者身份验证,把净荷向上出送给接收系统的网络栈,由使用数据的应用进行最后的处理。而这种处理的缺点在于IP头必须要暴露出来以便在Internet选路。 　　在隧道模式中,SA的源节点和目的节点均为安全性网关