IPv6发展进程分析.docVIP

IPv6发展进程分析 　　【摘要】：文章分析了目前网络上存在的一些安全问题，以及IPv4在这些问题面前的脆弱性；阐述了IPv6为解决网络安全问题而采用的机制，IPv6当前无法克服主要是窃听、应用层攻击、非法设备、Man-In-Middle等。 　　【关键词】：IPSec；网络安全机制；封装安全有效载荷 　　中图分类号：TP3 文献标识码：A 文章编号：1002-6908(2008)0520075-01 　　 　　IPv6是下一代Internet的网络层协议，目前世界上许多国家正在积极部署向IPv6过渡。IPv6实行的根本原因在于目前IPv4协议的局限性，这些局限性致使IPv4不能满足社会各界的长期需要。IPv6能有力克服这些局限性。此外，IPv6能在最通用的高性能网络上很好地运行，并且不会出现在低带宽系统中容量显著降低的情况。 　　 　　1. 目前网络上存在的安全问题 　　 　　Internet充满着恶意的攻击者，开放的系统时时刻刻暴露在攻击之下，封闭的系统也不是绝对安全的。通常，IP通信受到的几种攻击为： 　　报文窃取：IP报文在被发送到一个特定的目的结点的过程中能被其他结点读取到，因而可能被窃取有效载荷。 　　IP欺骗：IP地址很容易被欺骗用以攻击那些基于发送者地址进行鉴别的服务器，并且提供错误信息来破坏合理的网络组织。 　　伪造：整个报文被伪造成看似合法的来自通信双方之一的报文，在现有的信道中插入错误数据。 　　中断和拒绝服务：这种攻击通过停止、过载或者简单的破坏来终止正常运行的服务。 　　IPv4网络无力应对这些随时可能出现的网络攻击。Internet要取得更多的成功需要采用一些好的标准的安全机制，用这些安全机制来保证重要数据在Internet上传输的安全性，因此，IPv6应运而生。 　　 　　2. IPv6协议在网络安全上有改进 　　 　　IP安全协议（IPSec）是IPv4的一个可选扩展协议，而在IPv6则是一个必备组成部分。IPSec协议可以无缝地为IP提供安全特性，如提供访问控制、数据源的身份验证、数据完整性检查、机密性保证，以及抗重播（Replay）攻击等。 　　⑴ 端到端的安全保证 　　IPv6最大的优势在于保证端到端的安全，可以满足用户对端到端安全和移动性的要求。IPv6限制使用NAT，允许所有的网络节点使用其全球惟一的地址进行通信。每当建立一个IPv6的连接，都会在两端主机上对数据包进行IPSec封装，中间路由器实现对有IPSec扩展头的IPv6数据包进行透明传输，通过对通信端的验证和对数据的加密保护，使得敏感数据可以在IPv6 网络上安全地传递，因此，无需针对特别的网络应用部署ALG（应用层网关），就可保证端到端的网络透明性，有利于提高网络服务速度。 　　⑵ 地址分配与源地址检查 　　在IPv6的地址概念中，有了本地子网地址和本地网络地址的概念。从安全角度来说，这样的地址分配为网络管理员强化网络安全管理提供了方便。若某主机仅需要和一个子网内的其他主机建立联系，网络管理员可以只给该主机分配一个本地子网地址；若某服务器只为内部网用户提供访问服务，那么就可以只给这台服务器分配一个本地网络地址，而企业网外部的任何人都无法访问这些主机。 　　源路由检查出于安全性和多业务的考虑，许多核心路由器可根据需要，开启反向路由检测功能，防止源路由篡改和攻击。 　　⑶ 防止未授权访问 　　IPv6固有的对身份验证的支持，以及对数据完整性和数据机密性的支持和改进，使得IPv6增强了防止未授权访问的能力，更加适合于那些对敏感信息和资源有特别处理要求的应用。 　　⑷ 域名系统 　　DNS 基于IPv6的DNS系统作为公共密钥基础设施系统的基础，有助于抵御网上的身份伪装与偷窃，而采用可以提供认证和完整性安全特性的DNS安全扩展协议，能进一步增强目前针对DNS新的攻击方式的防护，例如网络钓鱼攻击、DNS中毒攻击等，这些攻击会控制DNS服务器，将合法网站的IP地址篡改为假冒、恶意网站的IP地址等。 　　⑸ 灵活的扩展报头 　　一个完整的IPv6的数据包可包括多种扩展报头，例如逐个路程段选项报头、目的选项报头、路由报头、分段报头、身份认证报头、有效载荷安全封装报头、最终目的报头等。这些扩展报头不仅为IPv6扩展应用领域奠定了基础，同时也为安全性提供了保障。 　　⑹ 防止网络扫描与病毒蠕虫传播 　　当病毒和蠕虫在感染了一台主机之后，就开始对其他主机进行随机扫描，在扫描到其他有漏洞的主机后，会把病毒传染给该主机。这种传播方式的传播速度在IPv4环境下非常迅速（如Nimdar病毒在4～5分钟内可以感染上百万台计算机）。但这种传播方式因为IPv6的地址空间的巨大变得不适用了，病毒及网