基于IPv6安全机制分析与研究.docVIP

基于IPv6安全机制分析与研究 　　摘 要：IPv6很好地解决了很多网络安全性问题。对IPv6的安全机制进行了系统的研究，详细说明了IPv6中所采用的IPSec协议，并从其核心协议如身份验证报头AH协议、封装安全有效负载ESP协议和因特网密钥交换IKE协议3个方面做了较充分的阐述。最后将IPv6所带来的安全应用做了相应介绍。 　　关键词：IPv6；IPSec；AH协议；ESP协议；IKE协议；安全应用 　　中图分类号：TP393.08 文献标识码：A 文章编号：1672-7800（2011）09-0131-02 　　 　　0 引言?? 　　随着因特网对人们的生活、工作等各方面的深刻影响，由此带来的信息安全问题也势必影响到社会的所有领域，网络安全隐患的解决成为刻不容缓的话题。?? 　　IPv6(互联网协议第六版)是互联网工程任务组IETF设计的用于替代现行版本IP协议IPv4的下一代IP协议。目前我们使用的互联网协议IPv4成就了今天因特网的辉煌发展。但是，IPv4本身所固有的缺陷也日趋明显，阻碍了因特网的进一步发展。IPv4的第一个缺陷表现为现有IP地址资源的匮乏，32位的IP地址以及分配的不均匀，使得现有的地址数量很难满足用户需求； 另外一个重要的缺陷就是IPv4存在着太多的安全隐患，这是因为IPv4在设计阶段只是为了实现网络连接功能，而没有考虑到安全性方面的问题。IPv6技术提出并解决了IPv4所存在的上述问题，成为网络技术的一次重要改进，将会逐渐替代IPv4成为下一代互联网的网际层协议。?? 　　1 IPv6的优势?? 　　IPv6自1994年由IETF制定以来，经过了16年的发展时间，IPv6的标准体系已经基本完善，在这个过程中，IPv6逐步优化了原协议体系结构，为新业务发展创造机会。总的来说，IPv6的优势可以归纳为以下几点：?? 　　（1）地址容量巨大。IPv6地址长度为128比特，地址空间相比较IPv4增大了2????96??倍，如此巨大的地址空间，足以满足急剧增长的互联网新用户对IP地址的需求；同时，其聚合地址能力，使得IPv6 支持灵活的寻址方式，大大减小了路由表的规模。?? 　　（2）灵活的IP报文头部格式。IPv6协议简化了报文头部格式，字段只有8个，加快报文转发，提高了吞吐量；IPv6还使用一系列固定格式的扩展头部取代了IPv4中可变长度的选项字段，使路由器可以简单路过选项而不做任何处理，加快了报文处理速度。?? 　　（3）提高了安全保障。IPv6协议本身支持IPSec，在网络层进行IPSec认证与加密，能提供端到端的安全保障。?? 　　（4）支持更多的服务类型。 ?? 　　（5）允许协议继续演变，增加新的功能，使之适应未来技术的发展。?? 　　2 IPv6的安全机制?? 　　IPv6在网际层实现了较为严格的安全标准，也提供了诸如安全协定、密钥管理、认证和加密算法等安全服务。这些标准由 RFC1825、RFC1826、RFC1827及用于鉴别和封装载荷的若干算法标准构成一个Internet 协议安全体系结构――IPSec（Security Architecture for IP network）。IPSec是IETF提供因特网安全通信的一系列规范之一，它提供私有信息通过公用网的安全保障。IPSec能提供的安全服务包括访问控制、无连接的完整性、数据源认证、拒绝重发包、保密性和有限传输流保密性。IPSec主要由AH协议、ESP协议和IKE协议组成，这3个协议实现了IPv6中提供认证、数据完整和机密性3种保护形势，构成了下一代因特网的安全新标准。?? 　　必须指出的是，安全关联SA也是IPSec中的一个重要组成部分，用来描述和实现连接安全，AH协议和ESP协议都必须使用SA才能实现安全服务，因此SA被称为是IPSec的基础。IPSec通过SA来区分对不同的数据流提供的安全服务。一个安全关联用来唯一标识一个单工的安全性连接，存放在安全关联数据库里。?? 　　（1）AH协议。AH（Authentication Header）即身份验证报头，作为 IPv6 中的一个扩展头，IPv6的验证主要由验证报头AH来完成。验证报头是IPv6的一个安全扩展报头，它为IP数据包提供完整性和数据来源验证，防止反重放攻击，避免IP欺骗攻击，但不提供数据加密服务。?? 　　AH为所有数据包头加入一个密码，较为普遍的加密算法是MD5和SHA-1，前者可使用最高到128位的密钥，而后者可以使用最高160位密钥。AH通过“数字签名”来对用户进行验证，这个签名是数据包通过特别的算法得出的独特结果，具有“身份验证性”；AH还能维持数据的完整性，因为在传输过程中无论多小的变化被加载，数据包头的数字签名都能把