邻居发现协议NDPESP安全增强方案.docVIP

邻居发现协议NDPESP安全增强方案 　　摘 要： 基于可信网络提出的NDP协议在现实中受到多种安全威胁，为了保护NDP协议的安全，提出了一种NDP?ESP模型安全增强方案，不仅可有效保护NDP协议的安全，还可以实现节点之间的保密通信，增强了下一代网络的安全性。 　　关键字： 邻居发现协议； NDP?ESP模型； 安全增强方案； 组播密钥管理 　　中图分类号： TN915.08?34； TP3 文献标识码： A 文章编号： 1004?373X（2014）11?0076?04 　　Abstract： NDP （neighbor discovery protocol） created for trustworthy networks is threatened by a variety of attacks in network. A scheme of NDP?ESP model to enhance the security of NDP is proposed， which not only enhance the security of NDP， but also realize the privacy communication between nodes. Anyway， it enhanced the security of next generation networks 　　Keywords： neighbor discovery protocol； NDP?ESP model； scheme of security enhancement； multicast key management 　　0 引 言 　　邻居发现协议（Neighbor Discovery Protocol， NDP）是IPV6协议中的一个基础协议，它整合了IPV4协议中的ARP、ICMP和路由广播RA等协议，可以实现节点的地址解析、路由发现、重定向、无状态地址自动配置、邻居不可达地址检测及重复地址检测等功能[1]。由于NDP协议是基于可信网络提出的，没有对NDP报文采取保护措施，在现实的网络中面临很多安全威胁，如欺骗攻击、中间人攻击，重放攻击等。为解决这个问题，IETF（Internet Engineering Task Force）正式提出的方案是SEND方案。由于SEND协议采用CGA[2]加密和公钥密码技术，发送和接收SEND报文需要大量的计算，给网络和节点造成很大负担，容易形成拒绝服务攻击，并且SEND方案存在不能防御假冒MAC攻击等缺陷，不利于方案的推广。也可以采用PKI证书方案[3]，但难以在网络中确定一个CA，这些都不利于方案的推广。本文提出了一种在NDP报文选项中增加源MAC地址选项和IP地址选项，利用ESP协议来保护，并根据实际网络中的拓扑结构灵活采用组播密钥管理协议的解决方案，极大提高了NDP协议的安全性和网络信息传输的安全性。 　　1 NDP协议及漏洞的分析 　　1.1 NDP协议 　　1.1.1 NDP报文 　　NDP协议是通过NDP报文的交互来实现功能的。NDP报文是ICMPV6报文的一部分，目前共定义了5种ICMPV6报文，分别是：RS（代码133）/RA（代码134）报文、NS（代码135）/NA（代码136）报文、重定向报文（代码137）。 　　RS/RA报文功能：路由器周期性地发送组播路由器宣告（RA）报文，宣告它的存在以及配置的链路和网络参数，或者对路由器请求（RS）报文做出响应。路由器发现可以用来定位信任的路由器，也可以用来获得与地址自动配置相关的前缀和参数。NS/NA报文功能：通过交互邻居请求（NS）报文和邻居宣告（NA）报文来解析IPV6地址为链路层地址（MAC地址），可以实现邻居不可达检测和重复地址检测功能；重定向报文功能：将主机重定向到一个更好的下一跳路由器，或向主机通告目的节点实际上就是邻居节点。 　　1.1.2 NDP协议的数据结构 　　数据结构就是IPv6节点需要为每一个接口维护的各种信息表格。一般主机需要维护邻居缓存表、目的地缓存表、前缀列表、默认路由器列表等4个缓存表。NDP报文交互的目的就是改变节点缓存表的信息，从而实现NDP协议功能。 　　邻居缓存表：邻居缓存表与IPV4中的ARP缓存表类似，负责维护最近流量所送往邻居的信息列表。缓存表中包含了IPV6单播地址及其相对应的数据链路层地址（MAC），设备通过收到的邻居宣告报文来维护该缓存表。 　　目的地缓存表：与邻居缓存表相似，目的缓存表维护的是流量最近被发送的目的地列表，包括其他链路或其他网络上的目的地。此时的表项是下一跳路由器的链路层地址，目的地缓存表可以是邻居缓存表的子集[4]。 　　前缀列