维普资讯 http://www.cqvip.com 网络通讯与安全 基于Ｉ Ｐｖ６协议的网络安全研究 王敏 （湖南省医药学校，湖南长沙４１００１４） 摘要：ＩＰｖ６协议是新一代互联网协议，有效的解决了当今ＩＰｖ４协议面临的各种问题。本文介绍了ＩＰｖ６的主要特点，详 细探讨了ＩＰｖ６的安全机制．最后分析了ＩＰｖ６的局限性 关键词：ＩＰｖ６；网络协议；安全机制 中图分类号：ＴＰ３９３ 文献标识码：Ａ 文章编号：１００９—３０４４（２００７）２１—４０７２５一Ｏ２ Ｓｔｕｄｙ Ｏｌ３ ｔｈｅ Ｓｅｃｕｒｉｔｙ Ｍｅｃｈａｎｉｓｍ ｏｆ ｌｎｔｅｒｎｅｔ Ｂａｓｅｄ ｏｎ ＩＰｖ６ ＰｒｏｔｏｃｏＩ ＷＡＮＧ Ｍｉｎ ｆＨｕｎａｎ Ｍｅｄｉｃｉｎｅ Ｃｏｌｌｅｇｅ，Ｃｈａｎｇｓｈａ ４１００１４，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：ＩＰｖ６ ｐｒｏｔｏｃｏｌ ｉｓ ａ ｎｅｗ ｇｅｎｅｒａｔｉｏｎ Ｉｎｔｅｒｎｅｔ ｐｒｏｔｏｃｏ１．Ｉｔ ｉｓ ｍｕｃｈ ｂｅｔｔｅｒ ｔｈａｎ ｔｈｅ ｃｕｒｒｅｎｔ ＩＰｖ４．Ｉｎ ｔｈｉｓ ｐａｐｅｒ，ｔｈｅ ｍａｉｎ ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ ｏｆ ＩＰｖ６ ａｒｅ ｉｎｔｒｏｄｕｃｅｄ．Ｔｈｅ ｓｅｃｕｒｉｔｙ ｍｅｃｈａｎｉｓｍ ｏｆ ＩＰｖ６ ｉｓ ａｎａｌｙｚｅｄ．Ａｔ ｌａｓｔ，ｌｉｍｉｔａｔｉｏｎ ｏｆ ＩＰｖ６ ｉｓ ｐｏｉｎｔｅｄ ｏｕｔ． Ｋｅｙ ｗＯｒｄｓ：ＩＰｖ６：ｎｅｔｗｏｒｋ Ｄｒｏｔ０ｃｏｌ：ｓｅｃｕｒｉｔｖ ｍｅｃｈａｎｉｓｍ 随着互联网络及其应用的迅速发展．网络安全问题也 １ ５增加了流标号能力 日益突出．能否解决好这个问题己经成为制约网络发展的 ＩＰｖ６提供资源顶分配机制，支持实时视频音像等要求 关键因素之～… 对网络攻击的主要手段就是利用了目前网 保证一定的带宽和时延的应用．并允许路由器将每一个数 络协议ＩＰｖ４中存在的安全漏洞 针对这一问题．具备强大 据报与一个特定资源相联系。流（ｆｌｏｗ）是ＩＰｖ６的新概念，指 安全性的ＩＰｖ６（又叫ＩＰｎｇ）应运而生［２１。 网络上从特定源点到特定终点的一系列实时声音视频数据 １ ｌＰｖ６的主要特点 报．流经过的路径上所有路由器都能够保证其服务质量 １．１扩展的地址空间 （ＱｏＳ）．同一个流的全部数据报具有相同的流编号 ＩＰｖ６的地址长度由ＩＰｖ４的３２位扩展到１２８位．病毒 １．６移动性 试图通过扫描地址段的方式寻找漏洞无疑于是大海捞针 基于移动ＩＰｖ６协议的ＩＰ层移动功能是其另一个重要 １．２强大的寻址能力 优势 ＩＰｖ４中的移动协议和ＩＰｖ６的本质区别在于：移动 ＩＰｖ６支持多种寻址层次．具有远程用户地址自动配置 ＩＰｖ４协议不适用于数量庞大的移动终端 移动ＩＰ需要为每 能力。ＩＰｖ６数据报的地址包括３种：单播（ｕｎｉｃａｓｔ）．即点对 个设备提供全球惟一的ＩＰ地址．而ＩＰｖ４没有足够的地址 点通信；多播（ｍｕｌｔｉｃａｓｔ），一对多点通信，通过增加字段位 空间可以为在公共互联网上运行的每个移动终端分配一个 数可以改变多播路由的伸缩性；联播（ａｎｙｃａｓｔ）．这是ＩＰｖ６ 这样的地址。移动ＩＰｖ６则可以通过简单扩展．满足大规模 新增加的类型．其目的站是一组计算机．但数据报只交付给 移动用户的需求．能够在全球范围内解决有关网络和访问 其中一个。 技术之间的移动问题 １．３简化的分组头格式 ２ ｌＰｖ６的安全机制研究 ＩＰｖ６数据报的首部与ＩＰｖ４不兼容．在ＩＰｖ４的基础上 ２．１认证协议（ＡＨ） ‘ 优化了其基本首部，并定义了若干可选的扩展首部 路由器 ＡＨｆ 具有数据完整性和数据源认证及抗重放攻击的能 不处理扩展首部ｆ逐跳除外），因此能够增大路由器的吞吐 力 数据完整性是由信息认证算法所得到的信急认证码 量。 ＨＭＡＣ值来提供ＩＰ包的真实性和完整性检查 在发送ＩＰ １．４改善了各种扩展与选项的支持 组之前，发送方计算出认证码．接收方进行验证 默认的算 ＩＰｖ６分组头的特别编码增加了传输的高效性．允许协 法是带密钥的ＭＤ５算法．也可能是带密钥的ＳＨＡ一１算法 议进一步扩充（硬件更新）．减少了对选项长度的，增强 取代 数据源认证是通过要参加认证的数据享的密钥 了引进新选项的灵活性．而ＩＰｖ４的选项和功能不能变化 来实现．抗重放攻击则通过ＡＨ中的顺序号字段实现 在ＲＦＣ ２４６０中规定了６种扩展首部：路由选择选项、逐 ＲＦＣ２４０２对ＡＨ头的格式、位置、验证的范围及接收和发出 跳、分片、鉴别、封装安全有效载荷和目的站选项。 处理规则进行了描述 包含ＡＨ域的ＩＰ头如图１所示．ＡＨ 收稿日期：２００７—０９－１９ 作者简介：王敏（１９７２一），女，四川江津人，实验师。 ７２５ 维普资讯 http://www.cqvip.com ＼。网络通汛与安全 。一 头格式如图２所示。 图１ 带ＡＨ头的ＩＰｖ６数据包格式 ８位 ８伉 ｌ６似 下一一义 长嫂 纵１ 安个参数索０｝ 认 数击Ｉ《 图２ ＡＨ头格式 ＡＨ只提供认证．不提供加密。它除了可以对ＩＰ的有效 负载进行认证外．还对ＩＰ头部实施认证 ＡＨ认证可以防止 许多网络攻击。ＩＰｖ４具有主机认证功能，其数据源地址可 以被修改．主机无法识别ＩＰ地址欺骗 而ＩＰｖ６提供了主机 认证．能够识别这种欺骗 ２．２安全加载封装（ＥＳＰ） ＥＳＰ通过对数据包的全加密来保证传输信急的机密性 ． 以防止其他用户监听．只有拥有密钥的用户才能打开内容。 ＥＳＰ也提供几种不同的服务．其中认证和维持数据的完整 性与ＡＨ重叠 ＥＳＰ的主要标准是数据加密标准（ＤＥＳ— ＣＢＣ）．这种标准主要是对数据包提供数据源认证和无连接 的完整性认证．其他的适当算法如ＲＳＡ算法也可以。 ＥＳＰ既能单独使用．又可以与ＩＰ认证头结合使用，ＥＳＰ 头包含下列域：①安全参数索引：标识安全协作体；②序列 号：一个线性增加的计数器值；③载荷数据：长度为８位的 整数倍：④填充：在加密前用未指定的数据填充以使填充长 度及下一头域恰好在３２位的整数位置处结束；⑤填充长 度：表示前而填充的字数；⑥下一头：表示载荷数据域中数 据类型：⑦认证数据：包含一个完整性检查值。 ２．３密钥交换协议（ＩＫＥ） ＩＫＥ建立在密钥管理协议基础上．提供了通信双方协 商安全参数和建立安全协定的框架。ＩＫＥ的最终结果是一 个通过验证的密钥以及建立在双方同意基础上的安全协 定，即ＳＡ。不管是ＡＨ还是ＥＳＰ，密钥管理都是整个安全机 制安全性的关键。ＩＫＥ在协商建立ＳＡ之前，必须对通信双 方进行认证。在ＩＫＥ中预定义了ＤＳＳ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ｓｔａｎｄａｒｄ）签名。ＲＳＡ签名。ＲＳＡ加密、改进的ＲＳＡ加密和预 共享密钥等５种身份认证方法。除预共享密钥外，其它方法 都依赖少某种形式的认证机构ＣＡ的参与．实现过程比较 复杂 预共享密钥是通过通信双方事先共享一个或一组密 钥．这种方法只适合小型网络的使用。 ２．４ ＥＳＰ头的处理 ＥＳＰ头的处理涉及到加、解密，类似ＡＨ．头的处理。封 装选取恰当的协议模式和验证算法．根据ＥＳＰ报文的内容 和格式进行封装．最后重新计算位于ＥＳＰ前面的ＩＰ头的校 ７２６ 电臃知识与技术 本栏目责任编辑：冯蕾 验和，形成最终的ＩＰ包［５１。接收：目标节点在接收到含有 ＥＳＰ头的ＩＰ数据包后．如果收到的是一个分段．必须将其 保留下来，直到这个报的其他分段都收齐为止．并装配成一 个完整的ＩＰ包 根据ＥＳＰ头中的ＳＰＩ检查对应的ＳＡ是否 存在，如果不存在，则丢弃此ＩＰ包。再根据序列号检查此包 是否是重播的包，如果是．同样丢弃此包。否则，利用相应的 密钥（密钥的交换、管理由ＩＫＥ协议负责），将这个完整的 包传递到身份验证器（存在于相应的ＳＡ）中进行身份验证， 并将验证出的结果数据与包中的身份验证数据进行比较 若一致．则从ＳＡ中取出密钥和解密算法对ＩＰ包进行解密 否则，丢弃此包。当身份验证和解密成功之后，对结果数据 包进行模式检查．检查此包与ＳＡ中标明的模式（隧道模式 或传送模式）是否相符，否则，便将此包丢弃。最后，对此包 进行正确性验证和拆封还原，得到真实的原始数据。由数据 包的处理过程可以看到ＩＰＳｅｃ已经实现了ＩＰ层的数据安 全保护。 ３ ｌＰｖ６的局限性 首先．ＡＨ和ＥＳＰ协议本身都不提供业务流分析的安 全保护 如果攻击者通过对通信业务流模式进行观察、分 析．可能造成信息的泄露 其次．ＡＨ和ＥＳＰ协议在使用默认的算法（如ＭＤ５和 ＤＥＳ）时都不提供不可否认安全业务。不可否认安全业务就 是要提供无可辩驳的证据以防止参与通信的一方事后否认 曾经发生过本次交换 实现这一安全业务的技术是数字签 名。在ＡＨ和ＦＳＰ中必须选择具有数字签名功能的算法（例 如ＲＡＳ），经过适当的转换才可以提供不可否认安全业务。 最后．虽然在ＩＰｖ６中采用了加密和认证机制可以提高 系统的安全性．但系统必须为此而付出额外的时间来进行 ＩＰ数据包的认证计算或解密运算：若向目标主机发送大量 貌似正确、实际上却是随意填充的虚假加密数据包，致使目 标主机消耗大量的ＣＰＵ时间用于检验错误的数据包．而不 能响应其它用户的请求．最终造成拒绝服务。“邻居发现 ｆｎｅｉｇｈｂｏｒ－ｄｉｓｃｏｖｅｒｙ）”是ＩＰｖ６中引入的一个新概念．其主要 功能是实现无状态自动配置 攻击者可以利用安全性差的 路由器或网关等设备．得到“邻居发现”的高速缓存数据，由 此发现可利用的主机 参考文献： 『１１韩智文，卿话，龚正虎．新一代互连网协议的安全机制 『Ｊ１．计算机工程与应用，２０００，３：１２６—１２８． 『２１张玉军，田野．ＩＰｖ６安全问题研究『Ｊ１．中国科学院研究 生院学报．２００５．２２（１）：３０—３７． ［３］Ｐｅｔｅ Ｌ．ＩＰｖ６详解 １．北京：机械工业出版社，２０００， ６９—７９． 『４］沈莉．ＩＰｖ６的安全协议研究【Ｊ】．电子科技大学学报， ２００２，３１（１）：７２—７５． 『５１杜根远，邱颖豫，郭华伟．ＩＰｖ６网络安全体系结构研究 ｆＪ】．微计算机信息，２００６，２２（４—３）：８２－８４，ｌ１５．
