淺析IPv6 的安全機(jī)制對(duì)現(xiàn)有網(wǎng)絡(luò)安全體系的影響

蘇 曉

（中國(guó)地質(zhì)大學(xué)（武漢）計(jì)算機(jī)學(xué)院，湖北 武漢430070）

1 IPv6 安全機(jī)制

1.1 IPv6 定義

IPv6（Internet Protocol Version 6 ）是IETF 設(shè)計(jì)的用于替代現(xiàn)行版本IPv4 協(xié)議的下一代IP 協(xié)議。目前的全球因特網(wǎng)所采用的協(xié)議族是TCP／IP 協(xié)議族，其網(wǎng)絡(luò)層的協(xié)議就是IP，同時(shí)也是TCP／IP 協(xié)議族的核心協(xié)議。隨著電子網(wǎng)絡(luò)技術(shù)的發(fā)展，計(jì)算機(jī)將逐漸進(jìn)入人們的日常生活，我們的生活點(diǎn)滴都將進(jìn)入Internet ，正是在這樣的環(huán)境下，IPv6 應(yīng)運(yùn)而生。

1.2 IPv6 特點(diǎn)

IPv6 是可以無(wú)限制地增加IP 網(wǎng)址數(shù)量，并且擁有卓越網(wǎng)絡(luò)安全性能和巨大網(wǎng)址空間等特點(diǎn)的新一代互聯(lián)網(wǎng)協(xié)議。特點(diǎn)表現(xiàn)為［1］：

（1）地址空間巨大：IPv6 地址空間由IPv4 的32位擴(kuò)大到128 位，地址空間增大了2 的96 次方倍。

（2）地址層次豐富且分配合理：IPv6 的終端管理機(jī)構(gòu)將某一確定的TLA分配給某些骨干網(wǎng)的ISP，然后骨干網(wǎng)ISP 再有選擇性地為各個(gè)中小ISP 分配NLA，而Internet 用戶則從中小ISP 獲得單一的IP 地址。

（3）靈活的IP 報(bào)文頭部格式：IPv6 用固定格式的擴(kuò)展頭部取代了IPv4 中可變長(zhǎng)度的選項(xiàng)字段，并且選項(xiàng)部分的出現(xiàn)方式也有所變化。

（4）提高IP 層網(wǎng)絡(luò)安全性能：IPv6 要求強(qiáng)制實(shí)施Internet 網(wǎng)絡(luò)安全協(xié)議IPSec ，并將其標(biāo)準(zhǔn)化。該協(xié)議支持驗(yàn)證頭協(xié)議、封裝安全性載荷協(xié)議和密鑰交換IKE 協(xié)議，這3 種協(xié)議將是未來(lái)因特網(wǎng)的安全標(biāo)準(zhǔn)。

IPv6 除擁有上述特性以外，還具有無(wú)狀態(tài)自動(dòng)配置、簡(jiǎn)化報(bào)文頭部格式、支持多類型服務(wù)以及允許協(xié)議繼續(xù)演變等特性。

2 IPv4 協(xié)議與IPv6 協(xié)議比較

2.1 IPv6 協(xié)議優(yōu)勢(shì)

IPv6 協(xié)議相對(duì)于IPv4 協(xié)議優(yōu)勢(shì)體現(xiàn)在：一是具有更大的地址空間；二是使用更小的路由表；三是增加了增強(qiáng)的組播（Multicast ）支持和對(duì)流的支持（Flow Control ）；四是加入了對(duì)自動(dòng)配置（Auto Configuration）的支持；五是具有更高的安全性。

2.2 IPv4 與IPv6 表示方法及功能的比較

IPv6 協(xié)議是對(duì)IPv4 協(xié)議的修改和擴(kuò)充，從根本上解決了IPv4 網(wǎng)絡(luò)地址枯竭和路由表急劇膨脹等問(wèn)題。表1 是IPv4 與IPv6 之間在表示方法及功能上存在的一些差異。

表1 IPv4 協(xié)議與IPv6 協(xié)議在表示方法及功能上的異同［2 ］

2.3 IPv4 與IPv6 的地址類型與分配方式的比較

IP 地址是一種等級(jí)地址，IPv4 的32 位地址被分成網(wǎng)絡(luò)地址和主機(jī)地址，其地址分配采用基于類別的方式，主要有三種方式：A、B 和C，以及2 種特殊的網(wǎng)絡(luò)地址D 和E。IPv6 的地址長(zhǎng)度為128 位，IPv6 地址也有3 類，即單播地址、組播地址和泛播地址。與IPv4 采用塊狀地址分配方式相比，IPv6 協(xié)議可根據(jù)用戶的需要進(jìn)行層狀地址分配。

2.4 IPv4 與IPv6 的安全策略比較

IPv4 作為一種簡(jiǎn)單的網(wǎng)絡(luò)互通協(xié)議，存在一系列的安全漏洞，應(yīng)用程序只能通過(guò)自身攜帶的私有性和認(rèn)證性操作機(jī)制才能完成安全性操作。IPv6 則全面支持IPsec ，這要求提供基于標(biāo)準(zhǔn)的網(wǎng)絡(luò)安全解決方案，以便滿足和提高不同的IPv6 協(xié)議實(shí)現(xiàn)協(xié)同工作能力。IPsec 通過(guò)正確使用封裝安全性凈荷頭（ESP）和身份驗(yàn)證頭（AH）來(lái)實(shí)現(xiàn)如下安全性服務(wù)：①訪問(wèn)機(jī)制；②無(wú)連接的完整性；③數(shù)據(jù)源身份驗(yàn)證；④對(duì)包重放攻擊的防御；⑤加密；⑥有限的業(yè)務(wù)機(jī)密性。

3 IPv6 的安全機(jī)制與現(xiàn)有網(wǎng)絡(luò)安全體系

IPv6 的安全機(jī)制及其對(duì)現(xiàn)有網(wǎng)絡(luò)安全體系的影響表現(xiàn)在：一方面，網(wǎng)絡(luò)急劇發(fā)展引起IPv4 在資源設(shè)計(jì)上的有限性凸顯，直接引發(fā)網(wǎng)絡(luò)地址不足的危機(jī)，并且這個(gè)危機(jī)正日益呈現(xiàn)加劇趨勢(shì)；另一方面，出于對(duì)安全和信息私密性的考慮，越來(lái)越多的商業(yè)機(jī)構(gòu)和政府部門不再愿意在不安全的網(wǎng)絡(luò)上發(fā)送他們敏感的信息和進(jìn)行明文的信息交流，從而導(dǎo)致對(duì)加密和認(rèn)證需求的飛速增長(zhǎng)。

3.1 現(xiàn)行IP 網(wǎng)絡(luò)的安全性

IPv6 的安全機(jī)制對(duì)網(wǎng)絡(luò)層的安全性，有如下三個(gè)公認(rèn)的指標(biāo)：（1）身份驗(yàn)證；（2）完整性；（3）機(jī)密性。完整性和身份驗(yàn)證經(jīng)常緊密聯(lián)系，而機(jī)密性則經(jīng)常通過(guò)使用公共密鑰加密來(lái)實(shí)現(xiàn)，這樣也有助于對(duì)源端進(jìn)行身份驗(yàn)證。除了上述三點(diǎn)以外，為了確保網(wǎng)絡(luò)安全，還應(yīng)解決下列威脅網(wǎng)絡(luò)安全的問(wèn)題：（1 ）拒絕服務(wù)攻擊；（2）愚弄攻擊：即實(shí)體傳送虛假來(lái)源的包。

3.2 IPv6 對(duì)于網(wǎng)絡(luò)層安全的增強(qiáng)

現(xiàn)行的IPv4 協(xié)議很難保證英特網(wǎng)的安全，而與之對(duì)應(yīng)的IPv6 則對(duì)所有的命令和執(zhí)行程序都有安全方面的考慮，并且提供基于網(wǎng)絡(luò)層上的加密和認(rèn)證機(jī)制，這種機(jī)制對(duì)于網(wǎng)絡(luò)層以上的應(yīng)用是不可見的。IPv6的安全主要由IP 的AH和ESP 標(biāo)記以及正確的相關(guān)密鑰管理協(xié)議來(lái)實(shí)現(xiàn)［3］。

（1）認(rèn)證報(bào)頭

IPv6 協(xié)議通過(guò)AH使數(shù)據(jù)包的接收者可以驗(yàn)證數(shù)據(jù)是否真的是從其源地址發(fā)出的，并對(duì)傳送數(shù)據(jù)提供密碼驗(yàn)證或完整性測(cè)試。AH的作用如下：（1 ）為IP 數(shù)據(jù)包提供強(qiáng)大的完整性服務(wù)；（2 ）為IP 數(shù)據(jù)包提供強(qiáng)大的身份驗(yàn)證；（3 ）如果IPv6 在完整性服務(wù)中使用了公鑰數(shù)字簽名算法，AH可以為IP 數(shù)據(jù)包提供無(wú)可推卸的服務(wù)；（4）通過(guò)使用順序號(hào)字段來(lái)防止重復(fù)攻擊。AH可以在傳輸模式和隧道模式下使用，這意味著它不僅可用于為兩個(gè)節(jié)點(diǎn)間的直接的數(shù)據(jù)包傳送提供身份驗(yàn)證和保護(hù)服務(wù)，而且還可用于對(duì)發(fā)給安全性網(wǎng)關(guān)或由安全性網(wǎng)關(guān)發(fā)出的全部數(shù)據(jù)包流進(jìn)行封裝。

（2）封裝化安全凈荷

除了認(rèn)證報(bào)頭之外，IPv6 還提供了一個(gè)標(biāo)準(zhǔn)的擴(kuò)展頭，即封裝化安全凈荷（ESP），用于網(wǎng)絡(luò)層實(shí)現(xiàn)端到端的數(shù)據(jù)加密，以對(duì)付網(wǎng)絡(luò)竊聽。一般而言，ESP 報(bào)頭提供了幾種不同的服務(wù)［4］：（1）通過(guò)加密提供數(shù)據(jù)包的機(jī)密性；（2）通過(guò)使用公共密鑰加密對(duì)數(shù)據(jù)來(lái)源進(jìn)行身份驗(yàn)證；（3 ）通過(guò)由AH提供的序列號(hào)機(jī)制提供對(duì)抗重放服務(wù)；（4）通過(guò)使用安全性網(wǎng)關(guān)來(lái)提供有限的業(yè)務(wù)流機(jī)密性。ESP 使用的缺省密碼算法是密碼分組鏈接方式的數(shù)據(jù)加密標(biāo)準(zhǔn)（DES—CBC）。任何其它的適當(dāng)算法如各種RSA算法等也可以使用。

3.3 IPv6 的安全機(jī)制對(duì)現(xiàn)行網(wǎng)絡(luò)安全體系的新挑戰(zhàn)

盡管IPv6 具有諸多優(yōu)點(diǎn)，但并不能確保系統(tǒng)的安全運(yùn)行。原因有很多，最重要是由于網(wǎng)絡(luò)安全是一個(gè)包含著各個(gè)層次，各個(gè)方面的問(wèn)題，而不是一個(gè)僅僅由安全的網(wǎng)絡(luò)層就可以解決的問(wèn)題。即便僅僅從網(wǎng)絡(luò)層來(lái)看，IPv6也不是完美的。畢竟它還保留著很多原來(lái)IPv4 中的選項(xiàng)和服務(wù)功能，如分片、TTL 等。而黑客曾經(jīng)用這些選項(xiàng)去攻擊IPv4 協(xié)議或者逃避檢測(cè)，所以不能保證IPv6 能夠逃避得了類似的攻擊。同時(shí)，由于IPv6 引進(jìn)了加密和認(rèn)證機(jī)制，還可能引起新的攻擊方式。

4 結(jié) 論

綜上所述，IPv6 既很好地解決了IP 地址匱乏的問(wèn)題，也簡(jiǎn)化了協(xié)議報(bào)頭，并且成功引入了兩個(gè)新的擴(kuò)展報(bào)頭AH和ESP。它們幫助IPv6 解決了身份認(rèn)證問(wèn)題，數(shù)據(jù)完整性和機(jī)密性的問(wèn)題，使IPv6 真正實(shí)現(xiàn)了網(wǎng)絡(luò)層安全，這相對(duì)于IPv4 而言是一大進(jìn)步。但是，由于IPv6 安全機(jī)制尚未成熟，這些安全機(jī)制對(duì)于當(dāng)前的網(wǎng)絡(luò)安全體系造成了巨大的沖擊。因此，為了適應(yīng)新的網(wǎng)絡(luò)協(xié)議和新的發(fā)展方向，尋找新的解決網(wǎng)絡(luò)安全問(wèn)題的途徑變得異常急迫。

［1］張秀愛(ài).IPv6 安全機(jī)制的研究 ［J ］.通信技術(shù)，2009 ，7 ：16－17.

［2］趙競(jìng)雄，王曉菊.IPv4 協(xié)議與IPv6 協(xié)議［J ］.軟件導(dǎo)刊，2010 ，2 ：48－49.

［3］王 玲，錢華林.IPv6 的安全機(jī)制及其對(duì)現(xiàn)有網(wǎng)絡(luò)安全體系的影響［J ］.微電子學(xué)與計(jì)算機(jī)，2003 ，1 ：14－15.

［4］（美）Pete Ldshin 著.IPv6 詳解［M］.北京：機(jī)械工業(yè)出版社，2000.