移動(dòng)IPv6的安全問題研究

摘要:針對(duì)移動(dòng)IPv6存在的安全隱患，介紹了移動(dòng)IPv6中所面臨的主要安全威脅，分析和研究了移動(dòng)IPv6協(xié)議的有效安全策略。

關(guān)鍵詞:移動(dòng)IPv6，安全性，安全機(jī)制，策略

1、移動(dòng)IPv6的由來

為了支持因特網(wǎng)上的移動(dòng)設(shè)備，IETF(互聯(lián)網(wǎng)工程任務(wù)組)推出了移動(dòng)IP的標(biāo)準(zhǔn)，使用戶保留不變的永久IP地址，而不管他們是否連接在網(wǎng)上。移動(dòng)IP有兩種:一種是基于IPv4的移動(dòng)IPv4，一種是基于IPv6的移動(dòng)IPv6。對(duì)IPv6移動(dòng)性的要求是:移動(dòng)性是IPv6的組成部分和重要特色之一，預(yù)計(jì)所有IPv6的部署都將至少包括最小的移動(dòng)IP支持(即通信節(jié)點(diǎn)的功能)。在移動(dòng)IPv6中無論移動(dòng)節(jié)點(diǎn)(MN，Mobile Node)當(dāng)前如何，在哪里接入因特網(wǎng)，始終都是通過其靜態(tài)的家鄉(xiāng)地址(Home Address:指分配給移動(dòng)節(jié)點(diǎn)的IP地址)來識(shí)別該節(jié)點(diǎn)的。離開家鄉(xiāng)網(wǎng)絡(luò)時(shí)，每個(gè)移動(dòng)節(jié)點(diǎn)都會(huì)獲取另一個(gè)臨時(shí)的地址來表示節(jié)點(diǎn)當(dāng)前的位置。到達(dá)其家鄉(xiāng)地址的基本信息被重定向(隧道封裝)到轉(zhuǎn)交地址(CoA，Care-Of Address:指移動(dòng)節(jié)點(diǎn)訪問外地鏈路時(shí)獲得的IP地址)。

2、移動(dòng)IPv6與移動(dòng)IPv4的安全性比較和改進(jìn)

移動(dòng)IPv6的安全性有四個(gè)特征不同于移動(dòng)IPv4:沒有外地代理;IPSec (IP安全協(xié)議)集成到IPv6標(biāo)準(zhǔn)中;家鄉(xiāng)地址選項(xiàng)解決了網(wǎng)絡(luò)入境過濾路由器的問題;路由優(yōu)化功能是移動(dòng)IPv6協(xié)議的主要功能之一。

IPSec在IPv6則是一個(gè)必備組成部分，而IPSec只是IPv4的一個(gè)可選擴(kuò)展協(xié)議，但是，IPSec是網(wǎng)絡(luò)層協(xié)議，只負(fù)責(zé)其下層的網(wǎng)絡(luò)安全，不能負(fù)責(zé)其上層如Web、E-mail等應(yīng)用的安全;保證端到端的安全是IPv6最大的優(yōu)勢(shì)，IPv6限制使用NAT，允許所有的網(wǎng)絡(luò)節(jié)點(diǎn)使用其全球惟一的地址進(jìn)行通信;在IPv6的地址概念中，地址分配與源地址檢查有了本地子網(wǎng)地址和本地網(wǎng)絡(luò)地址的新概念，從安全方面來說，這樣的地址分配為網(wǎng)絡(luò)管理員強(qiáng)化網(wǎng)絡(luò)安全管理提供了方便;由于要防止未授權(quán)訪問IPv6固有的對(duì)身份驗(yàn)證的支持，對(duì)數(shù)據(jù)完整性和數(shù)據(jù)機(jī)密性的支持和改進(jìn)，IPv6增強(qiáng)了防止未授權(quán)訪問的能力。

3、移動(dòng)IPv6面臨的主要安全威脅

一是拒絕服務(wù)攻擊(DoS)，是指一個(gè)攻擊者為阻止合法用戶的正常工作而采取的攻擊，主要包括兩種方式:一種是通過向服務(wù)器或主機(jī)發(fā)送大量數(shù)據(jù)包，使主機(jī)忙于處理這些無用的數(shù)據(jù)包而無法響應(yīng)有用的數(shù)據(jù)包;另一種是直接干擾正常通信，如在移動(dòng)節(jié)點(diǎn)和通信節(jié)點(diǎn)通信路徑上篡改Routing Header域值，將通信節(jié)點(diǎn)的流量重定向到其它第三方節(jié)點(diǎn)(包括攻擊者自己)。二是重放攻擊，它是一種假冒攻擊，利用身份驗(yàn)證機(jī)制中的漏洞先把信息記錄下來，然后再發(fā)送出去。在移動(dòng)IP中，攻擊者通過竊取會(huì)話，截獲數(shù)據(jù)包，把一個(gè)有效的注冊(cè)請(qǐng)求信息儲(chǔ)存起來，向移動(dòng)節(jié)點(diǎn)發(fā)送大量無用的數(shù)據(jù)分組，占用移動(dòng)節(jié)點(diǎn)CPU的全部時(shí)間，再利用存儲(chǔ)的有效注冊(cè)請(qǐng)求信息向代理服務(wù)器注冊(cè)偽造的轉(zhuǎn)交地址。三是信息竊取攻擊。一種是被動(dòng)的監(jiān)聽。移動(dòng)IPv6使用包括無線鏈路在內(nèi)的多種傳輸媒介，攻擊者可以不需要物理地連接到網(wǎng)絡(luò)上就可以進(jìn)行偵聽。另一種是會(huì)話竊取，是指一個(gè)攻擊者等待合法的用戶認(rèn)證完成并且開始進(jìn)行會(huì)話后，通過假扮合法節(jié)點(diǎn)來竊取會(huì)話的攻擊。四是與發(fā)送至家鄉(xiāng)代理和對(duì)端節(jié)點(diǎn)的綁定更新相關(guān)的威脅。攻擊者可能使用重定向的數(shù)據(jù)包，來嘗試將其設(shè)置為移動(dòng)節(jié)點(diǎn)和對(duì)端節(jié)點(diǎn)之間的中間人，這使得攻擊者能夠扮演移動(dòng)節(jié)點(diǎn)，會(huì)導(dǎo)致相應(yīng)的完整性和有效性問題。惡意節(jié)點(diǎn)也可能發(fā)送綁定更新，綁定更新中的轉(zhuǎn)交地址可以被設(shè)置為受害節(jié)點(diǎn)的地址。五是與負(fù)載數(shù)據(jù)包相關(guān)的威脅。在移動(dòng)IPv6中引入了家鄉(xiāng)地址目的地選項(xiàng)及更新路由報(bào)頭類型(第二類)，并且在負(fù)載數(shù)據(jù)包中使用了隧道報(bào)頭。對(duì)于移動(dòng)節(jié)點(diǎn)和家鄉(xiāng)代理之間，攻擊者可以偽造移動(dòng)節(jié)點(diǎn)和家鄉(xiāng)代理之間的隧道數(shù)據(jù)包，使其顯示為來自移動(dòng)節(jié)點(diǎn)的流量，實(shí)際上并不是這樣的。

4、移動(dòng)IPv6的安全策略

4.1移動(dòng)IPv6的安全機(jī)制

首先，針對(duì)重放攻擊，移動(dòng)IPv6協(xié)議在注冊(cè)消息中添加了序列號(hào)，并且在協(xié)議報(bào)文中引入了時(shí)間隨機(jī)數(shù)。其次，移動(dòng)IPv6對(duì)移動(dòng)節(jié)點(diǎn)與通信節(jié)點(diǎn)之間、移動(dòng)節(jié)點(diǎn)與歸屬代理之間的信令消息傳遞的有效保護(hù)，能夠防御其它形式的攻擊。保護(hù)信令消息和業(yè)務(wù)流量就可以在移動(dòng)節(jié)點(diǎn)和歸屬代理之間建立IPsec安全聯(lián)盟。移動(dòng)節(jié)點(diǎn)歸屬地址和歸屬代理都是已知的，那么可以預(yù)先為移動(dòng)節(jié)點(diǎn)和歸屬代理配置安全聯(lián)盟，使用AH和ESP建立安全隧道，提供數(shù)據(jù)源認(rèn)證、完整性檢查、數(shù)據(jù)加密和重放攻擊防護(hù)。

4.2增強(qiáng)移動(dòng)IPv6安全性的策略

一是信令優(yōu)化，可以保證節(jié)點(diǎn)更好的QoS需求。二是應(yīng)用IPSec在移動(dòng)IPv6中使網(wǎng)絡(luò)建立起安全連接、并對(duì)傳輸數(shù)據(jù)進(jìn)行加密，保持?jǐn)?shù)據(jù)的可靠性，從而大大提高網(wǎng)絡(luò)安全管理的可擴(kuò)展性。三是避免“三角路由”問題:提高動(dòng)態(tài)家鄉(xiāng)代理的有效性，并通過使用路由優(yōu)化機(jī)制及正確分配。但進(jìn)行路由優(yōu)化的同時(shí)應(yīng)兼顧安全性，此時(shí)移動(dòng)節(jié)點(diǎn)必須和通信節(jié)點(diǎn)進(jìn)行相互認(rèn)證。四是采用隧道和源路由技術(shù)向連接在外地鏈路上的移動(dòng)節(jié)點(diǎn)傳送數(shù)據(jù)包。移動(dòng)IPv6使用選路擴(kuò)展報(bào)頭來安全地實(shí)現(xiàn)源路由。五是采用層次化移動(dòng)IPv6來解決不同切換下的安全問題，移動(dòng)節(jié)點(diǎn)發(fā)生切換時(shí)實(shí)現(xiàn)認(rèn)證信息快速切換的傳遞，簡(jiǎn)化認(rèn)證過程。

4.3定制密鑰的安全機(jī)制

定制密鑰(PBK，Purpose-Built Key)可以廣泛應(yīng)用到移動(dòng)IPv6協(xié)議中。IPSec需要依靠公鑰基礎(chǔ)設(shè)施(PKI)來運(yùn)作，但PKI目前尚未有很好的實(shí)施，終端設(shè)備的運(yùn)算能力層次不齊。在目前的條件下需要更為簡(jiǎn)單的PBK安全協(xié)議。PBK的目的是要確認(rèn)某個(gè)漫游設(shè)備正是發(fā)起某次特定通信的設(shè)備。PBK協(xié)議假定，在確保一些操作是安全的基礎(chǔ)上，可以認(rèn)為后續(xù)的操作是安全的。在每一個(gè)移動(dòng)IP會(huì)話前，通信雙方產(chǎn)生一對(duì)新的公鑰/私鑰，這對(duì)密鑰是臨時(shí)的，只有通信雙方能夠使用，無需向第三方注冊(cè)，不會(huì)為第三方獲得。

4.4返回路徑可達(dá)方法的安全機(jī)制

返回路徑可達(dá)(RRP，Return Routability Procedure)方法用來在MN和CN之間提供適當(dāng)驗(yàn)證保護(hù)。通過返回路徑可達(dá)過程，通信對(duì)端知道自己是否能夠使用轉(zhuǎn)交地址和家鄉(xiāng)地址訪問移動(dòng)節(jié)點(diǎn)。如果RRP測(cè)試失敗，通信對(duì)端就不能接收移動(dòng)節(jié)點(diǎn)的綁定更新，也不能直接發(fā)送分組到移動(dòng)節(jié)點(diǎn)的轉(zhuǎn)交地址。

4.5 IPSec與防火墻結(jié)合的安全機(jī)制

IPSec的實(shí)施并不能替代傳統(tǒng)安全設(shè)備，防火墻和入侵檢測(cè)系統(tǒng)仍有存在的必要，但是IPSec的采用卻對(duì)現(xiàn)有安全體系結(jié)構(gòu)帶來了挑戰(zhàn)，封裝安全載荷(ESP)和隧道，使得防火墻、入侵檢測(cè)系統(tǒng)無法分析報(bào)文內(nèi)容，惡意者甚至可以利用這一點(diǎn)繞過防火墻對(duì)內(nèi)部網(wǎng)絡(luò)主機(jī)實(shí)施攻擊。IPSec也為我們?cè)O(shè)計(jì)安全體系提供了新的思路，即把保密和認(rèn)證機(jī)制融入其中，使傳統(tǒng)的安全設(shè)備更加完善和強(qiáng)健。

參考文獻(xiàn):

[1]李振汕.對(duì)移動(dòng)IPv6安全問題的探討[J].計(jì)算機(jī)與數(shù)字工程，2008，36(11):103-105.

[2]何洪磊.IPv6防火墻研究[J].計(jì)算機(jī)安全，2009，(07).

[3]馬軍鋒，侯樂青.移動(dòng)IPv6的安全問題分析[J].電信網(wǎng)技術(shù).2006.

作者簡(jiǎn)介:

孫天翔(1981-)，男，工學(xué)學(xué)士，助理實(shí)驗(yàn)師.