移動IPv6的安全問題研究

摘要:針對移動IPv6存在的安全隱患，介紹了移動IPv6中所面臨的主要安全威脅，分析和研究了移動IPv6協(xié)議的有效安全策略。

關(guān)鍵詞:移動IPv6，安全性，安全機制，策略

1、移動IPv6的由來

為了支持因特網(wǎng)上的移動設(shè)備，IETF(互聯(lián)網(wǎng)工程任務(wù)組)推出了移動IP的標(biāo)準(zhǔn)，使用戶保留不變的永久IP地址，而不管他們是否連接在網(wǎng)上。移動IP有兩種:一種是基于IPv4的移動IPv4，一種是基于IPv6的移動IPv6。對IPv6移動性的要求是:移動性是IPv6的組成部分和重要特色之一，預(yù)計所有IPv6的部署都將至少包括最小的移動IP支持(即通信節(jié)點的功能)。在移動IPv6中無論移動節(jié)點(MN，Mobile Node)當(dāng)前如何，在哪里接入因特網(wǎng)，始終都是通過其靜態(tài)的家鄉(xiāng)地址(Home Address:指分配給移動節(jié)點的IP地址)來識別該節(jié)點的。離開家鄉(xiāng)網(wǎng)絡(luò)時，每個移動節(jié)點都會獲取另一個臨時的地址來表示節(jié)點當(dāng)前的位置。到達(dá)其家鄉(xiāng)地址的基本信息被重定向(隧道封裝)到轉(zhuǎn)交地址(CoA，Care-Of Address:指移動節(jié)點訪問外地鏈路時獲得的IP地址)。

2、移動IPv6與移動IPv4的安全性比較和改進(jìn)

移動IPv6的安全性有四個特征不同于移動IPv4:沒有外地代理;IPSec (IP安全協(xié)議)集成到IPv6標(biāo)準(zhǔn)中;家鄉(xiāng)地址選項解決了網(wǎng)絡(luò)入境過濾路由器的問題;路由優(yōu)化功能是移動IPv6協(xié)議的主要功能之一。

IPSec在IPv6則是一個必備組成部分，而IPSec只是IPv4的一個可選擴(kuò)展協(xié)議，但是，IPSec是網(wǎng)絡(luò)層協(xié)議，只負(fù)責(zé)其下層的網(wǎng)絡(luò)安全，不能負(fù)責(zé)其上層如Web、E-mail等應(yīng)用的安全;保證端到端的安全是IPv6最大的優(yōu)勢，IPv6限制使用NAT，允許所有的網(wǎng)絡(luò)節(jié)點使用其全球惟一的地址進(jìn)行通信;在IPv6的地址概念中，地址分配與源地址檢查有了本地子網(wǎng)地址和本地網(wǎng)絡(luò)地址的新概念，從安全方面來說，這樣的地址分配為網(wǎng)絡(luò)管理員強化網(wǎng)絡(luò)安全管理提供了方便;由于要防止未授權(quán)訪問IPv6固有的對身份驗證的支持，對數(shù)據(jù)完整性和數(shù)據(jù)機密性的支持和改進(jìn)，IPv6增強了防止未授權(quán)訪問的能力。

3、移動IPv6面臨的主要安全威脅

一是拒絕服務(wù)攻擊(DoS)，是指一個攻擊者為阻止合法用戶的正常工作而采取的攻擊，主要包括兩種方式:一種是通過向服務(wù)器或主機發(fā)送大量數(shù)據(jù)包，使主機忙于處理這些無用的數(shù)據(jù)包而無法響應(yīng)有用的數(shù)據(jù)包;另一種是直接干擾正常通信，如在移動節(jié)點和通信節(jié)點通信路徑上篡改Routing Header域值，將通信節(jié)點的流量重定向到其它第三方節(jié)點(包括攻擊者自己)。二是重放攻擊，它是一種假冒攻擊，利用身份驗證機制中的漏洞先把信息記錄下來，然后再發(fā)送出去。在移動IP中，攻擊者通過竊取會話，截獲數(shù)據(jù)包，把一個有效的注冊請求信息儲存起來，向移動節(jié)點發(fā)送大量無用的數(shù)據(jù)分組，占用移動節(jié)點CPU的全部時間，再利用存儲的有效注冊請求信息向代理服務(wù)器注冊偽造的轉(zhuǎn)交地址。三是信息竊取攻擊。一種是被動的監(jiān)聽。移動IPv6使用包括無線鏈路在內(nèi)的多種傳輸媒介，攻擊者可以不需要物理地連接到網(wǎng)絡(luò)上就可以進(jìn)行偵聽。另一種是會話竊取，是指一個攻擊者等待合法的用戶認(rèn)證完成并且開始進(jìn)行會話后，通過假扮合法節(jié)點來竊取會話的攻擊。四是與發(fā)送至家鄉(xiāng)代理和對端節(jié)點的綁定更新相關(guān)的威脅。攻擊者可能使用重定向的數(shù)據(jù)包，來嘗試將其設(shè)置為移動節(jié)點和對端節(jié)點之間的中間人，這使得攻擊者能夠扮演移動節(jié)點，會導(dǎo)致相應(yīng)的完整性和有效性問題。惡意節(jié)點也可能發(fā)送綁定更新，綁定更新中的轉(zhuǎn)交地址可以被設(shè)置為受害節(jié)點的地址。五是與負(fù)載數(shù)據(jù)包相關(guān)的威脅。在移動IPv6中引入了家鄉(xiāng)地址目的地選項及更新路由報頭類型(第二類)，并且在負(fù)載數(shù)據(jù)包中使用了隧道報頭。對于移動節(jié)點和家鄉(xiāng)代理之間，攻擊者可以偽造移動節(jié)點和家鄉(xiāng)代理之間的隧道數(shù)據(jù)包，使其顯示為來自移動節(jié)點的流量，實際上并不是這樣的。

4、移動IPv6的安全策略

4.1移動IPv6的安全機制

首先，針對重放攻擊，移動IPv6協(xié)議在注冊消息中添加了序列號，并且在協(xié)議報文中引入了時間隨機數(shù)。其次，移動IPv6對移動節(jié)點與通信節(jié)點之間、移動節(jié)點與歸屬代理之間的信令消息傳遞的有效保護(hù)，能夠防御其它形式的攻擊。保護(hù)信令消息和業(yè)務(wù)流量就可以在移動節(jié)點和歸屬代理之間建立IPsec安全聯(lián)盟。移動節(jié)點歸屬地址和歸屬代理都是已知的，那么可以預(yù)先為移動節(jié)點和歸屬代理配置安全聯(lián)盟，使用AH和ESP建立安全隧道，提供數(shù)據(jù)源認(rèn)證、完整性檢查、數(shù)據(jù)加密和重放攻擊防護(hù)。

4.2增強移動IPv6安全性的策略

一是信令優(yōu)化，可以保證節(jié)點更好的QoS需求。二是應(yīng)用IPSec在移動IPv6中使網(wǎng)絡(luò)建立起安全連接、并對傳輸數(shù)據(jù)進(jìn)行加密，保持?jǐn)?shù)據(jù)的可靠性，從而大大提高網(wǎng)絡(luò)安全管理的可擴(kuò)展性。三是避免“三角路由”問題:提高動態(tài)家鄉(xiāng)代理的有效性，并通過使用路由優(yōu)化機制及正確分配。但進(jìn)行路由優(yōu)化的同時應(yīng)兼顧安全性，此時移動節(jié)點必須和通信節(jié)點進(jìn)行相互認(rèn)證。四是采用隧道和源路由技術(shù)向連接在外地鏈路上的移動節(jié)點傳送數(shù)據(jù)包。移動IPv6使用選路擴(kuò)展報頭來安全地實現(xiàn)源路由。五是采用層次化移動IPv6來解決不同切換下的安全問題，移動節(jié)點發(fā)生切換時實現(xiàn)認(rèn)證信息快速切換的傳遞，簡化認(rèn)證過程。

4.3定制密鑰的安全機制

定制密鑰(PBK，Purpose-Built Key)可以廣泛應(yīng)用到移動IPv6協(xié)議中。IPSec需要依靠公鑰基礎(chǔ)設(shè)施(PKI)來運作，但PKI目前尚未有很好的實施，終端設(shè)備的運算能力層次不齊。在目前的條件下需要更為簡單的PBK安全協(xié)議。PBK的目的是要確認(rèn)某個漫游設(shè)備正是發(fā)起某次特定通信的設(shè)備。PBK協(xié)議假定，在確保一些操作是安全的基礎(chǔ)上，可以認(rèn)為后續(xù)的操作是安全的。在每一個移動IP會話前，通信雙方產(chǎn)生一對新的公鑰/私鑰，這對密鑰是臨時的，只有通信雙方能夠使用，無需向第三方注冊，不會為第三方獲得。

4.4返回路徑可達(dá)方法的安全機制

返回路徑可達(dá)(RRP，Return Routability Procedure)方法用來在MN和CN之間提供適當(dāng)驗證保護(hù)。通過返回路徑可達(dá)過程，通信對端知道自己是否能夠使用轉(zhuǎn)交地址和家鄉(xiāng)地址訪問移動節(jié)點。如果RRP測試失敗，通信對端就不能接收移動節(jié)點的綁定更新，也不能直接發(fā)送分組到移動節(jié)點的轉(zhuǎn)交地址。

4.5 IPSec與防火墻結(jié)合的安全機制

IPSec的實施并不能替代傳統(tǒng)安全設(shè)備，防火墻和入侵檢測系統(tǒng)仍有存在的必要，但是IPSec的采用卻對現(xiàn)有安全體系結(jié)構(gòu)帶來了挑戰(zhàn)，封裝安全載荷(ESP)和隧道，使得防火墻、入侵檢測系統(tǒng)無法分析報文內(nèi)容，惡意者甚至可以利用這一點繞過防火墻對內(nèi)部網(wǎng)絡(luò)主機實施攻擊。IPSec也為我們設(shè)計安全體系提供了新的思路，即把保密和認(rèn)證機制融入其中，使傳統(tǒng)的安全設(shè)備更加完善和強健。

參考文獻(xiàn):

[1]李振汕.對移動IPv6安全問題的探討[J].計算機與數(shù)字工程，2008，36(11):103-105.

[2]何洪磊.IPv6防火墻研究[J].計算機安全，2009，(07).

[3]馬軍鋒，侯樂青.移動IPv6的安全問題分析[J].電信網(wǎng)技術(shù).2006.

作者簡介:

孫天翔(1981-)，男，工學(xué)學(xué)士，助理實驗師.