IPV6网络安全问题的探讨

IPV6网络安全问题的探讨

【摘 要】随着瓦联网的飞速发展，网络安全越来越受到重视，IPV6取代IPV4成为新的ＩＰ协议势在必行，对于基于IPV6协议的下一代互联网络安全成为人们研究的重要内容，本文详细介绍了IPV6的技术特点，以及IPV6在安全方面的改进和它所存在的安全隐患。

【关键词】IPV6协议；网络安全；IPSec 0.引言

目前IPv4依然是Internet应用最为广泛的网络层协议。由于当初设计时没有预见到网络发展如此迅速，所以IPV4在很多方面已不能满足当今互连网发展的需求，比如安全性问题、服务质量和语音通讯等方面都不能满足要求。随着网络规模的继续扩大和网络应用范围的增加，以及IP地址分配不合理，目前IPv4地址仅剩下不到10%几乎枯竭。为了解决IP地址数量短缺的问题，IETF提出了新一代互联网络协议，即IPv6协议，基于IPv6协议的下一代互联网的发展将是历史的必然。我国政府十二五规划中，要大力发展IPv6技术。我相信在十二五期间，我国Ipv6网络会迅速的发展起来，随着IPv6网络的大规模的应用，我们也将面临更多的安全问题。

1．IPV6优势

与IPv4相比，IPv6具有许多优势，首先，IPv6解决了IP地址数量短缺的问题；其次，IPv6对IPv4协议中诸多不完善之处进行了较大的改进。IPv6的协议在网络层发生了以下变化：地址空间得到了扩展，采用了新的地址生成和分配策略，强制使用IPSec，简化了数据包头部并支持扩展头部，引入了“流”的概念。

IPv6作为网络层协议，他的变化其实是改善了网络层的安全性。巨大的地址空间给网络探测攻击、病毒和蠕虫传播带来困难；分层次、可汇聚的地址结构以及密钥生成地址CGA协议增加了IP 欺骗的难度，并能有效地对地址进行溯源；强制使用IPSec协议在很大程度上提升了端对端的隐私性；简单的数据包头部以及灵活的扩展头部可以提高网络安全设备工作效率，降低分片攻击的可能性；定义多播地址、取消广播地址，则能够有效避免网络层的洪泛攻击。

2.IPV6安全机制

IPv6不但解决了IP地址数量短缺的问题，还对于IPv4协议中诸多不完善之处进行了较大更改。其中最为显著的就是将IPSec（IPSecurity）集成到协议内部，从此IPSec将不单独存在，而是作为IPv6协议固有的一部分贯穿于IPv6的各个部分。IPSEC提供四种不同的形式来保护通过公有或私有IP网络来传送的私有数据：安全关联（SA)、IP认证头（AH) 、IP封装安全载荷（ESP）、密匙管理（Key management）。

2.1安全关联(SA)

IP Sec中的一个基本概念是安全关联(SA)，安全关联包含验证或者加密的密钥和算法。它是单向连接，为保护两个主机或者两个安全网关之间的双向通信需要建立两个安全关联。安全关联提供的安全服务是通过AH和ESP两个安全协议中的一个来实现的。如果要在同一个通信流中使用AH和ESP两个安全协议，那么需要创建两个（或者更多）的安全关联来保护该通信流。一个安全关联需要通三个参数进行识别，它由安全参数索引（AH/ESP报头的一个字段）、目的IP地址和安全协议（AH或者ESP）三者的组合唯一标识。

2.2报头验证(AuthenticationHeader)

认证协议头（AH）是在所有数据包头加入一个密码。AH通过一个只有密匙持有人才知道的”数字签名”来对用户进行认证。这个签名是数据包通过特别的算法得出的独特结果；AH还能维持数据的完整性，因为在传输过程中无论多小的变化被加载，数据包头的数字签名都能把它检测出来。IPv6的验证主要由验证报头（AH）来完成。验证报头是IPv6的一个安全扩展报头，它为IP数据包提供完整性和数据来源验证，防止反重放攻击，避免IP欺骗攻击。

2.3封装安全载荷协议－ESP（EncapsulatingSecurityPayload）

安全加载封装（ESP）通过对数据包的全部数据和加载内容进行全加密来严格保证传输信息的机密性，这样可以避免其他用户通过监听来打开信息交换的内容，因为只有受信任的用户拥有密匙打开内容。ESP也能提供认证和维持数据的完整性。ESP用来为封装的有效载荷提供机密性、数据完整性验证。AH和ESP两种报文头可以根据应用的需要单独使用，也可以结合使用，结合使用时，ESP应该在AH的保护下。在IPv6中，加密是由ESP扩展报头来实现的。ESP用来为封装的有效载荷提供机密性、数据来源验证、无连接完整性、反重放服务和有限的业务流机密性。

ESP不保护任何IP报头字段，除非这些字段被ESP封装（隧道模式），而AH则为尽可能多的IP报头提供验证服务。所以如果需要确保一个数据包的完整性、真实性和机密性时，需同时使用AH和ESP。先使用ESP，然后把AH报头封装在ESP报头的外面，从而接收方可以先验证数据包的完整性和真实性，再进行解密操作，AH能够保护ESP报头不被修改。

2.4密钥管理协议IKMP（InternetKeyManagementProtocal） 密匙管理包括密匙确定和密匙分发两个方面，最多需要四个密匙：AH和ESP各两个发送和接收密匙。密匙本身是一个二进制字符串，通常用十六进制表示，例如，一个56位的密匙可以表示为8DF39DA852E0C25B。注意全部长度总共是64位，包括了8位的奇偶校验。56位的密匙（DES）足够满足大多数商业应用了。密匙管理包括手工和自动两种方式。手工管理方式是指管理员使用自己的密钥及其它系统的密钥手工设置每个系统。这种方法在小型网络环境中使用比较实际。自动管理系统可以随时建立新的SA密钥，并可以对较大的分布式系统上使用密钥进行定期的更新。自动管理模式是很有弹性的，但需要花费更多的时间及精力去设置，同时，还需要使用更多的软件。

IP Sec的自动管理密钥协议的默认名字是ISAKMP/Oakley。OAKLEY协议，其基本的原理是Diffie-Hellman密鈅交换算法。OAKLEY协议支持完整转发安全性，用户通过定义抽象的群结构来使用Diffie-Hellman算法，密鈅更新，及通过带外机制分发密鈅集，并且兼容用来管理SA的ISAKMP协议。因特网安全联盟和密钥管理协议（ISAKMP）定义程序和信息包的格式来建立、协商、修改和删除安全连接（SA）。SA包括所有如IP层服务、传输或应用层服务、流通传输的自我保护的各种各样的网络协议所需要的信息。ISAKMP 定义交换密钥生产的有效载荷和认证数据。ISAKMP 通过集中安全连接的管理减少了在每个安全协议中复制函数的数量，同时还能通过一次对整个服务堆栈的协议来减少建立连接的时间，增加了安全性。

3.IPV6存在的安全问题

当然，IPv6的协议变化也会导致网络层出现一些新的安全问题，比如IPSec 的使用会提高网络攻击检测的难度、庞大的地址空间会给网络访问控制和入侵检

测带来挑战。IPv6先进的网络发现特性让网络管理员能够选择他们路由数据封包的路径。在理论上，这是一个重大改良，但是从安全角度看，这是一个安全隐患。因为这导致本地IPv6网络有安全风险，这种特性让攻击者可以不费吹灰之力跟踪和达到远程网络此外，其过渡技术和方案也存在安全隐患。另外，IPv6协议主要在网络层发生了变化，而传输层与应用层协议的安全性仍然与IPv4没有区别，所以也将继承IPv4 既有的一些安全问题。Ipv6不可能在短时间内代替Ipv4，两种版本网络协议将会共存很长的一段时间，这将增加网络的复杂性，并且可能出现新的安全问题。

4.总结

IPv6网络由于IPSec提供的安全服务，能有效防止长期困扰人们的许多网络攻击，如IP欺骗、拒绝服务攻击、数据篡改和网络探测活动等。IPSec是目前可提供的最好的网络安全解决方案,它努力使Internet上的安全机制标准化，向更安全的Internet迈进了一大步。但我们也注意到IPv6安全机制还尚未成熟，比如IPsec中可能有许多安全问题需要解决，如FTP, Telnet,DNS, and SNMP，对QOS和DHCP可能会导致IPSec无效或受限。为了适应IPv6网络协议和新的发展方向，IPv6协议还有待继续完善。

【参考文献】

［１］陈坤彦，赵炬红.浅析IPV6技术及其安全机制[J].煤炭技术，2011,30(12):188-189．

［２］郎为民.下一代网络技术原理与应用[Ｍ].北京：机械工业出版社，2006． ［３］张玉洁.基于IPV6的安全协议IPSec的研究[Ｍ].南京理工大学，2008． ［４］张曙峰.基于IPV6的网络安全问题探讨[J].科技致富向导，2011,(24):128．