IPv4和談是在1975年推出，因?yàn)槠鋬?nèi)涵的開放性和不竭更新而遭到開辟人員和用戶的歡迎，成了互聯(lián)網(wǎng)的通用和談。跟著互聯(lián)網(wǎng)的敏捷成長(zhǎng)，IPv4定義的有限地址空間耗損速度正在逐年加快，當(dāng)然采納了良多節(jié)儉地址的編制(如子網(wǎng)劃分手藝、NAT地址轉(zhuǎn)換、保留IP地址等)，但遵循互聯(lián)網(wǎng)此刻的成長(zhǎng)速度，IPv4地址將被分派終了。
IPv4 和談本身也存在著諸多安然缺點(diǎn)：第一，很等閑被***和棍騙。大年夜大都因特網(wǎng)上的流量是沒(méi)有加密的。電子郵件口令、文件傳輸很等閑被監(jiān)聽和劫持。第二，建設(shè)的復(fù)雜性。拜候節(jié)制的建設(shè)十分復(fù)雜，很等閑被弊端建設(shè)，從而給黑客以可乘之機(jī)。第三，貧乏安然策略。良多站點(diǎn)在防火墻建設(shè)上無(wú)意識(shí)地?cái)U(kuò)大年夜了拜候權(quán)限，忽視了這些權(quán)限可能會(huì)被內(nèi)部人員濫用。
IPv6 和談的特點(diǎn)與安然性
IPv6是由互聯(lián)網(wǎng)工程任務(wù)組(IETF)設(shè)計(jì)的用來(lái)替代現(xiàn)行的IPv4和談的一種新的IP和談，與IPv4比擬，IPv6在收集保密性、完全性方面有了更好的改進(jìn)，在可控性、抗否定性方面有了新的包管，IPv6和談的首要特點(diǎn)為：
1、擴(kuò)大的地址和路由選擇功能。IP地址長(zhǎng)度由32位增加到128位，可撐持?jǐn)?shù)量大年夜良多的可尋址節(jié)點(diǎn)、更多級(jí)的地址層次和較為簡(jiǎn)單的地址主動(dòng)建設(shè)。
2、真正地實(shí)現(xiàn)無(wú)狀況地址主動(dòng)建設(shè)。大年夜容量的地址空間可以或許真正實(shí)現(xiàn)無(wú)狀況地址主動(dòng)建設(shè)，使IPv6終端可以或許快速連接到收集上，無(wú)需人工建設(shè)，實(shí)現(xiàn)了真實(shí)的即插即用。
3、簡(jiǎn)化的首部格局。IPv4首部的某些字段被打消或改成選項(xiàng)，以削減報(bào)文。分組措置過(guò)程中常常利用環(huán)境的措置費(fèi)用，并使得IPv6首部額帶寬開消盡可能低，雖然地址長(zhǎng)度增加了。
4、撐持?jǐn)U大首部和選項(xiàng)。IPv6的選項(xiàng)放在伶仃的首部中，位于報(bào)文分組中IPv6首部和傳送層首部之間。IPv6的另外一改進(jìn)，是其選項(xiàng)與IPv4不合，可具有肆意長(zhǎng)度，不限于40字節(jié)。
5、撐持驗(yàn)證和隱私權(quán)。IPv6定義了一種擴(kuò)大，可撐持權(quán)限驗(yàn)證和數(shù)據(jù)完全性。這一擴(kuò)大是IPv6的根基內(nèi)容，要求所有的實(shí)現(xiàn)必需撐持這一擴(kuò)大。IPv6還定義了一種擴(kuò)大，借助于加密撐持保密性要求。
6、辦事質(zhì)量能力。IPv6增加了一種新的能力，假定某些報(bào)文分組屬于特定的工作流，發(fā)送者要求對(duì)其賜與特別措置。
IPv6經(jīng)由過(guò)程IPSec和談來(lái)包管IP 層的安然。IPSec是IPv6的一個(gè)構(gòu)成部門。當(dāng)然在實(shí)現(xiàn)IPv6時(shí)必需要實(shí)現(xiàn)IPSec和談，但利用時(shí)其實(shí)不必然要利用它，IPv6和談把認(rèn)證頭部(AH)和封裝安然凈荷頭部(ESP)作為兩個(gè)可選的擴(kuò)大頭部。是以，本質(zhì)上IPv6其實(shí)不克不及比IPv4帶來(lái)更高的安然性。
雖然IPv6和談采納了諸如撐持驗(yàn)證和隱私權(quán)之類安然辦法。可是IPv6也不成能完全解決所有收集安然標(biāo)題問(wèn)題，同時(shí)還會(huì)伴隨其產(chǎn)生新的安然標(biāo)題問(wèn)題，它的利用也給現(xiàn)行的收集系統(tǒng)帶來(lái)了新的要乞降挑戰(zhàn)。在扶植IPv6收集的時(shí)辰，需要周全考慮收集的安然標(biāo)題問(wèn)題。
IPv6收集存在的安然隱患
IPv4向IPv6過(guò)渡手藝的隱患
在IPv4到IPv6收集演進(jìn)過(guò)程中，首要應(yīng)解決兩類標(biāo)題問(wèn)題：1. IPv6孤島互通手藝：實(shí)現(xiàn)IPv6收集與IPv6收集的互通標(biāo)題問(wèn)題;2. IPv6與IPv4互通手藝。實(shí)現(xiàn)兩個(gè)不合收集之間彼此拜候資本。對(duì)此，今朝已推出了16種過(guò)渡手藝，此中最根基的過(guò)渡手藝包含雙棧手藝和地道手藝。
雙和談棧會(huì)帶來(lái)新的安然標(biāo)題問(wèn)題，對(duì)同時(shí)撐持IPv4和IPv6的主機(jī)，黑客可以同時(shí)用兩種和談進(jìn)行調(diào)和報(bào)復(fù)打擊，發(fā)現(xiàn)兩種和談中存在的安然弱點(diǎn)和縫隙，或操縱兩種和談版本中安然設(shè)備的調(diào)和不足來(lái)回避檢測(cè)。并且雙和談棧中一種和談的縫隙會(huì)影響另外一種和談的正常工作。因?yàn)榈氐罊C(jī)制對(duì)任何來(lái)歷的數(shù)據(jù)包只進(jìn)行簡(jiǎn)單的封裝和解封，而不合弊端IPv4和IPv6地址的關(guān)系做嚴(yán)格的查抄，所以地道機(jī)制的引進(jìn)，會(huì)給收集安然帶來(lái)更復(fù)雜的標(biāo)題問(wèn)題，也較多的呈現(xiàn)安然隱患。
IPv6中組播手藝缺點(diǎn)的隱患
組播報(bào)文是經(jīng)由過(guò)程UDP(用戶數(shù)據(jù)報(bào)和談)進(jìn)行傳輸?shù)模运毞CP(傳輸節(jié)制和談)所供給的靠得住傳輸?shù)墓δ?。組播的開放性使通信數(shù)據(jù)貧乏奧秘性和完全性的安然呵護(hù)，而IPv6組播所需的MLD等組播保護(hù)和談不克不及知足安然的需要。IP 組播利用UDP，任何主機(jī)都可以向某個(gè)組播地址發(fā)送UDP包，并且低層組播機(jī)構(gòu)將傳送這些UDP包到所有構(gòu)成員。因?yàn)樵贗Pv6組播通信中，任何成員都可以操縱MLD報(bào)文要求臨近的路由加進(jìn)組播群組，組播加進(jìn)成員的束縛機(jī)制很匱乏，沒(méi)法包管通信的奧秘性，是以，對(duì)奧秘?cái)?shù)據(jù)的***將很是等閑。
無(wú)狀況地址主動(dòng)建設(shè)的隱患
經(jīng)由過(guò)程N(yùn)D和談實(shí)現(xiàn)IPv6節(jié)點(diǎn)無(wú)狀況地址主動(dòng)建設(shè)，實(shí)現(xiàn)了IPv6節(jié)點(diǎn)的即插即用，具有IPv6聯(lián)網(wǎng)的易用性和地址治理的便利性。同時(shí)也帶來(lái)了一些安然隱患：起首，對(duì)路由器發(fā)現(xiàn)機(jī)制，主如果經(jīng)由過(guò)程路由器RA報(bào)文來(lái)實(shí)現(xiàn)。歹意主機(jī)可以假充合法路由器發(fā)送捏造的RA報(bào)文，在RA報(bào)文中點(diǎn)竄默許路由器為高優(yōu)先級(jí)，使IPv6節(jié)點(diǎn)在本身的默許路由器列表當(dāng)選擇歹意主機(jī)為缺省網(wǎng)關(guān)，從而達(dá)到中間人報(bào)復(fù)打擊的目標(biāo)。其次，對(duì)反復(fù)地址檢測(cè)機(jī)制，IPv6節(jié)點(diǎn)在無(wú)狀況主動(dòng)建設(shè)鏈路本地或全局單播地址的時(shí)辰，需先設(shè)置地址為姑且狀況，然后發(fā)送NS報(bào)文進(jìn)行DAD檢測(cè)，歹意主機(jī)這時(shí)候可以針對(duì)NS要求報(bào)文發(fā)送假充的NA響應(yīng)報(bào)文，使IPv6節(jié)點(diǎn)的DAD檢測(cè)不成功，從而使IPv6節(jié)點(diǎn)遏制地址的主動(dòng)建設(shè)過(guò)程。最后，針對(duì)前綴從頭編址機(jī)制，歹意主機(jī)經(jīng)由過(guò)程發(fā)送假充的RA布告，從而造成收集拜候的間斷。
鄰居發(fā)現(xiàn)和談的隱患
在主動(dòng)地址建設(shè)中, 鄰居發(fā)現(xiàn)和談(NDP)是基于IP的和談布局，用來(lái)完成鄰居可達(dá)性檢測(cè)、鏈路地址解析、路由及收集前綴發(fā)現(xiàn)、流量重定向和DOA檢測(cè)等鏈路機(jī)制。報(bào)文身份的可辨別性是NDP和談的首要安然需求，而哄騙報(bào)文報(bào)復(fù)打擊是其所而臨的首要安然威脅。報(bào)復(fù)打擊者只要仿造節(jié)點(diǎn)不成達(dá)信息和反復(fù)地址檢測(cè)，進(jìn)行DoS報(bào)復(fù)打擊，或傳播子虛的路由響應(yīng)和重定向報(bào)文，就可以拐騙收集流量。
IPv6中PKI治理系統(tǒng)的隱患
IPv6收集治理中PKI治理是一個(gè)懸而未決的標(biāo)題問(wèn)題，必需要起首考慮PKI系統(tǒng)本身的安然性。在利用上存在一些需要解決的首要標(biāo)題問(wèn)題: 必需解決數(shù)字設(shè)備證書與密鑰治理標(biāo)題問(wèn)題;IPv6收集的用戶數(shù)量復(fù)雜年夜，設(shè)備范圍巨大年夜，證書注冊(cè)、更新、存儲(chǔ)、查詢等把持頻繁，因而要求PKI可以或許知足高拜候量的快速響應(yīng)并供給及時(shí)的狀況查詢辦事;IPv6中認(rèn)證實(shí)體范圍巨大年夜，純真依托治理員手工治理將不克不及適應(yīng)實(shí)際需求，同時(shí)為了保障企業(yè)中其他辦事器的安然，要擬定嚴(yán)格而合理的拜候節(jié)制策略，來(lái)掌控各類用戶對(duì)PKI系統(tǒng)和其他辦事器的拜候。
移動(dòng)IPv6的隱患
移動(dòng)計(jì)較與通俗計(jì)較的環(huán)境存在較大年夜的辨別，如大都環(huán)境移動(dòng)計(jì)較是在無(wú)線環(huán)境下，等閑遭到***、重發(fā)報(bào)復(fù)打擊和其他主動(dòng)報(bào)復(fù)打擊，且移動(dòng)節(jié)點(diǎn)需要不竭更改通信地址，是以，其和談架構(gòu)的復(fù)雜性，使得移動(dòng)IPv6的安然性標(biāo)題問(wèn)題凸顯。
IPv6的安然機(jī)制對(duì)收集安然系統(tǒng)的挑戰(zhàn)隱患
第一，由收集層的傳輸中采取加密編制帶來(lái)的隱患闡發(fā)。1. 針對(duì)暗碼的報(bào)復(fù)打擊，對(duì)一些老版本的把持系統(tǒng)，有的組件不是在驗(yàn)證收集傳輸標(biāo)識(shí)信息時(shí)進(jìn)行信息呵護(hù)，因而，***者可以捕獲有效的用戶名及其暗碼，掌控合法用戶權(quán)限，進(jìn)進(jìn)機(jī)械內(nèi)部粉碎。2. 針對(duì)密鑰的報(bào)復(fù)打擊，IPv6下，IPSec的兩種工作模式都要互換密鑰，一旦報(bào)復(fù)打擊者破解到準(zhǔn)確的密鑰，便可以獲得安然通信的拜候權(quán)，監(jiān)聽發(fā)送者或領(lǐng)受者的傳輸數(shù)據(jù)，乃至解密或竄改數(shù)據(jù)。3. 加密耗時(shí)太長(zhǎng)激發(fā)的DoS報(bào)復(fù)打擊，加密需要很大年夜的計(jì)較勁，假定黑客向方針主機(jī)發(fā)送大年夜范圍看似合法事實(shí)上倒是肆意填充的加密數(shù)據(jù)包，方針主機(jī)將破鈔大年夜量CPU時(shí)候來(lái)檢測(cè)數(shù)據(jù)包而沒(méi)法回應(yīng)其他用戶的通信要求，造成DoS。第二，對(duì)傳統(tǒng)防火墻的沖擊，現(xiàn)行的防火墻有三種根基類型，即包過(guò)濾型、代辦署理辦事器型和復(fù)合型。此中代辦署理辦事器型防火墻工作在利用層，受IPv6的影響較小，別的兩種防火墻都將遭到巨大年夜沖擊。第三，對(duì)傳統(tǒng)的進(jìn)侵檢測(cè)系統(tǒng)的影響，進(jìn)侵檢測(cè)(IDS)是防火墻后的第二道安然保障?；谑占疘DS可以直接從收集數(shù)據(jù)流中捕獲其所需要的審計(jì)數(shù)據(jù)，從中檢索可疑行動(dòng)?？墒?，IPv6數(shù)據(jù)已顛末加密，假定黑客操縱加密后的數(shù)據(jù)包實(shí)施報(bào)復(fù)打擊，基于收集IDS就很難檢測(cè)到任何進(jìn)侵行動(dòng)。
IPv6編址機(jī)制的隱患
IPv6中流量***將成為報(bào)復(fù)打擊者安然闡發(fā)的首要路子，面對(duì)復(fù)雜年夜的地址空間，縫隙掃描、歹意主機(jī)檢測(cè)等安然機(jī)制的擺設(shè)難度將激增。IPv6引進(jìn)了IPv4兼容地址、本地鏈路地址、全局聚合單播地址和隨機(jī)生成地址等全新的編址機(jī)制。此中，本地鏈路地址可主動(dòng)按照收集接口標(biāo)識(shí)符生成而無(wú)需DHCP主動(dòng)建設(shè)和談等外部機(jī)制干涉干與，實(shí)現(xiàn)不成路由的本地鏈路級(jí)端對(duì)端通信，是以移動(dòng)的歹意主機(jī)可以隨時(shí)連進(jìn)本地鏈路，不法拜候乃至是報(bào)復(fù)打擊相鄰的主機(jī)和網(wǎng)關(guān)。
本文從IPv4向IPv6過(guò)渡手藝，IPv6中組播手藝缺點(diǎn)，無(wú)狀況地址主動(dòng)建設(shè)，鄰居發(fā)現(xiàn)和談，IPv6中PKI治理系統(tǒng)，移動(dòng)IPv6，IPv6的安然機(jī)制對(duì)收集安然系統(tǒng)的挑戰(zhàn)和IPv6編址機(jī)制等8個(gè)方面指出了IPv6收集存在的安然隱患。申明IPv6收集在安然方面還遠(yuǎn)沒(méi)有達(dá)到我們期看的高度。需要在IPv6收集的奉行與利用中不斷改進(jìn)與完美。
對(duì)計(jì)較機(jī)收集來(lái)講，安然永久只是相對(duì)的。新的手藝只能臨時(shí)解決今朝的安然標(biāo)題問(wèn)題，但新一輪的標(biāo)題問(wèn)題又會(huì)接踵而來(lái)。會(huì)商IPv6收集安然隱患的目標(biāo)在于我們要提早認(rèn)清IPv6存在的安然隱患，未雨綢繆，防患于未然。在IPv6收集的利用中不斷改進(jìn)、慢慢進(jìn)步，才能令人們最終具有一個(gè)高效、安然的下一代互聯(lián)網(wǎng)。