IPv4和談是在1975年推出，因為其內(nèi)涵的開放性和不竭更新而遭到開辟人員和用戶的歡迎，成了互聯(lián)網(wǎng)的通用和談。跟著互聯(lián)網(wǎng)的敏捷成長，IPv4定義的有限地址空間耗損速度正在逐年加快，當然采納了良多節(jié)儉地址的編制(如子網(wǎng)劃分手藝、NAT地址轉(zhuǎn)換、保留IP地址等)，但遵循互聯(lián)網(wǎng)此刻的成長速度，IPv4地址將被分派終了。
IPv4 和談本身也存在著諸多安然缺點：第一，很等閑被***和棍騙。大年夜大都因特網(wǎng)上的流量是沒有加密的。電子郵件口令、文件傳輸很等閑被監(jiān)聽和劫持。第二，建設(shè)的復(fù)雜性。拜候節(jié)制的建設(shè)十分復(fù)雜，很等閑被弊端建設(shè)，從而給黑客以可乘之機。第三，貧乏安然策略。良多站點在防火墻建設(shè)上無意識地擴大年夜了拜候權(quán)限，忽視了這些權(quán)限可能會被內(nèi)部人員濫用。
IPv6 和談的特點與安然性
IPv6是由互聯(lián)網(wǎng)工程任務(wù)組(IETF)設(shè)計的用來替代現(xiàn)行的IPv4和談的一種新的IP和談，與IPv4比擬，IPv6在收集保密性、完全性方面有了更好的改進，在可控性、抗否定性方面有了新的包管，IPv6和談的首要特點為：
1、擴大的地址和路由選擇功能。IP地址長度由32位增加到128位，可撐持數(shù)量大年夜良多的可尋址節(jié)點、更多級的地址層次和較為簡單的地址主動建設(shè)。
2、真正地實現(xiàn)無狀況地址主動建設(shè)。大年夜容量的地址空間可以或許真正實現(xiàn)無狀況地址主動建設(shè)，使IPv6終端可以或許快速連接到收集上，無需人工建設(shè)，實現(xiàn)了真實的即插即用。
3、簡化的首部格局。IPv4首部的某些字段被打消或改成選項，以削減報文。分組措置過程中常常利用環(huán)境的措置費用，并使得IPv6首部額帶寬開消盡可能低，雖然地址長度增加了。
4、撐持擴大首部和選項。IPv6的選項放在伶仃的首部中，位于報文分組中IPv6首部和傳送層首部之間。IPv6的另外一改進，是其選項與IPv4不合，可具有肆意長度，不限于40字節(jié)。
5、撐持驗證和隱私權(quán)。IPv6定義了一種擴大，可撐持權(quán)限驗證和數(shù)據(jù)完全性。這一擴大是IPv6的根基內(nèi)容，要求所有的實現(xiàn)必需撐持這一擴大。IPv6還定義了一種擴大，借助于加密撐持保密性要求。
6、辦事質(zhì)量能力。IPv6增加了一種新的能力，假定某些報文分組屬于特定的工作流，發(fā)送者要求對其賜與特別措置。
IPv6經(jīng)由過程IPSec和談來包管IP 層的安然。IPSec是IPv6的一個構(gòu)成部門。當然在實現(xiàn)IPv6時必需要實現(xiàn)IPSec和談，但利用時其實不必然要利用它，IPv6和談把認證頭部(AH)和封裝安然凈荷頭部(ESP)作為兩個可選的擴大頭部。是以，本質(zhì)上IPv6其實不克不及比IPv4帶來更高的安然性。
雖然IPv6和談采納了諸如撐持驗證和隱私權(quán)之類安然辦法?？墒荌Pv6也不成能完全解決所有收集安然標題問題，同時還會伴隨其產(chǎn)生新的安然標題問題，它的利用也給現(xiàn)行的收集系統(tǒng)帶來了新的要乞降挑戰(zhàn)。在扶植IPv6收集的時辰，需要周全考慮收集的安然標題問題。
IPv6收集存在的安然隱患
IPv4向IPv6過渡手藝的隱患
在IPv4到IPv6收集演進過程中，首要應(yīng)解決兩類標題問題：1. IPv6孤島互通手藝：實現(xiàn)IPv6收集與IPv6收集的互通標題問題;2. IPv6與IPv4互通手藝。實現(xiàn)兩個不合收集之間彼此拜候資本。對此，今朝已推出了16種過渡手藝，此中最根基的過渡手藝包含雙棧手藝和地道手藝。
雙和談棧會帶來新的安然標題問題，對同時撐持IPv4和IPv6的主機，黑客可以同時用兩種和談進行調(diào)和報復(fù)打擊，發(fā)現(xiàn)兩種和談中存在的安然弱點和縫隙，或操縱兩種和談版本中安然設(shè)備的調(diào)和不足來回避檢測。并且雙和談棧中一種和談的縫隙會影響另外一種和談的正常工作。因為地道機制對任何來歷的數(shù)據(jù)包只進行簡單的封裝和解封，而不合弊端IPv4和IPv6地址的關(guān)系做嚴格的查抄，所以地道機制的引進，會給收集安然帶來更復(fù)雜的標題問題，也較多的呈現(xiàn)安然隱患。
IPv6中組播手藝缺點的隱患
組播報文是經(jīng)由過程UDP(用戶數(shù)據(jù)報和談)進行傳輸?shù)?，所以它貧乏TCP(傳輸節(jié)制和談)所供給的靠得住傳輸?shù)墓δ堋＝M播的開放性使通信數(shù)據(jù)貧乏奧秘性和完全性的安然呵護，而IPv6組播所需的MLD等組播保護和談不克不及知足安然的需要。IP 組播利用UDP，任何主機都可以向某個組播地址發(fā)送UDP包，并且低層組播機構(gòu)將傳送這些UDP包到所有構(gòu)成員。因為在IPv6組播通信中，任何成員都可以操縱MLD報文要求臨近的路由加進組播群組，組播加進成員的束縛機制很匱乏，沒法包管通信的奧秘性，是以，對奧秘數(shù)據(jù)的***將很是等閑。
無狀況地址主動建設(shè)的隱患
經(jīng)由過程ND和談實現(xiàn)IPv6節(jié)點無狀況地址主動建設(shè)，實現(xiàn)了IPv6節(jié)點的即插即用，具有IPv6聯(lián)網(wǎng)的易用性和地址治理的便利性。同時也帶來了一些安然隱患：起首，對路由器發(fā)現(xiàn)機制，主如果經(jīng)由過程路由器RA報文來實現(xiàn)。歹意主機可以假充合法路由器發(fā)送捏造的RA報文，在RA報文中點竄默許路由器為高優(yōu)先級，使IPv6節(jié)點在本身的默許路由器列表當選擇歹意主機為缺省網(wǎng)關(guān)，從而達到中間人報復(fù)打擊的目標。其次，對反復(fù)地址檢測機制，IPv6節(jié)點在無狀況主動建設(shè)鏈路本地或全局單播地址的時辰，需先設(shè)置地址為姑且狀況，然后發(fā)送NS報文進行DAD檢測，歹意主機這時候可以針對NS要求報文發(fā)送假充的NA響應(yīng)報文，使IPv6節(jié)點的DAD檢測不成功，從而使IPv6節(jié)點遏制地址的主動建設(shè)過程。最后，針對前綴從頭編址機制，歹意主機經(jīng)由過程發(fā)送假充的RA布告，從而造成收集拜候的間斷。
鄰居發(fā)現(xiàn)和談的隱患
在主動地址建設(shè)中, 鄰居發(fā)現(xiàn)和談(NDP)是基于IP的和談布局，用來完成鄰居可達性檢測、鏈路地址解析、路由及收集前綴發(fā)現(xiàn)、流量重定向和DOA檢測等鏈路機制。報文身份的可辨別性是NDP和談的首要安然需求，而哄騙報文報復(fù)打擊是其所而臨的首要安然威脅。報復(fù)打擊者只要仿造節(jié)點不成達信息和反復(fù)地址檢測，進行DoS報復(fù)打擊，或傳播子虛的路由響應(yīng)和重定向報文，就可以拐騙收集流量。
IPv6中PKI治理系統(tǒng)的隱患
IPv6收集治理中PKI治理是一個懸而未決的標題問題，必需要起首考慮PKI系統(tǒng)本身的安然性。在利用上存在一些需要解決的首要標題問題: 必需解決數(shù)字設(shè)備證書與密鑰治理標題問題;IPv6收集的用戶數(shù)量復(fù)雜年夜，設(shè)備范圍巨大年夜，證書注冊、更新、存儲、查詢等把持頻繁，因而要求PKI可以或許知足高拜候量的快速響應(yīng)并供給及時的狀況查詢辦事;IPv6中認證實體范圍巨大年夜，純真依托治理員手工治理將不克不及適應(yīng)實際需求，同時為了保障企業(yè)中其他辦事器的安然，要擬定嚴格而合理的拜候節(jié)制策略，來掌控各類用戶對PKI系統(tǒng)和其他辦事器的拜候。
移動IPv6的隱患
移動計較與通俗計較的環(huán)境存在較大年夜的辨別，如大都環(huán)境移動計較是在無線環(huán)境下，等閑遭到***、重發(fā)報復(fù)打擊和其他主動報復(fù)打擊，且移動節(jié)點需要不竭更改通信地址，是以，其和談架構(gòu)的復(fù)雜性，使得移動IPv6的安然性標題問題凸顯。
IPv6的安然機制對收集安然系統(tǒng)的挑戰(zhàn)隱患
第一，由收集層的傳輸中采取加密編制帶來的隱患闡發(fā)。1. 針對暗碼的報復(fù)打擊，對一些老版本的把持系統(tǒng)，有的組件不是在驗證收集傳輸標識信息時進行信息呵護，因而，***者可以捕獲有效的用戶名及其暗碼，掌控合法用戶權(quán)限，進進機械內(nèi)部粉碎。2. 針對密鑰的報復(fù)打擊，IPv6下，IPSec的兩種工作模式都要互換密鑰，一旦報復(fù)打擊者破解到準確的密鑰，便可以獲得安然通信的拜候權(quán)，監(jiān)聽發(fā)送者或領(lǐng)受者的傳輸數(shù)據(jù)，乃至解密或竄改數(shù)據(jù)。3. 加密耗時太長激發(fā)的DoS報復(fù)打擊，加密需要很大年夜的計較勁，假定黑客向方針主機發(fā)送大年夜范圍看似合法事實上倒是肆意填充的加密數(shù)據(jù)包，方針主機將破鈔大年夜量CPU時候來檢測數(shù)據(jù)包而沒法回應(yīng)其他用戶的通信要求，造成DoS。第二，對傳統(tǒng)防火墻的沖擊，現(xiàn)行的防火墻有三種根基類型，即包過濾型、代辦署理辦事器型和復(fù)合型。此中代辦署理辦事器型防火墻工作在利用層，受IPv6的影響較小，別的兩種防火墻都將遭到巨大年夜沖擊。第三，對傳統(tǒng)的進侵檢測系統(tǒng)的影響，進侵檢測(IDS)是防火墻后的第二道安然保障?；谑占疘DS可以直接從收集數(shù)據(jù)流中捕獲其所需要的審計數(shù)據(jù)，從中檢索可疑行動。可是，IPv6數(shù)據(jù)已顛末加密，假定黑客操縱加密后的數(shù)據(jù)包實施報復(fù)打擊，基于收集IDS就很難檢測到任何進侵行動。
IPv6編址機制的隱患
IPv6中流量***將成為報復(fù)打擊者安然闡發(fā)的首要路子，面對復(fù)雜年夜的地址空間，縫隙掃描、歹意主機檢測等安然機制的擺設(shè)難度將激增。IPv6引進了IPv4兼容地址、本地鏈路地址、全局聚合單播地址和隨機生成地址等全新的編址機制。此中，本地鏈路地址可主動按照收集接口標識符生成而無需DHCP主動建設(shè)和談等外部機制干涉干與，實現(xiàn)不成路由的本地鏈路級端對端通信，是以移動的歹意主機可以隨時連進本地鏈路，不法拜候乃至是報復(fù)打擊相鄰的主機和網(wǎng)關(guān)。
本文從IPv4向IPv6過渡手藝，IPv6中組播手藝缺點，無狀況地址主動建設(shè)，鄰居發(fā)現(xiàn)和談，IPv6中PKI治理系統(tǒng)，移動IPv6，IPv6的安然機制對收集安然系統(tǒng)的挑戰(zhàn)和IPv6編址機制等8個方面指出了IPv6收集存在的安然隱患。申明IPv6收集在安然方面還遠沒有達到我們期看的高度。需要在IPv6收集的奉行與利用中不斷改進與完美。
對計較機收集來講，安然永久只是相對的。新的手藝只能臨時解決今朝的安然標題問題，但新一輪的標題問題又會接踵而來。會商IPv6收集安然隱患的目標在于我們要提早認清IPv6存在的安然隱患，未雨綢繆，防患于未然。在IPv6收集的利用中不斷改進、慢慢進步，才能令人們最終具有一個高效、安然的下一代互聯(lián)網(wǎng)。