李 娟，卢涵宇,2，王华军

（1.成都理工大学 信息工程学院，四川 成都 610059；2.贵州大学 计算机与信息工程系，贵州 贵阳 550003）

基于IPV6的安全技术分析

李 娟1，卢涵宇1,2，王华军1

（1.成都理工大学 信息工程学院，四川 成都 610059；2.贵州大学 计算机与信息工程系，贵州 贵阳 550003）

介绍了IPV6协议技术的新特性、安全特性；论述了IPV6中的安全协议Ipsec的三个协议以及如何实现安全保护；分析了IPV6在安全方面的优势；指出了从IPV4向IPV6过渡中安全的局限性，并给出了进一步研究的方向.

IPV6；IPSec协议；网络安全；AH；ESP

随着网络的发展普及，各种攻击、黑客、网络蠕虫病毒弄得网民人人自危，增强网络的安全性越来越来重要.当前使用的IPV4互联网协议，由于设计时没有考虑安全性问题，所以在当前IPV4在网络层没有安全保障，它的安全机制只建立在应用程序级，如E-mail加密、接入安全（HTTP、SSL）等，且IPV4互联网网络协议存在地址资源紧缺且分配严重不平衡等问题.为了解决这些严重问题，IETF提出了新一代互联网络协议，即IPv6协议.

1 IPV6简介

IPV6是IPV4的新一代互联网协议.与IPv4相比，IPv6具有很多优点：更大的地址空间、支持更多的安全性、更好的首部格式、新的选项、允许扩充、支持资源分配等.IPv6采用128位地址，几乎可以为地球上每一粒沙子分配一个IPv6地址，彻底解决了IPv4地址空间影响互联网进一步发展的问题.

相对于IPv4而言IPv6有如下优点：具有128位的超大地址空间；包头结构中有流标签，能够更好地支持QoS；配置简单，支持有状态和无状态自动配置；改进了扩展项和可选项；提供了认证和保密功能性；通过移动头(Mobility Header)和返回路径可达过程(Return Rou tability Procedure)，能够更好地支持移动性.

2 IPV6安全方面的改进

2.1 IPsec结构

IPv6所采用的安全技术是Ipsec(IPSecurity)，但现有的IPv4网络无法全部升级支持IPsec，而IPv6实现了IPsec的所有安全特性.Ipsec提供了两种安全机制：认证和加密.认证机制使IP通信的数据接收方能够确认数据发送方的真实身份以及数据在传输过程中是否遭到改动，加密机制则通过多数据进行编码来确保证数据的机密性.

图1 AH认证头使用及协议格式

IPSec由三个基本协议组成：认证头协议(Anthentication header.AH)、封装安全载荷协议(Encapsulating Security Payload.ESP)和密钥交换协议(Internet Key Exchange Protocal.IKE).其中AH和ESP是IP网络层的协议，IKE是应用层协议，IPv6 的安全特性主要通过前两个协议来实现.认证头协议AH协议定义了认证的应用方法，可以对数据包提供完整性验证、数据源认证、选择性抗重播服务；封装安全负载ESP协议定义了加密和可选认证的应用方法，提供数据加密功能、数据认证、完整性和抗重播功能以及限制通信流的机密性.AH与ESP的有机结合实现了IPV6的安全服务.

2.2 AH认证头协议

AH认证应用传输、隧道模式的使用方式和协议格式如下图1所示.AH认证在所有数据包头加入一个密码，通过一个只有密钥持有人才知道的“数字签名”来对用户进行认证，这个签名是数据包通过特别的算法得出的独特结果；在AH认证头中安全性主要体现在序列号与认证数据，序列号是对发送报文的计数，当收方接收到相同序列号就放弃该报文，这样可以有效的防止重放攻击.认证数据包含相应算法计算得到的数据完整性检查值，可以检验数据的完整性，与数据签名技术结合可以保证数据的不抵赖性.AH头中的安全参数索引（SPI）是一个非常关键的字段，通过SPI使发送端与接收端建立某种约定，以确定所使用的认证或加密算法.

2.3 ESP协议

封装安全负载协议（ESP）的使用方式和协议格式图2所示.ESP通过对数据包的全部数据和加载内容进行全加密来保证传输信息的机密性.ESP报头中SPI和序列号作用和AH一样，其中验证数据是一个经过密钥处理的散列值，验证范围包括ESP头部、被保护数据以及ESP尾部.只有拥有密钥的用户才能打开内容.ESP也能提供认证和维持数据的完整性，最主要的ESP标准是数据加密标准（DES）最高支持56bit的密钥，而3DES使用3套密钥加密，那就相当于使用最高到168bit的密钥.

图2 ESP的使用及协议格式

2.4 IKE密钥交换

Internet密钥交换协议IKE 是在密钥管理协议ISAKMP(Internet Security Association and Key Management Protocol)基础之上，又综合了Okaley和SKEME协议，是收发双方协商安全参数和建立安全协定的框架.在IKE中预定义了DSS(Digital Signature Standard))签名、RSA签名、RSA加密、改进的RSA加密和预共享密钥等5种身份认证方法.

3 IPV6在安全方面的优势

IPV6很大的提高了网络的安全性，其对网络安全性能的改善主要体现在下面几方面：

3.1 防止未授权访问：AH认证头对身份验证的支持，以及对数据完整性和数据机密性的支持和改进，使得IPv6增强了防止未授权访问的能力.

3.2 数据保密性：ESP对有效数据进行加密，即使数据被窃听者扫描，窃取到也很难知道数据的信息，这样有效的保证了敏感数据的安全性.

3.3 防止网络放大攻击：IPV6协议在设计上不会响应组播地址和广播地址的消息，不存在广播，所以，只需要在网络边缘过滤组播数据包，即可阻止由攻击者向广播网段发送数据包而引起的网络放大攻击.

3.4 防止碎片攻击：据包(除非它是最后一个包)，这有助于防止碎片攻击.

3.5 扫描攻击：扫描往往是攻击的第一步，但由于IPV6地址空间的极度扩大，通过传统的扫描方式来发现有漏洞主机并对其攻击将会耗费大量时间而不能实现.

3.6 防止重放攻击：IPSec采用了包计数器机制，利用身份验证头中的序列号字段，发送者每发送一个数据包，该字段自动增加1.通过判断序列号字段可以实现防止重放攻击.

4 IPV4过渡到IPV6安全的局限性

IPV4和IPV6将会长期共存，目前实现这两个协议之间的互通技术有：双栈技术，隧道技术.双栈技术就是在一个系统中同时使用IPV4和IPV6两个协议，因而可以处理两种协议的IP数据报；隧道技术就是将整个IPV6数据报封装在IPV4数据报中，由此实现在当前的IPV4网络中IPV6节点与IPV4节点之间的IP通信.但目前发现从IPv4向IPv6转移时出现的一些安全漏洞，例如黑客可以使用IPv6非法访问采用了IPv4和IPv6两种协议的LAN的网络资源，攻击者可以通过安装了双栈的使用IPv6的主机，建立由IPv6到IPv4的隧道，绕过防火墙对IPv4进行攻击.

IPv6安全的局限性表现在以下3个方面：

（1）AH和ESP协议本身都不提供业务流分析的安全保护.如果攻击者通过对通信业务流模式进行观察、分析，可能造成信息的泄露.

（2）AH和ESP协议在使用默认的算法(如MD5和DES)时都不提供不可否认安全业务.不可否认安全业务就是要提供无可辩驳的证据以防止参与通信的一方事后否认曾经发生过本次交换.实现这一安全业务的技术是数字签名.在AH和ESP中必须选择具有数字签名功能的算法(例如RAS)，经过适当的转换才可以提供不可否认安全业务.

（3）IPSec机制抵抗DoS攻击的机制不完善.

5 结束语

Ipv6解决了IP地址匮乏的问题，同时它简化了协议报头，并且引入了两个新的扩展报头AH和ESP.它们帮助Ipv6解决了身份认证、数据完整性和机密性的问题，使Ipv6真正实现了网络层安全，这是非常大的进步.但是数据网络的安全威胁是多层面的，如Ipv6无法抵御Dos攻击、洪泛(Flood)攻击、拒绝服务攻击等，这些问题有待于进一步的深入研究.

〔1〕张玉洁.基于IPV6的安全协议IPSec的研究[M].南京理工大学，2008.

〔2〕朱建明，段富.IPv6安全机制分析[J].太原理工大学学报，2003（1）.

〔3〕RFC2893.Transition Mechanisms for IPv6 Hosts and Routers[S].

〔4〕LU Han-yu,LIAN Hong,WANG He-chuang,WANG Hua-jun,WANG Xuben.DDoS attack source tracing technology research Based on IPv6.IEEE International Conference on Internet Technology and Applications(ITAP 2010),2010,Wuhan,China.

〔5〕李振强，赵晓宇，马严.IPv6安全脆弱性研究[J].计算机应用研究，2006（11）.

TP393

A

1673-260X（2011）02-0054-02

贵州省教育厅自然科学基金项目（2007068）