（计算机软件与理论专业论文）一种基于ipv6安全通信机制的移动解决方案.pdf

硕士学位论文 摘要 在叭6 环境下，端对端的安全通信极其重要，因为在脚6 网络中计算机获取i p 地 址变得空前的简单。口s c c 可以在i p 层为端对端通信提供各种类型的安全保护，因此可 以利用它来建立我们所需要的安全通信通道。但是，l p s e c 却十分难于使用，因为在使 用口s e c 建立安全通道的过程中，有太多的安全参数需要设定，并且这些参数的配置相 当复杂。目前日本研科学家yl ( h e i 和y a m a z a k i 设计出一种可以自动完成口s e c 安全 渠道协商与参数配置的解决方案。它改变了传统i p s e c 设计中以个体的安全性为考虑基 础，而是结合个体的安全性从总体的安全角度出发，从而实现突出总体细化个体的安全 设计思想。该方案最大的特点就是成员间可以随时、方便的从其它成员那里获取口s e c i k e 策略，来实现端对端的安全通信通道的自动配置。所以这套方案非常适合在移动 i p v 6 通信领域中使用。同时移动i p v 6 通信正面临着严峻的安全威胁。由于缺乏相关的 安全通信保护，在移动n 6 网络中，节点被冒充、通信被侦听的可能性十分大。而该 方案在移动聃6 领域中的推广使用可以在很大程度上缓解这些安全威胁 结合上述方案的基本设计思想，本文提出了一种根据移动节点的预测驻留时间来选 取管理节点的动态双层管理机制。双层管理机制的根本目的就是在各个移动子网中，通 过动态的选取一个管理节点来实现安全通信节点分布式管理的目的。该机制沿用了基于 亲密伙伴的安全通信机制中所提出的口s e c 隧道自动分配安全策略，但同时它又丢弃了 原方案中所提出的各个通信成员间基于单播交互的相互通告管理模式，引进了移动成员 节点动态管理的概念。通过该机制的使用可以有效的解决原方案的不足，更重要的是该 机制的使用为安全通信组在移动i p v 6 网络环境下的扩展提供了一个比较合理的解决方 案。最后本文对该方案进行了仿真分析和比较，证明了该机制的可行性。 关键词：i p v 6 ；i p s e c ；管理；双层；驻留时间 一种基于i p v 6 安全通信机制的移动解决方案 a b s t r a c t i i lt h ee n v i r 0 i 皿e m0 f 口v 6 ，t h ee n d t 伊e n ds e c i l r ec 0 m m u n i c a t i o ni sc x t r e m e l yi m p o n a n t b e c a u s ei ti su n p r e c e d e n t e ds i m p l ef o rac o m p u t e rt o0 b t a i n 强i pa d d r e s s i p s e cc o u l d p r o v i d ev a r i o u st y p c so fe n d - t o - e n d 伽u n i c a t i o ns e c u r ep f o t e c t i o ni nt h ed l a y e lh o w e v e r ， i p s e ci sd i f f i c u l tt 0u s e ，b e c a u s em 姐yc 0 m p l i c a t e dp a r a m e t e r sa r cn e c e s s a r i l yt ob es e tf o r s e c u r i t yc h 锄e 1 yl 【h e i 锄d n a z a k ip r o p o s e 卸a u t o m a t i cc o n f i g i l r a t i o nm e t h o df o r s e t t i n gu pt h ee n d t o e n ds e c u r ec h 猢e l sb e 研e e nc l o s e dm e m b e 璐i nu s i n gi p s e c i tc h a l l g e s t h et r a d i t i o n a ld e s i 印s t y l et h a tc e n t r a l i z e st h ei n d i v i d u a ls e c u r i t yc o n s i d e r a t i o n ，b u tc 0 m b i n e s i n d i v i d u a lw i t ho v e r a l ls e c u r i t yt o g e t h e la n di t 西v e st h ep r o m i n e n c ct 0t h et e a ms a f e t y c o n s i d e r a t i o n ，m e 觚m r l l i l er e f i n e st h et h i n l 【i n go ft h es e c u r i t y0 ft h ei n d i v i d u a l o b t a i n i n g i p s e 印k es t r a t e g yc o n v e i l i e n t l yf 幻mo t h e rm e m b e r sa ta n yt i 】 i l e ，a n dc o n f i g u r i n gt h e e n d - t o - ds e c u r cc 0 衄u n i c a t i o nc h a 曲e l 卸t o m a t i c a l l ya r et h em o s tp r o m i n e n tf c a t u r e so f t h ec l o s e dm e m b e r ss c h e m e s ot h i ss c h e m ei ss u i t a b l ef 0 rt h em o b i l ei p v 6c o m m u n i c a t i o n t i e l df o ri t sn e x i b i l i t y 锄dm o b i l i t y d u et ot h el a c ko fr e l e v 雒ts a f e t yc 咖1 m u n i c a t i o n p m t e c t i o ni nm o b i l ei p v 6n e 佃o r k ，m o b i l ec o m m u n i c a t i o n s 盯ef a c i n gs e v e r cs e c i l r i t yt h r e a t s i t sa 伊e a tp o s s i b i l i t yt h a tn o d e sa r ci m i t a t e da n dc o m m u n i c a t i o ni si n t e r c e p t e d e x p a i l d e d u s eo ft h es c h e m ei nm o b i l ei p v 6e n v i r 0 呦e n tc 姐l a 唱e l ym i t i g a t et h e s es e c u r i t yt h r e a t s i i l t e 伊a t e dt h ed e s i 酗t h i n k i n go ft h ed o s e dm e m b e rs c h e m ei n t ot h em o b i l ee n v i r o r 皿e n t c o n s i d e r a t i o n ，t h i sp a p e rp r e s e n t san e w 俩ol a y e r sm 卸a g e m e n tm e c h a i l i s mf o fs e c t l r c c o m m u n i c a t i o ns c h e m e t h r o u g hc o n s t m c t i o no fam a n a g e m e n tn o d ed y n a m i c a l l yi nt h e m o b i l ei p v 6n e t 、) v o r ：i 【s ，t h en e wm a i l a g c m e n tm e c h a n i s ms o l v e st h e s ep r o b l e m sm e n t i o n e d a b o v ep r o p e r l y i ti i l l l e r i t st h ed e s i 印t h a ta u t o c o n f i g i l r a t i 伽o f t h es e c u r cc o m m u n i c a t i o n c h a n n e l b u ti td i s c a r d st h ew o r l 【i n gs c h e m eu s i n gm u t u a la d v e r t i s e m e n tm o d eb e 柳e e n m e 疵b e r s t h r o u g hc o n s t m c t i n g ad y n a m i cm a n a g e m e n tn o d ei nm o b i l cn e t 、o r k ，t h e e x p a n s i o ni s s u e0 ft h eo r i g i n a ls o l u t i o ni i lm o b i l ei p v 6n e 帆o r ke n v i f 0 砌e n ti sp r o p e r l y s o l v e d m e 踟h i l ei t 西v e sar e a s o n a b l es o l u t i o nf o rm o b i l ei p v 6s e c u r cc 0 衄u n i c a t i o n f i n a l l y t op r o v et h ef e a s i b i l i t yo ft h en c ws o l u t i o n ，w em a k et h es i m u l a t i o na l l d 柚a l y s i so f t h i ss c h e m e 1 【e yw o r d s ： 、，6 ； s 优；m a 衄g e m e n t ；押o - l a y e r ；d w e m n gt i m e i i 硕十学位论文 插图索引 图2 1 口s e c 结构要素。9 图2 2 a h 和e s p 头插入位置及认证1 3 图2 3 身份认证流程。1 4 图3 1 总体结构设计1 6 图3 2 总体流程描述1 7 图3 3 在线发现流程1 8 图3 4 策略获取流程1 9 图3 5 方案功能模块图。2 0 图3 6 试验拓扑图2 0 图3 7 试验流程描述2 1 图3 8 配置时间对比。2 2 图4 1 动态管理机制机构。2 5 图4 2 动态管理机制流程。2 6 图4 3 普通节点工作流程2 7 图4 4 上层管理节点工作流程2 7 图4 5 移动成员节点的认证流程3 1 图5 1 从用户角度看n s 2 。3 4 图5 2 支持无线邛v 6 的d e 类3 5 图5 3 仿真网络拓扑图3 9 图5 4 路由环境图3 9 图5 5 节点报文交互统计4 0 图5 6 管理节点数量与子网扩展数量变化情况4 1 图5 7 管理信息数据量变化情况4 1 图5 8 安全策略分发时间分析4 2 l l i 兰州理工大学学位论文原创性声明和使用授权说明 原创性声明 本人郑重声明：所呈交的论文是本人在导师的指导下独立进行研究所取得的 研究成果。除了文中特别加以标注引用的内容外，本论文不包含任何其他个人或 集体已经发表或撰写的成果作品。对本文的研究做出重要贡献的个人和集体，均 已在文中以明确方式标明。本人完全意识到本声明的法律后果由本人承担。 作者签名： 咨3d 她日期：瑚年6 月l 龃 学位论文版权使用授权书 本学位论文作者完全了解学校有关保留、使用学位论文的规定，即：学校有 权保留并向国家有关部门或机构送交论文的复印件和电子版，允许论文被查阅和 借阅。本人授权兰州理工大学可以将本学位论文的全部或部分内容编入有关数据 库进行检索，可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。同 时授权中国科学技术信息研究所将本学位论文收录到中国学位论文全文数据 库，并通过网络向社会公众提供信息服务。 作者签名： 导师签名： 日期：少释6 月l 如 日期：姗年6 月i z 日 、镰g 心0 r孙一绿 硕士学位论文 第1 章绪论 1 1 研究背景 随着n g n 及3 g 的到来，越来越多的新设备提供了i p 的支持，我们只能通过v 6 来 满足下一代网络对不断增长的网络地址空间和即插即用网络部署的需求。从因特网的发 展来看，2 0 0 2 年6 0 亿的全球人口中，接入的用户约占总人口的1 0 1 5 ，到2 0 5 0 年，全球 人口约为9 0 亿。那么，口地址空间怎样来满足未来人口增长的需要呢? 中国事实上从 眦只分到了两个a 类地址段，但是，如果要满足3 2 亿学生每个人都有一个口地址的 话，至少需要2 0 个a 类地址段i 。 随着新型服务的出现，用户的期望越来越高。正像预计的那样，数据流量呈爆发 性增长，同时也随之产生了对i p 地址的大量需求，这将使现在基于聃4 的系统不堪重负。 随着新的移动通信产品的不断涌现，如p d 气移动电话，桌面p c 、3 g 等等，到2 0 1 0 年全球 l p 地址资源将被耗尽。虽然目前有p p p d h c p 地址共享、盯、c i d r 等一系列缓解地址 危机的措施。但面对如此广泛的需求，v 4 地址危机必然会越趋严重。所有这一切都成 为了n 6 发展的推动力【孤。 与i p 、，4 相比，i p v 6 在技术上具有特殊的优势。它所带来的巨大的地址空间，将使得 网络的规模无限扩展，通过唯一的网络用户识别地址，将所有可能的装置和设备连接入 网，从而真正实现无处不在的网络。而它独有的技术特点将大大改善路由性能，通过路 由聚合减少路由表的表项，简化的口头中减少了大量的地址转换，从而进一步减少了路 由器的处理负载。同时在网络安全性方面，p v 6 通过强制的口s e c 支持安全的i p v 6 设备， 同时它还支持多种服务质量控制【3 】。此外，6 还支持大规模的移动i p 计算设备，为将 来3 g 的发展铺平了道路。它的出现也使得提供语音、数据、视频融合的高品质、多样化 通信服务的下一代网络的实现成为可能【4 】。为此，i p v 6 已经被列入许多国内网络和通信 运营商的网络规划和设备生产商的产品发展规划之中，这也为聃6 网络的应用提供了有 利的环境。 除了能够提供足够的地址空间外，脚6 将使互联网更具鲁棒性和安全性，同时也 提高了效率和可操作性。对互联网安全可靠的访问将使最终用户受益，而运营商则能简 化网络结构，降低投资和运营的成本。随着信息社会的实现，马上投资i p v 6 规划的网络 企业将会获得明显的竞争优势。各种多媒体应用不断涌现，对那些依赖于这种高级连接 的组织机构来说，i p v 6 是唯一的也是必然的选择。口v 6 将是网络发展的主要趋势。 移动i p v 6 的发展是i p v 6 网络的又一大亮点。随着新型服务的出现，用户的期望越来 越高。正像预计的那样，数据流量呈爆发性增长，同时也随之产生了对i p 地址的大量需 求，这将使现在基于脚4 的系统不堪重负。移动互联网上有许多新型而精彩的服务，脚6 一种基于i p v 6 安令通信机制的移动解决方案 将是实现这些服务的关键。不久的将来，当每个人都需要携带一个或多个移动终端时， i p v 6 将为所有的移动终端提供唯一的i p 地址，实现个人之间的直接通信。未来的第三代移 动通信网络的发展方向将是一个全i p 的分组网络【5 1 。3 g 业务将以数据和互联网业务为 主，在3 g 网络上将承载着实时话音、移动多媒体、移动电子商务等多种业务，因此在计 费、漫游、应用、终端等方面会更加复杂，m v 6 将是实现这些服务的关键【6 j 。如果说3 g 的发展推动了脚6 的发展和标准化，那么i p v 6 协议的诸多优越特性则为3 g 网络的发展奠 定了坚实的基础。目前，3 g 网络在世界范围内商用的数量不断增加，3 g 在一些国家和 地区已经开始形成。现在3 g 市场发育相对成熟的国家是日本和韩国，英国、意大利和澳 大利亚也将成为3 g 市场发展的又一热点地区，美国的3 g 市场也有望很快形成。从我国 目前的情况来看，虽然我国信息产业部还没有正式颁发3 g 许可证，但是从移动运营商到 设备及终端制造商，从内容提供商到应用开发商，都在为我国3 g 的到来积极准备。可以 预见，不久的将来，在3 g 新业务的不断推动下，移动口v 6 将会以它巨大的优势逐步取代 i p 、r 4 成为互联网的核心协议r 7 1 。 1 2 研究现状 目前，下一代互联网络n 6 的发展日新。以我国为例，号称“全球最大 ，且具 有“世界领先水平的中国下一代互联网示范工程c n g i 示范的网络核心网c n g i c e r n e 亿【8 】主干网络，历经三年发展已经开始大规模部署。目前它已连接了我国2 0 个城 市的2 5 个核心节点，并与美国h l t 锄e t 2 、欧洲6 n e t 和亚太地区a p a n 实现了高速互联。 脚6 时代的到来指日可待。而i p v 6 网络下安全问题的研究也将成为人们研究的焦点。i p 、r 6 网络安全的研究最主要的还是集中在口s e c 【9 】协议的运用和口s e c v p n 的研究上。 目前口s e c n 技术最成熟的运用还是在4 网络中。国外已有如j u n i p e r ，c i s c o ， m i c r o s o f t 等公司已经在口s c c v p n 技术开发和运用上取得了成功【1 0 j 。尤其是j u n i p e r 和 c i s c 0 公司，他们将此类技术迅速商业化，并以惊人的速度推出相关的p n 产品来强占 市场份额。目前c i s c o 公司的口s e c 。 n 设备已经风靡全球。可以说在国外，在玎p v 4 领 域里的口s e c v p n 技术已经比较成熟。但是，可能是由于i p 、，6 研究速度的过于缓慢和 缺乏商业价值的引诱，在国外，尤其是在北美基于i p v 6 网络的口s e c v p n 解决方案却 十分罕见。 虽然著名的基于i j n u x 操作系统的f r e e 虮a np r o i e c t 【1 1 】( 此项目已于2 0 0 4 年停止， 其分裂为两个子项目组：o p e n s w 狃【1 2 】和s t r o n g s w a n 【1 3 】) 在不断的为不同的u n u x 版本 提供口s e c 软件安装包，并且这些支持不同版本的安装包也在不断的被完善。但是，到 目前为止，这些i p s e c 软件包几乎只支持i p 、，4 ，尚没有一款系列明确指出是专门用于支 持 v 6 协议的。可见该工程组在基于口v 6 的口s e c v p n 网关的设计方面尚未拿出一套 可以令人信服的方案。 日本k a m e 【1 4 】工程是一个由日本六个企业联合资助支持的i p v 6 技术开发项目。它 2 硕上学位论文 志在向各类b s d 系统提供免费的口v 6 、口s e c 和移动6 协议栈。该项目组始于1 9 9 8 年， 己于2 0 0 6 年春天完成。目前，通过该项目组的努力，蝴ei p v 6 口s e c 栈已集成到所有 的b s d 项目中( n e t b s d 、0 p e n b s d 、f r e e b s d 和b s d o s ) ，同时还有多种路由器产 品( 如j u n i p e r 、e x t r e m e 、h i t a c h i 和f u j i t s u ) 、商业操作系统( a p p l em a c 0 sx ) 和嵌 入式产品( 比如w i n d 南e r 的v x w o r l 【s ) 。可以说在构建一个i v 6 的参考实现方案方面， 他们已经成功了【1 5 j 。 美国微软公司在、，6 技术的支持开发方面也在不断的努力。目前在w i l l d o w ss e r v e r 2 0 0 3 、w i n d o w sx ps e r v i c ep a c k1 和w i n d o w sx ps e i c ep a c k2 中均带有非默认安装的 6 协议。不过和其它的w i n d o w 版本都有第三方提供的口v 6 所不同的是，到目前为止还 没有发布带有i p v 6 的w i i l d o w s 2 0 0 0 的计划，但是可以通过下载其提供的2 0 0 0 专用v 6 协 议软件包，手工安装实现对i p v 6 协议栈的支持【1 6 1 。 安全性方面，微软公司肯定是在发现最新的安全问题之前就已经开发i p v 6 了。安 全问题方面最显著的问题就是微软的i p s e c 。口s e c 支持认证传输和通道模式下的认证头 ( a u t h e n t i c a t i o nh e a d e r ，a h ) 【1 7 】和封装安全有效负载( e n c a p s u l a t i n gs e c i l r i t yp a y l o a d ， e s p ) 【1 8 】。但是微软e s p 不支持数据加密算法。另外微软v 6 不支持与协商s a 的h l t e m e t 密钥交换协议( h l t e m e tk e ye x c h a n g e ，i k e ) 1 1 9 】，你无法通过组策略来配置球v 6 的i p s e c 安全策略，只能用手工配置。计算每台服务器的s a 、m d 5 加密和安全散列算法( s h a - 1 ) 也只能手工计算【冽。 由于国外的基于i p v 6 的i p s e c 研究主要以商业驱动为主，所以几乎所有的相关研发 机构都是以商业开发为背景的。其主要由财力雄厚的商业机构为其提供资金支持。所以， 相关技术开发的进展程度也明显的受到商业投资特点的影响。如一旦发现其所研究的课 题缺乏商业前景，或商业前景发生转变，资金的投入马上会减少甚至停止。随之而来的 是课题研究进程的停顿或研究方向的转移。所以在i p 、，6 的i p s e c 的研究方面还有很多问题 有待解决【2 1 1 。 国内对于此课题的研究也已经在进行，目前国内在i p v 6 研究领域的一些高校或机 构也都在这个方向进行了一些研究，例如清华大学李星教授的研究组、北京邮电大学马 严教授的研究组、中国科技大学的脚6 实验床等都曾做过相关研究。相对于国外的研究 而言，我国的基于i p v 6 的口s e c 研究存在着明显的研发速度缓慢，研究规模不大，研究资 金短缺，研究方式主要借鉴国外等一系列的不足。总体看，可以说基于口v 6 的i p s e c 研究 重心，主要还是在国外。 7 1 3 该论文的贡献与创新性 在计算机客户端之间建立一条安全渠道，对于那些需要直接交换传输重要数据的 需求而言是极具有诱惑力的。尤其是在移动口v 6 环境下，因为脚6 网络中计算机获取i p 地址变的空前的简单，所以端对端的安全通信需要极其重要。 3 一种基于l p v 6 安全通信机制的移动解决方案 目前在因特网各层构架中均有建立安全通信渠道的机制，如在应用层和传输层使 用的s s i 椰s ，在i p 层使用的i p s e c 协议。在它们当中，口s e c 最适用于为端对端的直接通 信提供安全保护。一个原因就是坤s e c 协议本身设计更类似于p e e r t o p e e r 模型的，而不是 s c r y e r - c l i e n t 模型，并且所有的口运用都可以使用i p s e c 去保护他们的通信。另一个原因是 i p s e c 在口v 6 中是被强制性支持的安全服务协议，所以i p s e c 必将在i p v 6 网络中被大规模的 使用。， 而现阶段，基于v 6 网络的i p s e c 安全渠道的建立尚处于研究阶段。尤其是i p s e c 安 全通信前的参数协商与参数配置过程，几乎全部是手工完成。基本上还处于半研究半实 验阶段。根本无法满足网络通信安全的需求。在现阶段理论研究与实验的基础上，日本 研究人员y k h e i 和y a m a z a k i 设计出一种可以自动完成i p s e c 安全渠道协商与参数配 置的解决方案【2 2 】【2 3 1 。它改变了传统坤s e c 设计中以个体的安全性为考虑基础，而是结合 个体的安全性从总体的安全角度出发，从而实现突出总体细化个体的安全思想。基于亲 密伙伴的安全通信自动配置方案最大的特点就是成员间可以随时、方便的从其它成员那 里获取口s e c i k e 策略，来实现端对端的安全通信通道的自动配置。所以这套方案非常适 合在移动i p v 6 通信领域中使用。同时移动脚6 通信正面临着严峻的安全威胁。由于缺乏 相关的安全通信保护，在移动口v 6 网络中，节点被冒充、通信被侦听的可能性十分大。 而该方案在移动v 6 领域中的推广可以在很大程度上缓解这些安全威胁。 但要在移动i p v 6 网络中运用该方案，还有很多问题必须要解决。首先，如何对移 动节点进行状态管理的问题，其次是由谁来进行身份认证的问题。在基于亲密伙伴安全 通信方案研究的基础上，本文提出了一种新的管理机制。通过通信节点选举分类形成两 类节点：管理节点与普通通信节点。同一子网内管理节点集中管理普通通信节点，子网 间管理节点相互交互管理信息。这样在移动网络内形成一种动态分区管理形式。通过这 样的管理模式解决亲密伙伴方案在移动网络中遇到的扩展问题。 该方案可以被广泛运用于下列的情形中。如同一个办公室的同事之间，或为执行 某一个共同任务的小组成员之间，或是家庭成员之间，或好朋友之间，在因特网上相互 传输私有数据、安全文件、研究成果或图片、视频文件等等。这些活动都必须要求实现 端对端传输保护，我们的解决方案可以很好的达到这个效果。它的设计可以为解决移动 网络中安全通信的问题解决提供重要的参考。而它必然是一个非常有效的针对聃6 网络 特点的运用性设计。 1 4 本文的组织结构 本文主要内容安排如下： 第1 章绪论简要介绍论文背景，发展现状以及该论文的创新性和组织结构。主要从 口v 6 技术的发展，在移动通信领域中的优势以及其面临的安全问题这几个角度来详细阐 述。 4 硕士学位论文 第2 章主要具体分析了i p v 6 面临的通信安全问题，并重点介绍了口s e c 协议的定义以 及其详细的体系结构。同时介绍其在固定脚6 网络中的应用。最后介绍移动脚6 安全通 信中遇到的挑战和难题，以及未来研究的重点和方向。 第3 章对基于亲密伙伴的安全通信机制进行详细的说明与分析。具体介绍描述该方 案的设计思路与工作流程。最后对该机制的运行状况进行了实验与分析。 第4 章详细介绍亲密伙伴通信机制在移动i p v 6 网络的扩展方案。通过在原机制中引 入双层管理机制，合理的解决了原机制的移动扩展问题。同时还引进了基于预测驻留时 间的选举机制，妥善解决了新管理机制的稳定性问题和移动性问题。最后具体描述了方 案的设计细节。 第5 章首先简单介绍n s 2 网络仿真工具，然后具体介绍了该移动解决方案的具体网 络仿真环境，最后利用n s 2 网络仿真工具对新方案进行性能仿真。通过仿真结果对这新 方案的可行性进行分析并最终得出结论。 最后对全文进行总结，同时对基于聃6 网络安全通信机制的移动解决方案提出了 进一步的完善建议和展望。 5 一种基于口v 6 安全通信机制的移动解决方案 第2 章i p v 6 通信安全与i p s e c 协议 2 1i p v 6 通信安全的主要威胁 随着网络的飞速发展，随之而来的网络安全问题也日益受到人们的关注。我们了 解肌6 相对脚4 有很多优点，但这并不能说i p v 6 已经可以确保系统的安全了。许多存在 于脚4 网络中的安全隐患在i p v 6 网络中依然存在，同时针对i p v 6 网络特有的结构特点， 一些i p v 6 特有的安全隐患也开始崭露头角。这必然要求我们防范于未然，提前做好准备 去面对这些挑战。 2 1 1 i p v 6 网络安全问题 目前，病毒是最让人头疼的网络攻击行为。但这种传播方式在i p v 6 的网络中就不再 适用了，因为i p v 6 的地址空间实在是太大了，如果这些病毒或者蠕虫还想通过扫描地址 段的方式来找到有可乘之机的主机就犹如大海捞针。在脚6 的世界中，对i p v 6 网络进行 类似i p 、，4 的按照i p 地址段进行网络侦察是不可能了。所以在i p v 6 的世界里病毒传播将变 得非常困难【刎。但是，基于应用层的病毒是一定会存在的，电子邮件的病毒还是会继续 传播的。此外，还需要注意i p v 6 网络中的关键主机的安全。肌6 中的组播地址定义方式 给攻击者带来了一些机会。例如，v 6 地址f f d 5 ：3 是所有的d h c p 服务器，就是说，如果 向这个地址发布一个i p 、，6 报文，这个报文可以到达网络中所有的d h c p 服务器，所以可 能会出现一些专门攻击这些服务器的拒绝服务攻击。而且，不管是l 、，4 还是6 ，都需要 使用d n s ，脚6 网络中的d n s 服务器就是一个容易被黑客看中的关键主机。也就是说， 虽然无法对整个网络进行系统的网络侦察，但在每个聃6 的网络中，总有那么几台主机 是大家都知道网络名字的，也可以对这些主机进行攻击。而且，因为i p v 6 的地址空间实 在是太大了，很多i p v 6 的网络都会使用动态的d n s 服务。而如果攻击者可以攻占这台动 态d n s 服务器，就可以得到大量的在线v 6 的主机地址【矧。 另外，因为i p 、，6 的地址是1 2 8 位，很不好记，网络管理员可能会常常使用一下好记 的脚6 地址，这些好记的脚6 地址可能会被编辑成一个类似字典的东西，病毒找到i p 、r 6 主机的可能性小，但猜到i p v 6 主机的可能性会大一些。而且由于i p v 6 和i p v 4 要共存相当 长一段时间，很多网络管理员会把脚4 的地址放到i p v 6 地址的后3 2 位中，黑客也可能按 照这个方法来猜测可能的在线6 地址【2 6 1 。 所以，对于关键主机的安全需要特别重视，不然黑客就会从这里入手从而进入整 个网络。所以，网络管理员在对主机赋予n 6 地址时，不应该使用好记的地址，也要尽量 对自己网络中的i p v 6 地址进行随机化，这样会在很大程度上减少这些主机被黑客发现的 机会。 硕士学位论文 另外，当前的网络安全体系是基于现行的脚4 协议的。当前防范黑客的主要工具有 防火墙，网络扫描，系统扫描，w e b 安全保护，入侵检测系统等。6 的安全机制对他们 的冲击可能很大，甚至是致命的【2 7 1 。 当前的防火墙有三种类型：包过滤型、应用代理型和地址转换型。除了应用代理 型防火墙工作在应用层，受到i p v 6 的影响比较小之外，其他的两种都受到了几乎致命的 冲击。 地址转换型防火墙【冽：它可以使局域网外面的机器看不到被保护的主机的i p 地址。 从而使防火墙内部的机器免受打击。但由于地址转换技术( 和i p s e c 在功能上不匹 配，很难穿越地址转换型防火墙利用口s e c 进行通信。当采用a h 进行地址认证时，i p 报头 也是认证对象，因此不能做地址转换。当只用e s p 对分组认证加密时，因为口报头不在认 证范围内，乍一看地址转换不会出现问题，但即使在这种情况下也只能作一对一的地址 转换，而不能由多个对话共用一个i p 地址。这是因为e s p 既不是t c p 也不是u d p ，不能以 端口号的不同进行区分的缘故。此外，在用u d p 实现e s p 的情况下，因双方都要求源端口 号和目的端口号为5 0 0 ，如进行地址转换就要变换端口号，则不能正常工作。 包过滤型防火墙：基于i p v 4 的包过滤防火墙是依据数据包中源端和目的端的i p 地址 和t c p d p 端口进行过滤的。在v 4 中，p 报头和t c p 报头是紧接在一起的，防火墙很 容易找到报头，并使用相应的过滤规则。然而在i p v 6 下t c p 舢d p 报头发生了变化，口报头 和t c p 报头之间常常还存在其他的扩展报头，如路由选项报头等。防火墙必须逐个找下 去直到t c p 舢d p 报头为止，才能进行过滤，这对防火墙的处理性能会有很大的影响。在 带宽很高的情况下，防火墙的处理能力就将成为整个网络的瓶颈吲。 使用了聃6 加密选项后，数据是加密传输的，由于i p s e c 的加密功能提供的是端到 端的保护，并且可以任选加密算法，所以密钥是不公开的。防火墙根本就不能解密。因 此防火墙就无从知道t c p d p 端口号。如果防火墙把所有的加密包都放行的话，其实也 就为黑客穿刺防火墙提供了一条思路：防火墙不再能够限制外部用户所能访问的端口了， 也就不能禁止外部用户访问某些本不应该对外提供的服务了【删。 2 1 2 基于移动i p v 6 安全问题 随着因特网和移动通信的逐步融合，人们也期待能够突破时间和空间的限制随时 随地接入因特网。但是按照基本口v 4 协议进行报文路由，一旦通信节点改变了网络接入 点以后，如果不重新配置新的i p 地址，那么它就不能继续与网上的其它节点进行通信。 因此需要引入一种路由机制使移动节点可以以一个永久的口地址连接到任何链路上。移 动脚6 协议的提出则可以解决上述问题。移动i p v 6 协议作为下一代互联网i p v 6 协议的基 本组成部分，它建立在i p v 6 的体系结构上，利用了肌6 的一些特性来支持节点的移动， 并且引入了一些控制报文来实现路由优化【3 l l 。 移动i p v 6 协议通过定义移动节点、家乡代理和通信节点之间的控制信令，实现“三 7 一种基于i p v 6 安全通信机制的移动解决方案 角路由”的优化，同时也引入了新的安全威胁。如果攻击者在移动节点、通信节点的链 路上或者是在发送数据包路径的链路上截获相关的控制报文，那么它就能够轻易的进行 攻击。目前移动i 】p 、，6 可能遭受的攻击主要包括拒绝服务攻击、重放攻击以及信息窃取攻 击三大类。 1 拒绝服务攻击( d o s ) 1 3 2 】。拒绝服务攻击是指一个攻击者为阻止合法用户的正常工 作而采取的攻击。这种攻击主要包括两种方式：一种是通过向服务器或主机发送大量数 据包，使得主机忙于处理这些无用的数据包而无法响应有用的数据包；另一种是直接干 扰正常通信。在移动口v 6 中攻击者可以通过如下的攻击方式达到上述目的。( 1 ) 发送大量 的地址绑定更新消息来消耗家乡代理和通信节点的资源，如c p u 、内存资源。从而导致 绑定c a c h e 表溢出或者是无法及时处理真正的绑定更新报文。( 2 ) 冒充移动节点的身份向 家乡代理或是通信节点发送含有伪造转交地址的绑定更新报文，从而截获后续的数据 包，或者是将通信流量重定向到第三方节点，导致分布式的d o s 攻击。( 3 ) 在移动节点和 家乡代理通信路径上的攻击者可以通过篡改h o m ea d d r e s s0 p t i o n 域值，将通信节点的流 量重定向到其它第三方节点( 包括攻击者自己) 。( 4 ) 在移动节点和通信节点通信路径上的 攻击者可以通过篡改r o u t i n g 脏a d e r 域值，将通信节点的流量重定向到其它第三方节 点( 包括攻击者自己) 。( 5 ) 在移动节点和家乡代理通信路径上的攻击者可以通过篡改 m p a ( m o b j l ep f e 丘xa d v e n i s e m e n t ) 消息的前缀信息来阻止移动节点与家乡代理和通信节 点之间的正常通信。 2 重放攻击。重放攻击是指攻击者将一个有效的注册请求消息保存起来，等待一段 时间后再重新发送这个消息来注册一个伪造的转交地址，从而达到攻击的目的。在移动 节点和通信节点通信路径上的攻击者可以通过这种方式将数据流重定向到第三方实体 【3 3 】 o 3 信息窃取攻击。信息窃取可以分为被动监听和主动会话截取。( 1 ) 被动的监听。 移动脚6 可以使用包括无线链路在内的多种传输媒介。由于无线链路的信道特性，攻击 者可以不需要物理地连接到网络上就可以进行侦听，而对于有线链路，未经授权的用户 也可能通过某些手段设法接入网络进行侦听。对于此类的攻击最好的解决办法就是在通 信双方实现端到端的加密。( 2 ) 会话窃取。会话窃取攻击刚是指一个攻击者等待合法的用 户认证完成并且开始进行会话后，通过假扮合法节点来窃取会话的攻击。在移动刀p 、，6 中， 当移动节点向它的家乡代理注册后，攻击者先侦听移动节点和家乡代理之间的会话，当 发现某些感兴趣的信息后，攻击者一方面向移动节点发送大量无用的数据包，另一方面 假冒移动节点发送数据包，并截获发往移动节点的数据包。 2 2i p s e c 协议功能概述 口s e c ( 1 ps e c u r i t y ) 是正t fi p s e c 工作组为在口层提供通信安全而制定的一个协议族， 并在r f c 2 4 0 1 中正式定义并且进行了标准化。它是一种专门针对i p v 6 网络设计的一种安 8 硕十学位论文 全协议集，是脚6 协议集完整不可分割的一部分，但同时也可以运用于现有的i p v 4 网络。 口s e c 包括安全协议部分和密域协商部分。安全协议部分定义对通信的保护规则，密域协 商部分定义如何为安全协议协商保护参数。 设计口s e c 的目的在于4 个方面：为通信提供连接的主机级身份鉴别和数据的分组级 源鉴别；为数据的机密性和完整性提供保护；为通信提供有限的流量保护功能；为数据 传输提供抗重放攻击等服务，从而提供一定的通信q o s 保证。 口s e c 提供的安全服务包括对网络单元的访问控制，数据源认证，提供用于无连接 服务的协议( 如u d p 协议) 的无连接完整性，重放数据报的监测和拒绝，使用加密来提 供保密性。由于i p s e c 服务是在网络层提供的，所以任何上层协议，如t c p 、u d p 、i c m p 和i g m p 等都可以使用这些服务。 2 2 1i p s e c 要素组成 图2 1i p s e c 结构要素 i p s e c 是i p v 6 协议的一个组成部分，主要由以下几部分组成： a h ( a u t h e n t i c a t i o nh e a d e r ，认证报头) 协议报头：为i p 数据包提供信源的身份认 证和数据完整性的检测。 e s p ( e n c a p s u l a t i n gs e c l l r i t yp a y l o a d ，封装安全载荷) 协议报头：为i p 层提供数据 包加密和数据源的身份认证。 安全关联协商和密钥管理框架：协商信源和信宿间保护i p 报文的a h 和e s p 的相关 参数，如加密、认证的算法和密钥、密钥的生存期等，即建立安全关联。为了促进相应 信息的安全交换，他们还必须对一个共享的密钥或秘密达成一致，这个密钥或者秘密必 须通过一个潜在地并不安全的通信路径进行协商，或者必须基于预先定义并通过验证的 证书( 通过一个可信的公共密钥基础设施，或者通过对证书进行带外的分发和验证) 。 2 2 2 安全关联 s a ( s e c u r i t y 地s o c i a t i o n ) 是i p s e c 的基础。a h 和e s p 协议均使用s a 。i k e 协议的一 9 一种基于碑v 6 安全通信机制的移动解决方案 个主要功能就是s a 的管理和维护。s a 是通信对等方之间对某些要素的一种协定，例如 i p s e c 协议、协议的操作( 传输和隧道) 模式、密码算法、密钥、用于保护它们之间数据 流的密钥生存期。如果希望同时用a h 和e s p 来保护两个对等方之间的数据流，则需要两 个s a ：一个用于a h ，一个用于e s p 。定义用于a h 或者e s p 的隧道操作模式的s a 称为隧 道模式s a ，而定义用于传输操作模式的s a 称为传输模式s a 。安全关联是单工的，因此 输出和输入的数据流需要独立的s a 。s a 束用于描述一组s a ，该组s a 应用于始自或者 到达特定主机的数据。 s a 由一个三元组唯一地标识，该