DHCP安全问题及防范措施

1、集团文件发布号：（9816-uatww-mwub-wunn-innul-dqqty-安 全 问 题 及 防 范 措 施摘要：现代社会是一个被网络包围的社会，上网成为现代人的生活基本需求，网络也 成为现代企业的基本生产工具之一。在这个大背景下，有限的ip网络地址资源分配成为 制约网络信息发展的障碍，引入dhcp （动态主机配置协议）服务成为重要的解决手段，但 是dhcp协议在安全上存在的漏洞使得在使用dhcp服务涔为主机配置网络地址和参数时面 临威胁。文章对这些dhcp安全问题和防范措施进行了探讨。关键词：dhcp；安全问题；防范措施中图分类号:tp393文献标识码:a文章编号:1006-893

2、7 （2014） 8-0070-021dhcp的安全问题作为允许无盘工作站连接到网络并使之自动获取一个ip地址的b00tp协议的扩展之 一，dhcp （动态主机分配协议）由两个基本部分组成，一部分是向网络主机传送专用的配 置信息，一部分是给主机分配网络地址。dhcp技术很好解决了 ip地址匮乏的现实问题， 同时还解决了移动计算机迅速获取ip地址的技术难题，为网络信息的发展做出了重要的 贡献。但是由于在设计dhcp时更多的考虑是网络连接的便利性，存在一定的安全漏洞， 其中主要的有以下几种：dhcp在设计上不具有任何防御恶意主机的功能。随着带有dhcp功能家用路由器的 大量使用，使用不当的话就可能

3、将这些路由器转变为dhcp服务器，这些所谓的dhcp服务 器可能对外发布虚假网关地址、ip地址池甚至是错误的dns服务器信息，如果这些非法 dhcp指定的dns服务器被蓄意修改，就有可能将用户引导到木马网站、虚假网站，盗窃用 户账号和密码，威胁用户的信息安全。dhcp与客户端相互之间没有认证机制，自身没有访问控制。由于dhcp可以方便的为网络中的新用户配置ip地址和参数，一个非法的客户可以通过伪装成合法的用户来申 请ip地址和网络参数，避开网络安全检查，实现“盗用服务”，导致网内信息的泄露。另外，非法用户还可以通过“拒绝资源”攻击的方式，例如耗尽有效地址、cpu或者网络 资源等，瘫痪蓄意攻击的

4、网络。dhcp在安全方面仅仅提供了有限的辅助工具来对分发的ip地址进行管理和维护， 不具有将地址和用户联合起来的复杂管理功能，使得网络管理员无法对ip冲突或者流氓 ip地址进行有效、快速的认证和网络跟踪。2防范dhcp安全问题的防范措施dhcp安全的威胁主要有三种，一是人为的无意失误，例如用户账号的无意识泄露；二 是人为的恶意攻击，例如通过主动或者被动的攻击方式来获取网络信息的计算机犯罪行为 等；三是网络软件的漏洞和“后门”。例如网络软件编程人员为了自便设置的“后门”被 黑客察觉导致的信息泄露等。对dhcp安全问题的防范可以从以下三个方面来进行防范。2.1网络入侵检测网络入侵检测（网络实时监控

5、）技术利用专门的网络监控软件或者硬件对网络流量进 行监控、分析、预警以及处理。有效的网络入侵检测部件通过对网络上使用的各种网络协 议进行分析，并和自身的网络入侵特征库进行对比，从而发现各种网络攻击行为。网络入 侵检测部件对网络攻击行为的侧重点是发现，并不能预防，所以还存在一定的缺陷。2. 2访问控制通过对用户访问行为的控制，可以阻止未经允许的用户有意或者无意获取到被保护网 段内的信息和数据。访问控制技术是网络安全防范保护的主要技术，它通过入网访问、网 络权限设置、目录级以及属性控制等手段来决定谁可以访问系统以及系统的何种资源、对 资源的使用方式等。入网访问控制。入网访问控制是网络的第一层访问控

6、制。一般分为三个步骤：登陆 用户名的识别和验证、登陆用户的口令识别与验证、登陆用户账号的缺省限制检查。网络 管理员通过对用户账号的控制实现对用户访问特定网络的时间、方式的权限。用户网络权限的控制。通过对用户或者用户组赋予一定的访问权限，例如对网络目 录、子目录、文件以及其他资源的访问，对用户或者用户组进行分类管理，一是特殊用 户，系统管理员；二是一般用户，按照实际需要分配操作权限；三是审计用户，对网络安 全控制与资源使用进行审计的账户。网络目录级的访问控制。网络通过控制用户对目录以及目录下的子目录和文件的创 建、删除、修改、存取控制等权限，达到有效控制用户对服务潜资源的访问权限，加强网 络以及

7、服务器的安全性。网络属性的访问安全控制。属性安全控制是在权限安全控制上的进一步防范措施。 属性设置可以覆盖任何已经指定的受托着指派的有效权限。通过网络属性的安全控制可以 保护重要目录和文件，避免文件或者目录的误删除、修改等。网络服务器的访问控制。主要措施是设置口令密码对服务器控制台进行锁定，防止 非法用户对重要信息和数据进行修改、删除、破坏；同时还可以设置服务器登陆的时间、 方式以及服务器关闭的时间间隔。网络的监测和锁定控制。对于非法用户试图进入网络的行为进行监测，并通过服务 器发出图形、文字以及声音等形式的报警信息，对于非法访问的次数达到一定值是可以对 该账号进行自动锁定。2. 3dhcp与

8、客户端的相互认证dhcp协议在设计之初存在无法对消息和实体进行认证的缺陷，现在通过dhcp认证机制已经可以实现相互之间的认证。dhcp消息认证机制在不改变原有dhcp协议的前提下,通过增加一个dhcp消息选项码来实现dhcp服务器与客户端之间的认证，另外，通过在选 项码中定义不同的认证方法，使得消息认证的实用性、针对性更强，具有良好的扩展性。在认证技术中采用的消息认证码，又称为mac,它是通过假设通信双方共享密匙，并 利用这个密匙通过不同的算法来生成一个固定长度的短数据块(mac),发送消息的一方 将消息和mac 一起发送给接收消息的一方，接收方用相同的密匙进行计算也得到一个 mac,通过两个mac进行比对来验证消息的安全性。通过在dhcp服务器向客户主机分配ip 地址时增加一个检查主机的mac地址的过程，可以有效杜绝非法用户使用内部dhcp服务 器登陆的可能。3结语dhcp技术较好的解决了 ip地址资源匮乏以及移动计算机上网的ip地址分配问题，但 在方便的同时也给网络带来了一些安全问题。通过加强网络入侵检测、网络访问控制以及 建立起dhcp服务器与客户端之间的认证系统可以有效防范dhcp技术缺陷所可能引发的安 全问题。参考文献：1