移動IPv6的安全性分析

2019-11-03 09:01:51

字體：大中小

來源：轉載

供稿：網友

王建李方偉

　　ipv6是下一代的互聯網協議，它最終將代替IPv4成為互聯網的主要網絡協議。移動IPv6是建立在IPv6的體系結構上的，并作為IPv6協議不可分割的一部分，成為IPv6本質性的功能之一。移動IP提供了一種IP路由機制，使移動節點可以以一個永久的IP地址連接到任何的鏈路上，移動IP與其他路由協議相比，具有特殊的功能，移動IPv6就利用了IPv6的一些新特點來支持移動IP。

　　一、移動IPv6介紹

　　移動IPv6協議中定義了三種操作實體：移動節點(Mobile Node，MN)、通信節點(Correspondence Node，CN)和家鄉代理(Home Agent，HA)；四種新的IPv6目的地選項：綁定更新、綁定認可、綁定請求和家鄉地址；為了實現"動態家鄉代理地址發現"機制定義了兩種ICMP消息類型：家鄉代理地址發現請求消息和家鄉代理地址發現應答消息；定義了兩種"鄰居發現"選項：宣告消息間隔和家鄉代理信息選項。圖1表明了移動IPv6實體及其相互關系。

　　圖1 移動IPv6實體及相互關系

　　二、移動IPv6的主要特點

　　移動IPv6的設計汲取了移動IPv4的設計經驗，并且利用了IPv6的許多新的特征，提供了比移動IPv4更多的、更好的特點，成為了IPv6協議不可缺少的一部分。

　　1. 在移動IPv6中，對"三角路由"問題的解決已經成為協議的一個主要部分，并被所有的IPv6節點所支持。對路由優化問題進行了整合：允許任何通信節點和移動節點之間直接發送路由數據包，而不再經過移動節點的家鄉網絡或使用家鄉代理的轉發功能。這種整合也允許了"注冊"功能和路由優化功能在單獨一個協議中完成。

　　2. 在移動IPv6中可以允許移動節點與具有"入口過濾"功能的路由器同時存在、有效工作而不互相影響。在移動IPv6中移動節點可以使用轉交地址作為它所發送數據包的IP報頭中的源地址，這樣，數據包就能正常的通過具有"入口過濾"功能的路由器。其中移動節點的家鄉地址被攜帶在數據包的"家鄉地址"目的地選項中，當通信節點接收到包含此種選項的數據包時，就能夠自動地把數據包的源地址替換成"家鄉地址"目的地選項中的家鄉地址，使得轉交地址的使用對IP以上各層透明化。所有IPv6節點都必須能夠正確處理數據包中的"家鄉地址"選項，無論這個節點是移動的還是靜止的，是主機還是路由器。

　　3. 在移動IPv6中不再有外地代理的概念。移動節點在離開家鄉鏈路時可以利用IPv6的增強功能(如"鄰居發現"和"地址自動配置"機制)進行獨立操作，而不需要任何來自于當地路由器的特殊支持。實質上，移動IPv6中外地代理與家鄉代理具有相同的功能，所以為了具體實現上的方便，在外地的鏈路上也使用家鄉代理的概念。

　　4. 在安全性方面，移動IPv6使用IPSec來滿足更新綁定時的所有安全需求,包括；發送者認證，數據完整性保護，重傳保護等。也就是說移動IPv6的安全性是建立在IPv6的安全機制之上的。當移動節點在當前位置與它的缺省路由器進行通信時，移動IPv6的"移動檢測"機制為移動節點提供了雙向認證的能力(雙向是指從路由器向移動節點發送數據包和從移動節點向路由器發送數據包)。

　　5. 在移動IPv6中，"動態家鄉代理地址發現"機制使用IPv6的"任意發送"地址，并且家鄉鏈路上只有一個家鄉代理向移動節點返回一個應答消息；由于在移動IPv4中使用直接的廣播地址，所以移動節點家鄉鏈路上的每個家鄉代理均返回一個獨立的應答消息。因為僅僅只有一個數據包從家鄉鏈路返回到移動節點，所以移動IPv6的這種機制更加有效和可靠。

　　三、移動IPv6面臨的安全問題

　　移動IPv6與其它網絡技術一樣，都面臨著安全方面的問題。

　　1. 拒絕服務攻擊

　　拒絕服務攻擊(DoS)是移動IPv6面臨的最嚴重的一種攻擊，它是指一個攻擊者為阻止合法用戶的正常工作而采取的攻擊。這種攻擊主要包括兩種方式：一是通過向服務器或主機發送大量數據包，使得主機忙于處理這些無用的數據包而無法響應有用的信息；二是對網絡上兩個節點之間的通信直接進行干擾，如采取重定向的方法使合法用戶無法獲得所需要的數據。

　　對于DoS攻擊的防護方法是檢查認證有效期、確定移動節點位置并保持資源的可用性。對通信節點而言，它可以采用以下方式來抵抗拒絕服務攻擊：如果通信節點被大量綁定更新的信息所堵塞，它可以通過中止處理綁定更新信息的流程來減緩堵塞下的系統壓力；若通信節點察覺到分配在檢查虛假綁定信息上的資源遠遠超出用來接收真實綁定更新信息的資源時，通信節點會在不執行任何加密機制的情況下，逐步拋棄部分或是全部的綁定更新的信息。

　　2. 重放攻擊

　　移動節點使用經過認證的注冊請求消息在很大程度上增強了系統的安全性能，但是并不能防止重放攻擊。因為一個攻擊者可以將一個有效的注冊請求消息保存起來，然后等待一段時間后再重新發送這個消息來注冊一個偽造的轉交地址，從而達到重放攻擊的目的。

　　為了防止重放攻擊，移動節點必須為每一個注冊的請求消息附加一個唯一的標識。在移動IPv6中可以采用兩種方式來預防此種攻擊：第一種方法是使用時間戳，移動節點可以通過附加的注冊請求消息的日期和時間來防止重放攻擊；第二種方法是通過使用隨機數。在這種方法中，家鄉代理規定了移動節點發送的下一條注冊請求消息中標識域的值，如果家鄉代理收到的注冊請求消息中的標識域的值與期望的值不符，則拒絕這條消息，并通知移動節點。由于這種方法要求移動節點和家鄉代理之間進行相互認證，所以它還能夠防止移動節點和家鄉代理因受到攻擊而引起的不同步，當然通信節點也必須在認證有效期內保留相關隨機數信息。

　　3. 信息竊取攻擊

　　移動IPv6面臨的另一種安全威脅是信息的竊取。竊取信息攻擊可分為被動的偵聽和主動的會話竊取。(1)被動地偵聽：即使通信信道全部是有線鏈路，未經授權的用戶也可能設法接入網絡進行偵聽。對付這種攻擊，可以根據實際情況采用數據鏈路層加密或者端到端加密的方法。數據鏈路層加密通常是對通信路徑中保密性能較差的無線鏈路進行加密，而端到端加密則是對整個通信路徑進行加密。采用端到端加密是一種更為有效的防止竊取信息攻擊的方法。目前采用端到端加密的應用有很多，例如封裝安全負載報頭(ESP)可以為不能支持加密的應用程序提供端到端的加密功能，它不僅可以對應用層數據和協議報頭加密，還能對傳輸層報頭加密，從而可以防止攻擊者推測出運行的是哪種應用，具有較好的安全特性；(2)會話竊取攻擊：會話竊取攻擊是指一個攻擊者等待合法的用戶認證完成并且開始進行會話后，通過假扮合法節點來竊取會話的攻擊。通常采用帶有認證的端到端加密的方法來防止這種攻擊。

　　四、增強移動IPv6安全性的策略

　　1. 移動IPv6中同時采用隧道和源路由技術向連接在外地鏈路上的移動節點傳送數據包。移動IPv6可以使用選路擴展報頭來安全地實現源路由，避免了存在一個攻擊者可以將一個偽造的轉交地址當作中間目的地址，而使移動節點無法獲得有用的信息的安全隱患。但是在未來研究中還需進一步解決實現復雜、處理開銷大等問題。

　　2. 提高動態家鄉代理的有效性，并通過使用路由優化機制及正確分配來避免"三角路由"問題。但進行路由優化的同時應兼顧安全性，此時移動節點必須和通信節點進行相互認證，即它們需要一對密鑰，要注意初始密鑰分配問題。但當移動節點和通信節點的數目較多時，為每一個移動節點和通信節點都分配一對密鑰是不現實的，可以為每個移動節點和其家鄉代理配置一對密鑰。

　　3. 移動節點發生切換時實現認證信息快速切換的傳遞，簡化認證過程，并采用層次化移動IPv6來解決不同切換下的安全問題。移動節點可以在向新的家鄉代理發送注冊請求的同時向舊家鄉代理發送綁定更新消息，并通知舊家鄉代理暫時緩存數據。而后移動節點對新家鄉代理進行認證，如果認證成功，移動節點將通知舊家鄉代理轉發它緩存的數據到新家鄉代理，從而可以實現一種更平滑、安全的切換機制。

　　4. 通過信令的優化，可以保證節點更好的QoS需求。

　　5. 在移動IPv6中應用IPSec可以使網絡建立起安全連接、并對傳輸數據進行加密，保持數據的可靠性，從而大大提高網絡安全管理的可擴展性。

　　五、當前的研究狀況

　　移動IPv6的發展還處在初級階段。目前提出來的還只是移動解決方案的基礎理論，移動IPv6的最終目標是實現全球范圍真正的移動網絡，它會滿足移動計算和個人通信的所有要求。要真正實現全球范圍內移動網絡，還需要完成以下幾個方面的工作：在協議的發展方面，還需要進一步完善IPv6、Mobile IPv6、IPSec、SCTP、Diameter等協議；在協議的改進方面，需要研究服務質量及安全性問題，如如何驗證節點身份的有效性等。

----《通信世界》