移動(dòng)IPv6的安全性分析

王建 李方偉

　　IPv6是下一代的互聯(lián)網(wǎng)協(xié)議，它最終將代替IPv4成為互聯(lián)網(wǎng)的主要網(wǎng)絡(luò)協(xié)議。移動(dòng)IPv6是建立在IPv6的體系結(jié)構(gòu)上的，并作為IPv6協(xié)議不可分割的一部分，成為IPv6本質(zhì)性的功能之一。移動(dòng)IP提供了一種IP路由機(jī)制，使移動(dòng)節(jié)點(diǎn)可以以一個(gè)永久的IP地址連接到任何的鏈路上，移動(dòng)IP與其他路由協(xié)議相比，具有特殊的功能，移動(dòng)IPv6就利用了IPv6的一些新特點(diǎn)來(lái)支持移動(dòng)IP。

　　一、移動(dòng)IPv6介紹

　　移動(dòng)IPv6協(xié)議中定義了三種操作實(shí)體：移動(dòng)節(jié)點(diǎn)(Mobile Node，MN)、通信節(jié)點(diǎn)(Correspondence Node，CN)和家鄉(xiāng)代理(Home Agent，HA)；四種新的IPv6目的地選項(xiàng)：綁定更新、綁定認(rèn)可、綁定請(qǐng)求和家鄉(xiāng)地址；為了實(shí)現(xiàn)"動(dòng)態(tài)家鄉(xiāng)代理地址發(fā)現(xiàn)"機(jī)制定義了兩種ICMP消息類型：家鄉(xiāng)代理地址發(fā)現(xiàn)請(qǐng)求消息和家鄉(xiāng)代理地址發(fā)現(xiàn)應(yīng)答消息；定義了兩種"鄰居發(fā)現(xiàn)"選項(xiàng)：宣告消息間隔和家鄉(xiāng)代理信息選項(xiàng)。圖1表明了移動(dòng)IPv6實(shí)體及其相互關(guān)系。

　　圖1 移動(dòng)IPv6實(shí)體及相互關(guān)系

　　二、移動(dòng)IPv6的主要特點(diǎn)

　　移動(dòng)IPv6的設(shè)計(jì)汲取了移動(dòng)IPv4的設(shè)計(jì)經(jīng)驗(yàn)，并且利用了IPv6的許多新的特征，提供了比移動(dòng)IPv4更多的、更好的特點(diǎn)，成為了IPv6協(xié)議不可缺少的一部分。

　　1. 在移動(dòng)IPv6中，對(duì)"三角路由"問(wèn)題的解決已經(jīng)成為協(xié)議的一個(gè)主要部分，并被所有的IPv6節(jié)點(diǎn)所支持。對(duì)路由優(yōu)化問(wèn)題進(jìn)行了整合：允許任何通信節(jié)點(diǎn)和移動(dòng)節(jié)點(diǎn)之間直接發(fā)送路由數(shù)據(jù)包，而不再經(jīng)過(guò)移動(dòng)節(jié)點(diǎn)的家鄉(xiāng)網(wǎng)絡(luò)或使用家鄉(xiāng)代理的轉(zhuǎn)發(fā)功能。這種整合也允許了"注冊(cè)"功能和路由優(yōu)化功能在單獨(dú)一個(gè)協(xié)議中完成。

　　2. 在移動(dòng)IPv6中可以允許移動(dòng)節(jié)點(diǎn)與具有"入口過(guò)濾"功能的路由器同時(shí)存在、有效工作而不互相影響。在移動(dòng)IPv6中移動(dòng)節(jié)點(diǎn)可以使用轉(zhuǎn)交地址作為它所發(fā)送數(shù)據(jù)包的IP報(bào)頭中的源地址，這樣，數(shù)據(jù)包就能正常的通過(guò)具有"入口過(guò)濾"功能的路由器。其中移動(dòng)節(jié)點(diǎn)的家鄉(xiāng)地址被攜帶在數(shù)據(jù)包的"家鄉(xiāng)地址"目的地選項(xiàng)中，當(dāng)通信節(jié)點(diǎn)接收到包含此種選項(xiàng)的數(shù)據(jù)包時(shí)，就能夠自動(dòng)地把數(shù)據(jù)包的源地址替換成"家鄉(xiāng)地址"目的地選項(xiàng)中的家鄉(xiāng)地址，使得轉(zhuǎn)交地址的使用對(duì)IP以上各層透明化。所有IPv6節(jié)點(diǎn)都必須能夠正確處理數(shù)據(jù)包中的"家鄉(xiāng)地址"選項(xiàng)，無(wú)論這個(gè)節(jié)點(diǎn)是移動(dòng)的還是靜止的，是主機(jī)還是路由器。

　　3. 在移動(dòng)IPv6中不再有外地代理的概念。移動(dòng)節(jié)點(diǎn)在離開(kāi)家鄉(xiāng)鏈路時(shí)可以利用IPv6的增強(qiáng)功能(如"鄰居發(fā)現(xiàn)"和"地址自動(dòng)配置"機(jī)制)進(jìn)行獨(dú)立操作，而不需要任何來(lái)自于當(dāng)?shù)芈酚善鞯奶厥庵С�。�?shí)質(zhì)上，移動(dòng)IPv6中外地代理與家鄉(xiāng)代理具有相同的功能，所以為了具體實(shí)現(xiàn)上的方便，在外地的鏈路上也使用家鄉(xiāng)代理的概念。

　　4. 在安全性方面，移動(dòng)IPv6使用IPSec來(lái)滿足更新綁定時(shí)的所有安全需求,包括；發(fā)送者認(rèn)證，數(shù)據(jù)完整性保護(hù)，重傳保護(hù)等。也就是說(shuō)移動(dòng)IPv6的安全性是建立在IPv6的安全機(jī)制之上的。當(dāng)移動(dòng)節(jié)點(diǎn)在當(dāng)前位置與它的缺省路由器進(jìn)行通信時(shí)，移動(dòng)IPv6的"移動(dòng)檢測(cè)"機(jī)制為移動(dòng)節(jié)點(diǎn)提供了雙向認(rèn)證的能力(雙向是指從路由器向移動(dòng)節(jié)點(diǎn)發(fā)送數(shù)據(jù)包和從移動(dòng)節(jié)點(diǎn)向路由器發(fā)送數(shù)據(jù)包)。

　　5. 在移動(dòng)IPv6中，"動(dòng)態(tài)家鄉(xiāng)代理地址發(fā)現(xiàn)"機(jī)制使用IPv6的"任意發(fā)送"地址，并且家鄉(xiāng)鏈路上只有一個(gè)家鄉(xiāng)代理向移動(dòng)節(jié)點(diǎn)返回一個(gè)應(yīng)答消息；由于在移動(dòng)IPv4中使用直接的廣播地址，所以移動(dòng)節(jié)點(diǎn)家鄉(xiāng)鏈路上的每個(gè)家鄉(xiāng)代理均返回一個(gè)獨(dú)立的應(yīng)答消息。因?yàn)閮H僅只有一個(gè)數(shù)據(jù)包從家鄉(xiāng)鏈路返回到移動(dòng)節(jié)點(diǎn)，所以移動(dòng)IPv6的這種機(jī)制更加有效和可靠。

　　三、 移動(dòng)IPv6面臨的安全問(wèn)題

　　移動(dòng)IPv6與其它網(wǎng)絡(luò)技術(shù)一樣，都面臨著安全方面的問(wèn)題。

　　1. 拒絕服務(wù)攻擊

　　拒絕服務(wù)攻擊(DoS)是移動(dòng)IPv6面臨的最嚴(yán)重的一種攻擊，它是指一個(gè)攻擊者為阻止合法用戶的正常工作而采取的攻擊。這種攻擊主要包括兩種方式：一是通過(guò)向服務(wù)器或主機(jī)發(fā)送大量數(shù)據(jù)包，使得主機(jī)忙于處理這些無(wú)用的數(shù)據(jù)包而無(wú)法響應(yīng)有用的信息；二是對(duì)網(wǎng)絡(luò)上兩個(gè)節(jié)點(diǎn)之間的通信直接進(jìn)行干擾，如采取重定向的方法使合法用戶無(wú)法獲得所需要的數(shù)據(jù)。

　　對(duì)于DoS攻擊的防護(hù)方法是檢查認(rèn)證有效期、確定移動(dòng)節(jié)點(diǎn)位置并保持資源的可用性。對(duì)通信節(jié)點(diǎn)而言，它可以采用以下方式來(lái)抵抗拒絕服務(wù)攻擊：如果通信節(jié)點(diǎn)被大量綁定更新的信息所堵塞，它可以通過(guò)中止處理綁定更新信息的流程來(lái)減緩堵塞下的系統(tǒng)壓力；若通信節(jié)點(diǎn)察覺(jué)到分配在檢查虛假綁定信息上的資源遠(yuǎn)遠(yuǎn)超出用來(lái)接收真實(shí)綁定更新信息的資源時(shí)，通信節(jié)點(diǎn)會(huì)在不執(zhí)行任何加密機(jī)制的情況下，逐步拋棄部分或是全部的綁定更新的信息。

　　2. 重放攻擊

　　移動(dòng)節(jié)點(diǎn)使用經(jīng)過(guò)認(rèn)證的注冊(cè)請(qǐng)求消息在很大程度上增強(qiáng)了系統(tǒng)的安全性能，但是并不能防止重放攻擊。因?yàn)橐粋�(gè)攻擊者可以將一個(gè)有效的注冊(cè)請(qǐng)求消息保存起來(lái)，然后等待一段時(shí)間后再重新發(fā)送這個(gè)消息來(lái)注冊(cè)一個(gè)偽造的轉(zhuǎn)交地址，從而達(dá)到重放攻擊的目的。

　　為了防止重放攻擊，移動(dòng)節(jié)點(diǎn)必須為每一個(gè)注冊(cè)的請(qǐng)求消息附加一個(gè)唯一的標(biāo)識(shí)。在移動(dòng)IPv6中可以采用兩種方式來(lái)預(yù)防此種攻擊：第一種方法是使用時(shí)間戳，移動(dòng)節(jié)點(diǎn)可以通過(guò)附加的注冊(cè)請(qǐng)求消息的日期和時(shí)間來(lái)防止重放攻擊；第二種方法是通過(guò)使用隨機(jī)數(shù)。在這種方法中，家鄉(xiāng)代理規(guī)定了移動(dòng)節(jié)點(diǎn)發(fā)送的下一條注冊(cè)請(qǐng)求消息中標(biāo)識(shí)域的值，如果家鄉(xiāng)代理收到的注冊(cè)請(qǐng)求消息中的標(biāo)識(shí)域的值與期望的值不符，則拒絕這條消息，并通知移動(dòng)節(jié)點(diǎn)。由于這種方法要求移動(dòng)節(jié)點(diǎn)和家鄉(xiāng)代理之間進(jìn)行相互認(rèn)證，所以它還能夠防止移動(dòng)節(jié)點(diǎn)和家鄉(xiāng)代理因受到攻擊而引起的不同步，當(dāng)然通信節(jié)點(diǎn)也必須在認(rèn)證有效期內(nèi)保留相關(guān)隨機(jī)數(shù)信息。

　　3. 信息竊取攻擊

　　移動(dòng)IPv6面臨的另一種安全威脅是信息的竊取。竊取信息攻擊可分為被動(dòng)的偵聽(tīng)和主動(dòng)的會(huì)話竊取。(1)被動(dòng)地偵聽(tīng)：即使通信信道全部是有線鏈路，未經(jīng)授權(quán)的用戶也可能設(shè)法接入網(wǎng)絡(luò)進(jìn)行偵聽(tīng)。對(duì)付這種攻擊，可以根據(jù)實(shí)際情況采用數(shù)據(jù)鏈路層加密或者端到端加密的方法。數(shù)據(jù)鏈路層加密通常是對(duì)通信路徑中保密性能較差的無(wú)線鏈路進(jìn)行加密，而端到端加密則是對(duì)整個(gè)通信路徑進(jìn)行加密。采用端到端加密是一種更為有效的防止竊取信息攻擊的方法。目前采用端到端加密的應(yīng)用有很多，例如封裝安全負(fù)載報(bào)頭(ESP)可以為不能支持加密的應(yīng)用程序提供端到端的加密功能，它不僅可以對(duì)應(yīng)用層數(shù)據(jù)和協(xié)議報(bào)頭加密，還能對(duì)傳輸層報(bào)頭加密，從而可以防止攻擊者推測(cè)出運(yùn)行的是哪種應(yīng)用，具有較好的安全特性；(2)會(huì)話竊取攻擊：會(huì)話竊取攻擊是指一個(gè)攻擊者等待合法的用戶認(rèn)證完成并且開(kāi)始進(jìn)行會(huì)話后，通過(guò)假扮合法節(jié)點(diǎn)來(lái)竊取會(huì)話的攻擊。通常采用帶有認(rèn)證的端到端加密的方法來(lái)防止這種攻擊。

　　四、 增強(qiáng)移動(dòng)IPv6安全性的策略

　　1. 移動(dòng)IPv6中同時(shí)采用隧道和源路由技術(shù)向連接在外地鏈路上的移動(dòng)節(jié)點(diǎn)傳送數(shù)據(jù)包。移動(dòng)IPv6可以使用選路擴(kuò)展報(bào)頭來(lái)安全地實(shí)現(xiàn)源路由，避免了存在一個(gè)攻擊者可以將一個(gè)偽造的轉(zhuǎn)交地址當(dāng)作中間目的地址，而使移動(dòng)節(jié)點(diǎn)無(wú)法獲得有用的信息的安全隱患。但是在未來(lái)研究中還需進(jìn)一步解決實(shí)現(xiàn)復(fù)雜、處理開(kāi)銷大等問(wèn)題。

　　2. 提高動(dòng)態(tài)家鄉(xiāng)代理的有效性，并通過(guò)使用路由優(yōu)化機(jī)制及正確分配來(lái)避免"三角路由"問(wèn)題。但進(jìn)行路由優(yōu)化的同時(shí)應(yīng)兼顧安全性，此時(shí)移動(dòng)節(jié)點(diǎn)必須和通信節(jié)點(diǎn)進(jìn)行相互認(rèn)證，即它們需要一對(duì)密鑰，要注意初始密鑰分配問(wèn)題。但當(dāng)移動(dòng)節(jié)點(diǎn)和通信節(jié)點(diǎn)的數(shù)目較多時(shí)，為每一個(gè)移動(dòng)節(jié)點(diǎn)和通信節(jié)點(diǎn)都分配一對(duì)密鑰是不現(xiàn)實(shí)的，可以為每個(gè)移動(dòng)節(jié)點(diǎn)和其家鄉(xiāng)代理配置一對(duì)密鑰。

　　3. 移動(dòng)節(jié)點(diǎn)發(fā)生切換時(shí)實(shí)現(xiàn)認(rèn)證信息快速切換的傳遞，簡(jiǎn)化認(rèn)證過(guò)程，并采用層次化移動(dòng)IPv6來(lái)解決不同切換下的安全問(wèn)題。移動(dòng)節(jié)點(diǎn)可以在向新的家鄉(xiāng)代理發(fā)送注冊(cè)請(qǐng)求的同時(shí)向舊家鄉(xiāng)代理發(fā)送綁定更新消息，并通知舊家鄉(xiāng)代理暫時(shí)緩存數(shù)據(jù)。而后移動(dòng)節(jié)點(diǎn)對(duì)新家鄉(xiāng)代理進(jìn)行認(rèn)證，如果認(rèn)證成功，移動(dòng)節(jié)點(diǎn)將通知舊家鄉(xiāng)代理轉(zhuǎn)發(fā)它緩存的數(shù)據(jù)到新家鄉(xiāng)代理，從而可以實(shí)現(xiàn)一種更平滑、安全的切換機(jī)制。

　　4. 通過(guò)信令的優(yōu)化，可以保證節(jié)點(diǎn)更好的QoS需求。

　　5. 在移動(dòng)IPv6中應(yīng)用IPSec可以使網(wǎng)絡(luò)建立起安全連接、并對(duì)傳輸數(shù)據(jù)進(jìn)行加密，保持?jǐn)?shù)據(jù)的可靠性，從而大大提高網(wǎng)絡(luò)安全管理的可擴(kuò)展性。

　　五、當(dāng)前的研究狀況

　　移動(dòng)IPv6的發(fā)展還處在初級(jí)階段。目前提出來(lái)的還只是移動(dòng)解決方案的基礎(chǔ)理論，移動(dòng)IPv6的最終目標(biāo)是實(shí)現(xiàn)全球范圍真正的移動(dòng)網(wǎng)絡(luò)，它會(huì)滿足移動(dòng)計(jì)算和個(gè)人通信的所有要求。要真正實(shí)現(xiàn)全球范圍內(nèi)移動(dòng)網(wǎng)絡(luò)，還需要完成以下幾個(gè)方面的工作：在協(xié)議的發(fā)展方面，還需要進(jìn)一步完善IPv6、Mobile IPv6、IPSec、SCTP、Diameter等協(xié)議；在協(xié)議的改進(jìn)方面，需要研究服務(wù)質(zhì)量及安全性問(wèn)題，如如何驗(yàn)證節(jié)點(diǎn)身份的有效性等。

----《通信世界》