IPv6与互联网信息安全探讨

收稿日期:20031117

作者简介:陈世清(1964),男,讲师,研究方向:计算机网络与网络安全、并行计算;夏春和,教授。*国防十五预研“航空网络防御体系(418010703)”

IPv 6与互联网信息安全探讨*

陈世清1,夏春和2

(1.湖南工程学院计算机科学系,湖南湘潭　411104;

2.北京航空航天大学六系,北京　100084)

摘　要:论述了新一代网络协议IPv 6在安全方面的独到之处及技术要点,探讨了IPv 6对Internet 信息安全的作用及特性。

关键词:IPv 6;网络安全;信息安全;认证;加密

Abstract :T his paper points out the distinctive guatity and techno logical po ints o f new generation netw ork protocol in secur ity.It discusses the functio ns and specific characteristic of IPv 6to Internet info rmation security .

Key words :IPv6;netw ork security;inform ation secunity ;authentication;encry p-tio n;

0　引言

Internet 由于自身的缺陷,如网络的开放性及黑客的攻击等造成了网络的不安全,科学家在设计Internet 之初就缺乏对安全性的总体构想和设计。我们所用的TCP/IP 协议是建立在可信的环境下,首先考虑的是网络互连,因此它缺乏安全方面的考虑。这种基于地址的协议本身是会泄露口令的,而且有些协议经常会运行一些无关的程序;连接也可以成为盗用的目标;服务器需要读写特权等等,这些都是网络本身的缺陷。网络的开放性也许是造成威胁的最主要原因,TCP /IP 协议是完全公开的,远程访问使许多攻击者无须到现场就能够得手,连接的主机基于互相信任的原则等等这些性质使网络更加不安全。所幸的是,科学家们制定的下一代互联网协议IPv 6[1],在互连的基础上考虑了安全的因素,基于互联网信息系统的安全性因此也得到了国内外的广泛关注。

1　网络安全问题概述

网络系统的安全[2]

涉及到平台的各个方面。按照网络OSI 的7层模型,网络安全贯穿于整个7层模型。针对网络系统实际运行的T CP/IP 协议,网络安全贯穿于信息系统的4个层次。

图1表示了对应于网络系统的安全体系层次模型:

应用层

应用系统

应用平台应用层

应用系统安全

应用平台安全会话层会话安全网络层安全路由/访问机制

链路层链路安全物理层

物理层信息安全

图1　对应网络系统的安全体系层次模型1.1　Internet 层的安全性

在过去的十年里,对Inter net 层的安全协议曾提出过一些方案,这些方案大都是IP 封装技术。纯文本的包被加密,封装在外层的IP 报头里,用来对加密的包进行Inter net 上

的路由选择。在到达另一端时,外层的IP报头被拆开,报文被解密,然后送到收报地点。

Internet工程特别组(IET F)已经特许Internet安全协议(IIPSEC)工作组对IP安全协议(IPSP)和对应的Inter net密钥管理协议(IKM P)进行标准化的工作。IPSP的主要目的是使需要安全措施的用户能够使用相应的加密安全体制。该体制不仅能在目前通行的IP(IPv4)下工作,也能在IP的新版本(IPng或IPv6)下工作。该体制应该与算法无关,即使加密算法替换了,也不会对其他部分的实现产生影响。此外,该体制必须能实行多种安全政策,但要避免给不使用该体制的人造成不利影响。按照这些要求,IPSEC工作组制订了一个规范:认证头(Authentica-tio n Header,AH)[3]和封装安全有效负荷(Encapsulating Security Payload,ESP)[4]。简言之,AH提供IP包的真实性和完整性, ESP提供机要内容。

Internet层安全性的主要优点是它的透明性。也就是说,安全服务的提供不需要应用程序、其他通信层次和网络部件做任何改动。它的最主要的缺点是:Internet层一般对属于不同进程和相应条例的包不作区别。对所有去往同一地址的包,将按照同样的加密密钥和访问控制策略来处理。这可能导致提供不了所需的功能,也会导致性能下降。

1.2　传输层的安全性

在Internet的应用编程中,通常使用广义的进程间通信(IPC)机制来同不同层次的安全协议打交道。比较流行的两个IPC编程界面是BSD So ckets和传输层界面(T LI),具体做法包括双端实体的认证,数据加密密钥的交换等。Netscape通信公司遵循了这个思路,制定了建立在可靠的传输服务(如TCP/T P所提供)基础上的安全套接层协议(SSL)。

我们已经看到,Internet层安全机制的主要优点是它的透明性,即安全服务的提供不要求应用做任何改变,而这对于传输层来说是做不到的。传输层安全机制的主要缺点是对传输层IPC界面和应用程序两端进行修改。可是,比起Inter net层和应用层的安全机制来,这里的修改还是相当小的。另一个缺点是,基于U DP的通信很难在传输层建立起安全机制。同网络层安全机制相比,传输层安全机制的主要优点是它提供了基于进程对进程的(而不是主机对主机的)安全服务。这一成就如果再加上应用级的安全服务,就可以再向前跨越一大步了。

1.3　应用层的安全性

网络层(传输层)的安全协议允许为主机(进程)之间的数据通道增加安全属性。这意味着真正的(或许再加上机密的)数据通道还是建立在主机(或进程)之间,但却不可能区分在同一通道上传输的一个个具体文件的安全性要求。

1.4　IPv4的安全问题

IPv4存在着以下的安全问题:数据包的窃听;IP欺骗;数据源论证;源路由选择欺骗;TCP序列号欺骗。总之,Internet只能通过下面两个方面的安全服务来达到安全性:

(1)访问控制服务用来保护计算和联网资源不被非授权使用;

(2)通信安全服务用来提供认证,数据机密性与完整性和各通信端的确认性服务。

2　IPV6的安全机制

原来的Internet安全机制只建立于应用程序级,如E-mail加密、SNM Pv2网络管理安全、接入安全(HTT P、SSL)等,无法从IP层来保证Internet的安全。IP级的安全保证分组的鉴权和私密特性,其具体实现主要由IP的AH和ESP标记来实现。IPv6实现了IP级的安全[5～6]。

2.1　安全协议套

安全协议套是发送者和接收者的双向约定,安全协议套只由目标地址和安全参数索引(SPI)确定。

2.2　包头认证

包头认证提供了数据完整性和IP 分组的鉴权,如图1所示,其标记包含下列字段:安全参数索引　32位数字对应一安全协议套;

鉴权数据(可变)　鉴权数据字段的内容由鉴权逻辑来确定,鉴权数据是整个IP 分组通过一定的算术逻辑计算所得(除传输过程中会引起改变的字段外,这些字段在传送过程中被设置为0)

。

图1　鉴权头标记

2.3　安全包头封装

ESP 根据用户的不同需求,支持IP 分组的私密和数据完整性。它既可用于传送层(如TCP 、UDP 、ICM P )的加密,称传送层模式ESP ,同时又可用于整个分组的加密,称隧道模式ESP 。

ESP 标记以32位的SPi 开始,余下字段根据不同的解密逻辑算法而有所不同。标记的开始部份,包括SPi 和其他一些参数,不以加密的方式传送,其余部份则加密传送。

传送模式的包头认证　这是专用于IP 分组数据的加密,通常是传送层的数据段,如TCP 或U DP 段(包含应用程序级的数据)。ESP 头插在IP 的传送层头标记(如T CP 、UDP 、ICM P)之前,对IPv6来说,如存在目的可选头标记,则ESP 插在此标记之前。

这种方式看起来效率高,但因为它只对IP 部分的分组作了处理,所以容易被分析推断出业务种类。

隧道模式的包头认证　该模式用于对整个IP 的加密。此时ESP 加在分组之前,然后在整体之前再增一加密ESP 引导部份。由于IP 头标记中包含了地址信息及路由的指示,如Hopbyhop 等信息,整个IP 加了ESP 后

是无法在网络中传送的。因此,IP 包必须在加密的整个IP 分组包之前另加一新的IP 头(新的IP 头标记地址是针对目的主机所在网络的网关地址,它应包含足够的路由信息)。这样处理后,别人显然无法对业务种类进行分析。

但是,这种方式只能用在外部主机和安全网关之间,或安全网关与安全网关之间。分组只有先通过网关检查才能进入网络。2.4　ESPDES -C BC 方式

ESP 处理一般必须执行DES-CBC 加密算法,数据分为以64位为单位的块进行处理,解密逻辑的输入是现行数据和先前加密数据块的与或。

此方式对所有的数据采取相同的密钥,ESP 头和DES-CBC 的负荷格式见图2

。

图2　ESP 头和DES —CBC 的负荷格式2.5　鉴权加私密方式

根据不同的业务模式,两种IP 安全机制可以按一定的顺序结合,从而达到分组传送加密的目的。按顺序的不同,该方式有:

(1)鉴权之前加密(见图3)　整个传送的IP 分组(包括加密和非加密)被鉴权,用户首先加上ESP ,然后考虑AH 和IP 头,因为ESP 有两种模式(传送、隧道模式),实际有

两种结果。

图3　鉴权之前加密

(2)加密之前鉴权(见图4)　这种模式只适用于隧道模式ESP,此时AH 标记在IP 分组内,分组兼有鉴权和私密共同保护的机制。

图4　加密之前的鉴权

一般说来,加密之前鉴权更为可取。这是因为:AH受ESP保护,IP不可能被截,也不至于AH在检测时被改变。另外,由于AH应用于非加密IP更方便,因而可将AH信息放在消息内,并被目的地作参考。否则,为了验证鉴权信息,消息不得不重新加密。

3　IPv6与Internet访问的安全性

根据IPv6的安全特性,Internet信息安全将得到技术上的保证。建立新一代宽带网络入侵防范体系的研究目标是,开创新的技术,让入侵防范系统能适应高带宽和高负荷的网络环境,支持最新的Internet网络协议,并有自我学习的能力。从而形成新一代宽带网络入侵探测技术、新一代网络安全体系结构模型和新一代的网络安全控制平台。

首先,IPv6下的安全产品设计问题:由于IPv6相对于IPv4在数据报头上有了很大的变动,所以原来的防火墙产品在IPv6网络上不能直接使用,必须有一些变动。针对IPv6的Socket套接口函数已经在RFC2133 [3](Badic Socket Inter face Extensions for IPv6)中定义,以前的应用程序都必须参考该新的API做相应的改动。防火墙的设计: IPv4下的防火墙过滤的依据是IP地址和TCP/U DP端口号。IPv4下,IP头部和ICP 头部是紧接在一起的,而且其长度是固定的,所以防火墙很容易找到头部,并使用相应的策略。然而在IPv6下ICP/UDP报头的位置有了根本的变化,它们不再是紧接在一起的,通常中间还隔有其它的扩展头部,如路由选项头部,AH/ESP头部[4]等。防火墙必须读懂整个数据包才能进行过滤,这对防火墙的处理性能会有很大的影响。

入侵检测系统(Intrusion Detection Sy s-tem,IDS)的设计:IPv6将使我们放弃以往的网络监控技术,投身于一个全新的研究领域。

首先,IDS产品同防火墙一样,其程序在IPv6下不能直接运行,还要做相应的修改。其次,IDS的工作原理实际上是一个监听器,接收网段上的所有数据包,并对其进行分析,从而发现攻击,并实施相应的报警措施。但是,如果使用传输模式进行端到端的加密,则IDS无法工作,因为其接收的是加密的数据包,无法理解。当然,解决方案之一是让IDS 能对这些数据包进行解密,但这样势必会带来新的安全问题。同时IPv6的可靠性是否如最初所设想的那样,也有待于时间的考验。

其次,面临日益发达的宽带网,我们将研究“高速网络数据采集技术”。无疑,新一代的入侵探测技术依然以数据采集为中心,而该技术本身最大的问题就是,计算能力远远跟不上网络带宽的增长。针对这个问题,我们将进行最新的网络采集和协议分析的研究,希望能将网络探测器变得更加快速、经济和容易部署。首先,我们将进行采集器硬件和软件结合方案的研究,以求将探测器的探测带宽达到最大的速率。另外,我们将研究如何在不稳定的IP的环境上(无论是有线网或无线网)可靠地监控数据。这方面的研究将促成多种新一代的网络探测器,它包括高质量的主干网络探测器、无线网络探测器、ATM网络探测器。

第三,研究如何在最新的Internet协议下,在多种不同的平台进行入侵探测,以得出一个新的解决方案。由于IPv6中引入网络层的加密技术,我们认为,未来网络上的数据通讯的保密性将会越来越强,这使得网络入侵探测系统和主机入侵探测引擎将面临着多种不同平台部署的问题。我们应研究IDS新的部署方式,研究如何才能在任何网络状况、任何服务器、任何客户端、任何应用环境,经过适当的自转换和自适应。

第四,可以将诸如数据(下转第36页)

然后把相关数据存入数据表。

部分代码如下:

……

jfdate=.Fields(0).V alue//上一次缴费的日期

star tdat e=.F ields(1).V alue//　缴费起始日

enddate=.Fields(2).V alue

//最后一次缴费的截止日期sur plus=.Fields

　(0).V alue//上期余额

If Dat es〈enddate A nd Dat es〉=jfdate T hen/

mo nthlast=M y Custo m.Co untM onth(D ates, enddate)

//计算curr entdat e到enddate的月

　数

mo ney=monthlast*oldF und+surplus

//计算curr entdat e到enddate的旧费用

mo nthlast=my custo m.count(money,fund)

//根据新基费计算curr entda te到enddat e的月数

enddate=DateT oStr ing(CDate(Dates).A d-dM onths(mo nt hlast))

//本次收费截止日

sur plus=M o ney-Fund*m onthla st

//本次余额

M y Custo m.SetI nfo(Co de,"decsurplus",surplus)//保存到数据表中

M y Custo m.SetI nfo(Co de,"str st art date", Dates)//保存到数据表中

M y Custo m.SetI nfo(Co de,"str enddate", enddate)//保存到数据表中

4　结束语

该系统可适应软硬件平台的变化,系统对数据库平台无限制,可以灵活采用现有多种主流数据库系统。该系统具有友好的用户界面和丰富的联机帮助,系统操作简单易用。目前系统已在某有线电视台投入使用,大大提高了该台的工作效率,受到了用户的肯定和好评。

参考文献:

[1]　J am sa K.Vis ual Bas https://www.360docs.net/doc/842821487.html,技术与技巧[M].陈维

军,译.北京:机械出版社,2003.

[2]　Barw ell F,Blair https://www.360docs.net/doc/842821487.html,高级编程[M].张加荣,

译.北京:清华大学出版社,2002.

[3]　Deitel H M.Deitel P J.Visual Basic.NE T程序设计

专家指南[M].王慧英,译.北京:机械工业出版社,

2003.

[4]　Balen a F.Visual https://www.360docs.net/doc/842821487.html,技术内幕[M].李珂,

译.北京:清华大学出版社,2003.

(上接第12页) 挖掘,专家系统和神经网络技术融入入侵探测技术中,以建立先进的入侵探测算法的数学模型。今天的网络入侵探测技术,唯一能实现的算法是模式匹配。但是,如果新的算法研究成功,我们不但可以保留模式匹配算法的高性能,而且可以使它更聪明,并且大大降低了误报率。这项研究将在未来几年内应用于最新的IDS软件中。

总之,今后的入侵防范研究将围绕着In-ternet本身、网络安全和通讯协议之间,把无序的数据演变成有序的数据,从人控制网络安全软件演变成计算机自我学习;从以技术为本的用户界面演变成为以人为本的智能用户界面。

4　结论

IPv6是要建立一个可靠的、可管理的、安全和高效的IP网络的长期解决方案。尽管IPv6的实际应用之日还需耐心等待,但是了解和研究IPv6的重要特性以及它所提供的解决方案,对于制定企业网络的长期发展计划,规划网络应用的未来发展方向都是十分有益的。

参考文献:

[1]　Gai S.Inter netw orking IPv6w ith Cis co Routers

[M].潇洒工作室译。北京:机械工业出版社,1999.

[2]　赵战生,冯登国,戴英侠.信息安全技术浅谈[M].

北京:科学出版社,1999.

[3]　Kent S,A tkins on R.S ecurity arch itecture for th e

In ternet protocol.IE TF,Intern et RFC:2133,

November,1998.

[4]　Kent S,A tk inson R.IP Encaps ulating Security Pay-

load(ESP).IE TF,In ternet RFC:2406,Novemb er,

1998.

[5]　Loshin P.IPv6Clearly Exp lain ed[M].沙斐译.北

京:机械工业出版社,2000.

[6]　Goncalves M,Niles K.IPv6Netw ork s[M].黄锡

伟,杨震译.北京:人民邮电出版社,2000.