浅谈IPv6相对于IPv4在安全方面改进

日期:2008-6-18来源:VOIP中国

IP安全协议   IPSec   IPv6   IPv4   

  IP安全协议(IPSec) IPSec是IPv4的一个可选扩展协议,而在IPv6则是一个必备组成部分。IPSec协议可以“无缝”地为IP提供安全特性,如提供访问控制、数据源的身份验证、数据完整性检查、机密性保证以及抗重播(Replay)攻击等。新版路由协议OSPFv3 和 RIPng采用IPSec来对路由信息进行加密和认证,提高抗路由攻击的性能。

  需要指出的是,虽然IPSec能够防止多种攻击,但无法抵御Sniffer、DoS攻击、洪水(Flood)攻击和应用层攻击。IPSec作为一个网络层协议,只能负责其下层的网络安全,不能对其上层如Web、E-mail及FTP等应用的安全负责。

  端到端的安全保证 IPv6最大的优势在于保证端到端的安全,可以满足用户对端到端安全和移动性的要求。IPv6限制使用NAT,允许所有的网络节点使用其全球惟一的地址进行通信。每当建立一个IPv6的连接,都会在两端主机上对数据包进行 IPSec封装,中间路由器实现对有IPSec扩展头的IPv6数据包进行透明传输,通过对通信端的验证和对数据的加密保护,使得敏感数据可以在IPv6 网络上安全地传递,因此,无需针对特别的网络应用部署ALG(应用层网关),就可保证端到端的网络透明性,有利于提高网络服务速度。

  地址分配与源地址检查在IPv6的地址概念中,有了本地子网(Link- local)地址和本地网络(Site-local)地址的概念。从安全角度来说,这样的地址分配为网络管理员强化网络安全管理提供了方便。若某主机仅需要和一个子网内的其他主机建立联系,网络管理员可以只给该主机分配一个本地子网地址;若某服务器只为内部网用户提供访问服务,那么就可以只给这台服务器分配一个本地网络地址,而企业网外部的任何人都无法访问这些主机。

  由于IPv6地址构造是可会聚的(aggregate-able)、层次化的地址结构,因此,在IPv6接入路由器对用户进入时进行源地址检查,使得ISP可以验证其客户地址的合法性。

  源路由检查出于安全性和多业务的考虑,许多核心路由器可根据需要,开启反向路由检测功能,防止源路由篡改和攻击。

  防止未授权访问 IPv6固有的对身份验证的支持,以及对数据完整性和数据机密性的支持和改进,使得IPv6增强了防止未授权访问的能力,更加适合于那些对敏感信息和资源有特别处理要求的应用。

  域名系统DNS 基于IPv6的DNS系统作为公共密钥基础设施(PKI)系统的基础,有助于抵御网上的身份伪装与偷窃,而采用可以提供认证和完整性安全特性的DNS安全扩展 (DNS Security Extensions)协议,能进一步增强目前针对DNS新的攻击方式的防护,例如“网络钓鱼(Phishing)”攻击、“DNS中毒(DNS poisoning)”攻击等,这些攻击会控制DNS服务器,将合法网站的IP地址篡改为假冒、恶意网站的IP地址等。

  此外,专家认为,如果能争取在我国建立IPv6域名系统根服务器,则对于我国的信息安全很有必要和十分重要。

  灵活的扩展报头:一个完整的IPv6的数据包可包括多种扩展报头,例如逐个路程段选项报头、目的选项报头、路由报头、分段报头、身份认证报头、有效载荷安全封装报头、最终目的报头等。这些扩展报头不仅为IPv6扩展应用领域奠定了基础,同时也为安全性提供了保障。

  防止网络扫描与病毒蠕虫传播当病毒和蠕虫在感染了一台主机之后,就开始对其他主机进行随机扫描,在扫描到其他有漏洞的主机后,会把病毒传染给该主机。这种传播方式的传播速度在 IPv4环境下非常迅速(如Nimdar病毒在4~5分钟内可以感染上百万台计算机)。但这种传播方式因为IPv6的地址空间的巨大变得不适用了,病毒及网络蠕虫在IPv6的网络中传播将会变得很困难。

  防止网络放大攻击(Broadcast Amplication Attacks) ICMPv6在设计上不会响应组播地址和广播地址的消息,不存在广播,所以,只需要在网络边缘过滤组播数据包,即可阻止由攻击者向广播网段发送数据包而引起的网络放大攻击。

  防止碎片(Fragment)攻击 IPv6认为MTU小于1280字节的数据包是非法的,处理时会丢弃MTU小于1280字节的数据包(除非它是最后一个包),这有助于防止碎片攻击。

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

评论
查看更多评论

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

网络基础>更多

  • 三分钟教你认清比特率与波特率

    虽然比特率和波特率关系密切,但是它们是两个不同的概念。比特率是测量每秒可传输数据比特位(0和1)数量的单位,而波特率……

  • 微软的AI尝试

    IBM的AI系统Watson在US游戏节目上打败了人类,谷歌英国的DeepMind团队开发的AI系统在棋赛中击败了世界顶级选手。而微软也开发了一个AI聊天机器人,不过……

  • 作为一名合格的网络管理员,需要担起哪些重任?

    网络管理员的工作内容和工作职责各有不同,一定程度上取决于企业是否依赖于托管服务提供商。除一些常规职责外,网络管理员可能还要帮助企业开发新的网络系统……

  • hey,面对网络演变,旧技能也是有用武之地的

    当你在学习新技术的时候遇到困难了,要记住,这些都会过去。如果你觉得这些就是你想要的,那就全心投入。或者选择你最喜欢的去做,不要害怕会过时,记住,你学的这些只是为应对新的网络环境做准备。

相关推荐

  • 无视IPv6连接?后果自负!

    如果你无视IPv6在你网络的影响,你可能给你自己带来更大的伤害。此外,你还需要考虑的是,IPv6连接不只是“网络的事”。

  • IPv6扩展报头:是好是坏?

    IETF最近的一项研究表明,当部署扩展报头时,发送到公网服务器的IPv6数据包丢包率在10%至50%。

  • 如何避免IPv6“友邻发现”威胁?

    IPv6友邻发现是IPv6协议套件的一个核心部件。如果企业正着手准备部署IPv6,那么一定要了解“友邻发现(ND)”及其漏洞。

  • IP网络安全的基石——IPSec协议

    IPSec(IP Security)产生于IPv6的制定之中,用于提供IP层的安全性。由于所有支持TCP/IP协议的主机进行通信时,都要经过IP层的处理,所以提供了IP层的安全性就相当于为整个网络提供了安全通信的基础。

技术手册>更多

  • VPN网络基础指南

    虚拟专用网络是一种常用于大型企业或团体间的通讯方法。它的核心就是利用公共网络建立虚拟私有网。本技术手册将为你详细介绍VPN的基本知识,以及两种VPN构架。

  • 专刊:是时候部署软件定义广域网了吗?

    软件定义广域网(SD-WAN)代表了SDN技术在2015年最引人关注的应用,它旨在帮助用户降低广域网(WAN)的开支和提高其连接灵活性。有调查显示,尽管进入该市场的新旧供应商为数众多,但就今年的实际部署情况来看,真正落地项目仍然很有限。但软件定义广域网绝不仅仅是一个流行词,它已经在给早期部署者带来好处。

  • WAN应用交付优化指南

    随着越来越多的关键应用程序运行在WAN上,许多企业必须马上着手部署WAN应用交付优化,本技术手册介绍了WAN应用交付优化的部署以及技术和工具。

  • WAN优化宝典

    广域网(WAN)带宽昂贵,绝大多数用户因此只能拥有有限的广域网带宽,随着网络中应用持续增多,在不增加广域网带宽的情况下,能否找到恰当的方法解决速度过慢?

TechTarget

最新资源
  • 安全
  • 存储
  • CIO
  • 服务器
  • 数据中心
  • 云计算