IPv6协议安全威胁分析

《IPv6协议安全威胁分析》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、IPv6协议安全威胁分析背景因特网编址和转发是网际协议的重要组件。在全球因特网中，每台计算机和路由器上的每个接口都必须有一个全球唯一的IP地址，然而，这些地址不能以随意的方式自由选择。一个接口的ip地址的组成部分需要由其连接的子网来决定。IPv4导致的全球IP地址紧缺：每个IP地址长度为32比特，因此总共有2的32次方可能的地址，即大约有40亿个可能的地址。随着计算机工业的发展，越爱越多的终端的出现，现在，IPv4的运用已经显得捉襟见肘了，开发新的IP地址服务方式是必然的。相关新闻：2011年6月8日是世界第首个“IPv6日”。毋庸置疑，这一天被世人瞩目，并且已经成为互

2、联网发展道路上一个里程碑。在当天，全球网络工程师们对诸多系统进行了测试，以确保各大互联网服务提供商和内容提供商的网络及应用能够与下一代IPv6网络无缝相连或集成，其目的在于使整个行业，准备好其针对IPv6的服务，并确保当IPv4地址库资源用罄之时能够顺利过度到IPv6网络。下面我们认识一下IPv6IPv6：IPv6是下一版本的互联网协议，也可以说是下一代互联网的协议，它的提出最初是因为随着互联网的迅速发展，IPv4定义的有限地址空间将被耗尽，地址空间的不足必将妨碍互联网的进一步发展。为了扩大地址空间，拟通过IPv6重新定义地址空间。IPv6采用128位地址长度，几乎可以

3、不受限制地提供地址。按保守方法估算IPv6实际可分配的地址，整个地球的每平方米面积上仍可分配1000多个地址。在IPv6的设计过程中除了一劳永逸地解决了地址短缺问题以外，还考虑了在IPv4中解决不好的其它问题，主要有端到端IP连接、服务质量、安全性、多播、移动性、即插即用等。------引用于网络。了解一下IPv6较IPv4的优点：更大的地址空间。IPv4中规定IP地址长度为32，即有2^32-1个地址；而IPv6中IP地址的长度为128，即有2^128-1个地址。更小的路由表。IPv6的地址分配一开始就遵循聚类的原则，这使得路由器能在路由表中用一条记录表示一片子网，大

4、大减小了路由器中路由表的长度，提高了路由器转发数据包的速度。增强的组播支持以及对流的支持。这使得网络上的多媒体应用有了长足发展的机会，为服务质量控制提供了良好的网络平台.加入了对自动配置的支持。这是对DHCP协议的改进和扩展，使得网络(尤其是局域网)的管理更加方便和快捷.更高的安全性.在使用IPv6网络中用户可以对网络层的数据进行加密并对IP报文进行校验,这极大的增强了网络安全.-------引用于《计算机网络-自顶向下方法》。IPv6存在的安全威胁由于像基于IPv6的UDP通信这些标准的过度方式，IPv6流量进入互联网当中，管理员却不会发觉它们的存在。例如，由于许多防

5、火墙允许UDP通过，基于IPv6的UDP通信便可穿越防火墙，而管理员却不知发生了什么。 当前，尽管业内非常关心向IPv6过渡的各种事宜，但是网络安全有时却会被忽略。下面的几种主要的IPv6威胁，在向IPv6过度之前仔细考虑、谨慎待之。1、无遵从安全设备       目前，大多数厂商宣称自己具备通过IPv6认证的安全产品。是这样吗？许多厂商提供的是一个特别的版本，它能支持IPv6或依靠某个许可证运行。但即便支持IPv6可行，人们还是应该仔细学习他们是如何运行的。例如：防火墙也许能使未经检查的IPv6流量轻松通过（而不是将其视为非IPv6应用版加以拦截、检查）；IPv6流量

6、也许可绕过多个作为深层数据包引擎的硬件组件，它们也许不支持IPv6流量，从而避免各种攻击；IPv6地址长度是IPv4的4倍，可显著放慢流量处理速度。解决方案：加强如防火墙之类的安全工具的检测力度，硬性检测IPv6的流量。不能任其随意通过。2IPv6漏洞IPv6网络管理员必须意识到协议的一些漏洞。IPv6的设计者们认为需要网络安全，包括基本协议规定中的强制IPSec。然而，近来发生的网络攻击事件显示：IPSec并不能够处理IPv6网络中的所有漏洞问题。Bug的设计初衷在于不断产生各种弱点，这对比IPv4复杂得多的IPv6来说是发生在其内部的。应用提供商们还要经过一段时间的

7、运行才能清楚、修补各种IPv6漏洞。解决方案：人们需要一个IPS提供商，它不仅能够促进IPv4向IPv6的发展，还包括诸多特征状态以修补各种基于IPv6的系统。3IPv6协议机制利用Teredo,6to4,ISATAP等协议机制，IPv6流量可跨过IPv4。攻击者可以利用各种IPv6协议机制伪装各种进攻，他们知道允许通过的信息包看上去跟正常的IPv4流量毫无差别。解决方案：我们需要通过防火墙和IPS提供商们准确核实，这些提供商们可通过深度包检测技术对IPv6流量进行内容检测。在能够支持IPv6并可真正执行IPv6DPI的IPS与诸多防火墙