维普资讯 http://www.cqvip.com 本栏目责任编辑：冯蕾 ・・・・・・网络通讯及安全・ ＩＰｖ６与ＩＰｖ４网络安全分析 张连环．朱晓飞 （９１０６５教研部，辽宁葫芦岛１２５００１） 摘要：本文首先对ＩＰｖ４和ＩＰｖ６进行了概要介绍，描述了ＩＰｖ４的缺点和ＩＰｖ６的优点。然后对ＩＰｖ４的安全缺陷进行了分析，探讨了 ＩＰｖ６对这些缺陷的改进方法，最后对ＩＰｖ６的安全问题也进行了分析。 关键词：ＩＰｖ４；ＩＰｖ６；网络安全；分析 中圈分类号：ＴＰ３９３ 文献标识码：Ａ 文章编号：１００９—３０４４（２００８）１６—２１２０７—０１ Ｔｈｅ Ａｎａｌｙｓｉｓ ｏｆ Ｉ１％６ ａｎｄ Ｉ１％４ Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ ＺＨＡＮＧ Ｌｉａｎ—ｈｕａｎ，ＺＨＵ Ｘｉａｏ—ｆｅｉ （９１０６５ Ａｒｍｙ，Ｈｕｌｕｄａｏ １２５００１，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ｔｈｉｓ ａｒｔｉｃｌｅ ｆｉｒｓｔ ｍａｋｅ ａ ｓｕｍｍａｒｙ ｏｆ ＩＰｖ４ ａｎｄ ＩＰｖ６，ｄｉｓｃｕｓｓｅｄ ｔｈｅ ｓｈｏｒｔｃｏｍｉｎｇｓ ｏｆ ＩＰｖ４ ａｎｄ ＩＰｖ６ ａｄｖａｎｔａｇｅｓ．Ｔｈｅｎ ＩＰｖ４ ｓｅｃｕｒｉｔｙ ｌｆａｗｓ ｗｅｒｅ ａｎａｌｙｚｅｄ，ｄｉｓｃｕｓｓｅｄ ＩＰｖ６ ｉｍｐｒｏｖｅ ｏｎ ｔｈｅｓｅ ｄｅｆｉｃｉｅｎｃｉｅｓ，ａｔ ｔｈｅ ｌａｓｔ ｔｈｅ ＩＰｖ６ ｓｅｃｕｒｉｙｔ ｉｓｓｕｅｓ ａｒｅ ａｌｓｏ ａｎａｌｙｚｅｄ． Ｋｅｙ ｗｏｒｄｓ：ＩＰｖ４ ａｎｄ ＩＰｖ６；ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ；ａｎａｌｙｓｉｓ 随着网络的繁荣发展，加上最初设计的地址分类方法不合理，造成了今天ＩＰ地址极度缺乏的状况。其次，由于它起初主要面向 研究和开发机构，对安全性的考虑不是很充分，而在实现网络商业化的今天，不安全的通信信道带来的网络攻击越来越多，其影响 力也越来越大。ＩＰｖ４获得的巨大成功反而使得它本身陷入了一个尴尬的境地，此时ＩＰｖ６的推出成为大势所趋。 １ ４与 ６概述 第一代互联网美方从６０年始，７０年代正式进行开发建设，１９９４年正式投入商业运营，并统一采用ＴＣＰ／ＩＰ协议［１】。 ＩＰＶ４之所以向ＩＰＶ６演进，主要是因为ＩＰＶ４的地址协议出现明显的局限，ＩＰ地址已经不能满足需要。ＩＰＶ４的ＩＰ地址大约为４０多 亿，但是却存在着严重的分配不均匀问题，其中美国掌握了绝对的控制权，ＩＰ地址分配上美国占着绝对的优势。造成了我国的公众 网因ＩＰ地址匮乏，被迫大量使用转换地址，严重影响了互联网的正常发展，这就形成了对ＩＰＶ６的迫切需要。下面对ＩＰＶ４和ＩＰＶ６ 进行简单介绍： １．１Ⅱ＇、ｒ４ 目前的全球因特网所采用的协议族是ＴＣＰ／ＩＰ协议族。ＩＰ是ＴＣＰ／ＩＰ协议族中网络层的协议，是ＴＣＰ／ＩＰ协议族的核心协议。目前 ＩＰ协议的版本号是４（简称为ＩＰｖ４），发展至今已经使用了３０多年。ＩＰｖ４的地址位数为３２位，也就是最多有２的３２次方的电脑可以 联到Ｉｎｔｅｒｎｅｔ上。有预测表明，所有ＩＰｖ４地址将在２００５—２０１０年间分配完毕。另外，由于ＩＰｖ４采用与网络拓扑结构无关的形式来分 配地址，所以随着连入网络数目的增涨，路由器数目飞速增加，相应的，决定数据传输路由的路由表也就不断增大，路由器在路由表 中查询正确路由的时间就越长。ＩＰｖ４也缺乏网络服务质量的支持，也没有对移动服务的支持。 １．２Ⅱ＇、ｒ６ ＩＰＶ６设计的初衷就是为了扩大地址空间，拟通过ＩＰｖ６重新定义地址空间可以满足互联网发展的需要。ＩＰｖ６采用１２８位地址长 度，几乎可以不受地提供地址。按保守方法估算ＩＰｖ６实际可分配的地址，整个地球的每平方米面积上仍可分配１０００多个地址。 在ＩＰｖ６的设计过程中除了一劳永逸地解决了地址短缺问题以外，还考虑了在ＩＰｖ４中解决不好的其它问题，主要有端到端ＩＰ连接、 服务质量（Ｑ０ｓ）、安全性、多播、移动性、即插即用等。具体地说，ＩＰｖ６具有以下优势：①扩展了地址容量，ＩＰｖ６支持的ＩＰ地址长度由原 来的３２位扩充到１２８位；②自动地址分配，使ＩＰｖ６终端能够快速连接到网络上，无需人工配置，实现了真正的即插即用。③简化了 报头格式，有效减少了路由器及交换机对报头的处理开销；④提高了服务质量，ＩＰｖ６数据包的格式包含一个８位的业务流类别 （ｃｌａｓｓ）和一个新的２０位的流标￣（Ｆｌｏｗ Ｌａｂｅ１），可以知道数据包的ＱｏＳ需求，并进行快速的转发；⑤提供了认证和私密性，ＩＰｖ６将ＩＰ 安全性（ＩＰｓｅｃ）作为自身标准的有机组成部分；⑥支持移动服务、ＩＰｖ６对于移动性的支持是作为一个必需的协议内嵌在ＩＰ协议中的， ＩＰｖ６的移动性支持取消了异地代理，完全支持路由优化，彻底消除了三角路由问题，并且为移动终端提供了足够的地址资源，使得 移动ＩＰ的实际应用成为可能。 ２ ４的安全分析 在ＩＰｖ４体系下，网络层几乎是毫无安全性可言的。 ｆ１）ＩＰｖ４地址分配的不合理性，导致ＩＰ地址分布十分零散。这就使得伪造源ＩＰ地址进行网络攻击成为可能，攻击者可以任意伪 造源ＩＰ地址对目标地址进行攻击。 （下转第１２１３页） 收稿日期：２００８—０４—０５ 作者简介：张连环，（１９７４一），男，辽宁朝阳人，研究方向：电子通信与对抗；朱晓飞，（１９７９一），女，辽宁葫芦岛人，研究方向：导航技术 及应用。 维普资讯 http://www.cqvip.com 本栏目责任编辑：冯蕾 ・・・ ・・网络通讯及安全・ 样，实现的复杂度也不一样，如果能根据移动通信信道的具体特性选择恰当的编码与调制的方案，则可以节约通信资源，使得用户 获得更高的信息速率。由于不是调整发射功率，而是调整编码与调制方式来进行信道适应，所以系统中的干扰变化不再那么剧烈。 移动通信发展到今天，已经产生了许多调制与信道编码方案，如果把调制与信道编码联合起来考虑，能够提高通信系统的抗干 扰性能。研究不同移动信道环境下如何选择编码与调制方案，是极具研究价值的。 Ｂ３Ｇ是一组极有前途的技术，我国已经在３Ｇ的研究方面取得了不少理论成果，并且提出了自己的移动通信标准（ＴＤ－ＳＣＤ— ＭＡ）．与欧洲的ＷＣＤＭＡ标准和北美的ＣＤＭＡ２０００标准一起，被认为是最有希望成为第三代移动通信世界标准的候选标准。 Ｂ３Ｇ是一组理论性、系统性很强的技术。在研究的过程中，要全面考虑，既要注意Ｂ３Ｇ中单个技术的可行性，又要注意它与其它 技术的兼容性，既要考虑Ｂ３Ｇ中单个技术的最优性，又要考虑Ｂ３Ｇ的整体最优性。 （上接第１２０７页） ． ｆ２）由于网络中存在的ＭＴＵ的，因此传送大于该网络ＭＴＵ的数据包要进行分片，但由此也会带来安全上的漏洞。攻击者只 需要２个ＵＤＰ分片，即可造成一些操作系统崩溃。 ｆ３）假冒ＩＰ地址，即攻击者利用被攻击者的ＩＰ地址或者一个根本不存在的地址作为特殊数据包的源地址，通过发送大量数据 包占用被攻击者的资源，造成被攻击者的不正常工作。 ３ ＩＰｖ６安全分析 ３．１ ＩＰｖ６的改进 ＩＰｖ６的巨大地址空间以及引入ＩＰＳＥＣ带来的加密和认证机制，实现了网络层的身份认证和数据包的完整性、机密性，增强了网 络层的安全，对于应对网络威胁与攻击，保障网络通信安全成效显著。ＩＰｖ６的优势具体有以下几点： ３．１．１ ＩＰｖ６地址资源丰富 ＩＰｖ６采用１２８位地址，且地址采用前缀表示法，格式前缀（也称全局路由前缀）是一个ＩＰ地址的高位，它用来识别子网或某种特 殊类型的地址。其中，在全球范围内可唯一标识的地址是“可聚类全局单播地址”，它基于一个分层的原则，把１２８位地址分成６个 部分，第一部分是标识该地址使用的是“可聚类全局单播地址”，第二部分用作保留，再往下依次是“次级聚类标识符”，“站点级聚类 标识符”，最后６４位表示接口ＩＤ，所以ＩＰｖ６可以提供的ＩＰ地址资源更加丰富。 ３．１．２与ＩＰＳｅｃ有机结合 由于ＩＰｖ４协议本身没有对数据进行有效保护，无法保证数据的完整性、机密性以及对身份的验证，在网络安全方面存在较大隐 患。因此。在设计ＩＰｖ６时，协议安全作为一个重要的方面进行考虑，将ＩＰ安全体系结构（ＩＰＳｅｃ）纳入了协议整体之中，成为协议的一 个有机组成部分。数据网络的安全威胁是多层面的，它们分布在物理层、数据链路层、网络层、传输层和应用层等各个部分。ＩＰＳｅｅ通 过身份验证头（ＡＨ）与封装安全性净荷头（ＥＳＰ１相结合，配合相关的密钥管理机制，ＩＰＳｅｃ为网络数据和信息内容的有效性、一致性以 及完整性提供了保证。但在实际部署ＩＰｖ６网络时，由于技术能力不够和现有安全基础设施不足等原因，使得ＩＰｖ６网络往往没有采 用任何安全措施。而且，其网络传输数据包的基本机制也与ＩＰｖ４相同，所以现有的ＩＰｖ６网络并不比ＩＰｖ４网络安全，这也有待完善。 ３．１．３数据认证 ＩＰｖ６使数据包的接收者可以验证数据的真实性、完整性，还可以与数字签名结合，保证数据的不可抵赖性，使数据在接收端可 得到认证．确保数据的真实可靠。而且，ＩＰｖ６允许数据传输采用隧道模式和传输模式两种方式，它既可为两个节点间的简单直接的 数据包传送提供身份验证和保护，也可用于对发给安全性网关或由安全性网关发出的整个数据包进行包装，并加入认证信息。 ３．１．４数据加密 在使用ＩＰｖ６网络中用户可以对网络层的数据进行加密并对ＩＰ报文进行校验，这极大的增强了网络安全。 ３．２ ＩＰｖ６的安全缺陷 网络安全永远是一个相对概念，也不要指望ＩＰｖ６能够彻底所有的网络安全问题。 ＩＰｖ６中仍保留着ＩＰｖ４的诸多结构特点，如选项分片和１ＴｒＬ等。这些选项都曾经被黑客用来攻击ＩＰｖ４节点。而且，目前为止， ＩＰｖ６中并没有提出新的安全策略——所有使用的安全策略都是在ＩＰｖ４下已经存在的，因此它无法从根本上解决安全性能的问题 ＩＰｖ６主要解决的是网络层的身份认证、数据包完整性和加密问题。因此，一些从上层发起的攻击如应用层的缓冲区溢出攻击和 传输层的ＴＣＰ ＳＹＮ ＦＬＯＯＤ攻击等在ＩＰｖ６下仍然存在。 ＩＰｖ６协议本身还有一些问题有待解决，ＩＰ网中许多不安全问题主要是管理造成的。由于目前针对ＩＰｖ６的网管设备和网管软件 几乎没有成熟产品出现，因此缺乏对ＩＰｖ６网络进行监测和管理的手段，缺乏对大范围的网络故障定位和性能分析的手段。没有网 管，无法保障网络高效、安全运行。ＩＰｖ６网络同样需要防火墙、ＶＰＮ、ＩＤＳ、漏洞扫描、网络过滤、防病毒网关等网络安全设备。事实上 ＩＰｖ６环境下的病毒已经出现。这方面的安全技术研发尚需时日。 参考文献： 『１１刘斌．浅析ＩＰｖ４和ＩＰｖ６．高校实验室工作研究，２００６（３）． 『２１高嵩，贾卓生．关于ＩＰｖ４及ＩＰｖ６的安全讨论．计算机与现代化，２００６（６）． ［３】杨碧天，常立夏，詹德新．ＩＰｖ６安全性能研究．网络安全技术与应用，２００８（１）． 【４１刘世杰，李祥和．ＩＰｖ６对网络安全的改进．电视技术，２００７（２）． 『５１李超林，赵广．ＩＰｖ６协议的网络安全分析．计算机与信息技术，２００７（１６）． 『６１郝践．ＩＰｖ６技术的特点及其应用安全等问题分析．计算机与信息技术，２００７（１９）． １２１３
