ipv6身份驗證與安全性

《ipv6身份驗證與安全性》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在行業(yè)資料-天天文庫。

1、IPv6身份驗證和安全性很多年來，人們一直在爭論IP層是否需要身份驗證和安全性及相關(guān)的用法問題。本章將討論如何在IPv6中通過身份驗證頭(AH)和封裝安全性凈荷(ESP)頭來實現(xiàn)身份驗證和安全性，包括安全密碼傳輸、加密和數(shù)據(jù)包的數(shù)字簽名。但在探討IPv6的安全性頭之前，本章將首先介紹IP安全性體系結(jié)構(gòu)以及在IPv6中該體系結(jié)構(gòu)可能實現(xiàn)的部分。該體系結(jié)構(gòu)在RFC1825(IP的安全性體系結(jié)構(gòu))中首次進行了描述。　　1.為IP增加安全性　　IPv4的目的只是作為簡單的網(wǎng)絡互通協(xié)議，因而其中沒有包含安全特性。如果IPv4僅作為研究工具，或者在包括研究、軍事、教育和政府網(wǎng)絡的相對嚴格的轄區(qū)中作為

2、產(chǎn)品型網(wǎng)絡協(xié)議而使用，缺乏安全性并不是一個嚴重的缺陷。但是，隨著IP網(wǎng)絡在商用和消費網(wǎng)絡中的重要性與日俱增，攻擊所導致的潛在危害將具有空前的破壞性。　　本節(jié)主要內(nèi)容包括：人們已經(jīng)為IP定義的安全性目標，這些目標如何滿足，這些目標和相關(guān)論題如何在IP中定義。　　應注意，RFC1825以及后續(xù)文檔中所定義的IPsec提供的是IP的安全性體系結(jié)構(gòu)，而不是Internet的安全性體系結(jié)構(gòu)。兩者的區(qū)別很重要：IPsec定義了在IP層使用的安全性服務，對IPv4和IPv6都可用。如果在適當?shù)腎Pv4選項格式中實現(xiàn)AH和ESP頭，IPv4也可以使用這種安全性功能，只是在IPv6中更容易實現(xiàn)。　　1.1

3、安全性目標　　對于安全性，可以定義如下三個公認的目標：　　身份驗證：能夠可靠地確定接收到的數(shù)據(jù)與發(fā)送的數(shù)據(jù)一致，并且確保發(fā)送該數(shù)據(jù)的實體與其所宣稱的身份一致。　　完整性：能夠可靠地確定數(shù)據(jù)在從源到目的地傳送的過程中沒有被修改?！　C密性：確保數(shù)據(jù)只能為預期的接收者使用或讀出，而不能為其他任何實體使用或讀出。完整性和身份驗證經(jīng)常密切相關(guān)，而機密性有時使用公共密鑰加密來實現(xiàn)，這樣也有助于對源端進行身份驗證?！　H和ESP頭有助于在IP上實現(xiàn)上述目標。很簡單，AH為源節(jié)點提供了在包上進行數(shù)字簽名的機制。AH之后的數(shù)據(jù)都是純文本格式，可能被攻擊者截取。但是，在目的節(jié)點接收之后，可以使用AH中包

4、含的數(shù)據(jù)來進行身份驗證?！　×硪环矫妫梢允褂肊SP頭對數(shù)據(jù)內(nèi)容進行加密。ESP頭之后的所有數(shù)據(jù)都進行了加密，ESP頭為接收者提供了足夠的數(shù)據(jù)以對包的其余部分進行解密。　　Internet安全性(實際上任何一種安全性)的問題在于很難創(chuàng)建安全性，尤其是在開放的網(wǎng)絡中，包可能經(jīng)過任意數(shù)量的未知網(wǎng)絡，任一個網(wǎng)絡中都可能有包嗅探器在工作，而任何網(wǎng)絡都無法察覺。在這樣的開放環(huán)境中，即使使用了加密和數(shù)字簽名，安全性也將受到嚴重的威脅。對IP業(yè)務流的攻擊也包括諸如偵聽之類，致使從一個實體發(fā)往另一個實體的數(shù)據(jù)被未經(jīng)授權(quán)的第三個實體所竊取。此外，IP安全性還應該解決下列安全性威脅：　　否認服務攻擊：即實體

5、使用網(wǎng)絡傳送數(shù)據(jù)，致使某個授權(quán)用戶無法訪問網(wǎng)絡資源。例如，攻擊者可能使某主機淹沒于大量請求中，從而致使系統(tǒng)崩潰；或者重復傳送很長的e-mail報文，企圖以惡意業(yè)務流塞滿用戶或站點帶寬。　　愚弄攻擊：即實體傳送虛報來源的包。例如，有一種愚弄攻擊是由攻擊者發(fā)送e-mail報文，報頭的“From:”指明該報文的發(fā)信人是美國總統(tǒng)。那些在在包頭攜帶錯誤源地址的攻擊則更加陰險。　　密鑰處理問題則更加復雜。為使身份驗證和加密更可靠，IP安全性體系結(jié)構(gòu)要求使用密鑰。如何安全地管理和分配密鑰，同時又能正確地將密鑰與實體結(jié)合以避免中間者的攻擊，這是Internet業(yè)界所面臨的最棘手的問題之一。這種中間者的攻

6、擊是指，攻擊者(假設為C)將自己置于兩個通信實體(假設為A和B)之間，攔截A和B之間傳送的所有數(shù)據(jù)，冒充A把數(shù)據(jù)重新發(fā)送給B，也冒充B把數(shù)據(jù)重新發(fā)送給A。如果C能夠以類似B的公共密鑰進行身份驗證，從而讓A確認它就是B，同樣也讓B誤以為它就是A，那么A和B就會誤認為他們之間的傳送是安全的。IPsec本身不能使Internet更加安全。本章只提出與Internet安全性相關(guān)的幾個最迫切的問題。對Internet安全性的細節(jié)感興趣的讀者，請參考本書作者的另一本書《PersonalEncryptionClearlyExplained》(APProfessional,1998)，書中討論了加密、數(shù)

7、字簽名和Internet安全性問題?！　?.2RFC1825及建議的更新　　RFC1825于1995年8月發(fā)布，共有22頁；其第5版修改草案完成于1998年5月，已經(jīng)達到66頁。安全性的正確實現(xiàn)要求認真考慮細節(jié)問題，這是對原RFC進行擴充的主要原因。更新后的文檔在最終發(fā)布時，在關(guān)于如何實現(xiàn)所有的IP協(xié)議(包括ICMP和組播)方面將提供更多的細節(jié)，同時將更詳細討論密鑰管理相關(guān)問題和安全性關(guān)聯(lián)問題?！　?IPsec　　IPsec的目標是