ipv6身份驗(yàn)證和安全性

《ipv6身份驗(yàn)證和安全性》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在應(yīng)用文檔-天天文庫(kù)。

1、IPv6身份驗(yàn)證和安全性作者：unknown更新時(shí)間：2005-03-21??????很多年來(lái)，人們一直在爭(zhēng)論IP層是否需要身份驗(yàn)證和安全性及相關(guān)的用法問(wèn)題。本章將討論如何在IPv6中通過(guò)身份驗(yàn)證頭(AH)和封裝安全性凈荷(ESP)頭來(lái)實(shí)現(xiàn)身份驗(yàn)證和安全性，包括安全密碼傳輸、加密和數(shù)據(jù)包的數(shù)字簽名。但在探討IPv6的安全性頭之前，本章將首先介紹IP安全性體系結(jié)構(gòu)以及在IPv6中該體系結(jié)構(gòu)可能實(shí)現(xiàn)的部分。該體系結(jié)構(gòu)在RFC1825(IP的安全性體系結(jié)構(gòu))中首次進(jìn)行了描述。9.1為IP增加安全性????IPv4的目的只是作為簡(jiǎn)單的網(wǎng)絡(luò)互通協(xié)議，因而其中沒(méi)有包含安全特性。如果IPv4僅作為研

2、究工具，或者在包括研究、軍事、教育和政府網(wǎng)絡(luò)的相對(duì)嚴(yán)格的轄區(qū)中作為產(chǎn)品型網(wǎng)絡(luò)協(xié)議而使用，缺乏安全性并不是一個(gè)嚴(yán)重的缺陷。但是，隨著IP網(wǎng)絡(luò)在商用和消費(fèi)網(wǎng)絡(luò)中的重要性與日俱增，攻擊所導(dǎo)致的潛在危害將具有空前的破壞性。????本節(jié)主要內(nèi)容包括：????人們已經(jīng)為IP定義的安全性目標(biāo)。????這些目標(biāo)如何滿足。????這些目標(biāo)和相關(guān)論題如何在IP中定義。????下一節(jié)將介紹IP的安全性體系結(jié)構(gòu)(又稱為IPsec)本身的細(xì)節(jié)以及為完成上述目標(biāo)而安裝的一些工具。????應(yīng)注意，RFC1825以及后續(xù)文檔中所定義的IPsec提供的是IP的安全性體系結(jié)構(gòu)，而不是Internet的安全性體系結(jié)構(gòu)。兩者

3、的區(qū)別很重要：IPsec定義了在IP層使用的安全性服務(wù)，對(duì)IPv4和IPv6都可用。如果在適當(dāng)?shù)腎Pv4選項(xiàng)格式中實(shí)現(xiàn)AH和ESP頭，IPv4也可以使用這種安全性功能，只是在IPv6中更容易實(shí)現(xiàn)。9.1.1安全性目標(biāo)????對(duì)于安全性，可以定義如下三個(gè)公認(rèn)的目標(biāo)：????身份驗(yàn)證：能夠可靠地確定接收到的數(shù)據(jù)與發(fā)送的數(shù)據(jù)一致，并且確保發(fā)送該數(shù)據(jù)的實(shí)體與其所宣稱的身份一致。????完整性：能夠可靠地確定數(shù)據(jù)在從源到目的地傳送的過(guò)程中沒(méi)有被修改。????機(jī)密性：確保數(shù)據(jù)只能為預(yù)期的接收者使用或讀出，而不能為其他任何實(shí)體使用或讀出。????完整性和身份驗(yàn)證經(jīng)常密切相關(guān)，而機(jī)密性有時(shí)使用公共密鑰

4、加密來(lái)實(shí)現(xiàn)，這樣也有助于對(duì)源端進(jìn)行身份驗(yàn)證。????AH和ESP頭有助于在IP上實(shí)現(xiàn)上述目標(biāo)。很簡(jiǎn)單，AH為源節(jié)點(diǎn)提供了在包上進(jìn)行數(shù)字簽名的機(jī)制。AH之后的數(shù)據(jù)都是純文本格式，可能被攻擊者截取。但是，在目的節(jié)點(diǎn)接收之后，可以使用AH中包含的數(shù)據(jù)來(lái)進(jìn)行身份驗(yàn)證。????另一方面，可以使用ESP頭對(duì)數(shù)據(jù)內(nèi)容進(jìn)行加密。ESP頭之后的所有數(shù)據(jù)都進(jìn)行了加密，ESP頭為接收者提供了足夠的數(shù)據(jù)以對(duì)包的其余部分進(jìn)行解密。????Internet安全性(實(shí)際上任何一種安全性)的問(wèn)題在于很難創(chuàng)建安全性，尤其是在開(kāi)放的網(wǎng)絡(luò)中，包可能經(jīng)過(guò)任意數(shù)量的未知網(wǎng)絡(luò)，任一個(gè)網(wǎng)絡(luò)中都可能有包嗅探器在工作，而任何網(wǎng)絡(luò)都無(wú)法

5、察覺(jué)。在這樣的開(kāi)放環(huán)境中，即使使用了加密和數(shù)字簽名，安全性也將受到嚴(yán)重的威脅。對(duì)IP業(yè)務(wù)流的攻擊也包括諸如偵聽(tīng)之類，致使從一個(gè)實(shí)體發(fā)往另一個(gè)實(shí)體的數(shù)據(jù)被未經(jīng)授權(quán)的第三個(gè)實(shí)體所竊取。此外，IP安全性還應(yīng)該解決下列安全性威脅：????否認(rèn)服務(wù)攻擊：即實(shí)體使用網(wǎng)絡(luò)傳送數(shù)據(jù)，致使某個(gè)授權(quán)用戶無(wú)法訪問(wèn)網(wǎng)絡(luò)資源。例如，攻擊者可能使某主機(jī)淹沒(méi)于大量請(qǐng)求中，從而致使系統(tǒng)崩潰；或者重復(fù)傳送很長(zhǎng)的e-mail報(bào)文，企圖以惡意業(yè)務(wù)流塞滿用戶或站點(diǎn)帶寬。????愚弄攻擊：即實(shí)體傳送虛報(bào)來(lái)源的包。例如，有一種愚弄攻擊是由攻擊者發(fā)送e-mail報(bào)文，報(bào)頭的“From:”指明該報(bào)文的發(fā)信人是美國(guó)總統(tǒng)。那些在在包頭攜

6、帶錯(cuò)誤源地址的攻擊則更加陰險(xiǎn)。????密鑰處理問(wèn)題則更加復(fù)雜。為使身份驗(yàn)證和加密更可靠，IP安全性體系結(jié)構(gòu)要求使用密鑰。如何安全地管理和分配密鑰，同時(shí)又能正確地將密鑰與實(shí)體結(jié)合以避免中間者的攻擊，這是Internet業(yè)界所面臨的最棘手的問(wèn)題之一。這種中間者的攻擊是指，攻擊者(假設(shè)為C)將自己置于兩個(gè)通信實(shí)體(假設(shè)為A和B)之間，攔截A和B之間傳送的所有數(shù)據(jù)，冒充A把數(shù)據(jù)重新發(fā)送給B，也冒充B把數(shù)據(jù)重新發(fā)送給A。如果C能夠以類似B的公共密鑰進(jìn)行身份驗(yàn)證，從而讓A確認(rèn)它就是B，同樣也讓B誤以為它就是A，那么A和B就會(huì)誤認(rèn)為他們之間的傳送是安全的。????IPsec本身不能使Internet

7、更加安全。本章只提出與Internet安全性相關(guān)的幾個(gè)最迫切的問(wèn)題。對(duì)Internet安全性的細(xì)節(jié)感興趣的讀者，請(qǐng)參考本書(shū)作者的另一本書(shū)《PersonalEncryptionClearlyExplained》(APProfessional,1998)，書(shū)中討論了加密、數(shù)字簽名和Internet安全性問(wèn)題。9.1.2RFC1825及建議的更新????RFC1825于1995年8月發(fā)布，共有22頁(yè)；其第5版修改草案完成于1998年5月，已經(jīng)達(dá)到66