由IPv6路由协议引发的安全思考


互联网的繁衍生息，其中的安全一直是我们强调的重中之重。现在IPv6路由协议的出现虽然能够解决IPv4网络协议版本下的安全问题，却引入了更新的安全问题。那么，通过下面的文章，让我们来了解一下具体的内容。

引入IPV6出现的安全新问题

IPV6路由协议在其发展过程中必定会产生一些新的安全问题，主要包括应对拒绝服务攻击(DoS)乏力、包过滤式防火墙无法根据访问控制列表ACL正常工作、入侵检测系统(IDS)遭遇拒绝服务攻击后失去作用、被黑客篡改报头等问题。此外，在IPV6中还有一些问题有待解决，主要包括:

1. IP网中许多不安全问题主要是管理造成的。IPV6的管理与IPv4在思路上有可借鉴之处。但对于一些网管技术，如SNMP等，不管是移植还是重新另搞，其安全性都必须从本质上有所提高。由于目前针对IPV6的网管设备和网管软件几乎没有成熟产品出现，因此缺乏对IPV6网络进行监测和管理的手段，缺乏对大范围的网络故障定位和性能分析的手段。没有网管，何谈保障网络高效、安全运行?

2. PKI管理在IPV6中是悬而未决的新问题。

3. IPV6网络同样需要防火墙、VPN、IDS、漏洞扫描、网络过滤、防病毒网关等网络安全设备。事实上IPV6环境下的病毒已经出现。这方面的安全技术研发还尚需时日。

4. IPV6路由协议仍需在实践中完善，例如IPV6组播功能仅仅规定了简单的认证功能，所以还难以实现严格的用户限制功能，而移动IPV6(Mobiel IPV6)也存在很多新的安全挑战。DHCP必须经过升级才可以支持IPV6地址，DHCPv6仍然处于研究、制订之中。

向IPV6迁移的可能漏洞

由于IPV6与IPv4网络将会长期共存，网络必然会同时存在两者的安全问题，或由此产生新的安全漏洞。已经发现从IPv4向 IPV6转移时出现的一些安全漏洞，例如黑客可以使用IPV6非法访问采用了IPv4和IPV6两种协议的LAN的网络资源，攻击者可以通过安装了双栈的使用IPV6的主机，建立由IPV6到IPv4的隧道，绕过防火墙对IPv4进行攻击。

向IPV6路由协议的转移与采用其他任何一种新的网络协议一样，需要重新配置防火墙，其安全措施必须经过慎重的考虑和测试，例如IPv4环境下的IDS并不能直接支持IPV6，需要重新设计，原来应用在IPv4协议的安全策略和安全措施必须在IPV6上得到落实。目前，IPv4向IPV6过渡有多种技术，其中基本过渡技术有双栈、隧道和协议转换，但目前这几种技术运行都不理想。专家建议，向IPV6转移应尽量采用双栈技术，避免采用IPV6路由协议转换;尽量采用静态隧道，避免采用动态隧道;这些都需要在广泛实验中加以检验。

与IPv4相比，IPV6在网络保密性、完整性方面有了更好的改进，在可控性和抗否认性方面有了新的保证，但IPV6不仅不可能彻底解决所有安全问题，同时还会伴随其产生新的安全问题。目前多数网络攻击和威胁来自应用层而非IP层，因此，保护网络安全与信息安全，只靠一两项技术并不能实现，还需配合多种手段，诸如认证体系、加密体系、密钥分发体系、可信计算体系等。

相关内容