張 學(xué)

[摘要]主要分析移動IPv6面臨的攻擊,并提出針對移動IPv6攻擊的幾種解決方案。

[關(guān)鍵詞]移動IPv6移動節(jié)點解決方案安全問題

中圖分類號:TN92文獻(xiàn)標(biāo)識碼:A文章編號:1671-7597(2009)0820063-01

一、引言

隨著信息技術(shù)日新月異的發(fā)展演變,互聯(lián)網(wǎng)從IPv4過渡到IPv6已是大勢所趨,而移動IP技術(shù)自身也隨之發(fā)生了革命性的變化。但移動計算與普通計算的環(huán)境及特性存在較大區(qū)別,如多數(shù)情況移動計算是在無線環(huán)境下,且移動節(jié)點需要不斷更改轉(zhuǎn)交地址,這些都會導(dǎo)致許多安全問題。

二、移動IPv6基本工作原理

當(dāng)移動節(jié)點在本地鏈路時,其工作方式如同位置固定的主機(jī),移動1P不需要進(jìn)行任何特別的操作。當(dāng)移動節(jié)點離開本地鏈路進(jìn)入外地鏈路時,其工作原理為:

1.移動節(jié)點通過常規(guī)的IPv6無狀態(tài)或有狀態(tài)的自動配置機(jī)制,獲得一個或多個轉(zhuǎn)交地址。

2.移動節(jié)點在獲得轉(zhuǎn)交地址后,向本地代理申請注冊,為移動節(jié)點的本地地址和轉(zhuǎn)交地址在本地代理上建立綁定。

3.移動節(jié)點可以直接發(fā)送報文給通信節(jié)點,報文的源地址為移動節(jié)點的當(dāng)前轉(zhuǎn)交地址,本地地址選項是移動節(jié)點的本地地址。

4.通信節(jié)點發(fā)送給移動節(jié)點時,首先根據(jù)報文目的IP地址查詢它的綁定緩存,如果在綁定中存在匹配,則發(fā)送報文給移動節(jié)點的轉(zhuǎn)交地址。如果不存在這樣的匹配,則將報文發(fā)送到其本地地址。

5.移動節(jié)點根據(jù)收到本地代理轉(zhuǎn)發(fā)的IPv6報文判斷通信節(jié)點沒有自己的綁定緩存,因而向通信節(jié)點發(fā)送綁定更新建立綁定緩存。

6.移動節(jié)點離開本地后,本地網(wǎng)絡(luò)可能進(jìn)行了重新配置,原來的本地代理被其它路由器取代。

三、移動IPv6面臨的攻擊分析

目前,移動IPv6可能遭受的攻擊主要包括以下幾種類型。

(一)拒絕服務(wù)攻擊(DoS)

拒絕服務(wù)攻擊是指攻擊者為阻止合法用戶獲得正常服務(wù)而采用的攻擊手段。在移動IPv6中,攻擊者可以通過如下手段達(dá)到拒絕服務(wù)目的:

1.攻擊者發(fā)送大量地址綁定更新消息來消耗本地代理和通信節(jié)點的資源,從而導(dǎo)致綁定緩存表溢出或者是無法及時處理合法用戶的綁定更新報文。

2.惡意主機(jī)把Internet上服務(wù)器的IPv6地址作為大量移動節(jié)點的轉(zhuǎn)交地址,發(fā)送偽裝的綁定更新消息給對端通信節(jié)點,引發(fā)大量的流量發(fā)往受害服務(wù)器,導(dǎo)致分布式拒絕服務(wù)攻擊。

3.攻擊者冒充移動節(jié)點,使用移動節(jié)點的本地地址發(fā)送綁定更新消息,偽裝節(jié)點的移動狀況,阻斷合法用戶的正常通信。

4.在移動節(jié)點和本地代理通信路徑上的攻擊者通過篡改本地地址選項域值,將通信節(jié)點的流量重定向到第三方節(jié)點,阻斷合法用戶的正常通信。

(二)重放攻擊(ReplayAttacks)

重放攻擊是指攻擊者將一個合法的有效的注冊請求消息保存起來,等待一段時間后再重新發(fā)送這個消息,來注冊一個偽造的轉(zhuǎn)交地址,從而達(dá)到攻擊的目的。在移動節(jié)點和通信節(jié)點通信路徑上的攻擊者能夠通過這種方式將數(shù)據(jù)流重定向到第三方實體。

(三)信息竊取攻擊

信息竊取可以分為被動地監(jiān)聽和主動地會話竊取攻擊。

1.被動的監(jiān)聽。移動IPv6可以使用包括無線鏈路在內(nèi)的多種傳輸媒介,由于無線鏈路的信道特性,攻擊者不需要網(wǎng)絡(luò)上的物理連接就可以進(jìn)行監(jiān)聽。

2.會話竊取攻擊。會話竊取攻擊是指攻擊者等待合法的用戶認(rèn)證完成并且正常會話后,通過假扮合法節(jié)點來竊取會話的攻擊。

(四)中間人攻擊(MITM)

當(dāng)攻擊者在移動節(jié)點A與通信節(jié)點B中間的通信鏈路上就可能截取并修改移動節(jié)點A的綁定更新分組,并利用它來進(jìn)行反射攻擊等。

(五)反射攻擊(ReflectionAttacks)

當(dāng)移動節(jié)點A正在與通信節(jié)點B進(jìn)行會話時,一個請求分組給B,在正常情況下B將返回一個應(yīng)答分組,但如果A發(fā)送一個請求分組給B而導(dǎo)致B發(fā)送一個應(yīng)答分組給C,就稱為反射攻擊。攻擊者可以通過綁定更新來進(jìn)行反射攻擊,主要是由于在路由報頭中指定了數(shù)據(jù)包再從源節(jié)點到目的節(jié)點的過程中應(yīng)該經(jīng)過的節(jié)點的地址。如果攻擊者在和移動節(jié)點通信,它可能在路由報頭中插入另外一個地址而不是移動節(jié)點的本地地址,這將導(dǎo)致移動節(jié)點把自己的分組傳給另外一個通信節(jié)點。

四、針對移動IPv6攻擊的幾種解決方案

1.對于拒絕服務(wù)(DoS)攻擊的防護(hù)方法是檢查認(rèn)證有效期、確定移動節(jié)點位置并保持資源的可用性。對通信節(jié)

點而言,它可以采用以下方式來抵抗拒絕服務(wù)攻擊:如果通信節(jié)點被大量綁定更新的信息所堵塞,它可以通過中止處理綁定更新信息的流程來減緩堵塞下的系統(tǒng)壓力;若通信節(jié)點察覺到分配在檢查虛假綁定信息上的資源遠(yuǎn)遠(yuǎn)超出用來接收真實綁定更新信息的資源時,通信節(jié)點會在不執(zhí)行任何加密機(jī)制的情況下,逐步拋棄部分或是全部的綁定更新的信息。

2.在移動IPv6中可以采用兩種方式來預(yù)防重放攻擊:第一種方法是使用時間戳,移動節(jié)點可以通過附加的注冊請求消息的日期和時間來防止重放攻擊;第二種方法是通過使用隨機(jī)數(shù)。在這種方法中,家鄉(xiāng)代理規(guī)定了移動節(jié)點發(fā)送的下一條注冊請求消息中標(biāo)識域的值,如果家鄉(xiāng)代理收到的注冊請求消息中的標(biāo)識域的值與期望的值不符,則拒絕這條消息,并通知移動節(jié)點。由于這種方法要求移動節(jié)點和家鄉(xiāng)代理之間進(jìn)行相互認(rèn)證,所以它還能夠防止移動節(jié)點和家鄉(xiāng)代理因受到攻擊而引起的不同步,當(dāng)然通信節(jié)點也必須在認(rèn)證有效期內(nèi)保留相關(guān)隨機(jī)數(shù)信息。

3.對付被動監(jiān)聽這種攻擊,可以根據(jù)實際情況采用數(shù)據(jù)鏈路層加密或者端到端加密的方法。數(shù)據(jù)鏈路層加密通常是對通信路徑中保密性能較差的無線鏈路進(jìn)行加密,而端到端加密則是對整個通信路徑進(jìn)行加密。采用端到端加密是一種更為有效的防止竊取信息攻擊的方法。

4.中間入攻擊包括竊聽、插入、刪除、修改消息,反射消息回到發(fā)送者,重放舊消息以及重定向消息。要使在移動節(jié)點和本地代理之間發(fā)送的綁定更新和綁定應(yīng)答消息是完整的,必需在它們之間進(jìn)行相互認(rèn)證。IPsec體系結(jié)構(gòu)的Intemet安全關(guān)聯(lián)和密鑰管理協(xié)議(ISAKMP)～夠抵御中間入攻擊。

5.為了對付反射攻擊,移動節(jié)點和本地代理之間的注冊消息必須采用有效的認(rèn)證機(jī)制,從而使得攻擊者不可能偽造注冊請求消息,檢查認(rèn)證有效期、確定移動節(jié)點位置并保持資源的可用性。對通信節(jié)點而言,它可以采用以下方式來抵抗拒絕服務(wù)攻擊:如果通信節(jié)點被大量綁定更新的信息所堵塞,它可以通過中止處理綁定更新信息的流程來減緩堵塞下的系統(tǒng)壓力;若通信節(jié)點察覺到分配在檢查虛假綁定信息上的資源遠(yuǎn)遠(yuǎn)超出用來接收真實綁定更

新信息的資源時,通信節(jié)點會在不執(zhí)行任何加密機(jī)制的情況下,逐步拋棄部分或是全部的綁定更新的信息。

五、增強(qiáng)移動IPv6安全性的策略

1.移動IPv6中同時采用隧道和源路由技術(shù)向連接在外地鏈路上的移動節(jié)點傳送數(shù)據(jù)包。移動IPv6可以使用選路擴(kuò)

展報頭來安全地實現(xiàn)源路由,避免了存在一個攻擊者可以將一個偽造的轉(zhuǎn)交地址當(dāng)作中間目的地址,而使移動節(jié)點無法獲得有用的信息的安全隱患。

2.提高動態(tài)家鄉(xiāng)代理的有效性,并通過使用路由優(yōu)化機(jī)制及正確分配來避免“三角路由”問題。但進(jìn)行路由優(yōu)化的同時應(yīng)兼顧安全性,此時移動節(jié)點必須和通信節(jié)點進(jìn)行相互認(rèn)證,即它們需要一對密鑰,要注意初始密鑰分配問題。但當(dāng)移動節(jié)點和通信節(jié)點的數(shù)目較多時,為每一個移動節(jié)點和通信節(jié)點都分配一對密鑰是不現(xiàn)實的,可以為每個移動節(jié)點和其家鄉(xiāng)代理配置一對密鑰。

3.移動節(jié)點發(fā)生切換時實現(xiàn)認(rèn)證信息快速切換的傳遞,簡化認(rèn)證過程,并采用層次化移動IPv6來解決不同切換下的安全問題。移動節(jié)點可以在向新的家鄉(xiāng)代理發(fā)送注冊請求的同時向舊家鄉(xiāng)代理發(fā)送綁定更新消息,并通知舊家鄉(xiāng)代理暫時緩存數(shù)據(jù)。而后移動節(jié)點對新家鄉(xiāng)代理進(jìn)行認(rèn)證,如果認(rèn)證成功,移動節(jié)點將通知舊家鄉(xiāng)代理轉(zhuǎn)發(fā)它緩存的數(shù)據(jù)到新家鄉(xiāng)代理,從而可以實現(xiàn)一種更平滑、安全的切換機(jī)制。

4.通過信令的優(yōu)化,可以保證節(jié)點更好的QoS需求。

5.在移動IPv6中應(yīng)用IPSec可以使網(wǎng)絡(luò)建立起安全連接、并對傳輸數(shù)據(jù)進(jìn)行加密,保持?jǐn)?shù)據(jù)的可靠性,從而大大提高網(wǎng)絡(luò)安全管理的可擴(kuò)展性。

六、結(jié)語

安全性是決定移動IP能否得到廣泛應(yīng)用的至關(guān)重要的因素之一。移動IPV6中采用了多種機(jī)制來防止各種安全威脅,在很大程度上解決了移動IPV4中的安全隱患。但是,目前還有很多安全問題沒有得到很好的解決,例如密鑰的管理和各種安全軟件的集成化。總之,網(wǎng)絡(luò)安全問題的解決是一項艱巨的系統(tǒng)工程。

作者簡介:

張學(xué)(1978-),男,江西人,研究方向:通信。