IPv6网络真的安全吗?大家怎么看?

当前,“线上”网络和“线下”生活正在深度融合,虚拟网络世界和现实社会生活相互交织。人们在互联网上变成了“透明人”,个人的一举一动都被互联网“记录在案”,试想一下如果这些信息被非法使用,是不是很恐怖?

另外,网络在金融、交通、通信、军事等各个领域的作用越来越重要,已成为一个国家正常运转的“神经系统”。

在前几期IPv6专题文章(参见文末相关阅读)中,我们知道国家正在大力推动IPv6网络的部署,其中有一个很重要的出发点,就是希望借助IPv6在安全性上的改进,促进网络空间的安全治理,扭转当前网络安全的严峻形势。

IPv6在技术上有哪些改进?

IPv6作为下一代互联网的关键性技术,正逐步取代IPv4成为支撑互联网运转的核心协议,IPv6重点解决了IPv4两方面的问题。

地址空间问题

与IPv4相比,IPv6把IP地址数量从2的32次方扩展到了2的128次方,足以满足任何未来可预计的地址空间分配。这正是IPv6被选作新一代网络承载协议并逐渐商用部署的根本驱动力。

网络安全问题

IPv4因为地址资源有限,在很多时候一个公网地址需要通过地址翻译(NAT)方式被多台主机共用。因此也就破坏了端到端通信的透明性,为网络安全事件的溯源带来了困难。IPv6地址资源丰富,可采用逐级、层次化的结构进行地址分配,为每个责任体分配一个独一无二的IPv6地址,使得追踪定位,查询溯源得到了很大的改善。可以说,IPv6技术是实施网络空间安全治理的基础性技术。

IPv6在安全性上有哪些提高?

1.可溯源和防攻击

IPv6的地址空间巨大,理论上不会再有IPv6地址短缺困境,也不需要广泛使用NAT设备节省IPv6公网地址。IPv6终端之间可以直接建立点到点的连接,无需地址转换,因此IPv6地址非常容易溯源。

IPv6地址分为64位的网络前缀和64位的接口地址。一个64位的前缀地址支持64位的主机数量,攻击者无法扫描一个IPv6网段内所有可能的主机。假设攻击者以每秒扫描100万个主机的速度扫描,大约50万年左右才能遍历一个64位前缀内所有的主机地址。64位的主机地址使得网络扫描的难度和代价都大大增加,从而进一步防范了攻击。

2.支持IPSec安全加密机制

IPv6协议中默认集成了IPSec安全功能,通过扩展认证报头(AH)和封装安全载荷报头(ESP)实现加密和验证功能。

AH协议实现数据完整性和数据源身份认证功能,ESP在上述功能基础上增加安全加密功能。集成了IPSec的IPv6协议真正实现了端到端的安全,中间转发设备只需要对带有IPSec扩展包头的报文进行普通转发,而不对IPSec扩展包头进行处理,大大减轻转发压力。

3.NDP和SEND的安全增强

在IPv6协议中,采用邻居发现协议(NDP)取代现有IPv4中的ARP及部分ICMP控制功能。NDP协议通过在节点之间交换ICMPv6信息报文和差错报文实现链路层地址及路由发现、地址自动配置等功能,并且通过维护邻居可达状态来加强通信的健壮性。

NDP协议独立于传输介质,可以更方便地进行功能扩展。现有的IPv6协议层加密认证机制可以实现对NDP协议的保护。IPv6的安全邻居发现协议(SEND)协议是NDP的一个安全扩展,SEND的目的是提供一种备用机制,通过独立于IPSec的另一种加密方式保护NDP,保证了传输的安全性。

4.真实源地址验证体系

真实源IPv6地址验证体系结构(SAVA)分为接入网(Access Network)、区域内(Intra-AS)和区域间(Inter-AS)源地址验证三个层次,从主机IP 地址、IP 地址前缀和自治域三个粒度构成多重监控防御体系。该体系不但可以有效阻止仿冒源地址类攻击,还能够通过监控流量来实现基于真实源地址的计费和网管。

因此,IPv6不止IP地址接近无限,还在网络安全性方面更胜一筹。

IPv6依然存在风险?

与IPv4相比,IPv6在安全性方面进行了预先设计和充分考虑,但仍然存在一些难以解决的安全风险。

  • IPv6作为网络层协议,并不能解决所有的网络安全问题。其他功能层(如由于应用层漏洞)所引发的攻击,IPv6本身并不能解决。
  • IPv6仍然沿袭了部分IPv4存在的安全风险,在IPv4与IPv6实施的双栈配置等过渡期机制也可能引入安全风险。
  • 网络中也会出现一些专门针对IPv6协议形成的新安全风险。

继承自IPv4的安全威胁

1.IPv6中协议和报文结构虽有变化,但一些存在于IPv4网络中的攻击类型仍然存在。

2.过渡机制存在的安全风险

当前我国IPv6规模部署工作呈现加速发展态势,在从IPv4向IPv6过渡的过程中,“双栈”、“隧道”、“翻译”是三种采用的方案,均可能引入新的安全威胁。

双栈机制安全风险

IPv4/IPv6双栈技术是指在网络节点上同时运行IPv4和IPv6两种协议,在IP网络中形成逻辑上相互独立的两张网络:IPv4网络和IPv6网络。

  • 过渡期间同时运行着IPv4、IPv6两个逻辑网络,增加了设备及系统的暴露面,也意味着防火墙、安全网关等防护设备需同时配置双栈策略,导致策略管理复杂度加倍,防护被穿透的机会加倍。
  • 在IPv4网络中,部分操作系统缺省启动了IPv6自动地址配置功能,使得IPv4网络中存在隐蔽的IPv6通道,但由于该IPv6通道并没有进行防护配置,攻击者可能利用IPv6通道实施攻击。
  • 双栈系统同时运行IPv4协议、IPv6协议,会增加网络节点协议处理复杂性和数据转发负担,导致网络节点的故障率增加。

隧道机制安全风险

一些隧道机制对任何来源的数据包只进行简单的封装和解封,所以各种隧道机制的引入,为网络环境增添了安全隐患。

  • 不对IPv4和IPv6地址的关系做检查。攻击者利用隧道机制,可将IPv6报文封装成IPv4报文进行传输,由于IPv4网络无法验证源地址的真实性,攻击者可以伪造隧道报文注入到目的网络中。
  • 不对隧道封装的内容进行检查,通过隧道封装攻击报文。对于以隧道形式传输的IPv6流量,很多网络设备直接转发或者只做简单的检查。攻击者可以配置IPv4 over IPv6,将IPv4流量封装在IPv6报文中,导致原来IPv4网络的攻击流量经由IPv6的“掩护”后穿越防护造成威胁。

翻译机制安全风险

翻译机制(即协议转换)通过IPv6与IPv4的网络地址与协议转换,实现了IPv6网络与IPv4网络的双向互访。翻译设备作为IPv6网络与IPv4网路的互连节点,易成为安全瓶颈,一旦被攻击可能导致网络瘫痪。

IPv6特有的安全威胁

IPv6报文结构中引入的新字段(如流标签、RH0、路由头等)、IPv6协议族中引入的新协议(如NDP邻居发现协议等)可能存在漏洞,被用于发起嗅探、DoS等攻击。

IPv6新的应用也可能带来安全风险。IPv6使用IPSec,使得防火墙过滤变得困难,防火墙需要解析隧道信息。如果使用ESP加密,三层以上的信息都是不可见的,控制难度大大增加,需要安全设备能够识别出攻击报文新方法和措施。

写在最后

IPv6并不能解决所有的网络安全问题。

但是因为IPv6协议提供可靠的地址验证与溯源机制,可以在上述攻击发生后及时溯源处置,实现高效的信息安全治理。

拥有网络安全意识是保证网络安全的前提,因此在IPv6部署时就需要树立良好的安全防范意识。部署时充分利用IPv6自身的安全特性的同时,设定合理的安全部署策略。

IPv6是革命性的,IPv6允许我们为未来无处不在的万物互联做好准备。但是,同其他的技术创新一样,我们也需要从安全的角度认真关注IPv6。

我来评几句
登录后评论

已发表评论数()

相关站点

+订阅
热门文章