淺析針對移動IPv6攻擊的幾種解決方案

張 學

[摘要]主要分析移動IPv6面臨的攻擊,并提出針對移動IPv6攻擊的幾種解決方案。

[關鍵詞]移動IPv6移動節點解決方案安全問題

中圖分類號:TN92文獻標識碼:A文章編號:1671-7597(2009)0820063-01

一、引言

隨著信息技術日新月異的發展演變,互聯網從IPv4過渡到IPv6已是大勢所趨,而移動IP技術自身也隨之發生了革命性的變化。但移動計算與普通計算的環境及特性存在較大區別,如多數情況移動計算是在無線環境下,且移動節點需要不斷更改轉交地址,這些都會導致許多安全問題。

二、移動IPv6基本工作原理

當移動節點在本地鏈路時,其工作方式如同位置固定的主機,移動1P不需要進行任何特別的操作。當移動節點離開本地鏈路進入外地鏈路時,其工作原理為:

1.移動節點通過常規的IPv6無狀態或有狀態的自動配置機制,獲得一個或多個轉交地址。

2.移動節點在獲得轉交地址后,向本地代理申請注冊,為移動節點的本地地址和轉交地址在本地代理上建立綁定。

3.移動節點可以直接發送報文給通信節點,報文的源地址為移動節點的當前轉交地址,本地地址選項是移動節點的本地地址。

4.通信節點發送給移動節點時,首先根據報文目的IP地址查詢它的綁定緩存,如果在綁定中存在匹配,則發送報文給移動節點的轉交地址。如果不存在這樣的匹配,則將報文發送到其本地地址。

5.移動節點根據收到本地代理轉發的IPv6報文判斷通信節點沒有自己的綁定緩存,因而向通信節點發送綁定更新建立綁定緩存。

6.移動節點離開本地后,本地網絡可能進行了重新配置,原來的本地代理被其它路由器取代。

三、移動IPv6面臨的攻擊分析

目前,移動IPv6可能遭受的攻擊主要包括以下幾種類型。

(一)拒絕服務攻擊(DoS)

拒絕服務攻擊是指攻擊者為阻止合法用戶獲得正常服務而采用的攻擊手段。在移動IPv6中,攻擊者可以通過如下手段達到拒絕服務目的:

1.攻擊者發送大量地址綁定更新消息來消耗本地代理和通信節點的資源,從而導致綁定緩存表溢出或者是無法及時處理合法用戶的綁定更新報文。

2.惡意主機把Internet上服務器的IPv6地址作為大量移動節點的轉交地址,發送偽裝的綁定更新消息給對端通信節點,引發大量的流量發往受害服務器,導致分布式拒絕服務攻擊。

3.攻擊者冒充移動節點,使用移動節點的本地地址發送綁定更新消息,偽裝節點的移動狀況,阻斷合法用戶的正常通信。

4.在移動節點和本地代理通信路徑上的攻擊者通過篡改本地地址選項域值,將通信節點的流量重定向到第三方節點,阻斷合法用戶的正常通信。

(二)重放攻擊(ReplayAttacks)

重放攻擊是指攻擊者將一個合法的有效的注冊請求消息保存起來,等待一段時間后再重新發送這個消息,來注冊一個偽造的轉交地址,從而達到攻擊的目的。在移動節點和通信節點通信路徑上的攻擊者能夠通過這種方式將數據流重定向到第三方實體。

(三)信息竊取攻擊

信息竊取可以分為被動地監聽和主動地會話竊取攻擊。

1.被動的監聽。移動IPv6可以使用包括無線鏈路在內的多種傳輸媒介,由于無線鏈路的信道特性,攻擊者不需要網絡上的物理連接就可以進行監聽。

2.會話竊取攻擊。會話竊取攻擊是指攻擊者等待合法的用戶認證完成并且正常會話后,通過假扮合法節點來竊取會話的攻擊。

(四)中間人攻擊(MITM)

當攻擊者在移動節點A與通信節點B中間的通信鏈路上就可能截取并修改移動節點A的綁定更新分組,并利用它來進行反射攻擊等。

(五)反射攻擊(ReflectionAttacks)

當移動節點A正在與通信節點B進行會話時,一個請求分組給B,在正常情況下B將返回一個應答分組,但如果A發送一個請求分組給B而導致B發送一個應答分組給C,就稱為反射攻擊。攻擊者可以通過綁定更新來進行反射攻擊,主要是由于在路由報頭中指定了數據包再從源節點到目的節點的過程中應該經過的節點的地址。如果攻擊者在和移動節點通信,它可能在路由報頭中插入另外一個地址而不是移動節點的本地地址,這將導致移動節點把自己的分組傳給另外一個通信節點。

四、針對移動IPv6攻擊的幾種解決方案

1.對于拒絕服務(DoS)攻擊的防護方法是檢查認證有效期、確定移動節點位置并保持資源的可用性。對通信節

點而言,它可以采用以下方式來抵抗拒絕服務攻擊:如果通信節點被大量綁定更新的信息所堵塞,它可以通過中止處理綁定更新信息的流程來減緩堵塞下的系統壓力;若通信節點察覺到分配在檢查虛假綁定信息上的資源遠遠超出用來接收真實綁定更新信息的資源時,通信節點會在不執行任何加密機制的情況下,逐步拋棄部分或是全部的綁定更新的信息。

2.在移動IPv6中可以采用兩種方式來預防重放攻擊:第一種方法是使用時間戳,移動節點可以通過附加的注冊請求消息的日期和時間來防止重放攻擊;第二種方法是通過使用隨機數。在這種方法中,家鄉代理規定了移動節點發送的下一條注冊請求消息中標識域的值,如果家鄉代理收到的注冊請求消息中的標識域的值與期望的值不符,則拒絕這條消息,并通知移動節點。由于這種方法要求移動節點和家鄉代理之間進行相互認證,所以它還能夠防止移動節點和家鄉代理因受到攻擊而引起的不同步,當然通信節點也必須在認證有效期內保留相關隨機數信息。

3.對付被動監聽這種攻擊,可以根據實際情況采用數據鏈路層加密或者端到端加密的方法。數據鏈路層加密通常是對通信路徑中保密性能較差的無線鏈路進行加密,而端到端加密則是對整個通信路徑進行加密。采用端到端加密是一種更為有效的防止竊取信息攻擊的方法。

4.中間入攻擊包括竊聽、插入、刪除、修改消息,反射消息回到發送者,重放舊消息以及重定向消息。要使在移動節點和本地代理之間發送的綁定更新和綁定應答消息是完整的,必需在它們之間進行相互認證。IPsec體系結構的Intemet安全關聯和密鑰管理協議(ISAKMP)～夠抵御中間入攻擊。

5.為了對付反射攻擊,移動節點和本地代理之間的注冊消息必須采用有效的認證機制,從而使得攻擊者不可能偽造注冊請求消息,檢查認證有效期、確定移動節點位置并保持資源的可用性。對通信節點而言,它可以采用以下方式來抵抗拒絕服務攻擊:如果通信節點被大量綁定更新的信息所堵塞,它可以通過中止處理綁定更新信息的流程來減緩堵塞下的系統壓力;若通信節點察覺到分配在檢查虛假綁定信息上的資源遠遠超出用來接收真實綁定更

新信息的資源時,通信節點會在不執行任何加密機制的情況下,逐步拋棄部分或是全部的綁定更新的信息。

五、增強移動IPv6安全性的策略

1.移動IPv6中同時采用隧道和源路由技術向連接在外地鏈路上的移動節點傳送數據包。移動IPv6可以使用選路擴

展報頭來安全地實現源路由,避免了存在一個攻擊者可以將一個偽造的轉交地址當作中間目的地址,而使移動節點無法獲得有用的信息的安全隱患。

2.提高動態家鄉代理的有效性,并通過使用路由優化機制及正確分配來避免“三角路由”問題。但進行路由優化的同時應兼顧安全性,此時移動節點必須和通信節點進行相互認證,即它們需要一對密鑰,要注意初始密鑰分配問題。但當移動節點和通信節點的數目較多時,為每一個移動節點和通信節點都分配一對密鑰是不現實的,可以為每個移動節點和其家鄉代理配置一對密鑰。

3.移動節點發生切換時實現認證信息快速切換的傳遞,簡化認證過程,并采用層次化移動IPv6來解決不同切換下的安全問題。移動節點可以在向新的家鄉代理發送注冊請求的同時向舊家鄉代理發送綁定更新消息,并通知舊家鄉代理暫時緩存數據。而后移動節點對新家鄉代理進行認證,如果認證成功,移動節點將通知舊家鄉代理轉發它緩存的數據到新家鄉代理,從而可以實現一種更平滑、安全的切換機制。

4.通過信令的優化,可以保證節點更好的QoS需求。

5.在移動IPv6中應用IPSec可以使網絡建立起安全連接、并對傳輸數據進行加密,保持數據的可靠性,從而大大提高網絡安全管理的可擴展性。

六、結語

安全性是決定移動IP能否得到廣泛應用的至關重要的因素之一。移動IPV6中采用了多種機制來防止各種安全威脅,在很大程度上解決了移動IPV4中的安全隱患。但是,目前還有很多安全問題沒有得到很好的解決,例如密鑰的管理和各種安全軟件的集成化。總之,網絡安全問題的解決是一項艱巨的系統工程。

作者簡介:

張學(1978-),男,江西人,研究方向:通信。