基于IPv6鄰居發(fā)現(xiàn)協(xié)議的安全威脅研究.pdf

1、IPv6作為下一代互聯(lián)網(wǎng)協(xié)議將逐漸取代IPv4成為網(wǎng)絡(luò)的核心技術(shù)，并得到越來越廣泛的應(yīng)用。鄰居發(fā)現(xiàn)協(xié)議(NDP)是IPv6協(xié)議中一個(gè)較底層的協(xié)議，主要用于解決同一鏈路上節(jié)點(diǎn)間的互連問題。隨著IPv6的廣泛應(yīng)用，NDP由于缺乏認(rèn)證機(jī)制成為多種攻擊的主要對(duì)象。IPv6的默認(rèn)安全協(xié)議IPSec用于保護(hù)IP及上層協(xié)議的安全，認(rèn)證報(bào)頭協(xié)議AH能夠?yàn)閿?shù)據(jù)包提供數(shù)據(jù)完整性檢驗(yàn)和身份認(rèn)證服務(wù)。但密鑰管理協(xié)議IKE僅用來處理點(diǎn)到點(diǎn)的單播通信，不能直接用于

2、鄰居發(fā)現(xiàn)協(xié)議中的多播通信，保障NDP的安全。
　　 本文從介紹IPv6的基本協(xié)議出發(fā)，重點(diǎn)分析了安全協(xié)議IPSec和鄰居發(fā)現(xiàn)協(xié)議，并對(duì)NDP的安全威脅進(jìn)行了深入研究。在此基礎(chǔ)上結(jié)合IPSec的認(rèn)證體系，提出把AH協(xié)議引入鄰居發(fā)現(xiàn)協(xié)議，為數(shù)據(jù)包提供認(rèn)證，保障通信安全的改進(jìn)方案。給出了基于IPSec AH和地址綁定的改進(jìn)策略，以防止偽造NDP報(bào)文的各種攻擊，并詳細(xì)論述了適用于鄰居組播通信的密鑰管理方案的實(shí)現(xiàn)方式，解決了IPSec僅處

3、理點(diǎn)對(duì)點(diǎn)單播通信的密鑰管理問題。最后利用開發(fā)包Libnet模擬實(shí)現(xiàn)了基于偽造NS/NA報(bào)文欺騙的重定向攻擊，通過比較引入AH認(rèn)證機(jī)制前后的攻擊效果，驗(yàn)證了改進(jìn)后方案對(duì)于保證鄰居發(fā)現(xiàn)協(xié)議安全的有效性。
　　 實(shí)驗(yàn)表明，改進(jìn)后的方案可以有效防御通過偽造鄰居發(fā)現(xiàn)報(bào)文的各種重定向攻擊和拒絕服務(wù)攻擊，有效保證鄰居發(fā)現(xiàn)過程的安全。而且IPSec作為IPv6網(wǎng)絡(luò)安全的核心，可以與鄰居發(fā)現(xiàn)協(xié)議實(shí)現(xiàn)無縫連接。因此，這種改進(jìn)方案對(duì)于加強(qiáng)IPv6的網(wǎng)