IPv6的信息安全隐患及对策

IPv6的信息安全隐患

构建基于IPv6的可信任下一代互联网，是一项长期而艰巨的任务。虽然IPv6与IPv4相比，在安全性方面进行了预先设计和充分考虑，但仍然存在一些难以解决的安全隐患。

一是难以应对拒绝服务攻击。拒绝服务攻击仍然是IPv6面临的最严重的一种攻击，它可能导致计算机硬盘、物理设备毁坏和所有可用内存耗尽的危险。IPv6支持动态自动寻址，虽然给合法网络用户使用带来了方便，但非授权的用户可以更容易地接入和使用网络，埋下了拒绝服务攻击的隐患。拒绝服务攻击主要包括两种方式：一种是通过向服务器或主机发送大量数据包，使得主机忙于处理这些无用的数据包而无法响应有用的信息;另一种是对网络上两个节点之间的通信直接进行干扰，攻击者可以冒充通信节点向目标通信节点发送错误消息，从而造成路由迂回，导致网络带宽浪费及时延增加。对这两种方式，IPv6从技术上都没有很好地解决。

二是难以弥补整个网络协议族的安全缺陷。根据国际标准化组织提出的各种计算机在世界范围内互联成网的标准框架，即开放系统互联参考模型，计算机网络分为物理层、数据链路层、网络层、传输层、会话层、表示层和应用层等七个功能层。IP协议只是网络层的协议，其安全性设计得再好，也只能保证本功能层的安全，其他功能层如应用层的网页服务、邮件服务及文件传输等服务的安全仍然难以保证。

加强IPv6信息安全的对策

互联网协议设计的一个基本要求，就是新协议的设计不能引入新的安全威胁。如果存在安全威胁，那么协议本身必须要规定相应的安全机制来克服。因此，要深入研究IPv6的技术特点，针对各种可能的安全威胁，改进完善技术手段，建立健全防范机制。

一方面，要改进完善技术手段。一是改进防火墙的设计，应对拒绝服务攻击。IPv6相对IPv4在数据报头上有了很大的改变，要求防火墙必须解析整个数据包才能进行过滤操作，这对防火墙的处理性能会有很大的影响。因此，必须采取各种技术手段，提高防火墙的性能，适应IPv6的需要。二是完善入侵检测系统的设计，严格用户限制。IPv6中引入了网络层的加密技术，未来网络数据通讯的保密性将会越来越强，要求入侵检测系统在任何网络状况、任何服务器、任何客户端、任何应用环境都能进行适当的自转换和自适应，以严格控制访问用户的身份认证和权限验证等内容。三是采用安全迁移设计，保障快速平稳过渡。目前，IPv4正在向IPv6过渡，与采用其他任何一种新的网络协议一样，其安全措施必须经过慎重的考虑和测试，避免产生新的技术漏洞。

另一方面，要建立健全防护机制。尽管IPv6还不是当前网络通信的主流协议，但从长远看，有必要开展超前研究，从健全安全防范制度和建立防范体系两个方面，制定下一代互联网的系统安全机制和信息安全机制。一是要健全安全防范制度，保障网络系统安全。为加强网络系统安全，在管理上要建章立制来强化相关人员的安全意识及规范其处置行为。例如，建立安全检查制度，定期和不定期相结合进行安全保密检查，排查安全隐患，杜绝网络违规操作，减少人为纰漏;建立网络值勤制度，不断强化网络值勤人员的保密意识、责任意识及服务意识，明确人员的职责划分和操作规程，建立完善的值勤登记统计，使网络值勤管理精细化、正规化。二是要建立具有主动性的网络安全防范体系，确保网络信息安全。采取加密、认证、数字签名、访问控制、安全代理、安全审计和监督控制等多种安全防护机制，实现信息储存保密、传输保密和浏览保密，进行实体认证、操作员认证和信息认证，从运行机制上保证网络信息的安全。

微信扫一扫实时了解行业动态

微信扫一扫分享本文给好友