科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道路由交换IPv6的安全风险分析

IPv6的安全风险分析

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

关于IPv6,我们比较了它与IPv4相比的差异和优势。但是有一点使我们不曾触及的,那便是其安全性。

来源:IT168 2011年10月25日

关键字: IPv6 IPv6安全

  • 评论
  • 分享微博
  • 分享邮件

  关于IPv6,我们比较了它与IPv4相比的差异和优势。但是有一点使我们不曾触及的,那便是其安全性。

  IT专家必须记住IPv6可以追溯到上世纪九十年代,也就是许多现在的安全威胁演化或广泛传播之前。因此,IPv6有自己已知的和未知的安全漏洞需要解决。

  在这篇文章中,我们提到了IPv6如何使用SLAAC而不是DHCP为端点提供IP地址。只有当你认识到许多管理员将DHCP snooping作为了解网络设备的方式时,你才会明白这是个很棒的系统。带有DHCP snooping的LAN交换机只允许访问授权IP或是MAC地址。此外,该功能也可以让管理员追踪主机地址并阻止未授权的DHCP服务器被安装到网络中。

  不过,使用IPv6的话,就没有DHCP服务器可在给定IP地址及其相关MAC地址间查询链接信息。相反,IPv6使用SEND来保护邻居发送协议安全,通过若干策略的使用保护主机以及路由,其中包括加密生成的地址,有RSA密钥保护的网络发现信息以及信息时间戳。

  思科安全系统单位副主席兼总经理Pat Calhoun透露了一个坏消息——很多目前领先的操作系统,包括微软和苹果公司的系统都不支持SEND技术。

  不过有很多方法可以填补这一安全空白。通用的方法是在交换机端口部署一个访问控制列表(ACL),大多数供应商都支持这一性能,因为该性能在IPv4下同样可以使用,不过 IPv6中更为复杂的标头使得ACL在IPv4下部署起来要复杂一些。有些供应商部署的是室内方案,如思科使用Router Advertisement Guard。但是,即便是安全补丁也可能存在漏洞。

  另一个存在危险的区域是隧道技术。IPv4和IPv6协议之间的隧道技术虽然加强了两个网络的互操作性,但是如果它没有受到监管就会是另一个安全隐患。在这一的隧道中,恶意链接可能对未经合理配置的IPv4系统中的IPv6数据流加以利用。

  据Meyran透露,一些联网硬件声称自己具备IPv6安全性,但难免言过其实。很多情况下,做好IPv6的准备意味着下载和安装可能不遵循行业标准IPv6分支机构的特殊补丁,因此可能会删除某些安全性能。

  入侵防御装置将深层数据包检测放入以硬件为基础的引擎中。只是因为这些设备声称自己支持IPv6并不意味着该装置的深层数据包检测引擎也为其提供支持。IPv4防火墙被用来卸下IPv6数据,因为新协议完全属于外来物。这意味着缺乏IPv6安全配置的情况,别人可能在网络上运行恶意的IPv6数据流。

  通常,IPv6中已经包含了合适的安全工具,但是用户需要学习如何配置和管理新协议才能将其优势发挥到极致。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章