|
在網(wǎng)絡(luò)層實(shí)現(xiàn)安全服務(wù)有很多的優(yōu)點(diǎn)。首先，由于多種傳送協(xié)議和應(yīng)用程序可以共享由網(wǎng)絡(luò)層提供的密鑰管理架構(gòu)，密鑰協(xié)商的開(kāi)銷被大大地削減了。其次，若安全服務(wù)在較低層實(shí)現(xiàn)，那么需要改動(dòng)的程序就要少很多。但是在這樣的情況下仍會(huì)有新的安全問(wèn)題。本文將對(duì)此作出闡述。 目前公認(rèn)的網(wǎng)絡(luò)攻擊三種原型是竊聽(tīng) 、篡改、偽造、拒絕服務(wù)攻擊等。 IPSec 針對(duì)攻擊原型的安全措施 IPsec提供三項(xiàng)主要的功能：認(rèn)證功能(AH)，認(rèn)證和機(jī)密組合功能(ESP)及密鑰交換功能。AH的目的是提供無(wú)連接完整性和真實(shí)性包括數(shù)據(jù)源認(rèn)證和可選的抗重傳服務(wù)；ESP分為兩部分，其中ESP頭提供數(shù)據(jù)機(jī)密性和有限抗流量分析服務(wù)，在ESP尾中可選地提供無(wú)連接完整性、數(shù)據(jù)源認(rèn)證和抗重傳服務(wù)。 IPSec提供了一種標(biāo)準(zhǔn)的、健壯的以及包容廣泛的機(jī)制，可用它為IP及上層協(xié)議(如UDP和TCP)提供安全保證。它定義了一套默認(rèn)的、強(qiáng)制實(shí)施的算法，以確保不同的實(shí)施方案相互間可以共通。而且很方便擴(kuò)展。IPSec可保障主機(jī)之間、安全網(wǎng)關(guān)(如路由器或防火墻)之間或主機(jī)與安全網(wǎng)關(guān)之間的數(shù)據(jù)包的安全。IPSec是一個(gè)工業(yè)標(biāo)準(zhǔn)網(wǎng)絡(luò)安全協(xié)議，為IP網(wǎng)絡(luò)通信提供透明的安全服務(wù)，保護(hù)TCP/IP通信免遭竊聽(tīng)和篡改，可以有效抵御網(wǎng)絡(luò)攻擊，同時(shí)保持易用性。IPSec有兩個(gè)基本目標(biāo)：保護(hù)IP數(shù)據(jù)包安全；為抵御網(wǎng)絡(luò)攻擊提供防護(hù)措施。IPSec結(jié)合密碼保護(hù)服務(wù)、安全協(xié)議組和動(dòng)態(tài)密鑰管理，三者共同實(shí)現(xiàn)上述兩個(gè)目標(biāo)，IPSec基于一種端對(duì)端的安全模式。這種模式有一個(gè)基本前提假設(shè)，就是假定數(shù)據(jù)通信的傳輸媒介是不安全的，因此通信數(shù)據(jù)必須經(jīng)過(guò)加密，而掌握加解密方法的只有數(shù)據(jù)流的發(fā)送端和接收端，兩者各自負(fù)責(zé)相應(yīng)的數(shù)據(jù)加解密處理，而網(wǎng)絡(luò)中其他只負(fù)責(zé)轉(zhuǎn)發(fā)數(shù)據(jù)的路由器或主機(jī)無(wú)須支持IPSec。 IPSec提供三種不同的形式來(lái)保護(hù)通過(guò)公有或私有IP網(wǎng)絡(luò)來(lái)傳送的私有數(shù)據(jù)。 (1)驗(yàn)證:通過(guò)認(rèn)證可以確定所接受的數(shù)據(jù)與所發(fā)送的數(shù)據(jù)是一致的，同時(shí)可以確定申請(qǐng)發(fā)送者在實(shí)際上是真實(shí)發(fā)送者，而不是偽裝的。 (2)數(shù)據(jù)完整驗(yàn)證:通過(guò)驗(yàn)證保證數(shù)據(jù)從原發(fā)地到目的地的傳送過(guò)程中沒(méi)有任何不可檢測(cè)的數(shù)據(jù)丟失與改變。 (3)保密:使相應(yīng)的接收者能獲取發(fā)送的真正內(nèi)容，而無(wú)關(guān)的接收者無(wú)法獲知數(shù)據(jù)的真正內(nèi)容。 IPv6下對(duì)網(wǎng)絡(luò)安全的威脅 針對(duì)密碼攻擊的分析 基于密碼的攻擊很具有生命力，在IPv6環(huán)境下同樣面臨著這樣的威脅。雖然在網(wǎng)絡(luò)IPv6下IPsec是強(qiáng)制實(shí)施的，但是在這種情況下，用戶使用的操作系統(tǒng)與其他訪問(wèn)控制的共同之處就是基于密碼進(jìn)行訪問(wèn)控制。對(duì)計(jì)算機(jī)與網(wǎng)絡(luò)資源的訪問(wèn)都是由用戶名與密碼決定的。對(duì)那些版本較老的操作系統(tǒng)，有些組件不是在通過(guò)網(wǎng)絡(luò)傳輸標(biāo)識(shí)信息進(jìn)行驗(yàn)證時(shí)就對(duì)該信息加以保護(hù)，這樣竊聽(tīng)者能夠獲取有效的用戶名與密碼，就擁有了與實(shí)際用戶同樣的權(quán)限。攻擊者就可以進(jìn)入到機(jī)器內(nèi)部進(jìn)行惡意破壞。 針對(duì)泄漏密鑰攻擊的分析 IPv6下IPsec工作的兩種模式(傳輸模式和隧道模式)都需要密鑰交換這樣的過(guò)程，因此對(duì)密鑰的攻擊仍然具有威脅。盡管對(duì)于攻擊者來(lái)說(shuō)確定密鑰是一件艱難而消耗資源的過(guò)程，但是這種可能性實(shí)實(shí)在在存在。當(dāng)攻擊者確定密鑰之后，攻擊者使用泄露密鑰便可獲取對(duì)于安全通信的訪問(wèn)權(quán)，而發(fā)送者或接收者卻全然沒(méi)有察覺(jué)攻擊，后面所進(jìn)行的數(shù)據(jù)傳輸?shù)鹊仍獾經(jīng)]有抵抗的攻擊。進(jìn)而，攻擊者使用泄露密鑰即可解密或修改其他需要的數(shù)據(jù)。同樣攻擊者還會(huì)試圖使用泄露密鑰計(jì)算其它密鑰，從而使其獲取對(duì)其它安全通信的訪問(wèn)權(quán)。 針對(duì)應(yīng)用層服務(wù)攻擊 應(yīng)用程序?qū)庸舻哪繕?biāo)是應(yīng)用程序服務(wù)器，即導(dǎo)致服務(wù)器的操作系統(tǒng)或應(yīng)用程序出錯(cuò)。這會(huì)使攻擊者有能力繞過(guò)正常訪問(wèn)控制。攻擊者利用這一點(diǎn)便可控制應(yīng)用程序、系統(tǒng)或網(wǎng)絡(luò)，并可進(jìn)行下列任意操作：讀取、添加、刪除或修改數(shù)據(jù)或操作系統(tǒng) ；引入病毒，即使用計(jì)算機(jī)與軟件應(yīng)用程序?qū)⒉《緩?fù)制到整個(gè)網(wǎng)絡(luò)；引入竊探器來(lái)分析網(wǎng)絡(luò)與獲取信息，并最終使用這些信息導(dǎo)致網(wǎng)絡(luò)停止響應(yīng)或崩潰；異常關(guān)閉數(shù)據(jù)應(yīng)用程序或操作系統(tǒng)；禁用其它安全控制以備日后攻擊。 由于IPsec在網(wǎng)絡(luò)層進(jìn)行數(shù)據(jù)包加密，在網(wǎng)絡(luò)傳輸過(guò)程中防火墻無(wú)法有效地將加密的帶有病毒的數(shù)據(jù)包進(jìn)行有效的監(jiān)測(cè)，這樣就對(duì)接收端的主機(jī)或路由器構(gòu)成了威脅。 可能發(fā)生的拒絕服務(wù)攻擊 密鑰管理分為手工密鑰管理和自動(dòng)密鑰管理。Internet密鑰管理協(xié)議被定位在應(yīng)用程序的層次，IETF規(guī)定了Internet安全協(xié)議和密鑰管理協(xié)議ISAKMP(Internet Security Association and Key Management Protocol) 來(lái)實(shí)現(xiàn)IPSec的密鑰管理需求, 為身份驗(yàn)證的SA 設(shè)置以及密鑰交換技術(shù)定義了一個(gè)通用的結(jié)構(gòu), 可以使用不同的密鑰交換技術(shù)；IETF還設(shè)計(jì)了OA KL EY密鑰確定協(xié)議(Key Determination Protocol) 來(lái)實(shí)施ISAKMP的具體功能, 其主要目的是使需要保密通信的雙方能夠通過(guò)這個(gè)協(xié)議證明自己的身份、認(rèn)證對(duì)方的身份、確定采用的加密算法和通信密鑰, 從而建立起安全的通信連接。 對(duì)IPsec最主要的難應(yīng)用性在于它們所強(qiáng)化的系統(tǒng)的復(fù)雜性和缺乏清晰性。IPsec中包含太多的選項(xiàng)和太多的靈活性。對(duì)于相同的或者類似的情況常常有多種做法。 IKE的協(xié)議容易受到拒絕服務(wù)攻擊。攻擊者可以在因特網(wǎng)初始化許多連接請(qǐng)求就可以做到，這時(shí)服務(wù)器將會(huì)維護(hù)這些惡意的“小甜餅”。 加密是有代價(jià)的。進(jìn)行模數(shù)乘冪運(yùn)算，或計(jì)算兩個(gè)非常大的質(zhì)數(shù)的乘積，甚至對(duì)單個(gè)數(shù)據(jù)包進(jìn)行解密和完整性查驗(yàn)，都會(huì)占用cpu的時(shí)間。發(fā)起攻擊的代價(jià)遠(yuǎn)遠(yuǎn)小于被攻擊對(duì)象響應(yīng)這種攻擊所付出的代價(jià)。例如，甲想進(jìn)行一次Diffie-Hellman密鑰交換，但mallory向她發(fā)送了幾千個(gè)虛假的Diffie-Hellman公共值，其中全部填充偽造的返回地址。這樣乙被動(dòng)地進(jìn)入這種虛假的交換。顯然會(huì)造成cpu的大量浪費(fèi)。 IPsec對(duì)相應(yīng)的攻擊提出了相應(yīng)的對(duì)策。但它并不是通過(guò)抵擋服務(wù)否認(rèn)攻擊來(lái)進(jìn)行主動(dòng)防御，只是增大了發(fā)送這種垃圾包的代價(jià)及復(fù)雜度，來(lái)進(jìn)行一種被動(dòng)防御。 但是攻擊者仍然可以利用IKE協(xié)議的漏洞從而使服務(wù)中斷。 以下是基于簽名的IKE階段1主模式的認(rèn)證失敗(如圖4所示)。 (Malice 對(duì)I使用他的真實(shí)身份信息，而對(duì)R則冒充I) 1. I到Malice：HDRI,SAI; 1’Malice(“I”)到R：HDRI，SAI； 2’R到Malice(“I”):HDRR,SAR； 2.Malice到I：HDRR，SAR； 3.I到Malice：HDRI，gx，NI； 3’Malice(“I”)到R：HDRI,gx,NI； 4’R到Malice(“I”)：HDRR，gy，NR； 4.Malice到I：HDRR，gy，NR； 5.I到Malice：HDRI，gxy?； 5’Malice(“I”)到R：HDRI，gxy； 6’R到Malice(“I”)：HDRR，gxy； 6. Dropped。 這樣，R認(rèn)為剛才和他對(duì)話并和他共享會(huì)話密鑰的是I，而I卻認(rèn)為剛才是和Malice進(jìn)行了一次不成功的通信。R根本不會(huì)被通知存在任何異常，并且也許會(huì)拒絕來(lái)自I的服務(wù)；實(shí)際上R進(jìn)入了這樣一種狀態(tài)，只接受來(lái)自I的服務(wù)請(qǐng)求(也許直到“超時(shí)”后，R才會(huì)脫離這樣的狀態(tài)。) 面對(duì)越來(lái)越多的網(wǎng)絡(luò)安全問(wèn)題，唯有各種安全協(xié)議有效地結(jié)合起來(lái)使用才會(huì)降低攻擊的可能性。由于IPsec是IPv6下強(qiáng)制使用的，加上網(wǎng)絡(luò)層加密的特殊優(yōu)點(diǎn)，把工作于IP層的IPsec和其他的安全協(xié)議(SSL等)結(jié)合起來(lái)可以將網(wǎng)絡(luò)安全的質(zhì)量提高到更高的一個(gè)水平。但是同時(shí)道高一尺，魔高一丈，新的安全問(wèn)題會(huì)接踵而至，對(duì)于協(xié)議的漏洞，要先知先覺(jué)，這樣才會(huì)未雨綢繆，防患于未然。 |
|
|
來(lái)自： hanpeng155 > 《網(wǎng)絡(luò)安全》
