网络层安全服务与攻击技巧分析

　　在网络层实现安全服务有很多的优点。首先，由于多种传送协议和应用程序可以共享由网络层提供的密钥管理架构，密钥协商的开销被大大地削减了。其次，若安全服务在较低层实现，那么需要改动的程序就要少很多。但是在这样的情况下仍会有新的安全问题。本文将对此作出阐述。
　　
　　目前公认的网络攻击三种原型是窃听 、篡改、伪造、拒绝服务攻击等。
　　
　　IPSec 针对攻击原型的安全措施
　　
　　IPsec提供三项主要的功能：认证功能(AH)，认证和机密组合功能(ESP)及密钥交换功能。AH的目的是提供无连接完整性和真实性包括数据源认证和可选的抗重传服务；ESP分为两部分，其中ESP头提供数据机密性和有限抗流量分析服务，在ESP尾中可选地提供无连接完整性、数据源认证和抗重传服务。
　　
　　IPSec提供了一种标准的、健壮的以及包容广泛的机制，可用它为IP及上层协议(如UDP和TCP)提供安全保证。它定义了一套默认的、强制实施的算法，以确保不同的实施方案相互间可以共通。而且很方便扩展。IPSec可保障主机之间、安全网关(如路由器或防火墙)之间或主机与安全网关之间的数据包的安全。IPSec是一个工业标准网络安全协议，为IP网络通信提供透明的安全服务，保护TCP/IP通信免遭窃听和篡改，可以有效抵御网络攻击，同时保持易用性。IPSec有两个基本目标：保护IP数据包安全；为抵御网络攻击提供防护措施。IPSec结合密码保护服务、安全协议组和动态密钥管理，三者共同实现上述两个目标，IPSec基于一种端对端的安全模式。这种模式有一个基本前提假设，就是假定数据通信的传输媒介是不安全的，因此通信数据必须经过加密，而掌握加解密方法的只有数据流的发送端和接收端，两者各自负责相应的数据加解密处理，而网络中其他只负责转发数据的路由器或主机无须支持IPSec。
　　
　　IPSec提供三种不同的形式来保护通过公有或私有IP网络来传送的私有数据。
　　
　　(1)验证:通过认证可以确定所接受的数据与所发送的数据是一致的，同时可以确定申请发送者在实际上是真实发送者，而不是伪装的。
　　
　　(2)数据完整验证:通过验证保证数据从原发地到目的地的传送过程中没有任何不可检测的数据丢失与改变。
　　
　　(3)保密:使相应的接收者能获取发送的真正内容，而无关的接收者无法获知数据的真正内容。
　　
　　IPv6下对网络安全的威胁
　　
　　针对密码攻击的分析
　　
　　基于密码的攻击很具有生命力，在IPv6环境下同样面临着这样的威胁。虽然在网络IPv6下IPsec是强制实施的，但是在这种情况下，用户使用的操作系统与其他访问控制的共同之处就是基于密码进行访问控制。对计算机与网络资源的访问都是由用户名与密码决定的。对那些版本较老的操作系统，有些组件不是在通过网络传输标识信息进行验证时就对该信息加以保护，这样窃听者能够获取有效的用户名与密码，就拥有了与实际用户同样的权限。攻击者就可以进入到机器内部进行恶意破坏。

　　针对泄漏密钥攻击的分析
　　
　　IPv6下IPsec工作的两种模式(传输模式和隧道模式)都需要密钥交换这样的过程，因此对密钥的攻击仍然具有威胁。尽管对于攻击者来说确定密钥是一件艰难而消耗资源的过程，但是这种可能性实实在在存在。当攻击者确定密钥之后，攻击者使用泄露密钥便可获取对于安全通信的访问权，而发送者或接收者却全然没有察觉攻击，后面所进行的数据传输等等遭到没有抵抗的攻击。进而，攻击者使用泄露密钥即可解密或修改其他需要的数据。同样攻击者还会试图使用泄露密钥计算其它密钥，从而使其获取对其它安全通信的访问权。