50萬年——黑客找到你IPv6地址的時間

相信IPv6的地址數量優勢已為大家熟知，豐沛的地址存量是IPv6被選作新一代網絡承載協議并逐漸商用部署的根本驅動力。

然而IPv6協議相比于IPv4，不僅地址數量接近無限，還在網絡安全性方面更勝一籌。本文將為您集中介紹IPv6的安全優勢 。

可溯源和防攻擊

IPv6的地址空間巨大，當下為了節省IPv6公網地址而被運營商廣泛使用的NAT技術將不再是必須。IPv6終端之間可以直接建立點對點連接，無需地址轉換，因此IPv6地址非常容易溯源。

IPv6地址分為64位的網絡前綴和64位的接口地址。假設攻擊者以每秒掃描100萬個主機的速度掃描，大約50萬年左右才能遍歷一個64位前綴內所有的主機地址， 64位的主機地址使得網絡掃描的難度和代價都大大增加，從而進一步防范了攻擊。

64位的主機地址使得網絡掃描的難度和代價都大大增加，從而進一步防范了攻擊。

支持IPSec安全加密機制

IPv6協議中默認集成了IPSec安全功能，通過擴展認證報頭(AH)和封裝安全載荷報頭(ESP)實現加密和驗證功能。

AH協議實現數據完整性和數據源身份認證功能，ESP在上述功能基礎上增加安全加密功能。集成了IPSec的IPv6協議真正實現了端到端的安全，中間轉發設備只需要對帶有IPSec擴展包頭的報文進行普通轉發，而不對IPSec擴展包頭進行處理，大大減輕轉發壓力。

NDP和SEND的安全增強

在IPv6協議中，采用鄰居發現協議(NDP)取代現有IPv4中的ARP及部分ICMP控制功能。

NDP協議通過在節點之間交換ICMPv6信息報文和差錯報文實現鏈路層地址及路由發現、地址自動配置等功能，并且通過維護鄰居可達狀態來加強通信的健壯性。NDP協議獨立于傳輸介質，可以更方便地進行功能擴展。

現有的IPv6協議層加密認證機制可以實現對NDP協議的保護。IPv6的安全鄰居發現協議(SEND)協議是NDP的一個安全擴展，SEND的目的是提供一種備用機制，通過獨立于IPSec的另一種加密方式保護NDP，保證了傳輸的安全性。

真實源地址驗證體系

真實源IPv6地址驗證體系結構(SAVA)分為接入網(Access Network)、區域內(Intra-AS)和區域間(Inter-AS)源地址驗證三個層次，從主機IP 地址、IP 地址前綴和自治域三個粒度構成多重監控防御體系。

該體系不但可以有效阻止仿冒源地址類攻擊，還能夠通過監控流量來實現基于真實源地址的計費和網管。

IPv6安全風險仍然存在

與IPv4相比，IPv6在安全性方面進行了預先設計和充分考慮，但仍然存在一些難以解決的安全風險。IPv6作為網絡層協議，其他功能層(如應用層漏洞)所引發的攻擊，IPv6本身并不能解決。

同時，IPv6沿襲了部分IPv4已有的安全風險，在IPv4與IPv6實施的雙棧配置等過渡期機制也可能引入安全風險。同時，IPv6也存在自身獨有的安全漏洞。

由于IPv6協議提供了可靠的地址驗證與溯源機制，可以在上述攻擊發生后及時溯源處置，因而實現高效的信息安全治理。

擁有網絡安全意識是保證網絡安全的前提，因此在IPv6部署時就需要樹立良好的安全防范意識。部署時充分利用IPv6自身的安全特性的同時，設定合理的安全部署策略。

申請創業報道，分享創業好點子。點擊此處，共同探討創業新機遇！