1、基于混沌序列的IPv6地址分配與驗證鄭輝清華大學網絡中心CERNET Computer Emergency Response TAgenda基本原理方案設計相關分析小結問題的提出完整的安全框架包含三個對象之間的關系 端用戶-端用戶 ISP-端用戶 ISP-ISP 主要問題與對應解決方案端用戶-端用戶 主要問題 信息的完整性； 信息的保密性； 解決方案 IPSec ISP-端用戶 主要問題 用戶上網的可控性； 用戶上網的可審計性； 解決方案 認證策略； 計費策略； ISP-ISP 主要問題 地址欺騙（如DDoS 攻擊）； 解決方案 地址分配-確認策略； IPv6地址結構前綴分配方案后綴分配方案n

2、 位64-n 位64位路由前綴子網標識符接口標識符IPv6地址結構Public Topology:48FP, Fixed Prefix, 001, 3TLA ID, Top-Level Aggregation Identifier, 13RES, Reserved, 8NLA ID, Next-Level Aggregation Identifier, 24Site Topology:16SLA ID, Site-Level Aggregation Identifier, 16Interface Identifier:64Interface ID地址配置方式ManualAutoconfigur

3、ationStatelessStatefulAddress AutoconfigurationStateless address autoconfigurationNo central server needed to aid in address configurationNode forms its own suffix, checks if it is uniqueNode obtains prefix(es) from the nearest routerStateful address autoconfigurationCentral server allocates full ad

4、dresses to nodes on requestDHCPv6 is the current protocol for stateful address autoconfiguration混沌序列的性質隨機性：混沌序列的統計特性是隨機的。確定性：盡管混沌序列表現出隨機的性質，但整個序列是由確定的方程給出的。遍歷性：混沌序列值在很大程度上不重復的取值。對初值的敏感性：非常微小的初值變化，也將導致完全不同的混沌序列。度量指標概率分布函數PDF(Probability density function)OPT(一次性口令)自相關函數ACF(auto-correlation functions)可

5、選的混沌映射一維映射：Logistic映射；二維映射：Smale映射、Henon映射；三維映射：Lorenz映射； 方案設計地址位分配混沌映射公式選擇工作流程地址位分配64位（063）：路由前綴 + 子網標識符；1位（64）：分配類型（0未采用隨機序列/1采用隨機序列）；15位（6579）：保留；16位（8095）：某個混沌序列值對應的迭代次數；32位（96127）：混沌序列值（長整形數）；64位1位15位16位32位其它方案分配類型保留迭代次數混沌序列值混沌映射公式選擇一維混沌映射:logistic映射 工作流程地址生成在區間0.0000010.100000任取一值作為初值通過迭代產生混沌序

6、列，混沌序列值的精度取到小數點后10位，因為32位無符號長整形數可以表示的數值范圍為04294967295，如果混沌序列值大于0.4294967295，則減去0. 4294967295以便可以用對應的長整形數表示。將迭代次數和對應的混沌序列值組合構造出網絡所需的多個IPv6地址。地址分配DHCP地址驗證不同管理域之間，通過相同的混沌映射公式和初值來驗證訪問本管理域的IP地址是否是對方產生的。混沌映射公式可以事先協商，初值的傳遞應該采用安全的信息通道（如DNSSEC）。混沌序列的性質（2）保證了可驗證性，（1）、（4）保證了IP地址是很難仿冒的。后繼處理根據地址驗證的結果采取不同的處理措施，例如

7、當發現針對本ISP的DoS攻擊時，在網絡邊界屏蔽掉未能通過驗證的某個ISP的所有地址。周期性的選取新的初值來生成地址，可以增大本ISP的地址被偽造的難度。相關性質分析可表達網絡規模16位65535次不同迭代，相當于一個B類網絡的規模；網絡的可管理性網絡的稀疏程度運算復雜度分析O(1)安全強度分析未知算法：2(-48)未知初值：10(-6)小結靈活性本方案限制了本管理域內的IP地址分配必須采用有狀態的自動分配機制，這在某種程度上降低了用戶使用網絡的靈活性。簡單性采用基于混沌序列的IPv6地址分配與驗證把對單個節點地址的可信性驗證（n個）縮減為對ISP的可信性驗證（1個），同時只使用/交換一個初值

8、就可以生成/驗證網絡中的所有地址，減少了認證信息交換的頻度和數量。安全性在實際應用當中，可以通過選擇更高維數的混沌映射公式來生成混沌序列，擴大初值的選擇空間，從而得到更好的安全性。整個地址的分配和驗證流程以及公式和參數的選擇也需要進一步完善，以便改進方案的靈活性和嚴謹性。ReferencesR. Atkinson. RFC1826. IP Authentication Header. 1995. 王殿清，趙曉宇，馬嚴，IPv6地址的管理及規劃探討，華中科技大學學報(自然科學版)，31卷增刊，2003。唐雨，王華民，李清，IPv6地址中截取若干位賦予方位意義，華中科技大學學報(自然科學版)，31

9、卷增刊，2003。IAB/IESG. RFC3177. IAB/IESG Recommendations on IPv6 Address Allocations to Sites. 2001. Tuomas Aura. Cryptographically Generated Addresses (CGA). In Proc. 6th Information Security Conference (ISC03), volume 2851 of LNCS, pages 29-43, Bristol, UK, October 2003. Springer.S. Deering, R. Hinden

10、. RFC1883. Internet Protocol, Version 6 (IPv6) Specification. 1995. 伍海桑，陳茂科，陳名華等，IPv6原理與實踐，人民郵電出版社，2000年。R. Hinden, S. Deering. RFC1884, RFC2373. IP Version 6 Addressing Architecture. 1998. R. Hinden, S. Deering, E. Nordmark. IPv6 Global Unicast Address Format. RFC3587, 2003.S. Thomson, T. Narten. RFC1971, RFC2462. IPv6 Stateless Address Autoconfiguration. 1998. 曾斌，卿華，瞿國平，IPv6地址動態管理技術，計算機工程與科學，2000年第22卷第1期。曹玖新，張德運，丁會寧，新一代協議IPv6自動地址配置的實現，小型微型計算機系統，第23卷第4期，2002。周福才