1、基于混沌序列的IPv6地址分配與驗證鄭輝清華大學(xué)網(wǎng)絡(luò)中心CERNET Computer Emergency Response TAgenda基本原理方案設(shè)計相關(guān)分析小結(jié)問題的提出完整的安全框架包含三個對象之間的關(guān)系 端用戶-端用戶 ISP-端用戶 ISP-ISP 主要問題與對應(yīng)解決方案端用戶-端用戶 主要問題 信息的完整性； 信息的保密性； 解決方案 IPSec ISP-端用戶 主要問題 用戶上網(wǎng)的可控性； 用戶上網(wǎng)的可審計性； 解決方案 認(rèn)證策略； 計費策略； ISP-ISP 主要問題 地址欺騙（如DDoS 攻擊）； 解決方案 地址分配-確認(rèn)策略； IPv6地址結(jié)構(gòu)前綴分配方案后綴分配方案n

2、 位64-n 位64位路由前綴子網(wǎng)標(biāo)識符接口標(biāo)識符IPv6地址結(jié)構(gòu)Public Topology:48FP, Fixed Prefix, 001, 3TLA ID, Top-Level Aggregation Identifier, 13RES, Reserved, 8NLA ID, Next-Level Aggregation Identifier, 24Site Topology:16SLA ID, Site-Level Aggregation Identifier, 16Interface Identifier:64Interface ID地址配置方式ManualAutoconfigur

3、ationStatelessStatefulAddress AutoconfigurationStateless address autoconfigurationNo central server needed to aid in address configurationNode forms its own suffix, checks if it is uniqueNode obtains prefix(es) from the nearest routerStateful address autoconfigurationCentral server allocates full ad

4、dresses to nodes on requestDHCPv6 is the current protocol for stateful address autoconfiguration混沌序列的性質(zhì)隨機(jī)性：混沌序列的統(tǒng)計特性是隨機(jī)的。確定性：盡管混沌序列表現(xiàn)出隨機(jī)的性質(zhì)，但整個序列是由確定的方程給出的。遍歷性：混沌序列值在很大程度上不重復(fù)的取值。對初值的敏感性：非常微小的初值變化，也將導(dǎo)致完全不同的混沌序列。度量指標(biāo)概率分布函數(shù)PDF(Probability density function)OPT(一次性口令)自相關(guān)函數(shù)ACF(auto-correlation functions)可

5、選的混沌映射一維映射：Logistic映射；二維映射：Smale映射、Henon映射；三維映射：Lorenz映射； 方案設(shè)計地址位分配混沌映射公式選擇工作流程地址位分配64位（063）：路由前綴 + 子網(wǎng)標(biāo)識符；1位（64）：分配類型（0未采用隨機(jī)序列/1采用隨機(jī)序列）；15位（6579）：保留；16位（8095）：某個混沌序列值對應(yīng)的迭代次數(shù)；32位（96127）：混沌序列值（長整形數(shù)）；64位1位15位16位32位其它方案分配類型保留迭代次數(shù)混沌序列值混沌映射公式選擇一維混沌映射:logistic映射 工作流程地址生成在區(qū)間0.0000010.100000任取一值作為初值通過迭代產(chǎn)生混沌序

6、列，混沌序列值的精度取到小數(shù)點后10位，因為32位無符號長整形數(shù)可以表示的數(shù)值范圍為04294967295，如果混沌序列值大于0.4294967295，則減去0. 4294967295以便可以用對應(yīng)的長整形數(shù)表示。將迭代次數(shù)和對應(yīng)的混沌序列值組合構(gòu)造出網(wǎng)絡(luò)所需的多個IPv6地址。地址分配DHCP地址驗證不同管理域之間，通過相同的混沌映射公式和初值來驗證訪問本管理域的IP地址是否是對方產(chǎn)生的。混沌映射公式可以事先協(xié)商，初值的傳遞應(yīng)該采用安全的信息通道（如DNSSEC）。混沌序列的性質(zhì)（2）保證了可驗證性，（1）、（4）保證了IP地址是很難仿冒的。后繼處理根據(jù)地址驗證的結(jié)果采取不同的處理措施，例如

7、當(dāng)發(fā)現(xiàn)針對本ISP的DoS攻擊時，在網(wǎng)絡(luò)邊界屏蔽掉未能通過驗證的某個ISP的所有地址。周期性的選取新的初值來生成地址，可以增大本ISP的地址被偽造的難度。相關(guān)性質(zhì)分析可表達(dá)網(wǎng)絡(luò)規(guī)模16位65535次不同迭代，相當(dāng)于一個B類網(wǎng)絡(luò)的規(guī)模；網(wǎng)絡(luò)的可管理性網(wǎng)絡(luò)的稀疏程度運算復(fù)雜度分析O(1)安全強(qiáng)度分析未知算法：2(-48)未知初值：10(-6)小結(jié)靈活性本方案限制了本管理域內(nèi)的IP地址分配必須采用有狀態(tài)的自動分配機(jī)制，這在某種程度上降低了用戶使用網(wǎng)絡(luò)的靈活性。簡單性采用基于混沌序列的IPv6地址分配與驗證把對單個節(jié)點地址的可信性驗證（n個）縮減為對ISP的可信性驗證（1個），同時只使用/交換一個初值

8、就可以生成/驗證網(wǎng)絡(luò)中的所有地址，減少了認(rèn)證信息交換的頻度和數(shù)量。安全性在實際應(yīng)用當(dāng)中，可以通過選擇更高維數(shù)的混沌映射公式來生成混沌序列，擴(kuò)大初值的選擇空間，從而得到更好的安全性。整個地址的分配和驗證流程以及公式和參數(shù)的選擇也需要進(jìn)一步完善，以便改進(jìn)方案的靈活性和嚴(yán)謹(jǐn)性。ReferencesR. Atkinson. RFC1826. IP Authentication Header. 1995. 王殿清，趙曉宇，馬嚴(yán)，IPv6地址的管理及規(guī)劃探討，華中科技大學(xué)學(xué)報(自然科學(xué)版)，31卷增刊，2003。唐雨，王華民，李清，IPv6地址中截取若干位賦予方位意義，華中科技大學(xué)學(xué)報(自然科學(xué)版)，31

9、卷增刊，2003。IAB/IESG. RFC3177. IAB/IESG Recommendations on IPv6 Address Allocations to Sites. 2001. Tuomas Aura. Cryptographically Generated Addresses (CGA). In Proc. 6th Information Security Conference (ISC03), volume 2851 of LNCS, pages 29-43, Bristol, UK, October 2003. Springer.S. Deering, R. Hinden

10、. RFC1883. Internet Protocol, Version 6 (IPv6) Specification. 1995. 伍海桑，陳茂科，陳名華等，IPv6原理與實踐，人民郵電出版社，2000年。R. Hinden, S. Deering. RFC1884, RFC2373. IP Version 6 Addressing Architecture. 1998. R. Hinden, S. Deering, E. Nordmark. IPv6 Global Unicast Address Format. RFC3587, 2003.S. Thomson, T. Narten. RFC1971, RFC2462. IPv6 Stateless Address Autoconfiguration. 1998. 曾斌，卿華，瞿國平，IPv6地址動態(tài)管理技術(shù)，計算機(jī)工程與科學(xué)，2000年第22卷第1期。曹玖新，張德運，丁會寧，新一代協(xié)議IPv6自動地址配置的實現(xiàn)，小型微型計算機(jī)系統(tǒng)，第23卷第4期，2002。周福才