专家谈IPv6安全事项：是神话还是现实？

根据早期宣传IPv6的描述，IPv6当时的主要卖点是具备比IPv4更优越的安全性，因为IPv6对带有IPsec的端到端加密提供强制支持。但是这仅仅是一个神话，因为IPv4也同样支持IPsec。

你可以在不部署任何IPsec加密运算法则的情况下实现IPv6一致性，而主要的分布式(或远程端点验证)问题仍然和以前一样棘手。

为了了解IPv6安全事项，我们不应该迷信IPv6的安全神话，而应该考虑更为困难的实践性问题：较之IPv4，IPv6具有怎样的安全优势?

IPv4和IPv6协议在结构上具有相似性。IPv6其实就是在IPv4的基础上增加了地址长度，修复并增加了更为复杂的标头，而一些额外的协议(地址解析协议ARP，已经被ICMP Neighbor Discovery来替代。)

专家谈IPv6安全事项：是神话还是现实？

我们即将在IPv6世界中使用的安全机制几乎与我们在IPv4中所使用的一样，包括：

端点安全带有嵌入操作系统的防火墙;

单独的防火墙执行第四层数据包过滤或者深层数据包检测;

路由和交换机上的访问列表(数据包过滤器);

内部子网安全机制(DHCP窃听);

IPv6不会让网络层发生任何改变。TCP和UDP没有被改变，运行在IPv6上的协议也和IPv4上的无异。唯一的区别是网络层和传输层之间衔接。

IPv4在第三层标头中含有第四层协议标记符(TCP=6，UDP=17;对于其他协议，需要检查这个IANA协议端口对应文件)。

IPv6允许一系列的标头扩展，这就间接增加了第四层检测的难度。过长的标头扩展甚至会减少硬件中部署数据包过滤器设备的运行性能。

以上的讨论都是让我们认清一个事实，即IPv4和IPv6安全之间的区别主要是部署独立性，我们不妨对IPv6安全性的期待放低一些。

IPv6协议堆积在未被完全测试过的端点托管和网络设备内用来替代IPv4。但愿漏洞不会被覆盖(或许还会出现零日攻击利用程序员已知的漏洞)，这样IPv6被普及的范围更广。

网络和安全工程师缺乏IPv6的暴露和操作性经验，因此其部署可能会出现一些阻碍和安全性问题。

由于存在多种IPv6-over-IPv4隧道技术，对企业网络的无意识连接会引发与IPv6相关的入侵和其他安全事故。我们可以通过多种方式从IPv4转变为IPv6，而公共的隧道破坏者可以让我们在几分钟内就连接到IPv6。除非你的防火墙部署有严格的安全策略，否则某些大意的用户就有可能创建IPv6-over-IPv4隧道并且暴露其工位，甚至是暴露整个子网。

从网络供应商那里部署的IPv6部署和现在的IPv4完了相比，仍然缺乏足够的安全性。与IPv4一样，有很多有名的攻击可供骇客破坏IPv6。

欺骗路由器的广告和引诱终端用户进行检测和修改。

欺骗性的DHCPv6信息会衍生大量终端站的DNS服务器地址。

思科已经部署了路由器广告防守特性来保护已更改网络上的路由器广告，一些供应商会让你部署安全的Neighbor Discovery(SEND)，它添加了比IPsec简单的密码层组来保护ND机制。但是在这些工具中，没有哪一个方法比我们在IPv4世界中所拥有的ARP检测和DHCP窃取更简单。

只有当设备供应商填补了这些空白，并且在IPv4和IPv6安全性能之间提供真实对等性时，我们才能期望IPv6网络更加安全。这并非是指IPv6不安全，而是它目前的部署还滞后于IPv4。