網(wǎng)絡(luò)通信中TCP/IP協(xié)議安全隱患研究

趙曉典 鄭向娣 張建麗

(1.石家莊鐵道大學(xué)四方學(xué)院，河北 石家莊 050000；2.石家莊工商職業(yè)學(xué)院，河北 石家莊 050000)

1.引言

網(wǎng)絡(luò)通信的安全隱患主要由網(wǎng)絡(luò)通信協(xié)議的不安全性、計(jì)算機(jī)病毒的入侵、黑客的攻擊、操作系統(tǒng)和應(yīng)用軟件的安全漏洞、防火墻自身帶來(lái)的安全漏洞等造成。TCP/IP協(xié)議是使接入Internet的異種網(wǎng)絡(luò)、不同設(shè)備之間能夠進(jìn)行正常的數(shù)據(jù)通信，而預(yù)先制定的一整套共同遵守的格式和規(guī)定。TCP/IP協(xié)議在網(wǎng)絡(luò)互聯(lián)中發(fā)揮了核心的作用，但由于TCP/IP協(xié)議遵循開(kāi)放性原則使得它本身存在許多安全隱患[1，2]，讓黑客們有機(jī)可乘，利用其缺陷來(lái)對(duì)網(wǎng)絡(luò)通信進(jìn)行攻擊。這些攻擊包括IP地址欺騙、ARP欺騙、ICMP攻擊、TCPSYNFlood、DNS攻擊等。本文深入分析了TCP/IP協(xié)議中存在的安全隱患，并針對(duì)這些漏洞給出了相應(yīng)的防范和改進(jìn)措施。

2.網(wǎng)絡(luò)通信安全問(wèn)題

隨著計(jì)算機(jī)技術(shù)和通信技術(shù)的不斷發(fā)展，計(jì)算機(jī)網(wǎng)絡(luò)日益成為工業(yè)、農(nóng)業(yè)和國(guó)防等方面的重要信息交換手段，它的應(yīng)用非常廣泛，已經(jīng)滲透到社會(huì)生活的各個(gè)領(lǐng)域。但是，無(wú)論是局域網(wǎng)還是廣域網(wǎng)，其中都存在著自然和人為等諸多因素的潛在威脅[3]。人為攻擊可分為主動(dòng)攻擊和被動(dòng)攻擊。常見(jiàn)的被動(dòng)攻擊手段有：中斷、篡改、偽造、冒充、抵賴；常見(jiàn)的被動(dòng)攻擊手段有：偷竊、分析。

網(wǎng)絡(luò)安全業(yè)務(wù)是指在網(wǎng)絡(luò)安全通信中主要采用的安全措施。針對(duì)目前存在和潛在的各類網(wǎng)絡(luò)安全威脅，主要有以下幾種通用的安全業(yè)務(wù)：保密業(yè)務(wù)、數(shù)據(jù)完整性業(yè)務(wù)、認(rèn)證業(yè)務(wù)、不可抵賴性業(yè)務(wù)和訪問(wèn)控制業(yè)務(wù)[4]。針對(duì)網(wǎng)絡(luò)安全問(wèn)題，幾種常見(jiàn)的網(wǎng)絡(luò)安全技術(shù)有信息加密、信息確認(rèn)和網(wǎng)絡(luò)控制技術(shù)。

3.TCP/IP協(xié)議安全隱患分析及防范措施

TCP/IP協(xié)議通常劃分為四個(gè)層次，從上到下依次為應(yīng)用層、傳輸層和網(wǎng)絡(luò)接口層，其體系結(jié)構(gòu)及各層包含的主要協(xié)議如表1所示。

表1 TCP/IP協(xié)議族的層次結(jié)構(gòu)

在TCP/IP協(xié)議族中存在安全問(wèn)題的主要協(xié)議有ARP協(xié)議、IP協(xié)議、ICMP協(xié)議、TCP協(xié)議、DNS協(xié)議。下面逐個(gè)分析其存在的安全缺陷及防范措施。

3.1 IP欺騙

基于IP協(xié)議的安全問(wèn)題主要是IP地址欺騙。IP地址欺騙是指行動(dòng)產(chǎn)生IP包的假冒源IP地址，以冒充其他系統(tǒng)或保護(hù)發(fā)送人的身分。IP是無(wú)連接的，不可靠的協(xié)議。它的32bit的頭中，包含了自己要去的目的主機(jī)的IP地址，幾乎所有的TCP/IP協(xié)議的傳輸都是被包含在IP包中發(fā)送的，它的所有的可靠性都是由它的上層協(xié)議來(lái)保證的。如果不可達(dá)，ICMP的不可達(dá)報(bào)文就會(huì)發(fā)送回主機(jī)。它的無(wú)狀態(tài)特性，說(shuō)明它不保存上一個(gè)包的任何狀態(tài)。因此，我們就可以通過(guò)修改IP協(xié)議棧的方法，把所需要的IP地址填寫(xiě)到我們所發(fā)送出去的IP包中，來(lái)達(dá)到冒充其他主機(jī)的目的。

防止IP欺騙的方法有：

(1)拋棄基于地址的信任策略

阻止這類攻擊的一種非常容易的方法是放棄以地址為基礎(chǔ)的驗(yàn)證。不允許r*類遠(yuǎn)程調(diào)用命令的使用。

(2)進(jìn)行包過(guò)濾

如果你的網(wǎng)絡(luò)是通過(guò)路由器接入的，那么可以利用路由器來(lái)進(jìn)行包過(guò)濾。確信只有你的內(nèi)部網(wǎng)絡(luò)可以使用信任關(guān)系。你的路由器能過(guò)濾掉所有來(lái)自于外部而希望與內(nèi)部建立連接的請(qǐng)求。

(3)使用加密方法

阻止IP欺騙的另一種有效的方法是在通信時(shí)要求加密傳輸和驗(yàn)證。

(4)關(guān)閉所有的RPC命令

刪除所有的 /etc/hosts.equiv、$HOME/.rhosts文件，修改/etc/inetd.conf文件，使得RPC機(jī)制無(wú)法運(yùn)作，還可以殺掉portmapper等。

3.2 ARP欺騙

當(dāng)計(jì)算機(jī)接收到ARP應(yīng)答數(shù)據(jù)包的時(shí)候，就會(huì)對(duì)本地的ARP緩存進(jìn)行更新，將應(yīng)答中的IP和MAC地址存儲(chǔ)在ARP緩存中。比如在局域網(wǎng)內(nèi)，一個(gè)中了ARP病毒的電腦，把自己偽裝成路由器，他就可以隨意的把改裝過(guò)的網(wǎng)絡(luò)數(shù)據(jù)送給所有電腦，在這個(gè)數(shù)據(jù)里可以插入病毒的程序。

ARP欺騙的種類：ARP欺騙是黑客常用的攻擊手段之一。ARP欺騙分為二種，一種是對(duì)路由器ARP表的欺騙；另一種是對(duì)內(nèi)網(wǎng)PC的網(wǎng)關(guān)欺騙。第一種ARP欺騙的原理是截獲網(wǎng)關(guān)數(shù)據(jù)。它通知路由器一系列錯(cuò)誤的內(nèi)網(wǎng)MAC地址，并按照一定的頻率不斷進(jìn)行，使真實(shí)的地址信息無(wú)法通過(guò)更新保存在路由器中，結(jié)果路由器的所有數(shù)據(jù)只能發(fā)送給錯(cuò)誤的MAC地址，造成正常PC無(wú)法收到信息。第二種ARP欺騙的原理是偽造網(wǎng)關(guān)。它的原理是建立假網(wǎng)關(guān)，讓被它欺騙的PC向假網(wǎng)關(guān)發(fā)數(shù)據(jù)，而不是通過(guò)正常的路由器途徑上網(wǎng)。

預(yù)防ARP欺騙的手段有：

(1)ARP防火墻

防火墻技術(shù)是一種允許接入外部網(wǎng)絡(luò)，但同時(shí)又能夠識(shí)別和抵抗非授權(quán)訪問(wèn)的網(wǎng)絡(luò)安全技術(shù)[5]。下載專業(yè)的ARP防火墻，如果有條件，購(gòu)買(mǎi)具有ARP欺騙防范能力的網(wǎng)絡(luò)設(shè)備。

(2)創(chuàng)建靜態(tài)的ARP列表

在所有終端中，創(chuàng)建靜態(tài)的ARP列表。

(3)劃分VLAN

劃分VLAN，縮小廣域網(wǎng)的規(guī)模，極端情況是隔離每個(gè)終端，這種方法的弊端是影響同一子網(wǎng)下的各終端通信。

3.3 ICMP協(xié)議隱患

ICMP的漏洞可以在不需要嗅探網(wǎng)絡(luò)數(shù)據(jù)流的情況下直接被利用，而且這些基于ICMP的攻擊不需要攻擊者猜測(cè)正確的TCP序列號(hào)，使得摧毀網(wǎng)絡(luò)流量變得更加簡(jiǎn)單。可以對(duì)目標(biāo)主機(jī)經(jīng)行性能衰竭攻擊：攻擊者可以發(fā)送大量的ICMP包給目標(biāo)主機(jī)使得它不能夠?qū)戏ǖ姆?wù)請(qǐng)求做出響應(yīng)。

對(duì)于ICMP攻擊，可以采取兩種方法進(jìn)行防范：

第一種方法是在路由器上對(duì)ICMP數(shù)據(jù)包進(jìn)行帶寬限制，將ICMP占用的帶寬控制在一定的范圍內(nèi)，這樣即使有ICMP攻擊，它所占用的帶寬也是非常有限的，對(duì)整個(gè)網(wǎng)絡(luò)的影響非常少；

第二種方法就是在主機(jī)上設(shè)置ICMP數(shù)據(jù)包的處理規(guī)則，最好是設(shè)定拒絕所有的ICMP數(shù)據(jù)包。設(shè)置ICMP數(shù)據(jù)包處理規(guī)則的方法也有兩種，一種是在操作系統(tǒng)上設(shè)置包過(guò)濾，另一種是在主機(jī)上安裝防火墻。

3.4 TCPSYN Flood

TCP協(xié)議受到的主要威脅是同步洪流TCPSYN Flood。SYN Flood是當(dāng)前最流行的DoS(拒絕服務(wù)攻擊)與DDoS(分布式拒絕服務(wù)攻擊)的方式之一，這是一種利用TCP協(xié)議缺陷，發(fā)送大量偽造的TCP連接請(qǐng)求，從而使得被攻擊方資源耗盡(CPU滿負(fù)荷或內(nèi)存不足)的攻擊方式。TCPSYN Flood攻擊的機(jī)制：客戶端通過(guò)發(fā)送在TCP報(bào)頭中SYN標(biāo)志置位的數(shù)據(jù)分段到服務(wù)端來(lái)請(qǐng)求建立連接。通常情況下，服務(wù)端會(huì)按照IP報(bào)頭中的來(lái)源地址來(lái)返回SYN/ACK置位的數(shù)據(jù)包給客戶端，客戶端再返回ACK到服務(wù)端來(lái)完成一個(gè)完整的連接。在攻擊發(fā)生時(shí)，客戶端的來(lái)源IP地址是經(jīng)過(guò)偽造的(spoofed)，現(xiàn)行的IP路由機(jī)制僅檢查目的IP地址并進(jìn)行轉(zhuǎn)發(fā)，該IP包到達(dá)目的主機(jī)后返回路徑無(wú)法通過(guò)路由達(dá)到的，于是目的主機(jī)無(wú)法通過(guò)TCP三次握手建立連接。在此期間因?yàn)門(mén)CP緩存隊(duì)列已經(jīng)填滿，而拒絕新的連接請(qǐng)求。目的主機(jī)一直嘗試直至超時(shí)(大約75秒)。這就是該攻擊類型的基本機(jī)制。SYN Flood攻擊過(guò)程示意圖見(jiàn)圖1。

圖1 TCPSYN Flood攻擊過(guò)程

如何才能做到有效的防范呢?

(1)TCPWrapper

使用TCPWrapper可能在某些有限的場(chǎng)合下有用，比如服務(wù)端只處理有限來(lái)源IP的TCP連接請(qǐng)求，其它未指定來(lái)源的連接請(qǐng)求一概拒絕。這在一個(gè)需要面向公眾提供服務(wù)的場(chǎng)合下是不適合的。而且攻擊者可以通過(guò)IP偽裝(IP Spoof)來(lái)直接攻擊受TCPWrapper保護(hù)的TCP服務(wù)，更甚者可以攻擊者可以偽裝成服務(wù)器本身的地址進(jìn)行攻擊。

(2)增加TCPBacklog容量

增加TCPBacklog容量是一種治標(biāo)不治本的做法。它一方面要占用更多的系統(tǒng)內(nèi)存，另一方面延長(zhǎng)了TCP處理緩存隊(duì)列的時(shí)間。攻擊者只要不停地的進(jìn)行SYN Flood一樣可以達(dá)到拒絕服務(wù)的目的。

(3)ISP接入

所有的ISP在邊界處理進(jìn)入的主干網(wǎng)絡(luò)的IP數(shù)據(jù)包時(shí)檢測(cè)其來(lái)源地址是否合法，如果非指定來(lái)源IP地址范圍，可以認(rèn)為是IPSpoofing行為并將之丟棄。

(4)縮短SYN超時(shí)時(shí)間

由于SYN Flood攻擊的效果取決于服務(wù)器上保持的SYN半連接數(shù)，這個(gè)值等于SYN攻擊的頻度乘以SYN超時(shí)時(shí)間，所以通過(guò)縮短從接收到SYN報(bào)文到確定這個(gè)報(bào)文無(wú)效并丟棄改連接的時(shí)間，例如設(shè)置為20秒以下 (過(guò)低的SYN超時(shí)時(shí)間設(shè)置可能會(huì)影響客戶的正常訪問(wèn))，可以成倍的降低服務(wù)器的負(fù)荷。

(5)設(shè)置SYN Cookie

給每一個(gè)請(qǐng)求連接的IP地址分配一個(gè)Cookie，如果短時(shí)間內(nèi)連續(xù)受到某個(gè)IP的重復(fù)SYN報(bào)文，就認(rèn)定是受到了攻擊，以后從這個(gè)IP地址來(lái)的包會(huì)被一概丟棄。

3.5 DNS攻擊

當(dāng)客戶向一臺(tái)服務(wù)器請(qǐng)求服務(wù)時(shí)，服務(wù)器方一般會(huì)根據(jù)客戶的IP反向解析出該IP對(duì)應(yīng)的域名。這種反向域名解析就是一個(gè)查DNS的過(guò)程。如果客戶的IP對(duì)應(yīng)有域名，那么DNS查詢會(huì)返回其域名。服務(wù)器端得到這一機(jī)器名后會(huì)將其記錄下來(lái)并傳遞給應(yīng)用程序。你必須有一臺(tái)Internet上的授權(quán)的DNS服務(wù)器，并且你能控制這臺(tái)服務(wù)器，至少要能修改這臺(tái)服務(wù)器的DNS記錄。DNS可能受到的服務(wù)攻擊有拒絕服務(wù)、緩沖區(qū)中毒、區(qū)域信息泄露、域名劫持。

DNS的安全防范措施有：

(1)包過(guò)濾防護(hù)

限制使用DNS服務(wù)器的網(wǎng)絡(luò)數(shù)據(jù)包的類型，實(shí)施包過(guò)濾的依據(jù)主要是端口、IP、流量。

(2)網(wǎng)絡(luò)拓?fù)湎拗?/p>

為了減少單點(diǎn)故障的威脅，從網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)角度應(yīng)避免將DNS服務(wù)器置于無(wú)旁路的環(huán)境下，不應(yīng)將所有的DNS服務(wù)器置于同一子網(wǎng)、同一租用鏈路、同一路由器、同一物理位置。

4.TCP/IP協(xié)議族的改進(jìn)與展望

由于Internet的安全性問(wèn)題日益突出，TCP/IP協(xié)議族也在不斷地改善和發(fā)展之中。

(1)IP協(xié)議的改進(jìn)

IPv6的實(shí)用化研究開(kāi)發(fā)工作正在進(jìn)行。兩種為IPv6設(shè)計(jì)的安全機(jī)制加進(jìn)了Ipv4。一為AH機(jī)制，提供認(rèn)證和完整性服務(wù)，但不提供保密服務(wù)。二為ESP機(jī)制，提供完整性服務(wù)、認(rèn)證服務(wù)及保密服務(wù)。

(2)路由技術(shù)的改進(jìn)

為保護(hù)RIP和OSPF報(bào)文安全，采用著名的MD5認(rèn)證算法對(duì)發(fā)送路由報(bào)文的結(jié)點(diǎn)進(jìn)行認(rèn)證。路由器內(nèi)含認(rèn)證TCP會(huì)話過(guò)程的機(jī)制能減少多個(gè)自治域之間通過(guò)BGP所傳路由信息遭受攻擊的危險(xiǎn)性。由于IPv6提供AH和ESP機(jī)制，與IPv6一起使用的內(nèi)部網(wǎng)關(guān)協(xié)議也可獲得安全保護(hù)。

(3)DNS安全擴(kuò)充

DNS安全擴(kuò)充提供了DNS信息認(rèn)證機(jī)制，并允許用戶的公開(kāi)密鑰存儲(chǔ)于DNS中，由請(qǐng)求方對(duì)其進(jìn)行認(rèn)證。DNS安全擴(kuò)充允許用戶簽名的公開(kāi)密鑰與地址記錄、姓名記錄、郵箱一起進(jìn)行認(rèn)證分配，從而使動(dòng)態(tài)密鑰管理較易實(shí)現(xiàn)。

(4)密鑰管理協(xié)議

密鑰管理方面，IETF正在研究密鑰交換協(xié)議Oakley并推出了ISAKMP(Internet Security Association And Key Management Protocol)協(xié)議。使用該協(xié)議產(chǎn)生的密鑰與以往產(chǎn)生的任何密鑰都無(wú)關(guān)，因此攻擊者無(wú)法通過(guò)破獲幾個(gè)主密鑰來(lái)導(dǎo)出會(huì)話密鑰。ITEF還允許就密鑰生存期、敏感級(jí)等問(wèn)題進(jìn)行協(xié)商。

5.總結(jié)

本文首先分析了網(wǎng)絡(luò)通信中存在的安全問(wèn)題，然后深入分析了TCP/IP協(xié)議中存在的安全隱患，并針對(duì)這些漏洞給出了相應(yīng)的防范措施，最后展望了TCP/IP協(xié)議族的改進(jìn)和發(fā)展。但是網(wǎng)絡(luò)通信的安全不僅僅取決于通信協(xié)議的完善，同時(shí)應(yīng)關(guān)注操作系統(tǒng)、防火墻的安全，并提高自身網(wǎng)絡(luò)安全意識(shí)，才能有效防范病毒入侵和黑客攻擊。

[1]B.C.SSoh，S.Young.Network system and world wideweb security[J].Computer Communication，1997 20(2)：1431-1436.

[2]Phil Janson，Harry Rudin.Computer Network Security[J].Computer Network.1999，31(1)：785-786.

[3]李海泉，李健.計(jì)算機(jī)系統(tǒng)安全技術(shù)[M].北京：人民郵電出版社，2001.

[4]Wiiliamstallings.密碼編碼學(xué)與網(wǎng)絡(luò)安全：原理與實(shí)踐[M].楊明，青光輝譯.北京：電子工業(yè)出版社，2001.

[5]隋紅建，吳漩.計(jì)算機(jī)網(wǎng)絡(luò)與通信[M].北京：北京大學(xué)出版社，2001.