IPv6協議漏洞將威脅核心路由器安全

目前隨著互聯網應用的不斷加深，在全球范圍內IPv4地址都呈現出逐漸枯竭的狀況，而面向IPv6地址過渡的呼聲變得越來越強。不過，對于現在網絡設備來說，IPv6準備好了嗎？

作為旨在替代傳統IPv4協議的IPv6，其在協議制定和演進之時，便考慮設計成能夠修補IPv4協議中的安全缺陷，并將原IPv4的安全性選項IPSec（IP安全協議）加入IPv6協議中，以消除現行采用IPv4協議所產生的網絡安全問題。

不過實際上，像IPv6這樣的新通信協議同樣也會出現一些無法預期的設計漏洞，而且當網絡系統以及終端設備向IPv6協議過渡時也會衍生出各種各樣的新安全弱點。

以長期以來一直被懷疑會引發IPv6安全漏洞的“原子碎片”向量為例，就被網絡專家指出，可能會導致大規模核心網絡路由器遭受碎片攻擊。

針對IPv4，碎片攻擊是一個相當普遍的攻擊手段，其主要目的為規避防火墻及入侵檢測系統的偵測，將易被察覺的惡意數字簽名（data signature）分散到數個封包中，造成防火墻及入侵檢測系統難以有效偵測出其原封包的意圖。

而在IPv6僅有來源端可分割封包，其被分割的封包大小可依來源端到目的端路徑所測得的最大MTU來指定，一般正常的IPv6封包為1280字節（bytes），也就是IPv6最小的封包大小，而最后一個傳送的封包大小通常會小于1280字節。同時，要處理重疊的碎片為相當困難的一件事，原因在于不同的目地端系統使用不同的方式來重組封包。

對IPv6而言，當主機接收到小于1280字節（最小IPv6 MTU）的報文時，已無法將其分段為若干片段，這時便會發送包含偏移值為0、MF位為0的碎片頭信息的IPv6原子碎片。關鍵的是，這些原子碎片會成為拒絕服務（DoS）的攻擊向量，進而威脅到核心路由器的安全運行。

因此，目前來自國際互聯網工程任務組（IETF）貢獻者之一的Fernando Gont已經正式提交了RFC 8021文件，將IPv6協議中存在的此種情況，歸類到“認為有害”列表上，以敦促業界重視該問題。

由于IPv6協議中的此漏洞會存在于采用該協議的任何產品中，這就意味著當前主流核心網絡設備供應商，如思科、瞻博網絡、愛立信、華為等都必須給予重視并處理，才能避免協議層面漏洞引發原子碎片攻擊的風險。