信息产业部电信传输研究所 田辉
移动ip（Mobile IP）是在IP网络上提供移动功能的解决方案，该协议设计的初衷是在网络层提供主机的移动性，使得主机在IP网络上的移动对于高层协议保持透明。移动IP一经推出，就被3G标准技术框架所采纳，并随着3G网络的部署得到了推广。
从IPv4到IPv6，移动IP技术自身发生了革命性的变化，解决了诸多问题。其次，IPv6协议具备的新特性，如“地址自动配置”、“邻居发现”等，为主机移动提供了更好的支持。另外，IPv6简化了重组的步骤，对未来Internet移动性也有极大的促进。
在移动IPv6中，移动节点由家乡地址（HoA）惟一标识并为高层协议所见。当移动节点移动到外部网络时，它会在外部网络获得一个转交地址（CoA），该移动节点的转交地址和家乡地址的映射关系称为一个“绑定”。移动节点通过绑定注册过程把自己的转交地址通知给位于家乡网络的家乡代理（HA）。此后，对端通信节点（CN）发往移动节点的数据首先被路由到家乡代理，随后家乡代理根据移动节点的绑定关系，将数据包间接传送（隧道封装）给移动节点。为了优化三角路由问题，移动IPv6也答应移动节点将绑定信息发送到对端通信节点，来实现移动节点和对端通信节点数据的直接传送，而无需经过家乡代理。图1显示了移动IPv6的工作原理。
图1 移动IPv6原理示意图
移动IPv6的基本工作流程仅针对理想状态的互联网，并不考虑安全方面的问题。实际网络中，由于移动性的引入必然会使网络面临新的安全问题，这种威胁包括拒绝服务攻击、重放攻击以及信息窃取攻击等。移动IPv6在具体实施中必须谨慎对待这些安全隐患，避免网络引入移动性后安全级别下降。
一、安全问题分析
移动IP必须面对所有无线网络所固有的安全威胁，移动性的引入使得移动IP比有线的Internet更加脆弱。此外，移动IPv6协议通过定义移动节点、家乡代理和通信节点之间的信令机制，在实现了三角路由优化的同时，也引入了新的安全威胁。
假如攻击者在移动节点、家乡代理和通信节点之间的通信链路上截获并篡改相关的信令报文，那么它就能够轻易的发起攻击。目前移动IPv6可能遭受的攻击主要包括拒绝服务攻击、重放攻击以及信息窃取攻击。
1﹒拒绝服务攻击
拒绝服务攻击是指攻击者为阻止合法用户获得正常服务而采用的攻击手段。
在移动IPv6中，攻击者可以通过如下手段达到上述目的：（1）攻击者发送大量地址绑定更新消息来消耗家乡代理和通信节点的资源，从而导致绑定缓存表溢出或者是无法及时处理合法用户的绑定更新报文；（2）恶意主机把Internet上服务器的IPv6地址作为大量移动节点的转交地址，发送伪装的绑定更新消息给对端通信节点，引发大量的流量发往受害服务器，导致分布式拒绝服务攻击；（3）攻击者冒充移动节点，使用移动节点的家乡地址发送绑定更新消息，伪装节点的移动状况，阻断合法用户的正常通信；（4）在移动节点和家乡代理通信路径上的攻击者通过篡改家乡地址选项域值，将通信节点的流量重定向到第三方节点，阻断合法用户的正常通信；（5）在移动节点和通信节点路径上的攻击者通过篡改路由扩展头域值，将通信节点的流量重定向到第三方节点，阻断合法用户的正常通信。
2﹒重放攻击
重放攻击是指攻击者将一个有效的注册请求消息录取并保存起来，等待一段时间之后再重新发送这个消息来注册一个伪造的转交地址，从而达到攻击的目的。在移动节点和通信节点通信路径上的攻击者通过这种方式将数据流重定向到第三方实体。
3﹒信息窃取
信息窃取可以分为被动监听和主动会话截取。除了上述主要的安全威胁之外，移动IPv6还可能遭受到其它威胁，如攻击者可以冒充通信节点给移动节点发送绑定错误消息，当家乡网络重编号时，家乡代理可以通过设置家乡网络前缀的生存时间来实现位于外部网络的移动节点更新自己的家乡地址等。假如恶意主机修改家乡网络IPv6前缀的生存时间或者干脆修改前缀的内容，可能引起家乡代理服务所有的移动节点无法到达，或者窃取移动节点到家乡代理的流量，或者引起拒绝服务攻击。
二、安全机制探讨
互联网协议设计的一条原则是新协议的引入不为网络带来新的安全威胁，假如存在安全隐患，那么协议本身必须要设计相应的安全机制来克服。移动IPv6协议也不例外。
对于重放攻击，移动IPv6协议在注册消息中添加了序列号，并且在协议报文中引入了时间随机数。移动节点和家乡代理之间可以建立IPsec安全联盟来保护信令消息和业务流量。
1﹒移动节点和家乡代理间的安全
家乡代理通常由运营商部署及运维治理，而移动节点通常也是运营商的可控单元（可通过EMSI或CA证书等手段对身份进行验证控制），可以假设二者处于同一可信任域。
移动IPv6使用IPsec技术来实现移动节点和家乡代理之间的信令信息保护。使用IPsec协议可以提供对数据源验证、数据完整性、数据内容的机密性、抗重播保护以及有限的数据流机密性保证。移动IPv6协议利用IPsec的传输模式的ESP协议来保护从移动节点到家乡代理之间的信令消息。
2﹒移动节点和通信节点间的安全
往返可路由过程的目的在于通信节点必须确认移动节点对于它宣称的家乡地址和转交地址是可达的。只有得到这个确认之后，对端通信节点才会接受来自移动节点的绑定更新消息，而把以后的流量转发到移动节点新的转交地址。
RRP过程的开始是由移动节点同时发送HoTI和CoTI消息，HoTI消息是经过移动节点的家乡代理发送到对端通信节点的，对端通信节点收到这个消息后，回应一个HomeTest消息，CoTI消息是由移动节点直接发送给对端通信节点的，包含了一个Care-ofTestCookie。对端通信节点收到这个消息后，回应一个Care-of Test消息，移动节点收到了Home Test消息和Care-of Test消息后，往返可路由过程就已经完成了，其过程如图2所示。移动节点将收到的Home Cookie和Care-of Cookie作为哈希函数的输入产生会话密钥，并用此密钥来认证绑定消息，接下来移动节点就拥有了足够的信息来认证自己可以向对端通信节点发送绑定更新请求消息。假如对端通信节点验证了绑定更新消息确实为合法移动节点发送，对端通信节点就会创建新的绑定列表选项，确认这个绑定更新。
图2 往返可路由过程示意
尽管MIPv6中规定了以IPSec来进行MN与HA之间协议消息保护，此外对于数据消息也可以用IPSec进行保护。但是在IPv6中真正启用IPSec的很少，MIPv6中应用IPSec就更少了。一方面是由于各系统对IPSecforIPv6的支持还不到位，另一方面IPSec的应用主要适用于IPSecVPN之类的公司用户。对于个人用户，IPSec的配置还比较繁琐。如何能使IPSec易于配置，广泛应用起来，这也是移动IPv6要解决的一个问题。此外，对于如何验证MN与HA之间的协议消息，也值得进一步研究。安全问题仍然是MIPv6的研究热点之一。
三、移动IPv6前景展望
下一代网络将是数据业务和移动业务充分融合的产物，并在这个融合的基础上日益完善，形成承载网以IPv6为演进方向，业务网以NGN/IMS为业务平台，提供无处不在的、多元接入方式的、无缝移动的业务。在这个发展趋势下，移动IPv6作为网络层切换的优选解决方案，可以有效保障无缝漫游的业务属性有望得到规模应用。
整个业界没有任何人否认移动IPv6是一项优秀的技术，但能否取得规模应用不只取决于技术自身的优略，首先还需要IPv6网络的部署、IPv6业务的普及应用以及成熟的业务环境的支撑。
此外，移动IPv6的发展还需要解决好当前业务研究中碰到技术问题，然后才能提供完备的业务解决方案，这些技术问题包括简捷的业务配置解决方案、可靠的信令安全解决方案、快速平滑的切换解决方案、统一的AAA策略解决方案、有效的QoS策略解决方案以及动态域名解决方案等。
IETF对移动IPv6技术进行了卓有成效的标准化工作，经过多达24版的草案讨论，终于在2004年6月形成了“RFC3775-IPv6移动性支持”。2000年~2003年，Connectathons、ETSI等机构一年一度组织了移动IPv6互操作测试，使得不同供给商互通性得到了较全面的验证。从2005年6月起，IPv6论坛也启动了“Pv6Ready”二期认证，主要是增加了对移动IPv6和IPSec的认证，大大推动了移动IPv6设备的规范化发展。中国通信标准化协会也加强了对移动IPv6技术的研究，制定了相应的通信行业标准《移动IPv6技术要求》，相应的测试规范也已经提出立项。
3G及IPv6作为下一代网络的两项重要技术革新，下一代移动数据业务成为业务发展的焦点，受到了国内设备制造商以及网络运营商的广泛关注。国内设备供给商紧密结合未来的3G规划，纷纷加强了对NGI移动数据业务的研发投入，以期在未来竞争中获得市场先机。而国内各大运营商则借助CNGI项目的推动，迅速建设了较为完备的IPv6商用试验网络，为后续开展移动数据业务研究提供了良好的试验平台。此外，信息产业部电信研究院通过长期的技术积累，建立了完备的CNGI验证平台，可为业界提供设备、网络以及业务系统的完整验证服务。期待在整个产业界的合作努力下，移动IPv6能够为广大用户提供全新的移动数据业务体验。
