下一代互联网的研究和建设正逐步成为信息技术领域的热点之一。而下一代互联网的网络安全则是下一代互联网研究中的一个重要的领域。本文首先介绍了IPv6协议的基本特征和内嵌的安全机制，然后在此基础上分析比较了IPv4和IPv6网络下的安全问题的相似性和差异。最后介绍了国内外IPv6安全问题的研究现状与趋势。

　　在互联网从IPv4协议向IPv6协议升级过渡的过程中，更多的安全问题将暴露出来，解决这些安全问题、构建可信任的下一代互联网，将是一项长期而艰巨的任务。

　　从目前基于IPv4协议的互联网向基于IPv6协议的下一代互联网发展将是历史的必然。下一代互联网意味着更多的应用、更快的速度和更大的规模，与此同时，随着网络应用的增加、速度的加快和规模的变大，必须面对更多的安全风险，因此网络安全研究是下一代互联网研究中的一个重要的领域。

　　IPv6协议强制性要求实现IPSec，拥有巨大的地址空间，增大了地址扫描的难度，从这个角度讲，下一代互联网将更加安全。但是IPSec由于密钥管理问题仍然难以广泛部署和实施，许多安全攻击发生在应用层而不是网络层，因此IPv6网络仍然面临许多安全问题。

　　IPv6协议介绍

　　IPv6协议相对于IPv4协议有许多重要的改进，具有以下基本特征：

　　巨大的地址空间：IPv6将IPv4的地址尺寸从32位扩充到128位，这使得网络的规模可以无限扩展，连接所有可能的装置和设备，并使用唯一的全局的网络地址。

　　简化的报文头部：IPv4有许多域和选项，其报头长度不固定，IPv6减少了许多域且报头长度固定，减少了对普通情况的报头处理时间。同时，IPv6对报头选项的处理允许更有效地传送和增加新的选项的灵活性。

　　更好的对服务质量(QoS)的支持:为上层特殊应用的传送信息流可以用流标签来识别，便于专门的处理。

　　改善的路由性能：层次化的地址分配便于实现路由聚合，进而减少路由表的表项，而简化的IP分组头部也减少了路由器的处理负载。

　　内嵌的安全机制：要求强制实现IPSec，提供了支持数据源发认证、完整性和保密性的能力，同时可以抗重放攻击。IPv6内嵌的安全机制主要由以下两个扩展报头来实现：认证头AH(Authentication Header)和封装安全载荷ESP(Encapsulation Security Payload)。其中认证头AH可以实现以下三个功能：保护数据完整性(即不被非法篡改)；数据源发认证(即防止源地址假冒)和抗重放(Replay)攻击。

　　封装安全载荷ESP则在AH所实现的安全功能基础上，还增加了对数据保密性的支持。

　　AH和ESP都可以用两种使用方式：传输模式和隧道模式。传输模式只可应用于主机实现，并只提供对上层协议的保护，而不保护IP报头。隧道模式可用于主机或安全网关。在隧道模式中，内部的IP报头带有最终的源和目的地址，而外面的IP报头可能包含性质不同的IP地址，如安全网关地址。

　　不过，因为IPSec还没有解决大规模的密钥分发和管理问题，虽然IPv6要求强制实现IPSec，但是IPSec在全网的部署和实施还存在许多困难。

　　IPv4与IPv6 安全问题比较

　　比较IPv4协议和IPv6协议下的安全问题，我们可以看到有些安全问题的原理和特征基本没有发生变化，例如窃听攻击，应用层攻击，中间人攻击，洪泛攻击等。另一方面，由于IPv6协议的引入，许多安全问题的原理和特征发生了显著变化，主要有侦察、非授权访问、分组头部和分段信息的篡改、源地址伪造等。

　　与IPv4下的情况相比较，原理和特征基本未发生变化的安全问题可以划分为三类：网络层以上的安全问题；与网络层数据保密性和完整性相关的安全问题和与网络层可用性相关的安全问题。

　　网络层以上的安全问题：主要是各种应用层的攻击，它们的特征和原理没有任何变化。

　　与网络层数据保密性和完整性相关的安全问题：主要是窃听攻击和中间人攻击。因为IPSec目前还没有解决大规模密钥分配和管理的困难，所以缺乏广泛的部署，因此在IPv6网络中，仍然可以存在窃听和中间人攻击。

　　与网络层可用性相关的安全问题：主要是指洪泛攻击，例如常见的TCP SYN flooding攻击。