目前隨著互聯(lián)網(wǎng)應用的不斷加深，在全球范圍內(nèi)IPv4地址都呈現(xiàn)出逐漸枯竭的狀況，而面向IPv6地址過渡的呼聲變得越來越強。不過，對于現(xiàn)在網(wǎng)絡設備來說，IPv6準備好了嗎?

作為旨在替代傳統(tǒng)IPv4協(xié)議的IPv6，其在協(xié)議制定和演進之時，便考慮設計成能夠修補IPv4協(xié)議中的安全缺陷，并將原IPv4的安全性選項IPSec(IP安全協(xié)議)加入IPv6協(xié)議中，以消除現(xiàn)行采用IPv4協(xié)議所產(chǎn)生的網(wǎng)絡安全問題。

不過實際上，像IPv6這樣的新通信協(xié)議同樣也會出現(xiàn)一些無法預期的設計漏洞，而且當網(wǎng)絡系統(tǒng)以及終端設備向IPv6協(xié)議過渡時也會衍生出各種各樣的新安全弱點。

以長期以來一直被懷疑會引發(fā)IPv6安全漏洞的“原子碎片”向量為例，就被網(wǎng)絡專家指出，可能會導致大規(guī)模核心網(wǎng)絡路由器遭受碎片攻擊。

針對IPv4，碎片攻擊是一個相當普遍的攻擊手段，其主要目的為規(guī)避防火墻及入侵檢測系統(tǒng)的偵測，將易被察覺的惡意數(shù)字簽名(data signature)分散到數(shù)個封包中，造成防火墻及入侵檢測系統(tǒng)難以有效偵測出其原封包的意圖。

而在IPv6僅有來源端可分割封包，其被分割的封包大小可依來源端到目的端路徑所測得的最大MTU來指定，一般正常的IPv6封包為1280字節(jié)(bytes)，也就是IPv6最小的封包大小，而最后一個傳送的封包大小通常會小于1280字節(jié)。同時，要處理重疊的碎片為相當困難的一件事，原因在于不同的目地端系統(tǒng)使用不同的方式來重組封包。

對IPv6而言，當主機接收到小于1280字節(jié)(最小IPv6 MTU)的報文時，已無法將其分段為若干片段，這時便會發(fā)送包含偏移值為0、MF位為0的碎片頭信息的IPv6原子碎片。關(guān)鍵的是，這些原子碎片會成為拒絕服務(DoS)的攻擊向量，進而威脅到核心路由器的安全運行。

因此，目前來自國際互聯(lián)網(wǎng)工程任務組(IETF)貢獻者之一的Fernando Gont已經(jīng)正式提交了RFC 8021文件，將IPv6協(xié)議中存在的此種情況，歸類到“認為有害”列表上，以敦促業(yè)界重視該問題。

由于IPv6協(xié)議中的此漏洞會存在于采用該協(xié)議的任何產(chǎn)品中，這就意味著當前主流核心網(wǎng)絡設備供應商，如思科、瞻博網(wǎng)絡、愛立信、華為等都必須給予重視并處理，才能避免協(xié)議層面漏洞引發(fā)原子碎片攻擊的風險。

[[182410]]