首页 >> IPv6学堂 >> 正文

以IPv6技术为标志的下一代互联网将会使互联网在未来十年内产生新的飞跃，向“更大、更快、更及时、更方便、更安全、更可管理和更有效”的目标飞 速发展，为我国建立一个可信任的互联网络和应用环境提供了一个很好的机遇， 但网络的安全问题并没有从根本上得到解决，使下一代互联网成为一个可信任的基础设施仍然存在着大量的挑战。

在下一代互联网中，IPv6 巨大的地址空间使得可接入设备的种类、数量和规模都远远超过现有的互联网，所有终端设备都可以使用真实IP地址接入，这构成了可信任的互联网的研究基础。 巨大的地址空间带来的另一个好处是互联网不再需要大量的地址转换（NAT），这不仅大大促进了互联网应用的开发推广，同时也大大降低了互联网安全、管理和 计费的成本。

下一代互联网在设计、实现和实施之中考虑了网络安全问题，在一定程度上改善了互联网的安全。比如，IPv6协议中，针对端到端的认证、加密和数据完 整性，规定IPSEC是必须实现的。为了防范拒绝服务攻击，ICMPv6中取消了广播数据包。利用巨大的地址空间和地址分配的稀疏性，下一代互联网络还可 以大大降低蠕虫的传播速度。

然而，下一代互联网的许多安全问题仍然没有解决，仍然面临着巨大的安全挑战。首先，更大规模、更多接入设备和应用、以及更快的速度也增大了安全风险。同时我们也应该看到，IPv6本身并没有解决上层协议和端系统本身的安全问题。

幸运的是，我们现在站在了国际下一代互联网的研究前沿，面对着下一代互联网为我们提供的难得机遇。

可信任的下一代互联网体系结构是一个层次模型，可以分为可信任的网络基础设施层、可信任的安全服务层、和可信任的互联网应用三个层次，如图1所示。

可信任的网络基础设施层。研究的核心内容是实现下一代互联网的真实IP地址访问。具体包括支持真实IP地址访问的网络体系结构，核心网真实IP地址 访问技术，核心网域间真实IP地址访问技术，核心网和接入网间的真实IP地址访问技术，接入网真实IP地址访问技术和移动环境下真实IP地址访问技术。

可信任的网络安全服务层。研究的核心是实现全局用户识别。具体研究内容包括：互联网全局标识设计和管理,全局标识服务和目录服务,基于全局标识的身份认证服务,跨域的授权和访问控制服务,可扩展的信任管理体系和移动环境下的用户标识和认证技术。

可信任的下一代互联网应用层。研究建立在真实IP地址、安全服务基础上的安全应用模型，并着重研究大规模点到点的综合通信平台、可信的电子邮件服务模型。

项目重点研究以下五个方面的内容：

1．研究基于真实IP地址访问的IPv6互联网安全体系结构模型。

2．建设真实IP地址访问的IPv6互联网基础设施，研究并开发支持真实IP地址验证的路由器产品、交换机产品、以及支持真实IP地址访问的域名服务系统、地址分配和密钥管理系统。

3．研究基于真实地址访问的网络安全服务中间件系统，重点研究跨域的、可扩展的身份标识与认证服务系统、访问控制系统、PKI和密钥管理系统。

4．研究基于真实地址访问的安全应用系统的结构模型和关键技术，并具体研究基于真实地址访问的安全电子邮件系统。

5．建设大规模、可扩展的IPv6网络安全测试实验床，用来分析现有IPv6安全隐患，评估CNGI网络基础安全性和各项安全机制的有效性。   

课题的研究意义主要表现在以下几个方面：

（1）有可能从根本上解决互联网的安全问题，建设可信任的下一代互联网;

（2）为构建可信任的下一代互联网应用提供基础安全服务平台;

（3）推动互联网应用的发展;

（4）为我国可信任下一代互联网提供技术和安全的保障;

（5）有可能引领国际下一代互联网研究，提高我国科技和产业界的国际竞争力。