01-邬贺铨-互联网的演进与安全挑战

2013中国互联网安全大会互联网的演进与安全挑战邬贺铨2013中国互联网安全大会Internet的发展290’年代公众互联网WEBIPv4浏览平台拨号接入商业网有线、无线数据、话音电信业务70’年代ARPARNETTCP/IPNCP联系平台拨号接入研究网有线数据（Email,FTP）网络业务00’年代全球互联网P2P/Web2.0IPv6宽带交互平台数据、话音、视频媒体业务商业网永远在线10’年代下一代互联网泛在网IPv6Cyber-PhysicalSystem永远在线物联业务数据、话音、视频、M2M移动、宽带中国互联网安全大会互联网面对的挑战与体系技术的演进•以人作为使用者的假定－－物联网？•以主机为中心的假定－－传感器？•主机固定使用的假定－－移动？•网络是黑匣子的假定－－业务感知？•尽力而为服务的假定－－QOS?•业务流可信任的假定－－黑客/病毒？•与商业应用无关的假定－－可持续？•可扩展性：传输带宽、交换能力、路由表、IP地址、频谱资源•可管理性：资源、QOS、内容•移动性：终端、网络、服务•泛在性：普适应用、物联网•安全性：网络安全、信息安全•绿色化：能效优先•异构性：与多种网互通与兼容3互联网发展面对的挑战互联网设计之初的假定命名与寻址功能－－从合到分（命名数据网）物理与逻辑功能－－从合到分（切片、虚拟化和可编程网络）转发与控制功能－－从合到分（软件定义网）内容传送模式－－－从C/S和P2P到S2S（内容中心网、异构云网络）IP层功能－－－－从路由交换到业务承载（分组与通道交换混合网络）互联网体系技术的演进2013中国互联网安全大会2012年的网络安全事件类型4EuropeanCommissionDGINFSO,UnitC4:EconomicalandStatisticalAnalysis2013中国互联网安全大会下一代互联网的目标－－可信、移动、物联、泛在5安全与鲁棒性信息接入的高可用性与可信性具有移动性的普适计算无论何时何地的无缝接入跨越物理与Cyber空间实时接入物理世界的信息自治连网动态和挑战环境的信息接入下一代互联网/未来网络宽带化、移动化、泛在化安全性、可用性、可信性可信互联网移动互联网物联网泛在网2013中国互联网安全大会IPv66隧道模式新IP头IPsec头IP头净荷IPsec尾部加密传送模式IPsec头IP头IPsec尾部加密净荷IPv4-IPv4TranslationIPv4-IPv6TranslationTunnelingIPv6-over-IPv4TunnelingIPv4-over-IPv6TunnelingLSNNAT64IVI6to46rdSAM/4rdDS-Lite,A+PDual-StakedIVITranslationIPv6地址(16字节)Sitetopology(16bits)Interfaceidentifier(64bits)Publictopology(45bits)interfaceIDSubnetIDNLA*TLA001IPv6全球地址前缀340,282,366,920,938,463,374,607,432,768,211,456流标记净荷长度下一头部最大跳数源地址（128bits）目的地地址（128bits）版本优先级IPsec会增加内容监管的困难IPv4与IPv6的互通给信息安全带来新课题支持IP层的可跟踪性和DNSSEC等加密协议应用2013中国互联网安全大会IPv6的安全性IPSEC的设想尽管美好端点的安全与协议栈的质量仍然是大问题存在一些远超过IPv6的安全设计，但效果？WifiWEPDVDCSSMifarestoredvaluecards(majorsubways)GSM电话keynegotiation在部署IPv6后仍发生安全事故智能电网FAA下一代airtrafficcontrolOctober27,2010UWEBC-IPv67IPv6的设计发生在互联网主要问题暴露之前IPv6的设施不如IPv4成熟NMAP仅在TCP上查看IPv6在L2,加上RA欺诈,有DHCP风险，特别在无线通信，例如具有连接共享的漫游PC2013中国互联网安全大会DNS的安全性漏洞DNS服务器的数据容易受到病毒破坏，而用户无法知道DNS应答的来源或数据是否正确恶意使用者能够在DNS服务器上注册，获取他的IP地址的反向映射，使用户进入劫持者自己设立的欺骗性网站，以便收集用户的账号和密码2013中国互联网安全大会?DNSsec与数字签名•DNSsec（DomainNameSystemSECurity）是域名系统的安全协议。DNSsec的目标就是通过对数据进行数字“签名”提供权限认证和信息完整性。签名者的私钥加密后的摘要Hash算法摘要Hash算法摘要摘要签名者的公钥原文+加密的摘要＝签署的文件原文发送侧接收侧2013中国互联网安全大会DNSsec的安全性问题公钥的签发是由目录服务的管理实体来执行的，例如根区域是由ICANN管理的。根服务器不由我们所控制，.CN的DNSsec认证权旁落。如果一个私钥被破坏，目前还没有能力可检测出有错误的密钥。2013中国互联网安全大会物理与逻辑分离－－网络虚拟化•Slicing（切片）嵌入到网络资源底层内•Virtualization（虚拟化）在共享设施上复用体系•Programmability（可编程）对新设计不加限制11CMNodesubstrateCMNodesubstrateComponentsCMNodesubstrateResourceControllerAuditingArchiveSliceManagerRDSCSPSLSMSInfrastructureservicesCorenodecontrolsensordataLogicalNetworkInfrastructuresVariousServicesPhysicalInfrastructure用户需求的设施实际的物理设施网络虚拟化－－可共享物理网设施但逻辑上隔离，使多个异构的虚拟网能同时共存在基础设施上。2013中国互联网安全大会NextGenerationInternet—NGIFutureInternetNextGenerationNetwork—NGNNewGenerationNetwork--NWXNInternet3.0GENI/FIND/FIA,AKARI/NwGN，4WARD,FP7/FIRE,SENSEINGN,CNGI,WiiSEFIF,MEVICO,NDN，TrilogyISO/IECJTC1/SC6CleanSlateEvolution下一代互联网12后IP体系内容中心网CCN由内容来选路而不是以IP地址选路命名数据网NDNID/locator分离分片、虚拟化和可编程基于“一张白纸”重新设计的路线，不受现有互联网体系的约束。基于IPv6对现有互联网做大的改进的同时维持后向兼容两条路线的差别表现为要不要考虑与现有互联网兼容，两条路线既是互相竞争也互相借鉴。后IP是革命型路线的一种而不是全部，革命型路线与演进型路线相比哪一个离下一代互联网的目标更快更近？安全、可信、移动、泛在、可扩展、可管理大数据加快了网络演进步伐2013中国互联网安全大会SC业务控制功能传送与转发功能SCSCSC传送与转发功能SCSCSC传送与转发功能SCSCSC传送与转发功能SCSCSC传送与转发功能节点控制功能节点控制功能节点控制功能节点控制功能节点控制功能SCSCSCWLAN业务控制功能业务控制功能PGW业务控制功能13转发与控制分离－－软件定义网（SDN）Openinterfacetohardware了解全网资源信息，支持全网业务策略控制平面中公共控制功能－－集中式的网络控制器NetworkOS1NetworkOS2NetworkOS3NetworkOS4MME业务控制功能SGW业务控制功能业务控制功能可灵活实现控制平面功能的可重构性，适应大数据时代的流量时空动态性NetworkOperatingSystem网络操作系统和网络控制器成为被攻击的首要目标2013中国互联网安全大会交换与承载分离---分组与通道交换混合14Multipleserviceaccess全IP电Tb/s路由器:每端口1kW，而光交换:每端口25W核心节点的80～90％的业务流并不需要在IP层交换与路由器相比，光层不易受攻击，但光层和MPLS的交换可能需要引入信令IP层的作用从交换转变为承载或包装交换能在光层就不在电层做能在MPLS层交换就不在IP层交换2013中国互联网安全大会15位置与身份分离---支持移动性PhysicalDatalinkNetworkHostEdgeRouterHostLinkLinkUseLocatorUseIDTransportApplicationIdentityMapIDtoLocatorPhysicalDatalinkNetworkIdentityTransportApplicationPhysicalDatalinkNetworkIdentityPhysicalDatalinkNetworkHostEdgeRouterHostLinkLinkUseLocatorUseIDTransportApplicationIdentityMapIDtoLocatorPhysicalDatalinkNetworkIdentityTransportApplicationPhysicalDatalinkNetworkIdentityHost-ID网络拓扑调整主机位置移动业务连续性跟踪与识别LocatorIP地址用户身份变化不希望变化分离身份与位置位置在网络层身份ID在传送层主机位置Internet10.1.1.1/2410.2.2.1/2410.1.1.2010.2.2.30IPTCP/UDPApplicationIPTCP/UDPApplicationIPTCP/UDPApplicationInternetIP地址的位置与身份分离，减少了根据位置来窃取身份的风险，但使得对用户追踪和对网络安全攻击的溯源难度加大2013中国互联网安全大会骨干网布局多中心化16NAP电信联通移动铁通教育网NAP电信联通移动铁通教育网NAP电信联通移动铁通教育网北京上海广州535Gbps348Gbps412Gbps区域IXPISP1ISP2区域交换中心（目前没有这一级）骨干互联ICPAISPAISPB电信ICPAISPAISPB联通非主导企业的NAT动态地址转换A省用户B省用户C省用户0.9～4Tbps客户接入转接长途直联320Gbps110Gbps110Gbps110Gbps美国网间互联中心有8个，我国计划扩展到10个多中心改进了跨网互通的性能，分散了交换中心被攻击的风险2013中国互联网安全大会贵州黑龙江广东新疆宁夏青海河南甘肃重庆北京河北辽宁吉林内蒙古山西天津山东上海海南海口MAN三亚MAN西藏拉萨重庆MAN天津MAN兰州石家庄唐山广州云南昆明广西江西南昌福建厦门福州湖南湖北武汉武汉MAN四川成都陕西西安北京天津安徽江苏南京无锡上海浙江杭州北京MAN上海MAN16×10G24×10G28×10G16×10G30×10G36×10G16×10G16×10G16×40G16×10G20×10G16×10G24×10G20×10G16×10G20×10G16×10G20×40G20×10G32×10G26×10G36×10G20×10G32×40G16×10G17×40G7×40G5×40G16×10G5×40G10×40G16×10G16×10G16×10G16×10G12×40G20×10G西安7×40G16×10G温州圳40×10G深长沙衡阳16×10G南柳州宁16×10G浩特辽银川武汉MAN西宁MAN24×10G洛阳郑州芜湖合肥呼和通大连沈阳长春吉林太原青岛济南贵阳10×40G12