随着科学技术的进步,计算机科学已经渗透到人们生活中的各个领域,人类对计算机网络的需求越来越强烈。Internet的诞生,使分布在世界上数以千计的网络互联起来。但是各类硬件、软件、数据和信息在网络上是共享使用的,这将导致很严重的安全问题。当今,中间人攻击仍是计算机网络资源的重大威胁之一,这种攻击通常伪装成一个合法用户的主机来恶意欺骗其它主机。这样,一个设备如果能够成功伪装成另一个主机,它就能在合法信息到达目标设备之前,中间拦截、读取、修改或破坏此信息。ARP缓存污染是欺骗网络主机的一种手段。它利用ARP协议中IP地址要被转换为物理(MAC)地址的特性来实施攻击。ARP是无状态协议,这意味着,它在没发送请求的情况下,也将接受响应包。想要获取目的主机通信内容的攻击者可以发送伪造的、且匹配任何选定IP地址的ARP响应给请求主机。接受这些伪造的ARP响应的主机无法区分是否是合法的ARP响应,因此将发送带攻击者MAC地址的数据包。另一方面,利用DNS缓存攻击技术的攻击者还能把伪造的数据引入DNS服务器缓存表,目的是操作解析数据使得目标不可达或者转移信息给错误的地址,这也被认为是当今互联网用户的一大威胁。有许多方案已经提出用来解决ARP和DNS缓存污染问题,可是,截至目前为止,它们都还无法大规模部署开来。其中的主要原因是：这些方案并不向后兼容,因为它们包含加密技术,这将导致传统的ARP/DNS协议将要进行很大的修改,并增加了很大的复杂性。显然,管理员手工清除污染的方法会造成巨大开销和负担。另外,动态检测方法也可以用来解决管理缓存的污染问题。但是,它的误警太多,导致网络管理员无所适从。为此,提出了针对ARP和DNS协议中缓存欺骗引发不安全性问题的解决方案。第一个解决方案着眼于设计一种保护方法来提高DNS服务器的安全性。该方案称为DNS自适应缓存(ACDNS)。它依赖于缓存机制来阻止这类攻击。因为我发现,调整缓存的存储策略将提高安全性并提升网络访问效率。ACDNS的设计与当前DNS标准相兼容,并且完全适用于基本的协议流程和基础设施。我的方法仅仅是在把收到的DNS响应存入缓存之前添加一段延迟时间以构成新的缓存间隔。即在需要存储一个新的映射时ACDNS停留等待直到新的缓存间隔到,如果另一个有相同TXID的DNS响应在这个期间内来临,ACDNS将丢弃这些包。然后,它必须发送一个新的含有另一个TXID的查询。比较ACDNS和DNS的性能表明,本方案能完全保护域名解析者不受缓存污染的攻击。此外,ACDNS的延迟分布很接近于DNS查询解析延迟。另一方面,DNS查询的原过程和ACDNS是完全兼容的。因此,我的方案可以迅速得到部署,对任意单个DNS服务器都可以实现该改进措施,因为ACDNS不需要在当前的DNS基础设施上(对每一层)进行重大修改。第二个解决方案也是着眼于防止DNS缓存污染。引入一种称作“GDR--防止DNS缓存污染攻击(GDNS)"的方案来解析域名。设计的GDNS包含两个阶段：第一阶段是GDNS无故请求阶段(GDR),在这个阶段,GDNS必须对有效期内的每个域名再发送相应的DNS查询来更新它们的映射。这意味着,对最近缓存的DNS域名进行自动再查询(更新缓存记录)来提高缓存中的DNS查询命中率。因此,GDNS可使区域域名服务器(ZS)的高速缓存保存区域DNS新近的域信息而减少DNS解析时间,并无需为每个DNS请求向权威的顶级域名服务器(TLD)发出DNS查询。第二阶段是缓存定时,正如ACDNS方案那样在缓存收到对DNS缓存污染攻击检测和防御的应答之前加一段延迟时间。因此,GDR算法提供了两个好处。第一,它为解析域名接近最优的性能提供了一种有效的技术。第二,虽然在缓存接收响应之前增加了一段延迟时间,但GDI对GDNS在减少解析延迟上有显著的帮助。实验结果表明,GDNS可以有效的防止缓存污染攻击。同时还将极大地减少域名解析延迟时间,它是域名解析的重要性能参数。第三个解决方案是防止ARP欺骗。提出用“基于C/S的入侵检测系统(CSIDS)"来实现对ARP欺骗攻击的检测和防御。其主要思想是监控接收到的ARP数据包,如果发现可疑的ARP数据包,同一网络的CSIDS的系统将交换控制信息。这个控制信息容许CSIDS在更新ARP缓存之前指出恶意的数据包或者给发送方发送一个响应包。每一个异常的数据包必须被发送至CSIDS服务器以作检查,并且同网络的各CSIDS部分将投票决策以作出该数据包或真或假的回应给请求端。为了评估CSIDS检测和预防的能力,我对CSIDS和ARP的性能作了对比,结果表明,CSIDS系统被证明是很容易实现的,并可应用在局域网内来提高安全性。第四个解决方案主要是提供一个良好且廉价的方案,叫做“无偿决策的分组系统(GDPS)",旨在克服ARP协议的不安全性即IP地址的欺骗。它力图达到两个主要目标：(1)GDPS通过实时分析ARP数据包来探测出可疑ARP包；(2)通过发送修改后的ARP请求包来判断合法与非法的主机。在此方案中我着重于ARP的通信映射来提高ARP协议的安全性。因为GDPS取决于发送的一组改进的ARP请求,然后,GDPS计算响应的开销,这意味着用平均响应时间和ARP响应包的数量来区分合法或攻击者的MAC地址。结果表明,攻击者机器发送ARP应答包的数量是被害者发送数据包的数倍。为了对以上两种方案进行安全分析,我扩展了NS-2框架来仿真所有的协议,与ARP与DNS正常执行进行了各种比较。总之,我的方案有很多重要的优点,总结如下：(1)能够有效阻止普遍的缓存污染攻击；(2)能够向后兼容ARP和DNS协议的现有标准；(3)这些解决方案不使用密码,无单点失效问题；(4)能够以很低的代价轻易地被应用；(5)对于GDNS方法,它大大降低了DNS解析延迟；(6)作为第三和第四种解决方案,能够很好地在动态环境(DHCP)下匹配运行.