邻居发现协议(Neighbor Discovery Protocol)是IPv6协议的一个重要组成部分,它取代了IPv4中的ARP协议、ICMP路由发现和ICMP重定向功能,解决连接在同一条链路上的所有节点之间的互连问题。一般情况下,开放的网络环境中本地链路上节点的加入是不需要通过任何认证,难免存在怀有恶意的节点。并且,随着IPv6的广泛使用,恶意节点会导致各种各样的攻击,因此邻居发现的安全性就变得至关重要了。根据IPv6邻居发现协议的主要功能,分析了该协议可能受到的各种攻击。针对邻居发现协议的伪造IP地址攻击,在现有的加密产生地址技术(Cryptographically Generated Addresses,以下简称CGA)基础上提出基于MAC地址的CGA技术(MCGA)。MCGA地址是对IPv6地址的接口标志符(低64位)使用地址所有者的公钥、本地子网前缀和MAC地址等参数进行散列运算得到,并利用地址所有者的私钥对发送消息进行签名;接收节点先对MCGA地址验证有效性,并使用发送节点的私钥来对消息中的签名进行验证。只有MCGA地址和签名同时通过验证,才能证明该地址和消息的有效性。对于MCGA技术,阐述了MCGA地址的产生与验证、MCGA地址选项和MCGA签名选项,以及MCGA技术的优点。此外,还提出信任锚模型、时间戳和临时数技术来保护邻居发现协议。对邻居发现协议的地址解析功能进行了模拟攻击,并利用所提出的MCGA地址验证进行了防御实验,结果表明,MCGA方法是十分有效的。