27、软件定义网络与命名数据网络安全剖析

软件定义网络与命名数据网络安全剖析

在当今数字化的时代，网络安全问题日益凸显。软件定义网络（SDN）和命名数据网络（NDN）作为新兴的网络架构，在提升网络性能的同时，也面临着诸多安全挑战。本文将深入探讨这两种网络架构的安全漏洞、攻击类型以及相应的应对策略。

软件定义网络（SDN）的安全漏洞

SDN通过将控制平面和数据平面分离，实现了网络的集中控制和可编程性，提高了网络的灵活性和管理效率。然而，这种集中化的特性也带来了一些安全隐患。

OpenFlow协议的安全漏洞

OpenFlow协议是SDN中常用的一种协议，其主要安全漏洞源于缺乏必要的认证和授权机制。这使得交换机、控制器和通信通道容易受到多种攻击，如拒绝服务（DoS）攻击、欺骗攻击、劫持攻击等。以下是一些常见的攻击类型及其应对措施：
- 拒绝服务（DoS）攻击 ：攻击者通过向网络注入大量流量，使控制器无法接受来自数据平面的请求，从而导致控制器瘫痪。为了缓解这种威胁，可以使用入侵检测系统（IDS）和动态流量控制。
- 主机劫持攻击 ：攻击者通过扫描攻击获取网络的全部信息，并修改有价值的信息，从而降低SDN的信息传输速度。如果控制器被劫持，攻击者还可以更改密码细节和通信模式。
- 篡改攻击 ：攻击者通过插入有害的流规则来欺骗API消息，导致网络行为异常。动态流篡改就是这种攻击的一个例子。
- 欺骗攻击 ：攻击者控制控制器，通过创建或更新流表条目来改变网络的行为，而网络专家可能无法察觉这些变化。

作者	方法	年份	攻击类型	描述
Tootoochina等	Hyperflow	2010	DoS攻击	最小化控制平面的响应时间，以对抗DoS攻击
Suh等	CONA	2010	DoS攻击	针对资源耗尽攻击的对策
Yao等	VAVE	2011	欺骗攻击	验证外部数据包的源地址，防止欺骗攻击
Matias等	ARM	2012	ARP欺骗攻击	帮助跟踪MAC地址，防止欺骗攻击
Wen等	PermOF	2013	潜在攻击	为OpenFlow应用程序提供最小权限，以避免攻击
Fichera等	OPERETA	2015	DDoS攻击	在SDN控制器中实现，拒绝无用的连接请求
Wang等	FloodGuard	2015	DoS攻击	用于拒绝数据请求，防止控制平面饱和攻击
Hong等	TopoGuard	2015	中毒攻击	有助于自动实时披露中毒攻击
Kuerban等	FlowSec	2016	DoS攻击	限制进入控制器的数据包数量
Buragohain等	FlowTrApp	2016	DDoS攻击	帮助检测DDoS攻击并为数据中心提供缓解措施
Dridi等	SDN - Guard	2016	DoS攻击	提出保护SDN控制器免受DoS攻击的方案
Nguyen等	SDN Extension	2016	主机模拟攻击、中间人攻击、DoS攻击	保护控制器免受主机跟踪服务的攻击

SDN应用平面的安全问题

SDN应用平面的安全问题主要集中在认证和授权、访问控制和问责制方面。
- 认证和授权 ：在SDN中，应用程序的认证是一个主要问题。大多数应用程序由第三方开发并在控制器上运行，但它们在访问网络资源时缺乏适当的安全保护。因此，需要建立一种机制来确保控制器和应用程序之间的信任，并对这些应用程序进行集中认证。
- 访问控制和问责制 ：为了确保网络安全，需要适当的访问控制机制。恶意应用程序可能会绕过SDN中的访问控制程序，而嵌套应用程序可能对SDN不了解，因此对这些应用程序的访问控制较为困难。PermOF是一种权限系统，可以实施权限控制。权限集可以分为读取、通知、写入和系统权限。例如，对于敏感信息，只向应用程序提供读取权限。

graph LR
    A[SDN应用平面安全问题] --> B[认证和授权]
    A --> C[访问控制和问责制]
    B --> D[建立信任机制]
    B --> E[集中认证应用程序]
    C --> F[使用PermOF权限系统]
    C --> G[提供不同权限集]

命名数据网络（NDN）的安全挑战

NDN是一种全新的未来互联网架构，它将关注点从内容的位置转移到内容本身，旨在解决当前IP架构中的安全、移动性和内容分发效率等问题。

NDN概述

• NDN协议栈 ：NDN继承了TCP - IP架构的沙漏形状，但在窄腰部分有所不同。IP的窄腰部分代表主机中心的数据包交付，而NDN的窄腰部分则是以内容为中心的数据包检索。此外，NDN协议栈还引入了安全层和策略层。安全层负责保护内容，策略层决定何时、何地转发NDN数据包。
• 命名 ：NDN中的每个内容都有一个人类友好的名称，用于内容识别和路由。名称可以有多个组件，使用“/”分隔。名称是分层的，可以根据需要进行聚合。应用程序可以根据自身需求设计命名规则。
• 数据包转发 ：NDN中有三种类型的实体：消费者、生产者和路由器。消费者发送兴趣包请求数据，生产者发布数据并响应兴趣包，路由器负责转发兴趣包和内容包。每个NDN实体都维护三个主要的数据结构：内容存储（CS）、待处理兴趣表（PIT）和转发兴趣库（FIB）。

graph LR
    A[NDN实体] --> B[消费者]
    A --> C[生产者]
    A --> D[路由器]
    B --> E[发送兴趣包]
    C --> F[发布数据]
    D --> G[转发兴趣包和内容包]
    D --> H[维护CS]
    D --> I[维护PIT]
    D --> J[维护FIB]

NDN的安全优势与挑战

NDN通过其架构设计和数字签名机制，能够抵御一些在TCP - IP架构中常见的攻击，如ICMP泛洪攻击、反射攻击、TCP SYN泛洪攻击等。然而，NDN的一些固有特性，如状态转发平面和网络内缓存，也带来了一些新的安全挑战。

NDN的安全设计旨在直接保护内容，而不是通信通道。每个内容都带有原始生产者签署的数字签名，消费者在接收数据时会进行验证。如果应用程序需要保密，原始生产者可以对内容进行加密。

尽管NDN在安全方面有一定的优势，但攻击者仍然可以利用其架构特点发起新的攻击。后续我们将详细探讨这些攻击类型以及相应的应对措施。

综上所述，SDN和NDN在提升网络性能的同时，都面临着各自的安全挑战。了解这些挑战并采取相应的应对措施，对于保障网络的安全和稳定运行至关重要。在未来的网络发展中，我们需要不断探索和创新，以应对日益复杂的网络安全威胁。

软件定义网络与命名数据网络安全剖析

NDN 中的攻击分类及应对措施

NDN 协议栈中的不同层都可能遭受攻击，下面将根据 NDN 协议栈的分层，对主要的攻击类型进行分类，并探讨现有的应对措施以及这些措施存在的不足。

链路层攻击

• 攻击场景 ：链路层攻击主要针对 NDN 数据包在物理链路传输过程中的安全问题。攻击者可能会篡改、伪造或重放链路层的数据包，从而干扰正常的数据传输。例如，攻击者可以通过中间人攻击，拦截并修改兴趣包或内容包，导致消费者获取到错误的内容。
• 应对措施 ：目前，一些研究提出了使用链路层加密和认证机制来保护数据包的完整性和真实性。例如，通过在链路层添加数字签名或使用加密算法对数据包进行加密，防止攻击者篡改或伪造数据包。
• 存在的不足 ：这些措施可能会增加链路层的开销，降低数据传输的效率。而且，对于一些资源受限的设备，实现复杂的加密和认证机制可能会面临困难。

策略层攻击

• 攻击场景 ：策略层决定了 NDN 数据包的转发策略，攻击者可能会通过篡改策略层的配置，改变数据包的转发路径，从而实现对网络的控制。例如，攻击者可以修改策略层的规则，将所有的兴趣包都转发到恶意节点，导致消费者无法获取到正确的内容。
• 应对措施 ：为了防止策略层攻击，需要对策略层的配置进行严格的管理和验证。可以使用访问控制列表（ACL）来限制对策略层配置的访问，只有经过授权的用户才能修改策略层的规则。
• 存在的不足 ：访问控制列表的管理和维护可能会比较复杂，而且对于一些内部人员的攻击，访问控制列表可能无法完全防范。

网络层攻击

• 攻击场景 ：网络层攻击主要针对 NDN 的路由机制。攻击者可能会通过发送虚假的路由信息，误导路由器将数据包转发到错误的路径，从而实现对网络的干扰或控制。例如，攻击者可以发送虚假的兴趣包，使路由器建立错误的路由表，导致数据包无法正常传输。
• 应对措施 ：为了应对网络层攻击，可以使用路由认证机制来验证路由信息的真实性。例如，使用数字签名对路由信息进行签名，路由器在接收路由信息时，会验证签名的有效性，只有签名有效的路由信息才会被接受。
• 存在的不足 ：路由认证机制可能会增加网络层的开销，而且对于一些大规模的网络，路由认证的计算和验证可能会成为瓶颈。

应用层攻击

• 攻击场景 ：应用层攻击主要针对 NDN 应用程序的安全问题。攻击者可能会通过恶意应用程序，发送大量的兴趣包，耗尽网络资源，导致正常的应用程序无法正常运行。例如，攻击者可以开发一个恶意的 NDN 应用程序，不断发送兴趣包，使网络带宽被耗尽。
• 应对措施 ：为了应对应用层攻击，可以使用流量控制机制来限制应用程序的流量。例如，设置每个应用程序的流量上限，当应用程序的流量超过上限时，限制其继续发送兴趣包。
• 存在的不足 ：流量控制机制可能会影响正常应用程序的性能，而且对于一些突发的流量高峰，流量控制机制可能无法及时响应。

攻击层	攻击类型	应对措施	存在的不足
链路层	篡改、伪造、重放数据包	链路层加密和认证	增加开销，资源受限设备实现困难
策略层	篡改策略层配置	使用访问控制列表	管理复杂，无法防范内部人员攻击
网络层	发送虚假路由信息	路由认证机制	增加开销，大规模网络存在瓶颈
应用层	恶意应用程序耗尽资源	流量控制机制	影响正常应用性能，对突发流量响应不及时

graph LR
    A[NDN协议栈攻击] --> B[链路层攻击]
    A --> C[策略层攻击]
    A --> D[网络层攻击]
    A --> E[应用层攻击]
    B --> F[篡改等数据包]
    B --> G[链路层加密认证]
    C --> H[篡改策略配置]
    C --> I[访问控制列表]
    D --> J[虚假路由信息]
    D --> K[路由认证机制]
    E --> L[恶意应用耗尽资源]
    E --> M[流量控制机制]

TCP - IP 与 NDN 安全对比及研究挑战

TCP - IP 与 NDN 安全对比

TCP - IP 架构的安全模型主要基于通道，通过像传输层安全（TLS）这样的技术来保障两个主机之间通信通道的安全，而不是直接保护内容。一旦内容离开通道，数据包的安全性就无法保证。并且，由于采用主机到主机的通信模型，TCP - IP 安全面临诸多攻击，尽管有很多安全解决方案，但攻击数量并未减少。

相比之下，NDN 聚焦于直接保护内容。每个内容都带有原始生产者签署的数字签名，消费者在接收数据时会进行验证，从而在很大程度上保障了内容的安全性。而且，NDN 的架构设计和一些固有特性使其能够抵御一些 TCP - IP 架构中常见的攻击。

研究挑战

• 新攻击的防范 ：随着 NDN 技术的发展，攻击者可能会利用其新特性发起更多未知的攻击。因此，需要不断研究和开发新的安全机制，以应对这些潜在的攻击。
• 安全机制的优化 ：现有的 NDN 安全机制在性能和资源消耗方面可能存在不足。需要对这些安全机制进行优化，以提高其效率和适用性。
• 跨层安全设计 ：NDN 协议栈的各层之间相互关联，因此需要进行跨层的安全设计，以确保整个网络的安全性。例如，在链路层、策略层、网络层和应用层之间建立协同的安全机制。

graph LR
    A[研究挑战] --> B[新攻击防范]
    A --> C[安全机制优化]
    A --> D[跨层安全设计]
    B --> E[研究新安全机制]
    C --> F[提高效率和适用性]
    D --> G[建立协同安全机制]

总结

软件定义网络（SDN）和命名数据网络（NDN）作为新兴的网络架构，在提升网络性能和灵活性方面具有巨大的潜力。然而，它们也面临着各自独特的安全挑战。

SDN 的集中化特性使其控制器成为攻击的主要目标，OpenFlow 协议存在认证和授权不足的问题，应用平面也存在认证、授权和访问控制等安全隐患。针对这些问题，已经提出了一系列的应对措施，但仍需要不断完善和优化。

NDN 虽然在内容安全方面具有一定的优势，能够抵御一些 TCP - IP 架构中的常见攻击，但由于其固有特性，也带来了一些新的安全挑战。通过对 NDN 协议栈各层攻击的分类研究，我们可以更好地了解这些攻击的特点和应对措施，但在防范新攻击、优化安全机制和跨层安全设计等方面还需要进一步的研究和探索。

在未来的网络发展中，我们需要充分认识到 SDN 和 NDN 的安全挑战，不断创新和改进安全技术，以保障网络的安全、稳定和高效运行。只有这样，才能更好地推动网络技术的发展，满足日益增长的网络应用需求。