28、揭开NDN安全的神秘面纱：现有攻击的调查与分析

揭开NDN安全的神秘面纱：现有攻击的调查与分析

1. NDN的安全特性

NDN（Named Data Networking）在设计上具备一些内在特性，这些特性有助于提供安全性并抵御许多基于IP的攻击，以下是详细介绍：
- 数据签名 ：在NDN中，每个数据生产者需要在NDN数据包上添加签名，消费者在使用数据之前会对数据包进行验证。签名可以确保数据的来源真实性、完整性和正确性。
- 匿名性 ：NDN数据包不包含源和目的信息，这使得数据包具有匿名性。即使攻击者在传输过程中捕获了数据包，也无法得知是谁请求了这些数据。
- 接收者驱动的通信模型 ：NDN的通信是由接收者驱动的，消费者只有在之前发出请求的情况下才能接收数据。这使得NDN能够抵御一些基于TCP - IP的攻击，如TCP SYN泛洪、ICMP泛洪和UDP泛洪。
- 有状态转发平面 ：与IP的无状态转发不同，NDN的有状态转发平面能够准确洞察网络流量，有助于预防和缓解一些现有攻击。非请求的数据数据包会被丢弃。
- 对称路径 ：NDN中的数据数据包会沿着对应的兴趣包所经过的相同路径返回。这种对称性使得NDN能够抵御反射攻击，攻击者无法通过伪造IP数据包来实施此类攻击。
- 网络内缓存 ：当攻击者对现有内容发起请求时，网络内缓存可以减少攻击的影响。路由器的内容存储（CS）会缓存数据中的静态内容（如图像、HTML文件、CSS文件），以满足未来的兴趣包请求。不过，当攻击者发送大量兴趣包时，由于缓存容量有限，攻击的影响仍然不能被忽视。

然而，尽管NDN的设计有助于预防一些TCP - IP中的现有攻击，但攻击者可能会利用这些特性发起新的攻击。

2. NDN中的攻击分类及对策

2.1 应用层攻击及对策

应用层的主要攻击包括兴趣泛洪攻击、缓存污染攻击和内容投毒攻击。

兴趣泛洪攻击（IFA）
- 攻击原理 ：攻击者发送大量兴趣包，旨在耗尽PIT（Pending Interest Table）或消耗内容生产者的计算资源。根据兴趣包的类型，IFA可分为三种：存在的内容、不存在的内容和动态生成的内容。
- 对于存在的内容，由于网络内缓存的存在，攻击的影响有限。
- 对于不存在的内容，攻击者通过发送虚假兴趣包，使PIT中的相关条目一直保留，直到过期，最终导致PIT被填满，合法兴趣包被丢弃。
- 对于动态生成的内容，攻击主要会使生产者过载，因为生产者每次都需要对生成的内容进行签名，这需要大量的计算资源。
- 缓解措施 ：
| 参考 | 内容类型 | 缓解方法 | 利用信息 | 缺点 |
| ---- | ---- | ---- | ---- | ---- |
| [3] | 存在的内容 | 带接口公平性的令牌桶、基于满意度的兴趣接受、基于满意度的反馈 | 兴趣满意度和链路容量 | 合法兴趣受到影响 |
| [4] | 不存在的内容 | 通过解耦恶意兴趣减少PIT压力 | 每个名称前缀的过期兴趣数量 | 转发的恶意兴趣可能导致拥塞 |
| [5] | 不存在的内容 | 通过发送伪造数据包追溯攻击兴趣的来源 | PIT大小 | 当边缘路由器被攻陷时效果不佳 |
| [6] | 不存在的内容 | 观察每个接口的统计信息后限制兴趣速率 | 兴趣满意度和每个接口的PIT使用情况 | 影响合法兴趣 |
| [7] | 存在、动态和不存在的内容 | 向下游发送NACK包，并在边缘路由器进行速率限制 | 虚假兴趣名称列表 | 边缘路由器被攻陷时性能下降 |

下面是IFA攻击的流程图：

graph TD;
    A[攻击者] -->|大量兴趣包| B[PIT];
    B -->|填满| C[丢弃合法请求];

缓存污染攻击
- 攻击原理 ：攻击者发送大量不受欢迎的内容，导致缓存性能下降，因为受欢迎的内容在缓存中出现的频率降低，更多的请求会被转发到原始生产者，从而降低网络的有效吞吐量。缓存污染攻击可分为两类：
- 局部性破坏攻击 ：攻击者不断发送对新的不受欢迎内容的兴趣，破坏缓存的局部性，导致原始受欢迎的内容被替换。
- 虚假局部性攻击 ：攻击者利用被攻陷的节点反复请求同一组不受欢迎的内容，这些内容会占据缓存，替换原始受欢迎的内容，从而造成虚假的内容局部性。
- 缓解措施 ：
- CacheShield ：该方法旨在处理不受欢迎的请求，包含缓存屏蔽功能和内容名称及其请求频率列表。其缺点是存在存储开销，且屏蔽函数的参数容易被攻击者推断。
- 基于ANFIS的缓存替换策略 ：该策略基于自适应神经模糊推理系统（ANFIS），通过提取输入 - 输出数据、构建ANFIS结构、验证准确性并将其集成到缓存替换策略中。但该方法存在高存储开销和迭代计算影响可扩展性的问题。

内容投毒攻击（CPA）
- 攻击原理 ：攻击者用带有合法名称的虚假内容填充路由器的缓存。虚假内容可能包括无效签名、错误密钥签名、虚假有效负载或格式错误的签名字段。攻击者需要控制消费者和原始生产者之间路径上的一个或多个中间路由器，或者通过恶意生产者和恶意消费者的协作来插入虚假内容。
- 缓解措施 ：
| 参考 | 缓解方法 | 利用信息 | 缺点 |
| ---- | ---- | ---- | ---- |
| [2] | 自认证兴趣和内容、协作签名验证 | 消费者反馈、邻居验证 | 消费者可能被攻陷 |
| [10] | 仅在缓存命中时验证内容 | 缓存命中 | 恶意消费者可能通过增加缓存命中来使路由器过载 |
| [11] | 缓存内容排名算法区分有效和虚假内容 | 兴趣中的排除特征 | 算法依赖于消费者的排除模式，消费者可能被攻陷 |

下面是CPA攻击的流程图：

graph TD;
    A[攻击者] -->|控制路由器| B[插入虚假内容];
    B -->|填充缓存| C[返回虚假内容给消费者];

2.2 网络层、策略层和数据链路层攻击及对策

网络层攻击 - 前缀劫持攻击

前缀劫持攻击是网络层的主要攻击类型。在这种攻击中，攻击者通过某种手段非法获取对特定名称前缀的控制权，使得原本应该路由到正确内容生产者的兴趣包被错误地导向攻击者控制的节点。这可能导致数据泄露、服务中断等严重后果。目前针对前缀劫持攻击，还没有特别成熟且广泛应用的通用对策。一些潜在的解决方案包括加强路由信息的验证机制，确保路由器接收到的路由信息是来自可信的源；以及使用多路径路由，使得即使某个路径被劫持，仍然可以通过其他路径获取所需内容。

策略层攻击

策略层的攻击主要包括定时分析攻击、缓存监控攻击、对象发现攻击和流克隆攻击。
- 定时分析攻击 ：攻击者通过分析数据包的传输时间和间隔等时间特征，来推断网络中的敏感信息，如内容的可用性、用户的请求模式等。为了应对定时分析攻击，可以采用随机化数据包的发送时间、增加数据包的延迟抖动等方法，使得攻击者难以从时间特征中获取有价值的信息。
- 缓存监控攻击 ：攻击者监控路由器的缓存内容，试图获取敏感信息或者干扰正常的缓存机制。可以通过对缓存内容进行加密存储、限制对缓存信息的访问权限等方式来缓解缓存监控攻击。
- 对象发现攻击 ：攻击者尝试发现网络中隐藏的内容对象，可能会利用网络中的漏洞或者协议的弱点来进行探测。可以通过加强网络的访问控制、对内容对象进行匿名化处理等方法来防范对象发现攻击。
- 流克隆攻击 ：攻击者复制正常的数据流，可能用于干扰网络流量或者进行数据窃取。可以通过流量特征分析、数字签名等技术来识别和阻止流克隆攻击。

数据链路层攻击 - 自私攻击

在数据链路层，自私攻击是主要的攻击类型。在这种攻击中，节点为了自身的利益，可能会拒绝转发其他节点的数据包，或者优先处理自己的数据包，从而影响整个网络的性能。为了应对自私攻击，可以采用激励机制，对积极参与数据转发的节点给予一定的奖励；以及惩罚机制，对自私的节点进行相应的惩罚，如限制其网络访问权限等。

3. 总结与展望

NDN作为一种新型的网络架构，在安全性方面具有一些独特的优势，其内在的特性如数据签名、匿名性、接收者驱动的通信模型等有助于抵御许多基于IP的攻击。然而，攻击者也会利用这些特性发起新的攻击，如应用层的兴趣泛洪攻击、缓存污染攻击和内容投毒攻击，以及网络层、策略层和数据链路层的各种攻击。

目前针对这些攻击已经提出了多种缓解措施，但每种措施都存在一定的缺点。例如，在兴趣泛洪攻击的缓解措施中，很多方法都会对合法兴趣产生影响；在内容投毒攻击的缓解措施中，一些方法依赖于消费者的反馈，但消费者可能会被攻陷。因此，未来需要进一步研究和开发更加高效、可靠的安全机制，以提高NDN网络的安全性。

同时，随着网络技术的不断发展和攻击者手段的不断更新，NDN网络面临的安全挑战也会不断变化。未来的研究可以从以下几个方面展开：
- 多维度安全防护体系 ：构建一个涵盖多个层面的安全防护体系，综合利用不同层面的安全机制，相互协作，共同抵御各种攻击。
- 自适应安全机制 ：开发能够根据网络环境和攻击情况自动调整的安全机制，提高系统的灵活性和适应性。
- 人工智能和机器学习的应用 ：利用人工智能和机器学习技术来分析网络流量、识别攻击模式，从而实现更加智能的安全防护。

通过不断的研究和创新，有望为NDN网络提供更加安全可靠的运行环境，推动其在各个领域的广泛应用。

以下是NDN各层攻击及对策的总结表格：
| 网络层 | 攻击类型 | 攻击原理 | 缓解措施 | 缺点 |
| ---- | ---- | ---- | ---- | ---- |
| 应用层 | 兴趣泛洪攻击 | 攻击者发送大量兴趣包耗尽PIT或消耗生产者资源 | 带接口公平性的令牌桶、基于满意度的兴趣接受等多种方法 | 合法兴趣受影响、可能导致拥塞等 |
| 应用层 | 缓存污染攻击 | 攻击者发送大量不受欢迎内容降低缓存性能 | CacheShield、基于ANFIS的缓存替换策略 | 存储开销大、影响可扩展性等 |
| 应用层 | 内容投毒攻击 | 攻击者用虚假内容填充路由器缓存 | 自认证兴趣和内容、协作签名验证等 | 消费者可能被攻陷、路由器过载等 |
| 网络层 | 前缀劫持攻击 | 攻击者非法获取名称前缀控制权 | 加强路由信息验证、多路径路由（潜在方案） | 暂无成熟通用对策 |
| 策略层 | 定时分析攻击 | 攻击者分析数据包时间特征推断敏感信息 | 随机化发送时间、增加延迟抖动 | 暂无 |
| 策略层 | 缓存监控攻击 | 攻击者监控路由器缓存内容 | 加密存储缓存内容、限制访问权限 | 暂无 |
| 策略层 | 对象发现攻击 | 攻击者尝试发现隐藏内容对象 | 加强访问控制、内容匿名化处理 | 暂无 |
| 策略层 | 流克隆攻击 | 攻击者复制正常数据流 | 流量特征分析、数字签名 | 暂无 |
| 数据链路层 | 自私攻击 | 节点为自身利益拒绝转发或优先处理自身数据包 | 激励机制、惩罚机制 | 暂无 |

下面是NDN网络整体攻击与防护的流程图：

graph LR;
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    A(攻击者):::process -->|多种攻击手段| B(NDN网络):::process;
    B -->|应用层攻击| C(兴趣泛洪攻击):::process;
    B -->|应用层攻击| D(缓存污染攻击):::process;
    B -->|应用层攻击| E(内容投毒攻击):::process;
    B -->|网络层攻击| F(前缀劫持攻击):::process;
    B -->|策略层攻击| G(定时分析攻击):::process;
    B -->|策略层攻击| H(缓存监控攻击):::process;
    B -->|策略层攻击| I(对象发现攻击):::process;
    B -->|策略层攻击| J(流克隆攻击):::process;
    B -->|数据链路层攻击| K(自私攻击):::process;
    C -->|多种缓解措施| L(缓解):::process;
    D -->|多种缓解措施| L;
    E -->|多种缓解措施| L;
    F -->|潜在缓解措施| L;
    G -->|缓解措施| L;
    H -->|缓解措施| L;
    I -->|缓解措施| L;
    J -->|缓解措施| L;
    K -->|缓解措施| L;
    L -->|保护| M(NDN网络安全运行):::process;

通过以上的分析和总结，我们可以更全面地了解NDN网络中的安全问题和相应的解决方法，为进一步的研究和实践提供参考。