[論文レビュー] An Inference Attack Model for Flow Table Capacity and Usage: Exploiting the Vulnerability of Flow Table Overflow in Software-Defined Network

Junyuan Leng, Yadong Zhou+2 more|arXiv (Cornell University)|Apr 13, 2015

Software-Defined Networks and 5G参考文献 4被引用数 34

ひとこと要約

本稿では、OpenFlowスイッチの制限されたフローテーブル容量を悪用することで、フローテーブル容量や使用状況などのネットワークパラメータを推定する、新しい推論攻撃を提案する。フローテーブルのオーバーフロー発生時の性能劣化を測定することにより、攻撃者は受動的に内部ネットワーク状態を推定でき、最大80%の正確さを達成する。これは、SDNアーキテクチャにおいて以前に発見されていなかったプライバシーおよびセキュリティ上の脆弱性を明らかにする。

ABSTRACT

As the most competitive solution for next-generation network, software-defined network (SDN) and its dominant implementation OpenFlow, are attracting more and more interests. But besides convenience and flexibility, SDN/OpenFlow also introduces new kinds of limitations and security issues. Of these limitations, the most obvious and maybe the most neglected one, is the flow table capacity of SDN/OpenFlow switches. In this paper, we proposed a novel inference attack targeting at SDN/OpenFlow network, which is motivated by the limited flow table capacities of SDN/OpenFlow switches and the following measurable network performance decrease resulting from frequent interactions between data plane and control plane when the flow table is full. To our best knowledge, this is the first proposed inference attack model of this kind for SDN/OpenFlow. We also implemented an inference attack framework according to our model and examined its efficiency and accuracy. The simulation results demonstrate that our framework can infer the network parameters(flow table capacity and flow table usage) with an accuracy of 80% or higher. These findings give us a deeper understanding of SDN/OpenFlow limitations and serve as guidelines to future improvements of SDN/OpenFlow.

研究の動機と目的

• OpenFlowスイッチの制限されたフローテーブル容量に起因する、SDNネットワークにおける新たなセキュリティ脆弱性を特定および形式化すること。
• フローテーブルオーバーフローに起因する頻繁なコントローラ-スイッチ間の相互作用が引き起こす性能劣化が、どのように推論攻撃に利用可能かを調査すること。
• ネットワーク状態の事前知識がなくても、正確にフローテーブル容量および使用状況を推定できるアルゴリズムの設計および評価を行うこと。
• SDNコントロールプレーンの相互作用におけるタイミングおよび性能変化を悪用する受動的推論攻撃の実現可能性と有効性を示すこと。

提案手法

• 攻撃モデルは、SDNにおけるフィードバックループを活用し、フローテーブルオーバーフローがコントローラ-スイッチ間の通信増加（フローエントリの挿入・削除）を引き起こすことを基盤としている。
• 攻撃者はネットワークトラフィックを能動的に生成してフローテーブルオーバーフローを誘発し、その結果として生じるネットワーク性能劣化（例：遅延、RTT）をサイドチャネルとして測定する。
• FIFOおよびLRUフロー置換ポリシーの両方について、タイミングパターンと相互作用頻度を分析してフローテーブル容量および使用状況を推定するための特定の推論アルゴリズムを設計している。
• パケットの往復時間（RTT）およびコントロールプレーン相互作用頻度の統計的分析を用いて、コントローラーやスイッチへの直接アクセスを必要とせずに内部ネットワーク状態を推定するフレームワークを構築している。
• 多様なネットワーク設定におけるシミュレーションデータを用いて、実装フレームワークを構築および評価し、正確性と頑健性を検証している。
• この手法は受動的かつ検知困難であり、通常のSDN運用中の観察可能な性能変化のみに依存している。

実験結果

リサーチクエスチョン

• RQ1 SDNスイッチにおけるフローテーブルオーバーフローに起因する性能劣化が、フローテーブル容量や使用状況といった内部ネットワークパラメータを推定するために利用可能か？
• RQ2 ネットワーク性能変化の受動的観測のみを用いて、攻撃者がどれほど正確にフローテーブル容量および使用状況を推定できるか？
• RQ3 SDNスイッチにおける一般的なフロー置換ポリシー（FIFO対 LRU）の間で、推論効果性にどのような差が生じるか？
• RQ4 この推論攻撃が、ネットワークに関する事前知識がなく、コントローラーの能動的参加なしにどの程度実行可能か？
• RQ5 この脆弱性が、特にデータセンターやエンタープライズ環境におけるSDNセキュリティに及ぼす影響は何か？

主な発見

• 提案された推論攻撃は、さまざまなネットワーク構成において、80%以上の正確さでフローテーブル容量および使用状況を正確に推定できる。
• フローテーブルオーバーフローに起因する性能劣化—特にRTTの増加およびコントロールプレーン相互作用頻度の上昇—は、状態推定のための信頼性の高いサイドチャネルとして機能する。
• 攻撃は受動的であり、コントローラーやスイッチへの直接アクセスを必要としないため、検知および防御が困難である。
• この手法はFIFOおよびLRU両方のフロー置換ポリシーに対して有効であるが、置換戦略およびトラフィックパターンに応じて性能に差が生じる。
• 脆弱性の原因は、オーバーフロー時にコントローラーの干渉が発生するSDNの本質的なフィードバックループに起因する。
• 本研究の発見は、特にフローボリュームの高い環境（例：データセンター）において、以前に無視されていた深刻なプライバシーおよびセキュリティリスクを浮き彫りにしている。