[論文レビュー] ANCHOR: logically-centralized security for Software-Defined Networks

Diego Kreutz, Jiangshan Yu+2 more|arXiv (Cornell University)|Nov 9, 2017

Software-Defined Networks and 5G参考文献 90被引用数 8

ひとこと要約

本論文は、ソフトウェア定義ネットワーク（SDN）における非機能的特性、特にセキュリティを強制する論理的に集中型のアーキテクチャフレームワークであるANCHORを提案する。信頼されたミドルウェア層を通じて、セキュアなデバイス登録、レジリエントなPRG、完全な前方機密性といった重要なセキュリティメカニズムを集中管理することにより、ANCHORはグローバルなポリシー強制を可能にし、複雑さを低減するとともにレジリエンスを向上させ、OpenSSLよりも50%高いパフォーマンスを達成しながら、ONFの12項目中11項目のセキュリティ要件を満たす。

ABSTRACT

While the centralization of SDN brought advantages such as a faster pace of innovation, it also disrupted some of the natural defenses of traditional architectures against different threats. The literature on SDN has mostly been concerned with the functional side, despite some specific works concerning non-functional properties like 'security' or 'dependability'. Though addressing the latter in an ad-hoc, piecemeal way, may work, it will most likely lead to efficiency and effectiveness problems. We claim that the enforcement of non-functional properties as a pillar of SDN robustness calls for a systemic approach. As a general concept, we propose ANCHOR, a subsystem architecture that promotes the logical centralization of non-functional properties. To show the effectiveness of the concept, we focus on 'security' in this paper: we identify the current security gaps in SDNs and we populate the architecture middleware with the appropriate security mechanisms, in a global and consistent manner. Essential security mechanisms provided by anchor include reliable entropy and resilient pseudo-random generators, and protocols for secure registration and association of SDN devices. We claim and justify in the paper that centralizing such mechanisms is key for their effectiveness, by allowing us to: define and enforce global policies for those properties; reduce the complexity of controllers and forwarding devices; ensure higher levels of robustness for critical services; foster interoperability of the non-functional property enforcement mechanisms; and promote the security and resilience of the architecture itself. We discuss design and implementation aspects, and we prove and evaluate our algorithms and mechanisms, including the formalisation of the main protocols and the verification of their core security properties using the Tamarin prover.

研究の動機と目的

• SDNの制御論理の集中化が、従来のネットワーク防御メカニズムを損なうという、増大するセキュリティリスクに対処する。
• デバイス認証、エントロピー源、長期的レジリエンスに関する点で、現在のSDNセキュリティモデルにおける主要なギャップを特定する。
• 一貫性がありスケーラブルな方法で、セキュリティや信頼性といった非機能的特性をアーキテクチャレベルで強制する包括的でシステム的な解決策を提示する。
• 非機能的メカニズムの集中化が、点対点のアドホックで分散型のアプローチと比較して、セキュリティ、パフォーマンス、相互運用性をどのように向上させるかを示す。
• 将来的に信頼性やQoSといった他の非機能的特性へも拡張可能な、フレームワークの基盤を確立する。

提案手法

• SDNコントロールプレーン全体にわたり、特にセキュリティを含む非機能的特性の強制を論理的に集中化するミドルウェアサブシステムとしてANCHORを設計する。
• レジリエントな擬似乱数生成子（PRG）、強力なエントロピー源、セキュアな鍵交換プロトコルを含む、軽量で暗号的に堅牢なプリミティブを統合する。
• iDVV（アイデンティティベースドデバイス検証）を用いて、スプーフィングや不正アクセスを防止するセキュアなデバイス登録および関連プロトコルを実装する。
• Tamarinプローバーを用いてコアプロトコルを形式的に定式化し、完全な前方機密性、事後侵害耐性、リプレイ攻撃に対するレジリエンスといった性質を検証する。
• Ryu、Mininet、Open vSwitch（OVS）およびOpenFlowを用いてパフォーマンスを評価し、通信オーバーヘッドとエンドツーエンド遅延を測定する。
• ANCHORの暗号演算をOpenSSLとベンチマーク比較し、より高いセキュリティ保証を維持しながら50%のパフォーマンス向上を示す。

実験結果

リサーチクエスチョン

• RQ1 非機能的特性、特にセキュリティを、点対点のアドホックな解決策ではなく、体系的かつ一貫的に強制する方法は何か？
• RQ2 現在のSDNアーキテクチャにおけるデバイス認証、鍵管理、エントロピー生成に関する主なセキュリティギャップは何か？
• RQ3 非機能的メカニズムの論理的集中化が、SDNにおけるセキュリティ、パフォーマンス、相互運用性をどの程度向上させるか？
• RQ4 ANCHORのような集中型フレームワークは、通信オーバーヘッドを低く抑えつつ、完全な前方機密性や事後侵害回復といったより強いセキュリティ保証を達成できるか？
• RQ5 実際のSDN展開において、ANCHORの暗号プリミティブのパフォーマンスは、広く採用されている標準（OpenSSL）と比較してどうなるか？

主な発見

• ANCHORは、鍵生成やデバイス認証といった重要なセキュリティメカニズムをオフロード・集中化することで、コントローラーおよび転送デバイスの複雑さを低減する。
• ANCHORは、完全な前方機密性や事後侵害回復を含むより強いセキュリティ保証を維持しながら、OpenSSLよりも50%高いパフォーマンスを達成する。
• Tamarinプローバーを用いた形式的検証により、ANCHORのコアプロトコルがリプレイ攻撃や中間者攻撃に対する耐性といった、基本的なセキュリティ特性を満たしていることが確認された。
• ANCHORは、オープンネットワーキング財団（ONF）が推奨する12項目のセキュリティ要件のうち11項目を満たしており、業界基準への強い整合性を示している。
• 本アーキテクチャは、非機能的特性のグローバルポリシー強制を可能にし、異種のSDN展開における耐障害性と相互運用性を向上させる。
• 本フレームワークはセキュリティにとどまらず、モジュラーで集中型の設計により、将来の信頼性およびQoSメカニズムとの統合が可能である。