[논문 리뷰] Charting the Security Landscape of Programmable Dataplanes

Andrei-Alexandru Agape, Madalin Claudiu Danceanu외 2명|ArXiv.org|2018. 06. 30.

Software-Defined Networks and 5G참고 문헌 3인용 수 7

한 줄 요약

이 논문은 기존 OpenFlow 네트워크와 비교해 새로운 공격 표면을 갖춘 P4 기반 프로그래머블 데이터플레인에 대한 첫 번째 체계적인 보안 분석을 제시한다. 컴파일러 및 컨트롤러에서 P4Runtime 및 스위치 구성 요소에 이르기까지 P4 스택 전반에 걸친 취약점을 분석하며, 컨트롤러 위조, 채널 과도 사용, 프로토콜 조작 등의 공격이 네트워크 무결성을 침해할 수 있음을 입증한다. 제안된 대응 조치로는 암시 기반 검증 및 안전한 채널 강화가 포함되어 있다.

ABSTRACT

Emerging programmable dataplanes will revamp communication networks, allowing programmers to reconfigure and tailor switches towards their need, in a protocol-independent manner. While the community has articulated well the benefits of such network architectures in terms of flexibility and performance, little is known today about the security implications. We in this position paper argue that the programmable dataplanes in general and P4 in particular introduce an uncharted security landscape. In particular, we find that while some existing security studies on traditional OpenFlow-based networks still apply, P4 comes with several specific components and aspects which change the attack surface and introduce new challenges. We highlight several examples and provide a first systematic security analysis.

연구 동기 및 목표

• P4 기반 프로그래머블 데이터플레인의 도입으로 인해 기존 OpenFlow 네트워크와 비교해 확장된 공격 표면을 규명하고 분석하는 것.
• P4 컴파일러, 컨트롤러(예: ONOS), P4Runtime 프로토콜, 스위치(예: BMv2)를 포함한 전체 P4 스택 전반에 걸친 보안 취약점을 검토하는 것.
• STRIDE 위협 모델링을 활용해 각 구성 요소에 대한 잠재적 공격를 분류하고 평가하며, 실행 가능한 대응 조치를 제안하는 것.
• 기존 OpenFlow 보안 문제의 일부가 여전히 존재하지만, P4는 프로토콜 및 구현에 특화된 새로운 위협을 도입하며, 전용 대응 전략이 필요하다는 것을 입증하는 것.

제안 방법

• 컴파일러, 컨트롤러, P4Runtime, 스위치 구성 요소를 포함한 P4 소프트웨어 스택 전반에 걸친 STRIDE 기반 위협 분석 수행.
• P4Info, P4DeviceConfig, P4Runtime.proto와 같은 자산을 식별하고 잠재적 공격 벡터에 매핑.
• 실제 공격 패tern을 통해 공격 표면을 분석: 컨트롤러 위조, 미들맨(MITM), 채널 과도 사용, 잘못된 설정 활용.
• 암시 기반 검증, 컴파일러 패치 테스트, ONOS의 안전 모드, 반응형 방화벽 애플리케이션과 같은 대응 조치 평가.
• BMv2 스위치를 테스트 베드로 활용해 잘못된 P4Runtime 메시지 및 무단 테이블 수정을 포함한 공격 검증.
• 공개된 P4Runtime 프로토콜 사양 및 P4Info 파일을 활용해 통제된 환경에서 공격를 시뮬레이션하고 재현.

실험 결과

연구 질문

• RQ1 P4 기반 프로그래머블 데이터플레인의 공격 표면은 기존 OpenFlow 네트워크와 어떻게 다를까?
• RQ2 P4 컴파일러, 컨트롤러, P4Runtime 프로토콜, 스위치 구성 요소에 구체적으로 어떤 취약점이 존재하는가?
• RQ3 기존 SDN 보안 대응 조치는 P4에 얼마나 적용 가능한가? 그리고 새로운 방어 조치는 무엇이 필요한가?
• RQ4 컨트롤러 위조, 채널 과도 사용, 미들맨 공격는 P4Runtime 기반 보안 네트워크에서 얼마나 실현 가능한가?
• RQ5 스택 전반에 걸쳐 P4 전용 위협을 완화하기 위해 가장 효과적인 기술적 대응 조치는 무엇인가?

주요 결과

• P4 컴파일러는 정의되지 않은 동작 및 동시성 문제로 인해 보안 위험을 유발하며, 공격 가능성은 중간에서 높음.
• 컨트롤러는 악성 애플리케이션과 브루트 포스 로그인 시도로 인해 취약하며, 둘 다 높은 영향도를 가짐.
• P4Runtime 프로토콜 메시지는 Protobuf를 통해 직렬화되기는 하지만 암호화되지 않아 가로채기 및 재생 공격가능성 존재로, 미들맨 및 위조 공격 유도.
• 채널 과도 사용 공격는 컨트롤러의 P4Runtime 에이전트에 서비스 저하 또는 차단을 유도할 수 있으며, 높은 영향도와 중간 난이도.
• 공격자가 P4Runtime 메시지를 위조할 수 있다면 BMv2 스위치는 무단 테이블 수정에 취약해 패킷 포워딩 행동을 완전히 제어당할 수 있음.
• 효과적인 대응 조치로는 암시 기반 검증(중간 난이도, 높은 효과성), 컴파일러 패치 테스트, 안전한 채널 보호, 반응형 방화벽 애플리케이션 등이 포함됨.