[논문 리뷰] Fingerprinting Software-defined Networks

Heng Cui, Ghassan Karame외 2명|arXiv (Cornell University)|2015. 12. 21.

Software-Defined Networks and 5G참고 문헌 23인용 수 6

한 줄 요약

이 논문은 원격 공격자가 RTT와 패킷 페어 분산을 분석하여 SDN 네트워크를 신뢰성 있게 지문화할 수 있음을 입증한다. 하드웨어 스위치를 사용할 경우 98.54%의 정확도로 컨트롤러-스위치 상호작용을 식별하며, 수동 RTT 기반 모니터링을 사용할 경우 98.73%의 정확도를 기록한다. 저자들은 그룹 테이블을 활용해 초기 패킷을 지연시켜 지문화 효과를 크게 감소시키는 대응 조치를 제안한다.

ABSTRACT

Software-defined networking (SDN) eases network management by centralizing the control plane and separating it from the data plane. The separation of planes in SDN, however, introduces new vulnerabilities in SDN networks since the difference in processing packets at each plane allows an adversary to fingerprint the network's packet-forwarding logic. In this paper, we study the feasibility of fingerprinting the controller-switch interactions by a remote adversary, whose aim is to acquire knowledge about specific flow rules that are installed at the switches. This knowledge empowers the adversary with a better understanding of the network's packet-forwarding logic and exposes the network to a number of threats. In our study, we collect measurements from hosts located across the globe using a realistic SDN network comprising of OpenFlow hardware and software switches. We show that, by leveraging information from the RTT and packet-pair dispersion of the exchanged packets, fingerprinting attacks on SDN networks succeed with overwhelming probability. We also show that these attacks are not restricted to active adversaries, but can be equally mounted by passive adversaries that only monitor traffic exchanged with the SDN network. Finally, we discuss the implications of these attacks on the security of SDN networks, and we present and evaluate an efficient countermeasure to strengthen SDN networks against fingerprinting. Our results demonstrate the effectiveness of our countermeasure in deterring fingerprinting attacks on SDN networks.

연구 동기 및 목표

• 원격 공격자가 시간 기반 사이드 채널 정보를 사용하여 SDN 네트워크를 지문화할 수 있는지의 타당성을 조사하는 것.
• 하드웨어 및 소프트웨어 OpenFlow 스위치를 모두 포함한 실제 구현 환경에서 지문화가 가능한지 평가하는 것.
• 수동 공격자가 활성 프로빙 없이 캡처된 트래픽을 분석하여 지문화를 수행할 수 있는지 여부를 확인하는 것.
• 경로 길이, 대역폭, 시간과 같은 네트워크 파라미터가 지문화 정확도에 미치는 영향을 정량화하는 것.
• 그룹 테이블을 통해 흐름의 첫 번째 패킷을 지연시켜 지문화 성공률를 낮추는 효율적인 대응 조치를 설계하고 평가하는 것.

제안 방법

• 저자들은 실존하는 SDN 테스트베드를 활용해 전 세계 20개의 호스트에서 대규모 측정을 수행하였으며, 이는 OpenFlow 하드웨어 및 소프트웨어 스위치를 포함한다.
• 데이터 플레인과 컨트롤러-스위치 상호작용 간 패킷 처리의 차이를 탐지하기 위해 도착 시간 간격(RTT)과 패킷 페어 분산을 분석한다.
• 캡처된 트래픽 트레이스에서 밀접하게 간격을 두고 보낸 프로브 패킷의 RTT를 분석함으로써 수동 공격자 모델을 평가한다.
• 제안된 대응 조치는 OpenFlow 그룹 테이블을 사용하여 각 흐름의 첫 번째 몇 개 패킷에 제어 가능한 변동 지연을 도입함으로써 시간 패턴을 은폐한다.
• 지문화 정확도를 대응 조치 적용 전후로 측정하여 그 효과를 평가한다.
• 지연 분포에 대한 통계 분석을 수행하여 시간 특징의 안정성과 구별 가능성 여부를 평가한다.

실험 결과

연구 질문

• RQ1 원격 공격자가 오직 시간 측정 정보만을 사용하여 SDN 네트워크에서 컨트롤러-스위치 상호작용을 신뢰성 있게 지문화할 수 있는가?
• RQ2 소프트웨어 스위치의 존재가 지문화 공격의 타당성에 어떤 영향을 미치는가?
• RQ3 네트워크 경로 길이와 링크 대역폭이 지문화 정확도에 어느 정도의 영향을 미치는가?
• RQ4 수동 공격자가 활성 프로빙 없이 캡처된 트래픽을 분석하여 지문화를 수행할 수 있는가?
• RQ5 그룹 테이블 기반 대응 조치는 지문화 성공률를 어느 정도 감소시키는가?

주요 결과

• 패킷 페어 분산을 사용할 경우, 경로 길이나 대역폭에 관계없이 하드웨어 스위치를 프로빙할 때 지문화 공격의 정확도가 98.54%에 이른다.
• 수동 공격자는 밀접하게 간격을 두고 보낸 프로브 패킷의 RTT를 분석하여 98.73%의 정확도를 달성하지만, 시간이 지남에 따라 정확도가 떨어진다.
• 소프트웨어 스위치가 존재하더라도 지문화가 방지되지 않으며, 데이터 플레인과 제어 플레인 처리 간 시간 차이가 여전히 탐지 가능하기 때문이다.
• RTT 기반 지문화 정확도는 네트워크 크기의 영향을 크게 받으며 시간이 지남에 따라 악화되는 반면, 패킷 페어 분산은 안정성을 유지한다.
• 그룹 테이블을 활용한 제안된 대응 조치는 초기 패킷에 변동 지연을 도입함으로써 시간 기반 사이드 채널을 효과적으로 은폐하여 지문화 성공률를 감소시킨다.
• 이 대응 조치는 효율적이고 실용적이며, 기존 SDN 인fra구조에 대한 변경이 최소화되고 정상적인 네트워크 운영을 유지한다.