[论文解读] Charting the Security Landscape of Programmable Dataplanes

Andrei-Alexandru Agape, Madalin Claudiu Danceanu+2 more|ArXiv.org|Jun 30, 2018

Software-Defined Networks and 5G参考文献 3被引用 7

一句话总结

本文首次对基于P4的可编程数据平面进行了系统性安全分析，与传统OpenFlow网络相比，识别出一种新型且扩展的攻击面。研究分析了从编译器、控制器到P4Runtime和交换机组件的整个P4栈中的漏洞，展示了如控制器欺骗、通道洪水攻击和协议操纵等攻击如何破坏网络完整性，提出的对策包括基于断言的验证和安全通道加固。

ABSTRACT

Emerging programmable dataplanes will revamp communication networks, allowing programmers to reconfigure and tailor switches towards their need, in a protocol-independent manner. While the community has articulated well the benefits of such network architectures in terms of flexibility and performance, little is known today about the security implications. We in this position paper argue that the programmable dataplanes in general and P4 in particular introduce an uncharted security landscape. In particular, we find that while some existing security studies on traditional OpenFlow-based networks still apply, P4 comes with several specific components and aspects which change the attack surface and introduce new challenges. We highlight several examples and provide a first systematic security analysis.

研究动机与目标

• 识别并分析基于P4的可编程数据平面相较于传统OpenFlow网络所引入的扩展攻击面。
• 检查整个P4栈中的安全漏洞，包括P4编译器、控制器（例如ONOS）、P4Runtime协议和交换机（例如BMv2）。
• 使用STRIDE威胁建模对各类攻击进行分类与评估，并提供可操作的对策。
• 证明尽管部分OpenFlow安全问题依然存在，但P4引入了新的、协议和实现特定的威胁，需要专门的缓解策略。

提出的方法

• 基于STRIDE对P4软件栈（包括编译器、控制器、P4Runtime和交换机组件）进行威胁分析。
• 识别资产如P4Info、P4DeviceConfig和P4Runtime.proto，并将其映射到潜在的攻击向量。
• 通过真实世界攻击模式分析攻击面：控制器欺骗、中间人攻击、通道洪水攻击以及配置错误的利用。
• 评估对策如基于断言的验证、编译器模糊测试、ONOS中的安全模式以及反应式防火墙应用。
• 使用BMv2交换机作为测试平台，验证涉及畸形P4Runtime消息和未经授权表项修改的攻击。
• 利用公开的P4Runtime协议规范和P4Info文件，在受控环境中模拟并重现攻击。

实验结果

研究问题

• RQ1 基于P4的可编程数据平面的攻击面与传统OpenFlow网络有何不同？
• RQ2 P4编译器、控制器、P4Runtime协议和交换机组件中存在哪些具体漏洞？
• RQ3 现有的SDN安全对策在P4中适用程度如何，需要哪些新防御机制？
• RQ4 在P4Runtime保护的网络中，控制器欺骗、通道洪水攻击和中间人攻击的可行性如何？
• RQ5 在整条栈上，针对P4特有威胁最有效的技术对策是什么？

主要发现

• P4编译器因未定义行为和并发问题引入安全风险，可利用性中等至高。
• 控制器易受恶意应用和暴力破解登录尝试的影响，两者均被评定为高影响。
• P4Runtime协议消息虽通过Protobuf序列化，但未加密，可被截获并重放，从而导致中间人攻击和欺骗攻击。
• 通道洪水攻击可降低或拒绝P4Runtime代理在控制器上的服务，影响高，难度中等。
• 若攻击者能伪造P4Runtime消息，BMv2交换机易受未经授权的表项修改，可完全控制数据包转发行为。
• 有效的对策包括基于断言的验证（难度中等，效果高）、编译器模糊测试、安全通道保护以及反应式防火墙应用。