[论文解读] SDNsec: Forwarding Accountability for the SDN Data Plane

Takayuki Sasaki, Christos Pappas+3 more|arXiv (Cornell University)|May 6, 2016

Software-Defined Networks and 5G被引用 11

一句话总结

SDNsec 是 SDN 数据平面的安全扩展，通过数据包中的密码学标记实现转发可问责性：控制器对转发规则进行签名以在交换机处执行，同时交换机生成可由控制器验证的路径标记。这实现了策略的一致性更新，可检测未经授权的路径偏离，并将状态耗尽攻击限制在网路边缘。

ABSTRACT

SDN promises to make networks more flexible, programmable, and easier to manage. Inherent security problems in SDN today, however, pose a threat to the promised benefits. First, the network operator lacks tools to proactively ensure that policies will be followed or to reactively inspect the behavior of the network. Second, the distributed nature of state updates at the data plane leads to inconsistent network behavior during reconfigurations. Third, the large flow space makes the data plane susceptible to state exhaustion attacks. This paper presents SDNsec, an SDN security extension that provides forwarding accountability for the SDN data plane. Forwarding rules are encoded in the packet, ensuring consistent network behavior during reconfigurations and limiting state exhaustion attacks due to table lookups. Symmetric-key cryptography is used to protect the integrity of the forwarding rules and enforce them at each switch. A complementary path validation mechanism allows the controller to reactively examine the actual path taken by the packets. Furthermore, we present mechanisms for secure link-failure recovery and multicast/broadcast forwarding.

研究动机与目标

• 解决 SDN 数据平面中缺乏可问责性的问题，即被攻破的交换机可能违反策略却无法被检测。
• 缓解网络重配置期间的不一致行为，防止出现未经授权的流量路径或隔离违规。
• 通过在核心交换机中减少状态存储，以基于数据包的转发规则降低状态存储需求，从而防范状态耗尽攻击。
• 通过密码学路径验证实现对实际数据包路径的反应式验证，使管理员能够检测策略违规。
• 在安全、可问责的框架下支持安全的故障恢复以及组播/广播转发。

提出的方法

• 在数据包中嵌入密码学标记：使用对称密钥密码学，由控制器签名的标记在交换机处强制执行转发规则。
• 使用交换机生成、控制器可验证的标记，以实现路径验证并检测未经授权的路径偏离。
• 应用对称密钥密码学将转发规则与数据包绑定，确保在重配置期间保持完整性与一致性。
• 通过传输层机制引入序列号和重放保护，防止数据包重放攻击。
• 通过利用路径验证检测并重新建立正确的转发路径，设计安全的链路故障恢复机制。
• 将该机制扩展以支持具有密码学完整性和可问责性的组播与广播转发。

实验结果

研究问题

• RQ1 如何在交换机级别通过密码学保证实现 SDN 数据平面的网络策略强制执行？
• RQ2 即使策略配置正确，控制器如何检测数据包是否走过了未经授权的路径？
• RQ3 如何在网络重配置期间保持一致行为，以防止瞬态策略违规？
• RQ4 如何通过减少核心交换机中的状态，将状态耗尽攻击限制在网路边缘？
• RQ5 如何在可问责的转发框架内支持安全的故障恢复和组播转发？

主要发现

• SDNsec 通过将转发规则直接编码在数据包中，确保了策略更新的一致性，防止了重配置期间的瞬态错误配置。
• 使用控制器签名的标记可在每个交换机处强制执行正确的转发行为，防止未经授权的路径偏离。
• 交换机生成的路径验证标记使控制器能够检测并响应策略违规，包括虫洞攻击和路径伪造攻击。
• 由于核心交换机不存储流级状态，而是依赖数据包内嵌规则，因此状态耗尽攻击被限制在网路边缘。
• 该机制通过使控制器能够检测路径中断并重新建立正确的转发路径，支持安全的故障恢复。
• 该方法避免了终端主机参与密钥管理，并与 prior work 如 ICING 相比，带宽开销更低，后者平均数据包大小增加了 23.3%。