[论文解读] ANCHOR: logically-centralized security for Software-Defined Networks

Diego Kreutz, Jiangshan Yu+2 more|arXiv (Cornell University)|Nov 9, 2017

Software-Defined Networks and 5G参考文献 90被引用 8

一句话总结

本文提出 ANCHOR，一种用于在软件定义网络（SDN）中强制执行非功能性属性（尤其是安全属性）的逻辑集中式架构框架。通过在可信中间件层集中关键安全机制（如安全设备注册、弹性伪随机生成器（PRG）和完美前向保密），ANCHOR 实现了全局策略强制执行，降低了复杂性，并增强了弹性，其性能比 OpenSSL 提高了 50%，同时满足了 ONF 安全要求中的 11 项。

ABSTRACT

While the centralization of SDN brought advantages such as a faster pace of innovation, it also disrupted some of the natural defenses of traditional architectures against different threats. The literature on SDN has mostly been concerned with the functional side, despite some specific works concerning non-functional properties like 'security' or 'dependability'. Though addressing the latter in an ad-hoc, piecemeal way, may work, it will most likely lead to efficiency and effectiveness problems. We claim that the enforcement of non-functional properties as a pillar of SDN robustness calls for a systemic approach. As a general concept, we propose ANCHOR, a subsystem architecture that promotes the logical centralization of non-functional properties. To show the effectiveness of the concept, we focus on 'security' in this paper: we identify the current security gaps in SDNs and we populate the architecture middleware with the appropriate security mechanisms, in a global and consistent manner. Essential security mechanisms provided by anchor include reliable entropy and resilient pseudo-random generators, and protocols for secure registration and association of SDN devices. We claim and justify in the paper that centralizing such mechanisms is key for their effectiveness, by allowing us to: define and enforce global policies for those properties; reduce the complexity of controllers and forwarding devices; ensure higher levels of robustness for critical services; foster interoperability of the non-functional property enforcement mechanisms; and promote the security and resilience of the architecture itself. We discuss design and implementation aspects, and we prove and evaluate our algorithms and mechanisms, including the formalisation of the main protocols and the verification of their core security properties using the Tamarin prover.

研究动机与目标

• 解决 SDN 控制逻辑集中化所引入的日益增长的安全风险，这种集中化削弱了传统网络防御机制。
• 识别当前 SDN 安全模型中的关键漏洞，特别是设备认证、熵源和长期弹性方面的不足。
• 提出一种系统性、架构级别的解决方案，以一致且可扩展的方式强制执行安全性和可靠性等非功能性属性。
• 证明集中化非功能性机制相比临时性、分布式的方案，能显著提升安全性、性能和互操作性。
• 为将该框架扩展至可靠性、QoS 等其他非功能性属性奠定基础。

提出的方法

• 将 ANCHOR 设计为中间件子系统，逻辑上集中强制执行 SDN 控制平面中的非功能性属性，特别是安全性。
• 集成轻量级、密码学安全的原原子，包括弹性伪随机生成器（PRG）、强熵源和安全密钥交换协议。
• 使用 iDVV（基于身份的设备验证）实现安全设备注册和关联协议，防止欺骗和未授权访问。
• 使用 Tamarin prover 形式化验证核心协议，确认其满足完美前向保密、事后妥协安全性以及抵抗重放攻击等属性。
• 使用 Ryu、Mininet 和 Open vSwitch（OVS）及 OpenFlow 进行性能评估，测量通信开销和端到端延迟。
• 将 ANCHOR 的密码学操作与 OpenSSL 进行基准测试，证明其在保持更高安全保证的同时，性能提升了 50%。

实验结果

研究问题

• RQ1 如何系统性地强制执行 SDN 中的安全等非功能性属性，而非依赖临时性、点对点的解决方案？
• RQ2 当前 SDN 架构在设备认证、密钥管理及熵生成方面存在哪些关键安全漏洞？
• RQ3 非功能性机制的逻辑集中化在多大程度上能提升 SDN 中的安全性、性能和互操作性？
• RQ4 像 ANCHOR 这类集中式框架能否在保持低通信开销的同时，实现更强的安全保证（如完美前向保密和事后妥协恢复）？
• RQ5 在真实 SDN 部署中，ANCHOR 的密码学原原子与广泛部署的标准（如 OpenSSL）相比，性能如何？

主要发现

• ANCHOR 通过将关键安全机制（如密钥生成和设备认证）卸载并集中化，降低了控制器和转发设备的复杂性。
• 该框架在密码学操作上相比 OpenSSL 性能提升 50%，同时提供更强的安全保证，包括完美前向保密和事后妥协恢复能力。
• 使用 Tamarin prover 的形式化验证确认，ANCHOR 的核心协议满足关键安全属性，包括对重放攻击和中间人攻击的抵抗能力。
• ANCHOR 满足了开放网络基金会（ONF）推荐的 12 项安全要求中的 11 项，表明其与行业标准高度契合。
• 该架构支持对非功能性属性的全局策略强制执行，增强了异构 SDN 部署环境下的鲁棒性和互操作性。
• 该框架具有可扩展性，可超越安全领域，通过模块化、集中化设计支持未来集成可靠性与 QoS 机制。