[论文解读] Fingerprinting Software-defined Networks

Heng Cui, Ghassan Karame+2 more|arXiv (Cornell University)|Dec 21, 2015

Software-Defined Networks and 5G参考文献 23被引用 6

一句话总结

本文展示了远程攻击者可通过分析往返时间（RTT）和包对扩散特性，可靠地对软件定义网络（SDN）进行指纹识别，使用硬件交换机时识别控制器-交换机交互的准确率达98.54%，通过被动RTT监测时准确率达98.73%。作者提出一种基于组表的对策，通过延迟初始数据包来显著降低指纹识别的有效性。

ABSTRACT

Software-defined networking (SDN) eases network management by centralizing the control plane and separating it from the data plane. The separation of planes in SDN, however, introduces new vulnerabilities in SDN networks since the difference in processing packets at each plane allows an adversary to fingerprint the network's packet-forwarding logic. In this paper, we study the feasibility of fingerprinting the controller-switch interactions by a remote adversary, whose aim is to acquire knowledge about specific flow rules that are installed at the switches. This knowledge empowers the adversary with a better understanding of the network's packet-forwarding logic and exposes the network to a number of threats. In our study, we collect measurements from hosts located across the globe using a realistic SDN network comprising of OpenFlow hardware and software switches. We show that, by leveraging information from the RTT and packet-pair dispersion of the exchanged packets, fingerprinting attacks on SDN networks succeed with overwhelming probability. We also show that these attacks are not restricted to active adversaries, but can be equally mounted by passive adversaries that only monitor traffic exchanged with the SDN network. Finally, we discuss the implications of these attacks on the security of SDN networks, and we present and evaluate an efficient countermeasure to strengthen SDN networks against fingerprinting. Our results demonstrate the effectiveness of our countermeasure in deterring fingerprinting attacks on SDN networks.

研究动机与目标

• 研究远程攻击者是否可利用基于时间的侧信道信息，可靠地对SDN网络进行指纹识别。
• 评估在包含硬件和软件OpenFlow交换机的实际部署中，指纹识别是否可行。
• 确定被动攻击者是否可通过分析捕获的流量而无需主动探测来实施指纹识别。
• 量化网络参数（如路径长度、带宽和时间）对指纹识别准确率的影响。
• 设计并评估一种高效对策，通过组表延迟初始数据包，降低指纹识别的成功率。

提出的方法

• 作者利用包含OpenFlow硬件和软件交换机的真实SDN测试平台，从全球20个主机开展大规模测量。
• 通过分析往返时间（RTT）和包对扩散特性，检测数据平面与控制器-交换机交互之间在数据包处理上的差异。
• 通过分析捕获的流量痕迹中紧密间隔探测包的RTT，评估被动攻击者模型。
• 所提出的对策利用OpenFlow组表，对每个流的前几条数据包引入可控且可变的延迟，以掩盖时间特征。
• 在应用对策前后测量指纹识别准确率，以评估其有效性。
• 对延迟分布进行统计分析，以评估时间特征的稳定性和可区分性。

实验结果

研究问题

• RQ1 远程攻击者是否可仅通过时间测量，可靠地对SDN网络中的控制器-交换机交互进行指纹识别？
• RQ2 软件交换机的存在如何影响指纹识别攻击的可行性？
• RQ3 网络路径长度和链路带宽在多大程度上影响指纹识别的准确率？
• RQ4 被动攻击者是否可仅通过分析捕获的流量而无需主动探测来实施指纹识别？
• RQ5 基于组表的对策在多大程度上能有效降低指纹识别的成功率？

主要发现

• 当使用包对扩散特性探测硬件交换机时，指纹识别攻击的准确率高达98.54%，且不受路径长度或带宽影响。
• 被动攻击者通过分析紧密间隔探测包的RTT，可实现98.73%的准确率，但准确率随时间推移而下降。
• 软件交换机的存在不会阻止指纹识别，因为数据平面与控制平面处理时间差异仍可被检测到。
• 基于RTT的指纹识别准确率显著受网络规模影响，且随时间推移而恶化；而包对扩散特性则保持稳定。
• 所提出的基于组表的对策通过延迟初始数据包引入可变延迟，有效掩盖了基于时间的侧信道，显著降低了指纹识别成功率。
• 该对策高效且实用，仅需对现有SDN基础设施进行极少改动，且不影响正常网络运行。