基于sdn的可信域間安全認證協(xié)議的制作方法
【專利摘要】基于SDN的可信域間安全認證協(xié)議屬于信息安全領(lǐng)域。本發(fā)明將可信網(wǎng)絡(luò)思想融入SDN概念下的OpenFlow網(wǎng)絡(luò)架構(gòu)，實現(xiàn)未來網(wǎng)絡(luò)架構(gòu)可信、可控的安全目標(biāo)。在建立可信域的基礎(chǔ)上，提出一種無可信第三方的可信域間安全認證協(xié)議，協(xié)議采用挑戰(zhàn)應(yīng)答方式，首先，接入可信網(wǎng)絡(luò)的認證請求者進入初始狀態(tài)，并向被請求者發(fā)送身份信息，被請求者做出應(yīng)答，返回自身身份信息，互相進行身份注冊。其次，認證請求者與被請求者繼續(xù)采用挑戰(zhàn)應(yīng)答方式協(xié)商可信敏感信息，通過比對敏感信息PCR值與隨機數(shù)的哈希結(jié)果，進行互信認證。最后，如果請求者與被請求者各自比對哈希結(jié)果符合可信要求，認證成功。否則，互信認證失敗。
【專利說明】基于SDN的可信域間安全認證協(xié)議
【技術(shù)領(lǐng)域】:
[0001]本發(fā)明是一種基于SDN概念下OpenFlow網(wǎng)絡(luò)架構(gòu)的可信域間安全認證方法。屬于信息安全領(lǐng)域。
【背景技術(shù)】:
[0002]隨著網(wǎng)絡(luò)技術(shù)的快速發(fā)展和新應(yīng)用的不斷涌現(xiàn)，互聯(lián)網(wǎng)逐漸成為社會經(jīng)濟的重要組成部分。在傳統(tǒng)Internet網(wǎng)絡(luò)架構(gòu)下，我們假設(shè)用戶是友好可信的，所以網(wǎng)絡(luò)系統(tǒng)只負責(zé)數(shù)據(jù)的傳輸，而不需要其它控制功能，這種假設(shè)明顯已經(jīng)不再適用于當(dāng)今網(wǎng)絡(luò)所處的環(huán)境。目前，網(wǎng)絡(luò)所面臨的可信問題日益突出，例如:難以識別異常網(wǎng)絡(luò)行為，對網(wǎng)絡(luò)破壞活動難以遏制等等。這些安全問題的出現(xiàn)，最根本的原因是網(wǎng)絡(luò)系統(tǒng)存在可被滲透的脆弱性，針對脆弱性問題，人們試圖通過安全補丁的手段加以解決，如增強網(wǎng)絡(luò)層安全性的IPSec、防御DDos攻擊的互聯(lián)網(wǎng)業(yè)務(wù)主動過濾機制(AITF)等協(xié)議，但一方面，脆弱性的來源是多方面的，存在于系統(tǒng)設(shè)計、實現(xiàn)、運行和管理的各個環(huán)節(jié)。長期以來網(wǎng)絡(luò)體系結(jié)構(gòu)的研究主要考慮了如何提高數(shù)據(jù)傳輸?shù)男?，?gòu)成Internet的一些早期網(wǎng)絡(luò)協(xié)議也很少考慮安全問題，而且Internet在拓撲和新生技術(shù)等方面都是動態(tài)發(fā)展的，加之網(wǎng)絡(luò)的開放性，使得發(fā)起攻擊一般是很迅速、容易和廉價的，并且難于檢測和追蹤。另一方面，目前網(wǎng)絡(luò)安全控制機制存在明顯的局限性，即大多采用單一的防御手段、信息安全和補丁附加的機制，功能上的單一化、分散化很難進行有效整合，這些手段不能夠解決可信網(wǎng)絡(luò)的本原問題。所以提出一種具有充分可控能力的互聯(lián)網(wǎng)架構(gòu)解決傳統(tǒng)互聯(lián)網(wǎng)結(jié)構(gòu)的安全問題并實現(xiàn)網(wǎng)絡(luò)高度可信，成為目前網(wǎng)絡(luò)發(fā)展的迫切需求。
[0003]目前，在下一代網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計中，國內(nèi)外專家、學(xué)者完成了具有重要意義的大量工作，提出了 4D、GENI, FIRE、JGN2plus、SOFIA等新一代網(wǎng)絡(luò)架構(gòu)，這些架構(gòu)將網(wǎng)絡(luò)控制層與網(wǎng)絡(luò)數(shù)據(jù)層解耦，建立控制邏輯與網(wǎng)絡(luò)數(shù)據(jù)層之間的緊耦合關(guān)系，實現(xiàn)控制邏輯可以根據(jù)準確、完整的網(wǎng)絡(luò)狀態(tài)信息，直接作用于網(wǎng)絡(luò)數(shù)據(jù)層，依照網(wǎng)絡(luò)業(yè)務(wù)的需求從較高層次上配置網(wǎng)絡(luò)或者修改網(wǎng)絡(luò)決策層的相關(guān)算法優(yōu)化網(wǎng)絡(luò)運行的技術(shù)。但是，在可信性方面，這些網(wǎng)絡(luò)架構(gòu)卻少有提及，還是沒有解決網(wǎng)絡(luò)可信的根本問題。
[0004]斯坦福大學(xué)Nick McKeown教授基于Clean Slate項目提出了 SDN,即軟件定義網(wǎng)絡(luò)概念，基于SDN概念進行的網(wǎng)絡(luò)結(jié)構(gòu)研究，又提出了 OpenFlow、NOX等關(guān)鍵技術(shù)，基于OpenFlow實現(xiàn)的網(wǎng)管和安全功能主要集中在接入控制、流量轉(zhuǎn)發(fā)和負載均衡等方面，OpenFlow自身設(shè)計中安全性問題考慮還不夠，特別是針對控制器結(jié)點和OpenFlow交換機結(jié)構(gòu)的安全防護問題，以及單控制器下可信域間互信認證問題還沒有解決。本發(fā)明由此結(jié)合可信網(wǎng)絡(luò)技術(shù)，提出在建立一個OpenFlow網(wǎng)絡(luò)可信域的基礎(chǔ)上，設(shè)計一種無可信第三方的可信域間安全認證協(xié)議，進一步完善OpenFlow網(wǎng)絡(luò)架構(gòu)的安全性。

【發(fā)明內(nèi)容】
:
[0005]本發(fā)明是一種讓不同可信域間帶有可信模塊的OpenFlow網(wǎng)絡(luò)控制器進行互信認證的方法，方法利用可信模塊得到OpenFlow網(wǎng)絡(luò)控制器的敏感信息特征值，連同隨機數(shù)、MAC地址等其它信息，通過OpenFlow網(wǎng)絡(luò)控制器核心模塊進行身份注冊和互信認證。
[0006]本發(fā)明的特征在于依次包括以下步驟:
[0007]首先，可信模塊依照可信鏈傳遞規(guī)則，依次度量OpenFlow網(wǎng)絡(luò)控制器的硬件信息、操作系統(tǒng)、控制器軟件和控制器核心模塊，并將度量結(jié)果存入RTS (可信存儲根)的PCR寄存器中。
[0008]其次，當(dāng)不同可信域間控制器進行互信認證時，認證請求者分別發(fā)送硬件信息特征值、操作系統(tǒng)特征值與其MAC地址的哈希計算結(jié)果，同時等待被請求者的相同哈希結(jié)果，相互進行身份注冊。
[0009]最后，認證請求者與認證被請求者進行敏感信息互信認證,認證請求者分別發(fā)送控制器軟件度量值、控制器核心模塊度量值與隨機數(shù)的哈希計算結(jié)果，被請求者進行比對認證后，分別返回自己的控制器軟件度量值、控制器核心模塊度量值與隨機數(shù)的哈希計算結(jié)果，待比對完成，互信認證結(jié)束，從而完成不同可信域的互信認證工作。
[0010]本發(fā)明的創(chuàng)新點在于，首先，新型網(wǎng)絡(luò)架構(gòu)下可信域間互信認證協(xié)議尚屬空白，本發(fā)明基于SDN的OpenFlow技術(shù)，提出了一種無可信第三方的可信域間認證方法，實現(xiàn)了可信域間互信認證。其次，無可信第三方使得可信網(wǎng)絡(luò)架構(gòu)更加簡潔，減少了第三方網(wǎng)絡(luò)開銷，避免了第三方帶來的安全威脅和信任問題。最后，本發(fā)明設(shè)計可以有效避免針對認證協(xié)議的重放攻擊。
[0011 ] 本發(fā)明經(jīng)過AVISPA協(xié)議設(shè)計工具設(shè)計和BAN邏輯分析系統(tǒng)推理，均得到協(xié)議安全的結(jié)論。
【專利附圖】

【附圖說明】
[0012]圖1可信鏈傳遞過程
[0013]圖2基于SDN的可信網(wǎng)域設(shè)計架構(gòu)
[0014]圖3可信域間安全認證過程
【具體實施方式】
[0015]如圖1、圖2所示，本發(fā)明設(shè)計了一種基于SDN的可信網(wǎng)域架構(gòu)模型，并進一步提出了一種基于SDN可信域的無可信第三方的可信域間安全認證協(xié)議。本設(shè)計方案，為了解決同安全級別可信域間的相互認證問題，選擇進行敏感信息比對來完成互信認證工作。所以從可信鏈傳遞的角度來看，我們可以劃分安全等級，利用架構(gòu)中的可信度量模塊進行完整性度量的比對檢驗，從而完成相互認證的工作。利用控制器通信模塊，可以解決不同網(wǎng)域間控制器的通信問題，為進行互信認證工作提供基礎(chǔ)。為了保證安全，協(xié)議必須采用多級認證的方法，將敏感信息逐漸逐級透露給對方，避免非法用戶一次性得到所有敏感信息。將加密敏感信息和隨機數(shù)相結(jié)合進行哈希運算，可以在有力保護敏感信息機密性的基礎(chǔ)上，確保敏感信息不被非法用戶劫持進行欺騙攻擊，從而避免敏感信息帶來的安全問題。
[0016]具體工作流程如下:
[0017]1、請求發(fā)起方A發(fā)起注冊請求，并用請求發(fā)起方A的私鑰對第一級可信信息PCR1 (硬件信息度量值)進行簽名，利用請求發(fā)起方A的MACa與PCR1 —起進行HASH運算，然后將結(jié)果和請求發(fā)起方A的初始化信息發(fā)送給請求接受方B ；
[0018]2、請求接受方B接收到信息后，首先對請求發(fā)起方A進行身份注冊，其次計算自己的第一級可信信息PCR/和MACb的HASH值，并用請求接受方B的私鑰B—1對信息進行簽名，最后將請求接受方B自己計算的第一級可信信息PCR/和MACb的HASH值傳遞給請求發(fā)起方A進行身份注冊；
[0019]3、同理傳遞注冊信息后，進行第二級可信信息PCR2的注冊(操作系統(tǒng)信息度量值)
[0020]4、同理注冊傳遞的信息，雙方完成身份注冊，并由請求接受方B產(chǎn)生互信認證會話秘鑰AK。
[0021]5、請求接受方B收到請求發(fā)起方A的互信認證信息，按照協(xié)商策略進入?yún)f(xié)商狀態(tài)，請求發(fā)起方A用請求接受方B產(chǎn)生的互信認證會話秘鑰AK對第三級敏感信息進行加密，并將請求發(fā)起方A產(chǎn)生的隨機數(shù)與PCR3 (控制器軟件度量值)一起進行HASH運算，隨后將結(jié)果發(fā)送給請求接受方B，請求接受方B通過比對自身第三級敏感信息，判斷請求發(fā)起方A是否可信，如果可信進入下一步，否則協(xié)商失?。?br> [0022]6、請求接受方B通過比對自身第三級敏感信息，判斷請求發(fā)起方A的第三級敏感信息是可信的，于是返回自身第三級敏感信息，請求發(fā)起方A通過比對自身第三級敏感信息，判斷請求接受方B是否可信，如果可信進入下一步，否則協(xié)商失??；
[0023]7、同理傳遞第四級敏感信息，即請求發(fā)起方A產(chǎn)生的隨機數(shù)與PCR4 (控制器核心模塊度量值)一起進行HASH運算。
[0024]8、同理返回第四級敏感信息，完成互信認證。
【權(quán)利要求】
1.基于SDN的可信域間安全認證協(xié)議，其特征在于，包含以下步驟: 首先，可信模塊依照可信鏈傳遞規(guī)則，依次度量OpenFlow網(wǎng)絡(luò)控制器的硬件信息、操作系統(tǒng)、控制器軟件和控制器核心模塊，并將度量結(jié)果存入可信存儲根RTS的PCR寄存器中； 其次，當(dāng)不同可信域間控制器進行互信認證時，認證請求者分別發(fā)送硬件信息特征值、操作系統(tǒng)特征值與其MAC地址的哈希計算結(jié)果，同時等待被請求者的相同哈希結(jié)果，相互進行身份注冊； 最后，認證請求者與認證被請求者進行敏感信息互信認證，認證請求者分別發(fā)送控制器軟件度量值、控制器核心模塊度量值與隨機數(shù)的哈希計算結(jié)果，被請求者進行比對認證后，分別返回自己的控制器軟件度量值、控制器核心模塊度量值與隨機數(shù)的哈希計算結(jié)果，待比對完成，互信認證結(jié)束，從而完成不同可信域的互信認證工作。
【文檔編號】H04L29/06GK103929422SQ201410138045
【公開日】2014年7月16日 申請日期:2014年4月8日 優(yōu)先權(quán)日:2014年4月8日
【發(fā)明者】賴英旭, 周?？? 劉靜, 秦華, 李健 申請人:北京工業(yè)大學(xué)