CN103929422B

CN103929422B - 基于sdn的可信域间安全认证协议

Info

Publication number: CN103929422B
Application number: CN201410138045.5A
Authority: CN
Inventors: 赖英旭; 周睿康; 刘静; 秦华; 李健
Original assignee: Beijing University of Technology
Current assignee: Beijing University of Technology
Priority date: 2014-04-08
Filing date: 2014-04-08
Publication date: 2017-01-25
Anticipated expiration: 2034-04-08
Also published as: CN103929422A

Abstract

基于SDN的可信域间安全认证协议属于信息安全领域。本发明将可信网络思想融入SDN概念下的OpenFlow网络架构，实现未来网络架构可信、可控的安全目标。在建立可信域的基础上，提出一种无可信第三方的可信域间安全认证协议，协议采用挑战应答方式，首先，接入可信网络的认证请求者进入初始状态，并向被请求者发送身份信息，被请求者做出应答，返回自身身份信息，互相进行身份注册。其次，认证请求者与被请求者继续采用挑战应答方式协商可信敏感信息，通过比对敏感信息PCR值与随机数的哈希结果，进行互信认证。最后，如果请求者与被请求者各自比对哈希结果符合可信要求，认证成功。否则，互信认证失败。

Description

基于SDN的可信域间安全认证协议

技术领域：

本发明是一种基于SDN概念下OpenFlow网络架构的可信域间安全认证方法。属于信息安全领域。

背景技术：

随着网络技术的快速发展和新应用的不断涌现，互联网逐渐成为社会经济的重要组成部分。在传统Internet网络架构下，我们假设用户是友好可信的，所以网络系统只负责数据的传输，而不需要其它控制功能，这种假设明显已经不再适用于当今网络所处的环境。目前，网络所面临的可信问题日益突出，例如：难以识别异常网络行为，对网络破坏活动难以遏制等等。这些安全问题的出现，最根本的原因是网络系统存在可被渗透的脆弱性，针对脆弱性问题，人们试图通过安全补丁的手段加以解决，如增强网络层安全性的IPSec、防御DDos攻击的互联网业务主动过滤机制（AITF）等协议，但一方面，脆弱性的来源是多方面的，存在于系统设计、实现、运行和管理的各个环节。长期以来网络体系结构的研究主要考虑了如何提高数据传输的效率，构成Internet的一些早期网络协议也很少考虑安全问题，而且Internet在拓扑和新生技术等方面都是动态发展的，加之网络的开放性，使得发起攻击一般是很迅速、容易和廉价的，并且难于检测和追踪。另一方面，目前网络安全控制机制存在明显的局限性，即大多采用单一的防御手段、信息安全和补丁附加的机制，功能上的单一化、分散化很难进行有效整合，这些手段不能够解决可信网络的本原问题。所以提出一种具有充分可控能力的互联网架构解决传统互联网结构的安全问题并实现网络高度可信，成为目前网络发展的迫切需求。

目前，在下一代网络结构设计中，国内外专家、学者完成了具有重要意义的大量工作，提出了4D、GENI、FIRE、JGN2plus、SOFIA等新一代网络架构，这些架构将网络控制层与网络数据层解耦，建立控制逻辑与网络数据层之间的紧耦合关系，实现控制逻辑可以根据准确、完整的网络状态信息，直接作用于网络数据层，依照网络业务的需求从较高层次上配置网络或者修改网络决策层的相关算法优化网络运行的技术。但是，在可信性方面，这些网络架构却少有提及，还是没有解决网络可信的根本问题。

斯坦福大学Nick McKeown教授基于Clean Slate项目提出了SDN，即软件定义网络概念，基于SDN概念进行的网络结构研究，又提出了OpenFlow、NOX等关键技术，基于OpenFlow实现的网管和安全功能主要集中在接入控制、流量转发和负载均衡等方面，OpenFlow自身设计中安全性问题考虑还不够,特别是针对控制器结点和OpenFlow交换机结构的安全防护问题，以及单控制器下可信域间互信认证问题还没有解决。本发明由此结合可信网络技术，提出在建立一个OpenFlow网络可信域的基础上，设计一种无可信第三方的可信域间安全认证协议，进一步完善OpenFlow网络架构的安全性。

发明内容：

本发明是一种让不同可信域间带有可信模块的OpenFlow网络控制器进行互信认证的方法，方法利用可信模块得到OpenFlow网络控制器的敏感信息特征值，连同随机数、MAC地址等其它信息，通过OpenFlow网络控制器核心模块进行身份注册和互信认证。

本发明的特征在于依次包括以下步骤：

首先，可信模块依照可信链传递规则，依次度量OpenFlow网络控制器的硬件信息、操作系统、控制器软件和控制器核心模块，并将度量结果存入RTS（可信存储根）的PCR寄存器中。

其次，当不同可信域间控制器进行互信认证时，认证请求者分别发送硬件信息特征值、操作系统特征值与其MAC地址的哈希计算结果，同时等待被请求者的相同哈希结果，相互进行身份注册。

最后，认证请求者与认证被请求者进行敏感信息互信认证，认证请求者分别发送控制器软件度量值、控制器核心模块度量值与随机数的哈希计算结果，被请求者进行比对认证后，分别返回自己的控制器软件度量值、控制器核心模块度量值与随机数的哈希计算结果，待比对完成，互信认证结束，从而完成不同可信域的互信认证工作。

本发明的创新点在于，首先，新型网络架构下可信域间互信认证协议尚属空白，本发明基于SDN的OpenFlow技术，提出了一种无可信第三方的可信域间认证方法，实现了可信域间互信认证。其次，无可信第三方使得可信网络架构更加简洁，减少了第三方网络开销，避免了第三方带来的安全威胁和信任问题。最后，本发明设计可以有效避免针对认证协议的重放攻击。

本发明经过AVISPA协议设计工具设计和BAN逻辑分析系统推理，均得到协议安全的结论。

附图说明

图1可信链传递过程

图2基于SDN的可信网域设计架构

图3可信域间安全认证过程

具体实施方式

如图1、图2所示，本发明设计了一种基于SDN的可信网域架构模型，并进一步提出了一种基于SDN可信域的无可信第三方的可信域间安全认证协议。本设计方案，为了解决同安全级别可信域间的相互认证问题，选择进行敏感信息比对来完成互信认证工作。所以从可信链传递的角度来看，我们可以划分安全等级，利用架构中的可信度量模块进行完整性度量的比对检验，从而完成相互认证的工作。利用控制器通信模块，可以解决不同网域间控制器的通信问题，为进行互信认证工作提供基础。为了保证安全，协议必须采用多级认证的方法，将敏感信息逐渐逐级透露给对方，避免非法用户一次性得到所有敏感信息。将加密敏感信息和随机数相结合进行哈希运算，可以在有力保护敏感信息机密性的基础上，确保敏感信息不被非法用户劫持进行欺骗攻击，从而避免敏感信息带来的安全问题。

具体工作流程如下：

1、请求发起方A发起注册请求，并用请求发起方A的私钥A^-1对第一级可信信息PCR₁（硬件信息度量值）进行签名，利用请求发起方A的MAC_a与PCR₁一起进行HASH运算，然后将结果和请求发起方A的初始化信息发送给请求接受方B；

2、请求接受方B接收到信息后，首先对请求发起方A进行身份注册，其次计算自己的第一级可信信息PCR₁’和MAC_b的HASH值，并用请求接受方B的私钥B^-1对信息进行签名，最后将请求接受方B自己计算的第一级可信信息PCR₁’和MAC_b的HASH值传递给请求发起方A进行身份注册；

3、同理传递注册信息后，进行第二级可信信息PCR₂的注册（操作系统信息度量值）

4、同理注册传递的信息，双方完成身份注册，并由请求接受方B产生互信认证会话秘钥AK。

5、请求接受方B收到请求发起方A的互信认证信息，按照协商策略进入协商状态，请求发起方A用请求接受方B产生的互信认证会话秘钥AK对第三级敏感信息进行加密，并将请求发起方A产生的随机数与PCR₃（控制器软件度量值）一起进行HASH运算，随后将结果发送给请求接受方B，请求接受方B通过比对自身第三级敏感信息，判断请求发起方A是否可信，如果可信进入下一步，否则协商失败；

6、请求接受方B通过比对自身第三级敏感信息，判断请求发起方A的第三级敏感信息是可信的，于是返回自身第三级敏感信息，请求发起方A通过比对自身第三级敏感信息，判断请求接受方B是否可信，如果可信进入下一步，否则协商失败；

7、同理传递第四级敏感信息，即请求发起方A产生的随机数与PCR₄（控制器核心模块度量值）一起进行HASH运算。

8、同理返回第四级敏感信息，完成互信认证。

Claims

1.基于SDN的可信域间安全认证协议，其特征在于，包含以下步骤：

1)、请求发起方A发起注册请求，并用请求发起方A的私钥A^-1对第一级可信信息PCR₁即硬件信息度量值进行签名，利用请求发起方A的MAC_a与PCR₁一起进行HASH运算，然后将结果和请求发起方A的初始化信息发送给请求接受方B；

2)、请求接受方B接收到信息后，首先对请求发起方A进行身份注册，其次计算自己的第一级可信信息PCR₁’和MAC_b的HASH值，并用请求接受方B的私钥B^-1对信息进行签名，最后将请求接受方B自己计算的第一级可信信息PCR₁’和MAC_b的HASH值传递给请求发起方A进行身份注册；

3)、同理传递注册信息后，进行第二级可信信息PCR₂即操作系统信息度量值的注册；

4)、同理注册传递的信息，双方完成身份注册，并由请求接受方B产生互信认证会话秘钥AK；

5)、请求接受方B收到请求发起方A的互信认证信息，按照协商策略进入协商状态，请求发起方A用请求接受方B产生的互信认证会话秘钥AK对第三级敏感信息进行加密，并将请求发起方A产生的随机数与PCR₃即控制器软件度量值一起进行HASH运算，随后将结果发送给请求接受方B，请求接受方B通过比对自身第三级敏感信息，判断请求发起方A是否可信，如果可信进入下一步，否则协商失败；

6)、请求接受方B通过比对自身第三级敏感信息，判断请求发起方A的第三级敏感信息是可信的，于是返回自身第三级敏感信息，请求发起方A通过比对自身第三级敏感信息，判断请求接受方B是否可信，如果可信进入下一步，否则协商失败；

7)、同理传递第四级敏感信息，即请求发起方A产生的随机数与PCR₄即控制器核心模块度量值一起进行HASH运算；

8)、同理返回第四级敏感信息，完成互信认证。