軟件定義網(wǎng)絡(luò)匿名通信關(guān)鍵技術(shù)研究獲獎(jiǎng)科研報(bào)告【摘

要】匿名通信的概念最初由Chaum在1981年提出，他也最早提出了Mix網(wǎng)絡(luò)技術(shù)，在該網(wǎng)絡(luò)中，Mix節(jié)點(diǎn)將接收到的來(lái)自發(fā)送者的信息通過(guò)加密、延遲、填充等方式進(jìn)行混合處理后再傳輸給下一個(gè)節(jié)點(diǎn)，以此來(lái)隱藏通信雙方的身份信息，實(shí)現(xiàn)高匿名性，是一種犧牲了性能的高時(shí)延匿名通信技術(shù)。1996年，Goldschlag等美國(guó)海軍研究實(shí)驗(yàn)室的員工提出了第一代洋蔥路由技術(shù)，洋蔥路由網(wǎng)絡(luò)首先在通信雙方之間建立一條虛電路，傳輸路徑中的任一路由節(jié)點(diǎn)只知道前一個(gè)節(jié)點(diǎn)和后一個(gè)節(jié)點(diǎn)的身份信息，為建立連接的雙方提供實(shí)時(shí)的雙向匿名服務(wù)，因而它是一種低時(shí)延的匿名通信技術(shù)。2004年，Dingledine等提出了第二代洋蔥路由技術(shù)，即實(shí)現(xiàn)Tor的主要技術(shù)，在第一代的基礎(chǔ)之上進(jìn)一步提高了安全性，如將加密算法由公鑰加密變?yōu)榱薉iffie-Hellman密鑰交換算法。

【關(guān)鍵詞】軟件定義網(wǎng)絡(luò);匿名通信;關(guān)鍵技術(shù)

引言

匿名可以做到使個(gè)人的身份信息得以隱蔽，不被外人識(shí)別獲取?；ヂ?lián)網(wǎng)影響社會(huì)生活方方面面，人們傳遞信息、休閑娛樂(lè)都已經(jīng)少不了互聯(lián)網(wǎng)。隨著新技術(shù)的出現(xiàn)，軟件定義網(wǎng)絡(luò)（SDN）為彌補(bǔ)傳統(tǒng)網(wǎng)絡(luò)架構(gòu)的不足，成為未來(lái)網(wǎng)絡(luò)架構(gòu)發(fā)展的一個(gè)重要趨勢(shì)。軟件定義網(wǎng)絡(luò)]的顯著特征即轉(zhuǎn)控分離，實(shí)現(xiàn)控制平面的中央控制，通信協(xié)議簡(jiǎn)化網(wǎng)絡(luò)間傳輸設(shè)備工作量，具有軟件編程功能，北向接口可與多應(yīng)用程序連接。但軟件定義網(wǎng)絡(luò)并非是以用戶(hù)的安全性和隱秘性為基礎(chǔ)開(kāi)發(fā)的，因此在通信中外來(lái)攻擊者可以通過(guò)報(bào)文分析獲取通信用戶(hù)的敏感信息。

1匿名的定義

“匿名”是“一個(gè)主體在一組集合（即匿名集合，AnonymitySet）中不可識(shí)別的狀態(tài)”。匿名集合指的是“所有可能的主體構(gòu)成的集合”。根據(jù)匿名集合的大小可以判斷匿名系統(tǒng)的匿名性強(qiáng)弱，可以理解為匿名集合越大，匿名集合中的每個(gè)對(duì)象被攻擊者關(guān)注的概率越低，則匿名性越強(qiáng);根據(jù)匿名集合的變化可以衡量攻擊者對(duì)匿名系統(tǒng)的攻擊效果。對(duì)通信系統(tǒng)匿名性定性、定量的定義一般都采用基于信息熵的定義，具體形式如下：n為匿名集合中對(duì)象的數(shù)量，Pi為集合中的對(duì)象被攻擊的概率。由于該匿名性定義將匿名集合中的對(duì)象數(shù)量、集合中每一個(gè)對(duì)象被攻擊的概率等因素都考慮到，因此可以使用它來(lái)定量的描述和判斷一個(gè)通信系統(tǒng)的匿名性。

2傳統(tǒng)網(wǎng)絡(luò)匿名通信

眾多學(xué)者已經(jīng)研究匿名系統(tǒng)以保護(hù)各用戶(hù)的通信身份并防止攻擊者的流量分析。傳統(tǒng)網(wǎng)絡(luò)所采用的匿名系統(tǒng)主要有Mix-net、DC-net、可驗(yàn)證的shuffle或廣播。當(dāng)前，從性質(zhì)上分析，可以將匿名系統(tǒng)劃分為高延遲與低延遲，主要參考的是傳輸時(shí)間。高延遲匿名通信系統(tǒng)主要是為需要強(qiáng)大匿名性且允許高延遲的應(yīng)用而設(shè)計(jì)的，例如：電子郵件、Babel、Mixminion。該類(lèi)系統(tǒng)基于Mix-Nets，其中消息通常被延遲數(shù)小時(shí)以進(jìn)行批處理，以最大化匿名實(shí)現(xiàn)對(duì)流量分析的阻斷。低延遲匿名通信系統(tǒng)主要用于網(wǎng)頁(yè)瀏覽和互聯(lián)網(wǎng)聊天等交互式應(yīng)用。在低延遲匿名系統(tǒng)中，比較常見(jiàn)的是Anonymizer，只有一個(gè)代理，整體較為簡(jiǎn)單。洋蔥路由是初始混合網(wǎng)絡(luò)的實(shí)時(shí)變體。軟件定義網(wǎng)絡(luò)作為一種新興的網(wǎng)絡(luò)架構(gòu)，它所擁有的集中控制和掌控全局的新特性還并沒(méi)有引起匿名通信領(lǐng)域研究的思考和重視。在發(fā)送消息之前，發(fā)送器拾取混合列表并通過(guò)中繼器與接收器構(gòu)建雙向電路。發(fā)送方對(duì)消息進(jìn)行分層加密，每個(gè)中繼對(duì)它們進(jìn)行解密，然后將它們轉(zhuǎn)發(fā)到電路中的下一跳。每個(gè)中繼僅知道其上一跳和下一跳，但不知道通信參與者。二代洋蔥路由Tor是基于志愿者并最為流行的匿名系統(tǒng)?；赑2P架構(gòu)的匿名系統(tǒng)，各節(jié)點(diǎn)都可作流量發(fā)起者或轉(zhuǎn)發(fā)者。LAP是低延遲的輕量級(jí)匿名系統(tǒng)，可保證日常在線活動(dòng)的安全。

3方案設(shè)計(jì)

3.1系統(tǒng)架構(gòu)

軟件定義網(wǎng)絡(luò)的主要特點(diǎn)是將控制功能從網(wǎng)絡(luò)設(shè)備中提取出來(lái)，網(wǎng)絡(luò)的控制平面在控制器上，轉(zhuǎn)發(fā)平面在網(wǎng)絡(luò)設(shè)備上，實(shí)現(xiàn)了控制層與數(shù)據(jù)轉(zhuǎn)發(fā)層的分離?；赟DN的匿名通信網(wǎng)絡(luò)架構(gòu)從上往下分為應(yīng)用層、控制層以及數(shù)據(jù)層。應(yīng)用層包含了匿名通信服務(wù)等相關(guān)網(wǎng)絡(luò)應(yīng)用?？刂破矫尕?fù)責(zé)網(wǎng)絡(luò)控制，主要功能為協(xié)議處理與計(jì)算?？刂破鳙@取系統(tǒng)中網(wǎng)絡(luò)設(shè)備之間的連接信息，并對(duì)連接信息進(jìn)行處理，通過(guò)OpenFlow協(xié)議定期獲取網(wǎng)絡(luò)中主機(jī)的剩余帶寬等信息，根據(jù)這些信息挑選最優(yōu)轉(zhuǎn)發(fā)節(jié)點(diǎn)來(lái)建立最優(yōu)轉(zhuǎn)發(fā)路徑。數(shù)據(jù)平面搭建網(wǎng)絡(luò)拓?fù)?，交換機(jī)根據(jù)控制平面下發(fā)的流表完成數(shù)據(jù)的轉(zhuǎn)發(fā)和處理。系統(tǒng)可以看作是由一個(gè)控制器和多個(gè)交換機(jī)及主機(jī)組織起來(lái)的覆蓋網(wǎng)絡(luò)，將網(wǎng)絡(luò)中的主機(jī)劃分為多個(gè)集群，每個(gè)集群中有一個(gè)主機(jī)作為該集群的管理員。其中，SDN控制器負(fù)責(zé)維護(hù)網(wǎng)絡(luò)中交換機(jī)節(jié)點(diǎn)的相關(guān)信息，建立匿名通信路徑以及指揮網(wǎng)絡(luò)中的數(shù)據(jù)包轉(zhuǎn)發(fā)。各集群管理員負(fù)責(zé)維護(hù)該集群中普通成員的地址映射關(guān)系，為該集群中普通成員請(qǐng)求并建立匿名通信。

3.2數(shù)據(jù)包包頭信息隱匿

為了實(shí)現(xiàn)數(shù)據(jù)包包頭信息的隱匿性，方案采用唯一哈希值來(lái)改寫(xiě)包頭，結(jié)合隨機(jī)數(shù)的不確定性加強(qiáng)包頭信息的安全轉(zhuǎn)發(fā)。由于數(shù)據(jù)包包頭中五元組包含源IP地址、目的IP地址、協(xié)議號(hào)、源端口、目的端口。為了實(shí)現(xiàn)隱藏包頭的敏感信息，方案用唯一哈希值替代原包頭中的源/目的IP地址和源/目的MAC地址。步驟1交換機(jī)在收到新的數(shù)據(jù)包后，查找匹配項(xiàng)，通過(guò)預(yù)設(shè)置packet_in將此數(shù)據(jù)包的包頭上交給控制器，其中消息包含的敏感信息有（Si，Di）。步驟2控制器在收到交換機(jī)發(fā)來(lái)的數(shù)據(jù)包包頭后，首先生成一個(gè)隨機(jī)數(shù)，利用正態(tài)隨機(jī)數(shù)，依據(jù)中心極限定理得到服從U（0，1）均勻分布的隨機(jī)數(shù)k。生成隨機(jī)數(shù)k后，控制器首先對(duì)包頭消息C進(jìn)行解析，獲得信息Si、Di之后混合Si、Di與隨機(jī)數(shù)k，通過(guò)sha1算法生成一個(gè)唯一的哈希值M，并下發(fā)給入口交換機(jī)。步驟3入口交換機(jī)收到控制器下發(fā)的唯一哈希值后，用此哈希值替換原數(shù)據(jù)包包頭中的源/目的IP地址。

3.3約束最優(yōu)路徑規(guī)劃算法

通常傳統(tǒng)網(wǎng)絡(luò)中的路徑選擇依據(jù)是通過(guò)路由協(xié)議計(jì)算出的最優(yōu)傳輸路徑，但結(jié)果可能會(huì)導(dǎo)致網(wǎng)絡(luò)中部分路徑流量擁塞。當(dāng)采用SDN網(wǎng)絡(luò)架構(gòu)時(shí)，SDN控制器可以根據(jù)網(wǎng)絡(luò)流量狀態(tài)調(diào)整傳輸路徑，提升網(wǎng)絡(luò)資源利用率。此外，控制器根據(jù)節(jié)點(diǎn)在線時(shí)長(zhǎng)選擇信譽(yù)度較高的節(jié)點(diǎn)作為轉(zhuǎn)發(fā)節(jié)點(diǎn)，可以一定程度上降低路徑選擇攻擊的威脅?？刂破魇盏桨l(fā)送方的匿名通信請(qǐng)求后獲取發(fā)送方和接收方的IP地址等信息。拓?fù)涓兄K負(fù)責(zé)獲取網(wǎng)絡(luò)中交換機(jī)與主機(jī)之間的連接信息，并對(duì)連接信息進(jìn)行處理，形成網(wǎng)絡(luò)拓?fù)?。鏈路信息收集模塊負(fù)責(zé)獲取網(wǎng)絡(luò)中交換機(jī)節(jié)點(diǎn)的剩余帶寬、在線時(shí)長(zhǎng)等信息。控制器在收到上述信息后，利用多約束最優(yōu)