軟件定義網絡匿名通信關鍵技術研究

陳姣　田彧

【摘? 要】匿名通信的概念最初由Chaum在1981年提出，他也最早提出了Mix網絡技術，在該網絡中，Mix節點將接收到的來自發送者的信息通過加密、延遲、填充等方式進行混合處理后再傳輸給下一個節點，以此來隱藏通信雙方的身份信息，實現高匿名性，是一種犧牲了性能的高時延匿名通信技術。1996年，Goldschlag等美國海軍研究實驗室的員工提出了第一代洋蔥路由技術，洋蔥路由網絡首先在通信雙方之間建立一條虛電路，傳輸路徑中的任一路由節點只知道前一個節點和后一個節點的身份信息，為建立連接的雙方提供實時的雙向匿名服務，因而它是一種低時延的匿名通信技術。2004年，Dingledine等提出了第二代洋蔥路由技術，即實現Tor的主要技術，在第一代的基礎之上進一步提高了安全性，如將加密算法由公鑰加密變為了Diffie-Hellman密鑰交換算法。

【關鍵詞】軟件定義網絡;匿名通信;關鍵技術

引言

匿名可以做到使個人的身份信息得以隱蔽，不被外人識別獲取。互聯網影響社會生活方方面面，人們傳遞信息、休閑娛樂都已經少不了互聯網。隨著新技術的出現，軟件定義網絡（SDN）為彌補傳統網絡架構的不足，成為未來網絡架構發展的一個重要趨勢。軟件定義網絡]的顯著特征即轉控分離，實現控制平面的中央控制，通信協議簡化網絡間傳輸設備工作量，具有軟件編程功能，北向接口可與多應用程序連接。但軟件定義網絡并非是以用戶的安全性和隱秘性為基礎開發的，因此在通信中外來攻擊者可以通過報文分析獲取通信用戶的敏感信息。

1匿名的定義

“匿名”是“一個主體在一組集合（即匿名集合，AnonymitySet）中不可識別的狀態”。匿名集合指的是“所有可能的主體構成的集合”。根據匿名集合的大小可以判斷匿名系統的匿名性強弱，可以理解為匿名集合越大，匿名集合中的每個對象被攻擊者關注的概率越低，則匿名性越強;根據匿名集合的變化可以衡量攻擊者對匿名系統的攻擊效果。對通信系統匿名性定性、定量的定義一般都采用基于信息熵的定義，具體形式如下：n為匿名集合中對象的數量，Pi為集合中的對象被攻擊的概率。由于該匿名性定義將匿名集合中的對象數量、集合中每一個對象被攻擊的概率等因素都考慮到，因此可以使用它來定量的描述和判斷一個通信系統的匿名性。

2傳統網絡匿名通信

眾多學者已經研究匿名系統以保護各用戶的通信身份并防止攻擊者的流量分析。傳統網絡所采用的匿名系統主要有Mix-net、DC-net、可驗證的shuffle或廣播。當前，從性質上分析，可以將匿名系統劃分為高延遲與低延遲，主要參考的是傳輸時間。高延遲匿名通信系統主要是為需要強大匿名性且允許高延遲的應用而設計的，例如：電子郵件、Babel、Mixminion。該類系統基于Mix-Nets，其中消息通常被延遲數小時以進行批處理，以最大化匿名實現對流量分析的阻斷。低延遲匿名通信系統主要用于網頁瀏覽和互聯網聊天等交互式應用。在低延遲匿名系統中，比較常見的是Anonymizer，只有一個代理，整體較為簡單。洋蔥路由是初始混合網絡的實時變體。軟件定義網絡作為一種新興的網絡架構，它所擁有的集中控制和掌控全局的新特性還并沒有引起匿名通信領域研究的思考和重視。在發送消息之前，發送器拾取混合列表并通過中繼器與接收器構建雙向電路。發送方對消息進行分層加密，每個中繼對它們進行解密，然后將它們轉發到電路中的下一跳。每個中繼僅知道其上一跳和下一跳，但不知道通信參與者。二代洋蔥路由Tor是基于志愿者并最為流行的匿名系統。基于P2P架構的匿名系統，各節點都可作流量發起者或轉發者。LAP是低延遲的輕量級匿名系統，可保證日常在線活動的安全。

3方案設計

3.1系統架構

軟件定義網絡的主要特點是將控制功能從網絡設備中提取出來，網絡的控制平面在控制器上，轉發平面在網絡設備上，實現了控制層與數據轉發層的分離。基于SDN的匿名通信網絡架構從上往下分為應用層、控制層以及數據層。應用層包含了匿名通信服務等相關網絡應用。控制平面負責網絡控制，主要功能為協議處理與計算。控制器獲取系統中網絡設備之間的連接信息，并對連接信息進行處理，通過OpenFlow協議定期獲取網絡中主機的剩余帶寬等信息，根據這些信息挑選最優轉發節點來建立最優轉發路徑。數據平面搭建網絡拓撲，交換機根據控制平面下發的流表完成數據的轉發和處理。系統可以看作是由一個控制器和多個交換機及主機組織起來的覆蓋網絡，將網絡中的主機劃分為多個集群，每個集群中有一個主機作為該集群的管理員。其中，SDN控制器負責維護網絡中交換機節點的相關信息，建立匿名通信路徑以及指揮網絡中的數據包轉發。各集群管理員負責維護該集群中普通成員的地址映射關系，為該集群中普通成員請求并建立匿名通信。

3.2數據包包頭信息隱匿

為了實現數據包包頭信息的隱匿性，方案采用唯一哈希值來改寫包頭，結合隨機數的不確定性加強包頭信息的安全轉發。由于數據包包頭中五元組包含源IP地址、目的IP地址、協議號、源端口、目的端口。為了實現隱藏包頭的敏感信息，方案用唯一哈希值替代原包頭中的源/目的IP地址和源/目的MAC地址。步驟1交換機在收到新的數據包后，查找匹配項，通過預設置packet_in將此數據包的包頭上交給控制器，其中消息包含的敏感信息有（Si，Di）。步驟2控制器在收到交換機發來的數據包包頭后，首先生成一個隨機數，利用正態隨機數，依據中心極限定理得到服從U（0，1）均勻分布的隨機數k。生成隨機數k后，控制器首先對包頭消息C進行解析，獲得信息Si、Di之后混合Si、Di與隨機數k，通過sha1算法生成一個唯一的哈希值M，并下發給入口交換機。步驟3入口交換機收到控制器下發的唯一哈希值后，用此哈希值替換原數據包包頭中的源/目的IP地址。

3.3約束最優路徑規劃算法

通常傳統網絡中的路徑選擇依據是通過路由協議計算出的最優傳輸路徑，但結果可能會導致網絡中部分路徑流量擁塞。當采用SDN網絡架構時，SDN控制器可以根據網絡流量狀態調整傳輸路徑，提升網絡資源利用率。此外，控制器根據節點在線時長選擇信譽度較高的節點作為轉發節點，可以一定程度上降低路徑選擇攻擊的威脅。控制器收到發送方的匿名通信請求后獲取發送方和接收方的IP地址等信息。拓撲感知模塊負責獲取網絡中交換機與主機之間的連接信息，并對連接信息進行處理，形成網絡拓撲。鏈路信息收集模塊負責獲取網絡中交換機節點的剩余帶寬、在線時長等信息。控制器在收到上述信息后，利用多約束最優路徑規劃算法建立匿名通信路徑。

結束語

隨著互聯網安全的不斷發展，匿名通信已經成為其不可分割的一部分。匿名通信網絡最初的目的是保護通信雙方的隱私不被泄露，但是如今匿名攻擊技術層出不窮，未來希望匿名網絡可以在保護用戶隱私的同時也能夠監測惡意流量并屏蔽惡意行為。

參考文獻：

[1]魏占禎，孟莘蕊，李兆斌.軟件定義網絡匿名通信關鍵技術研究[J].計算機應用與軟件，2020，38（10）：131-138.

[2]龔力.匿名網絡匿名性評估關鍵技術研究[D].電子科技大學，2020.