基于區(qū)塊鏈的網(wǎng)絡安全策略研究

肖媛娥

（井岡山大學網(wǎng)絡信息中心 江西 吉安 343009）

0 引言

傳統(tǒng)的蜂窩式網(wǎng)絡架構(gòu)實現(xiàn)了基于水平層面的網(wǎng)絡資源共享，各水平網(wǎng)絡之間的資源是開放且互通的，例如網(wǎng)絡硬件設施、軟件接口、操作系統(tǒng)、應用程序等資源，而垂直層面是封閉的狀態(tài)，基于網(wǎng)絡鏈路的軟硬控制都集成在網(wǎng)絡底層設施上，極大地限制了網(wǎng)絡垂直層面的功能拓展與部署的靈活性[1]。隨著軟件定義網(wǎng)絡（software defined network，SDN）架構(gòu)的興起與快速普及，SDN將網(wǎng)絡資源實現(xiàn)了垂直解耦，將網(wǎng)絡流量資源虛擬化。控制平面通過軟件編程實現(xiàn)網(wǎng)絡流量的鏈路分配、路由選擇等資源控制；數(shù)據(jù)平面集合了物理鏈路層的網(wǎng)絡交互設備，通過虛擬映射實現(xiàn)網(wǎng)絡流量的路徑轉(zhuǎn)發(fā)，大大地提高了網(wǎng)絡的資源利用率和開放共享性，但也帶來了新的網(wǎng)絡安全問題。

1 SDN架構(gòu)下的網(wǎng)絡安全問題

SDN架構(gòu)是在傳統(tǒng)網(wǎng)絡架構(gòu)基礎上，結(jié)合網(wǎng)絡虛擬技術構(gòu)建的分層式邏輯架構(gòu)，包括應用層、控制層和數(shù)據(jù)層3個邏輯層[2]，見圖1。其主要目的是將網(wǎng)絡資源的調(diào)度管理與網(wǎng)絡物理設備進行分離，通過可編程的方式靈活調(diào)度網(wǎng)絡資源。物理網(wǎng)絡設備不需要再單獨配置軟件協(xié)議，大大提高了網(wǎng)絡設備的功能可擴展性與網(wǎng)絡兼容性，但相應的各個邏輯層上也存在很多安全問題。

（1）應用平面是SDN架構(gòu)中直接面向用戶提供應用級服務的邏輯層，集合了各類網(wǎng)絡應用程序。主要的安全隱患包括應用程序自帶的惡意代碼、身份驗證的潛在風險以及業(yè)務邏輯的配置缺陷等。

（2）控制平面是SDN架構(gòu)的核心層，由核心組件SDN控制器構(gòu)成。SDN控制器同時負責應用層的業(yè)務響應與數(shù)據(jù)層的鏈路控制，提供有北向與南向兩個接口，北向接口負責與應用層交互，接收應用層消息和解析業(yè)務需求；南向接口負責與數(shù)據(jù)層的OpenFlow交換機通信，采集網(wǎng)絡拓撲信息，依據(jù)頂層業(yè)務需求和底層鏈路狀態(tài)構(gòu)建流表，進行網(wǎng)絡資源的分配與調(diào)度。SDN控制層的安全問題主要集中在SDN控制器上，包括流表的惡意篡改、數(shù)據(jù)請求惡意攻擊等。例如DoS/DDoS攻擊，攻擊者通過非法訪問短時間內(nèi)向SDN控制器發(fā)送大量的網(wǎng)絡請求，導致SDN控制器負荷超載過大而癱瘓，繼而引發(fā)網(wǎng)絡的單點故障問題。

（3）數(shù)據(jù)平面是SDN架構(gòu)的物理鏈路層，通過網(wǎng)絡虛擬技術構(gòu)建物理設備與邏輯控制的映射關系，并依據(jù)控制層指令完成實際的網(wǎng)絡資源調(diào)度和數(shù)據(jù)轉(zhuǎn)發(fā)。數(shù)據(jù)層的安全問題主要是針對網(wǎng)絡節(jié)點設備和通信鏈路的網(wǎng)絡攻擊，SDN網(wǎng)絡通信采用的主要協(xié)議是傳輸層安全協(xié)議（transport layer security，TLS）和安全套接字協(xié)議（secure sockets layer，SSL），用于提供通信數(shù)據(jù)的完整性驗證和網(wǎng)絡連接加密功能。在此前提下為了簡化交換設備的協(xié)議配置，提高傳輸效率，SDN鏈路通信不再進行額外的安全驗證，也就存在一定的安全漏洞和被攻擊的風險，例如惡意交換機的身份偽造、竊聽、欺騙等問題。

2 區(qū)塊鏈技術概述

2.1 區(qū)塊鏈技術的特點

區(qū)塊鏈技術將網(wǎng)絡中傳輸?shù)男畔⒁暈樾畔㈡湥粋€信息鏈由若干帶有時間順序標識的區(qū)塊構(gòu)成，每個區(qū)塊僅保存部分信息。信息鏈會廣播到網(wǎng)絡中的所有節(jié)點上進行分布式保存，因此信息很難被篡改，如需要修改區(qū)塊鏈中的信息，需獲得半數(shù)以上節(jié)點的授權。區(qū)塊鏈技術具有以下特點。

（1）去中心化。區(qū)塊鏈信息不歸屬于任何單一主體控制，而是分布在多個網(wǎng)絡節(jié)點中，由所有的網(wǎng)絡節(jié)點對其共同進行管理[3]，并通過共識機制實現(xiàn)各節(jié)點之間的信息一致。

（2）數(shù)據(jù)防篡改性。區(qū)塊鏈技術通過哈希算法為信息鏈中的每個區(qū)塊生成唯一標識的哈希值，然后依據(jù)哈希值的排列順序?qū)⒏鱾€區(qū)塊按指定序列進行關聯(lián)，其中任意區(qū)塊被修改，都會使整個信息鏈的區(qū)塊序列發(fā)生改變，且哈希值計算過程具有不可逆特性，因此篡改者很難在不改動哈希值的情況下篡改數(shù)據(jù)內(nèi)容，也很難偽造哈希值。

2.2 區(qū)塊鏈關鍵技術

共識機制主要用來解決區(qū)塊鏈信息分布式管理的數(shù)據(jù)一致性問題，由于區(qū)塊鏈具有去中心化的技術特性，數(shù)據(jù)鏈區(qū)塊由網(wǎng)絡中所有的節(jié)點共同管理，當數(shù)據(jù)發(fā)生變化時，需要所有的節(jié)點都能夠同步，這種為多個網(wǎng)絡節(jié)點提供數(shù)據(jù)一致性合法性驗證的機制就是共識機制[4]。共識機制的實現(xiàn)方法主要有3種。

（1）基于工作量的合法驗證（PoW）。通過哈希散列計算獲取隨機哈希值，當隨機哈希值的計算達到一定工作量后才能滿足系統(tǒng)預設的條件，就可以通過節(jié)點的合法性認證，并以該哈希值為標識生成新的區(qū)塊加入?yún)^(qū)塊鏈中。PoW機制是完全去中心化的一種驗證機制，網(wǎng)絡中的節(jié)點都可以自由加入或退出，在此前提下攻擊者要掌握網(wǎng)絡半數(shù)以上的資源并發(fā)起攻擊幾乎是不可能的。

（2）基于權益的合法驗證（PoS）。以擁有幣齡的權益占比作為合法性驗證的評判標準，持有的幣齡越長，通過節(jié)點合法性驗證的概率就越高[5]。幣齡是指用戶持有的代幣數(shù)與持有時長的乘積，代幣可以通過區(qū)塊鏈系統(tǒng)的無差別隨機分發(fā)獲取，也可以通過網(wǎng)絡的虛擬幣交易獲取。與PoW機制相比PoS機制減少了計算開銷和大量的網(wǎng)絡資源占用，但代幣的分發(fā)機制要做到完全中立還需要匹配完整的監(jiān)督機制才行。

（3）基于授權的合法驗證（DPoS）。該機制仍然沿用了PoS的驗證模式，不同的是不再需要所有節(jié)點都參與到代幣的分發(fā)和驗證當中，而是通過所有節(jié)點的投票選舉，授權部分代表節(jié)點來完成機制的驗證工作。為了進一步確保機制的公平性，DPoS機制設置了實時的投票選舉機制，允許鏈中的所有節(jié)點隨時選舉、罷免和更換節(jié)點代表。由于DPoS機制減少了參與驗證的節(jié)點數(shù)量，因此在執(zhí)行效率上要明顯高于前兩種機制。

哈希二叉樹（Merkle）用于實現(xiàn)數(shù)據(jù)的完整性驗證。Merkle樹結(jié)構(gòu)包括根節(jié)點、分叉節(jié)點和葉節(jié)點3個層級，其中葉節(jié)點位于Merkle樹結(jié)構(gòu)的末端，負責收集區(qū)塊內(nèi)的所有數(shù)據(jù)操作的哈希值[6]；分叉節(jié)點位于Merkle樹結(jié)構(gòu)的中間層級，用于歸納所屬分叉的兩個葉節(jié)點上的哈希值，并生成新的關聯(lián)哈希值；根節(jié)點位于Merkle樹結(jié)構(gòu)的頂端，且是唯一節(jié)點，所有的分叉節(jié)點哈希值將最終匯集于根節(jié)點，并生成一個關聯(lián)樹內(nèi)全局的哈希值。Merkle樹內(nèi)任意節(jié)點的數(shù)據(jù)變動都會重新計算哈希值，根節(jié)點的哈希值也會跟著改變。通過對根節(jié)點哈希值的檢測就可以動態(tài)掌握數(shù)據(jù)變化情況，以確保數(shù)據(jù)的完整性，防止數(shù)據(jù)被非法篡改。

3 基于區(qū)塊鏈的SDN網(wǎng)絡安全機制構(gòu)建

SDN的3層架構(gòu)中，基于控制層和數(shù)據(jù)層的網(wǎng)絡安全問題是本文重點關注的問題，包括控制層的流表數(shù)據(jù)篡改、SDN控制器的單點攻擊和數(shù)據(jù)層的鏈路節(jié)點攻擊等。為了有效解決上述問題，本文充分結(jié)合區(qū)塊鏈技術的去中心化與防篡改技術特性，構(gòu)建SDN網(wǎng)絡的安全驗證機制，以預防SDN控制器單點攻擊、數(shù)據(jù)篡改和網(wǎng)絡節(jié)點身份仿冒的潛在網(wǎng)絡風險。

3.1 總體架構(gòu)設計

融合了區(qū)塊鏈技術的SDN網(wǎng)絡架構(gòu)總體設計見圖2。

由圖2可知，一個區(qū)塊鏈系統(tǒng)可以為多個SDN子網(wǎng)提供服務，在單個SDN子網(wǎng)中通過進一步組網(wǎng)形成一個私有鏈主體，由一個核心SDN控制器集中實現(xiàn)私有鏈內(nèi)部的安全機制的部署與管理，多個SDN子網(wǎng)又可以組成一個共享鏈，單個子網(wǎng)被視為一個區(qū)塊鏈節(jié)點，對于公開在共享鏈上的信息則由多個SDN子網(wǎng)共同進行管理。區(qū)塊鏈系統(tǒng)接入私有鏈需要通過SDN子網(wǎng)的安全網(wǎng)關，安全網(wǎng)關由SDN子網(wǎng)的核心SDN控制器指定，其主要作用有3個：（1）對區(qū)塊鏈節(jié)點進行驗證并頒發(fā)有效證書；（2）為SDN子網(wǎng)中的區(qū)塊鏈節(jié)點生成和下發(fā)對應的加密私鑰，并負責管理當前子網(wǎng)的公鑰，通過公鑰與私鑰的加解密匹配驗證，來確定區(qū)塊鏈節(jié)點身份的合法性，這個過程也稱為簽名；（3）為區(qū)塊鏈系統(tǒng)創(chuàng)建一個創(chuàng)始區(qū)塊，之后會在創(chuàng)始區(qū)塊之上創(chuàng)建新的區(qū)塊用于保存數(shù)據(jù)。下面將重點針對SDN子網(wǎng)私有鏈的網(wǎng)絡安全策略實現(xiàn)的具體過程和關鍵機制展開深入研究。

3.2 SDN子網(wǎng)區(qū)塊私有鏈的策略實現(xiàn)過程

SDN子網(wǎng)內(nèi)區(qū)塊私有鏈策略實現(xiàn)過程包括以下幾個步驟。

（1）SDN主控制器通過鏈路層發(fā)現(xiàn)協(xié)議（link layer discovery protocol，LLDP）獲取網(wǎng)絡節(jié)點的拓撲結(jié)構(gòu)，向其鏈接的網(wǎng)絡交換機分發(fā)數(shù)字簽名。

（2）交換機將接收到的數(shù)據(jù)包從其入口以外的所有端口廣播出去，如果接收數(shù)據(jù)包的是普通交換機，例如OpenFlow交換機，此類交換機不具備流規(guī)則解析的功能，就將數(shù)據(jù)包繼續(xù)向外轉(zhuǎn)發(fā)而不進行任何處理。如果是被選舉為區(qū)塊鏈代表的節(jié)點，則開始對數(shù)據(jù)包進行解析和簽名。

（3）區(qū)塊鏈節(jié)點交換機將解析后流表信息保存在自己的鏈路表中，調(diào)用哈希函數(shù)計算哈希值標識，并作為區(qū)頭與簽名證書、加密私鑰等信息一起封裝為區(qū)塊。

（4）當區(qū)塊鏈節(jié)點完成對新增區(qū)塊的哈希標識后，會將哈希摘要提取到Merkle樹中作為一個葉節(jié)點進行保存。每當新增一個區(qū)塊，就需要更新一遍Merkle結(jié)構(gòu)樹，通過Merkle樹可以動態(tài)掌握SDN子網(wǎng)的全局網(wǎng)絡拓撲情況和節(jié)點的安全狀態(tài)。

3.3 SDN子網(wǎng)區(qū)塊私有鏈的多控制器選舉機制

為了有效解決SDN控制器單點攻擊所造成的全局網(wǎng)絡癱瘓問題，首先從全局視角將網(wǎng)絡劃分為多個SDN子網(wǎng)，每個子網(wǎng)都選舉出一個SDN主控制器配合多個區(qū)塊鏈節(jié)點來保障單個子網(wǎng)的鏈路安全，一個子網(wǎng)受到攻擊不會波及全網(wǎng)安全；其次基于單個子網(wǎng)視角，在子網(wǎng)內(nèi)部采用分層式的多節(jié)點部署，由主控制器與分布式區(qū)塊節(jié)點共同構(gòu)建一條主鏈，所有的數(shù)據(jù)信息需要經(jīng)過區(qū)塊創(chuàng)建、驗證才能進行上鏈存儲。一旦主控制器受到攻擊，主鏈上其他節(jié)點可以隨時罷免該節(jié)點的主控制權，重新選舉主控制器。

SDN主控制器的選舉采用的是DPoS共識機制，在主鏈上區(qū)塊節(jié)點都具有參與選舉和被選舉的權益，選舉主控制器依據(jù)的是主鏈上各個節(jié)點的信任值，信任值最高者會當選為主控制器。信任值的確定包括靜態(tài)與動態(tài)兩種方式，靜態(tài)方式是由網(wǎng)絡監(jiān)管者手動設置信任值參數(shù)，前提是監(jiān)管者能夠結(jié)合自身經(jīng)驗對當前網(wǎng)絡狀態(tài)做出較為準確的判斷；動態(tài)方式是通過實時算法對網(wǎng)絡節(jié)點當前的時延、帶寬等指標參數(shù)進行間隔采樣和權重計算[7]，并將計算結(jié)果作為節(jié)點信任值更新的重要參考依據(jù)。

被選舉為主控制器的節(jié)點負責管理整個子網(wǎng)，為主鏈上所有的交換機節(jié)點生成簽名，交換機節(jié)點將主控制器發(fā)來的驗證信息轉(zhuǎn)換為哈希值并封裝為區(qū)塊，再將區(qū)頭信息提取到Merkle樹的葉節(jié)點上，主控制器作為Merkle樹的根節(jié)點，負責所有葉節(jié)點的信息安全驗證，當節(jié)點轉(zhuǎn)發(fā)數(shù)據(jù)時會向主控制器提出流表申請，主控制器通過簽名即可驗證節(jié)點的身份合法性。

3.4 SDN子網(wǎng)區(qū)塊私有鏈的區(qū)塊創(chuàng)建機制

區(qū)塊是區(qū)塊鏈最基礎的數(shù)據(jù)單元，由區(qū)塊頭部和區(qū)塊主體兩部分組成。其中區(qū)塊頭部包括了3組元數(shù)據(jù)，即前一區(qū)塊的哈希值、自身的哈希值和后一區(qū)塊的哈希值，通過這3組元數(shù)據(jù)即可將所有的區(qū)塊按照指定的順序關聯(lián)起來，并構(gòu)成一條主鏈；區(qū)塊主體用于記錄所有的轉(zhuǎn)發(fā)數(shù)據(jù)，當數(shù)據(jù)被惡意篡改獲取，都會改變區(qū)塊頭部的哈希值，而無法通過主控制器的簽名驗證。區(qū)塊創(chuàng)建機制的實現(xiàn)過程包括以下5個步驟。

（1）等待接收主控制器分發(fā)的數(shù)字簽名，獲取到簽名數(shù)據(jù)包后進行解析，這個過程稱為背書。

（2）向主控制器申請轉(zhuǎn)發(fā)數(shù)據(jù)分組的流規(guī)則和流表信息，將轉(zhuǎn)發(fā)數(shù)據(jù)進行封裝保存至區(qū)塊主體，并記錄當前時間到指定的時間戳字段中。

（3）調(diào)用哈希函數(shù)計算哈希值，與前后關聯(lián)節(jié)點的哈希值一并封裝到區(qū)塊頭部，關聯(lián)節(jié)點的哈希值由上一步驟中申請的流規(guī)則提供。

（4）將區(qū)塊頭部信息提取到Merkle樹中，更新Merkle樹的關聯(lián)中間節(jié)點和根節(jié)點的哈希值。

（5）計算一段時間內(nèi)創(chuàng)建區(qū)塊的平均時間，平均時間越長，區(qū)塊創(chuàng)建的難度標識值越大，則認為區(qū)塊創(chuàng)建的計算總量開銷在增大，需要區(qū)塊鏈系統(tǒng)做出整體的動態(tài)調(diào)整。

4 結(jié)語

隨著SDN架構(gòu)在網(wǎng)絡中的廣泛應用，也引起了一些新的網(wǎng)絡安全問題，例如控制層的控制器單點攻擊、數(shù)據(jù)層的交換機身份冒用以及網(wǎng)絡數(shù)據(jù)的篡改問題，都對網(wǎng)絡安全產(chǎn)生了嚴重影響。為了有效解決上述問題，本文對區(qū)塊鏈技術展開了全面研究，在此基礎上提出了一種基于區(qū)塊鏈技術的網(wǎng)絡安全解決策略，通過區(qū)塊鏈選舉機制解決了SDN控制器單點攻擊的問題，通過區(qū)塊鏈創(chuàng)建機制實現(xiàn)了交換機身份的合法性驗證，并確保了交換數(shù)據(jù)的完整性與可靠性。