[發(fā)明專利]基于區(qū)塊鏈的軟件定義網(wǎng)絡(luò)控制層安全機(jī)制構(gòu)建方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201710389296.4
• 申請(qǐng)日: 2017-05-27
• 公開(kāi)（公告）號(hào): CN107222478B
• 公開(kāi)（公告）日: 2019-09-17
• 發(fā)明（設(shè)計(jì)）人: 翁健;翁嘉思;劉家男;魏凱敏;羅偉其
• 申請(qǐng)（專利權(quán)）人: 暨南大學(xué)
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 廣州市華學(xué)知識(shí)產(chǎn)權(quán)代理有限公司 44245
• 代理人: 陳燕嫻;林梅繁

1.基于區(qū)塊鏈的軟件定義網(wǎng)絡(luò)控制層安全機(jī)制構(gòu)建方法，其特征在于，基于區(qū)塊鏈構(gòu)建的軟件定義網(wǎng)絡(luò)包括數(shù)據(jù)層、區(qū)塊鏈層、控制層及應(yīng)用層，數(shù)據(jù)層設(shè)有多個(gè)交換機(jī)，應(yīng)用層設(shè)有多個(gè)SDN應(yīng)用，控制層包括多個(gè)控制器，區(qū)塊鏈層部署于控制層與數(shù)據(jù)層之間，控制層的控制器與區(qū)塊鏈進(jìn)行交互，而區(qū)塊鏈對(duì)于數(shù)據(jù)層的交換機(jī)和應(yīng)用層的SDN應(yīng)用是透明的，SDN應(yīng)用、控制器和交換機(jī)為網(wǎng)絡(luò)實(shí)體；構(gòu)建方法包括以下步驟：

S1、形成可認(rèn)證的SDN網(wǎng)絡(luò)流，認(rèn)證通過(guò)的SDN網(wǎng)絡(luò)流作用于交換機(jī)，該網(wǎng)絡(luò)流以及網(wǎng)絡(luò)流作用后的交換機(jī)狀態(tài)分別形成網(wǎng)絡(luò)流交易和網(wǎng)絡(luò)狀態(tài)交易，被記錄于區(qū)塊鏈中；

S2、運(yùn)用區(qū)塊鏈上的數(shù)據(jù)具有不可篡改的特性，通過(guò)審計(jì)網(wǎng)絡(luò)流交易及網(wǎng)絡(luò)狀態(tài)交易數(shù)據(jù)，對(duì)網(wǎng)絡(luò)進(jìn)行排查和追蹤；

S3、依賴區(qū)塊鏈共識(shí)機(jī)制，在控制器之間達(dá)成對(duì)控制器網(wǎng)絡(luò)狀態(tài)資源的一致性共識(shí)；

S4、網(wǎng)絡(luò)狀態(tài)資源由控制器針對(duì)與控制器連接的SDN應(yīng)用身份和類別應(yīng)用基于屬性加密的密碼工具設(shè)置資源訪問(wèn)控制策略，從而實(shí)現(xiàn)網(wǎng)絡(luò)資源的細(xì)粒度訪問(wèn)控制。

2.根據(jù)權(quán)利要求1所述的基于區(qū)塊鏈的軟件定義網(wǎng)絡(luò)控制層安全機(jī)制構(gòu)建方法，其特征在于，步驟S1過(guò)程為：

首先，每一網(wǎng)絡(luò)實(shí)體的注冊(cè)事件形成注冊(cè)交易、每一個(gè)網(wǎng)絡(luò)實(shí)體包含唯一標(biāo)識(shí)和實(shí)體描述信息，均被寫于區(qū)塊鏈上；在網(wǎng)絡(luò)實(shí)體的注冊(cè)過(guò)程中，利用部署于區(qū)塊鏈上的注冊(cè)合約判斷某一網(wǎng)絡(luò)實(shí)體是否已形成注冊(cè)交易記錄來(lái)認(rèn)證網(wǎng)絡(luò)實(shí)體，若已有網(wǎng)絡(luò)實(shí)體注冊(cè)交易則拒絕該網(wǎng)絡(luò)實(shí)體連接網(wǎng)絡(luò)；

然后，將注冊(cè)交易用于認(rèn)證流進(jìn)SDN的網(wǎng)絡(luò)流，當(dāng)一條網(wǎng)絡(luò)流交易記錄形成時(shí)，對(duì)部署于區(qū)塊鏈上的網(wǎng)絡(luò)流檢測(cè)安全協(xié)議發(fā)起消息，利用網(wǎng)絡(luò)流檢測(cè)安全協(xié)議審查網(wǎng)絡(luò)流是否由已注冊(cè)的SDN應(yīng)用發(fā)起和網(wǎng)絡(luò)流是否被篡改，若審查不通過(guò)則拒絕該網(wǎng)絡(luò)流流入網(wǎng)絡(luò)；若審查通過(guò)，即網(wǎng)絡(luò)流由已注冊(cè)的SDN應(yīng)用發(fā)出且網(wǎng)絡(luò)流沒(méi)有被重復(fù)發(fā)送則形成網(wǎng)絡(luò)流交易，記錄于區(qū)塊鏈上，網(wǎng)絡(luò)流被注入對(duì)應(yīng)的交換機(jī)后引起的交換機(jī)狀態(tài)變更事件形成網(wǎng)絡(luò)狀態(tài)交易，同樣記錄于區(qū)塊鏈上。

3.根據(jù)權(quán)利要求1所述的基于區(qū)塊鏈的軟件定義網(wǎng)絡(luò)控制層安全機(jī)制構(gòu)建方法，其特征在于，步驟S2過(guò)程為：

在網(wǎng)絡(luò)流交易形成過(guò)程中，當(dāng)兩條由不同SDN應(yīng)用發(fā)送的網(wǎng)絡(luò)流發(fā)生沖突時(shí)，控制器對(duì)沖突的網(wǎng)絡(luò)流做出仲裁，仲裁結(jié)果通過(guò)判斷最終哪一條網(wǎng)絡(luò)流被生成網(wǎng)絡(luò)流交易得到，向發(fā)送網(wǎng)絡(luò)流但未被控制器采用的SDN應(yīng)用發(fā)出流采用失敗消息；

通過(guò)審查當(dāng)前的前一段時(shí)間內(nèi)形成的網(wǎng)絡(luò)狀態(tài)交易，審查網(wǎng)絡(luò)狀態(tài)交易的發(fā)出源和目的地的描述字段，若某一控制器在超過(guò)網(wǎng)絡(luò)可容忍的時(shí)間閾值外都沒(méi)有參與網(wǎng)絡(luò)運(yùn)行的活動(dòng)，則判斷該控制器發(fā)生故障，繼續(xù)審查區(qū)塊鏈上該控制器的注冊(cè)記錄得到該控制器管理的所有交換機(jī)注冊(cè)記錄，相應(yīng)得到這些交換機(jī)的實(shí)體信息，向連接該控制器的交換機(jī)發(fā)出警告和發(fā)送網(wǎng)絡(luò)中存活的控制器列表，使得交換機(jī)連接其他存活的控制器，及時(shí)得到網(wǎng)絡(luò)響應(yīng)。

4.根據(jù)權(quán)利要求1所述的基于區(qū)塊鏈的軟件定義網(wǎng)絡(luò)控制層安全機(jī)制構(gòu)建方法，其特征在于，步驟S3的區(qū)塊鏈共識(shí)機(jī)制采用BFT共識(shí)協(xié)議，基于區(qū)塊鏈記錄的網(wǎng)絡(luò)狀態(tài)交易，區(qū)塊鏈充當(dāng)安全通信通道，使得所有控制器隨著新區(qū)塊的生成被最終公布而獲得一致的網(wǎng)絡(luò)狀態(tài)資源，從而使所有控制器獲得一致的網(wǎng)絡(luò)資源視圖。

5.根據(jù)權(quán)利要求1所述的基于區(qū)塊鏈的軟件定義網(wǎng)絡(luò)控制層安全機(jī)制構(gòu)建方法，其特征在于，步驟S4中，控制器通過(guò)審查SDN應(yīng)用在區(qū)塊鏈的注冊(cè)交易記錄，得到應(yīng)用標(biāo)識(shí)、應(yīng)用類別和對(duì)應(yīng)連接的控制器，根據(jù)應(yīng)用標(biāo)識(shí)、應(yīng)用類別和SDN應(yīng)用與控制器連接關(guān)系對(duì)全網(wǎng)的網(wǎng)絡(luò)狀態(tài)設(shè)置細(xì)粒度的訪問(wèn)控制策略。

6.根據(jù)權(quán)利要求1所述的基于區(qū)塊鏈的軟件定義網(wǎng)絡(luò)控制層安全機(jī)制構(gòu)建方法，其特征在于，步驟S4所述基于屬性加密的密碼工具為基于密鑰策略的屬性加密方法。