[發明專利]一種基于FPGA的SDN網絡策略合法性的驗證方法

在審

• 申請號: 202210168042.0
• 申請日: 2022-02-23
• 公開（公告）號: CN114650141A
• 公開（公告）日: 2022-06-21
• 發明（設計）人: 王勇;吳曉亮;劉玉明
• 申請（專利權）人: 桂林電子科技大學
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L9/40
• 代理公司: 桂林市持衡專利商標事務所有限公司 45107
• 代理人: 陳躍琳

1.一種基于FPGA的SDN網絡策略合法性的驗證方法，其特征是，包括步驟如下：

步驟1、SDN網絡的應用程序先將網絡策略信息使用哈希算法生成信息摘要，并使用應用程序私鑰對信息摘要進行加密生成數字簽名；再將網絡策略信息和數字簽名封裝為策略簽名消息，并將策略簽名消息通過基于FPGA計算設備的驗證平面發送至SDN網絡的控制器；

步驟2、基于FPGA計算設備的驗證平面的FPGA計算設備接收應用程序發送至控制器的策略簽名消息，解析并提取其網絡策略信息和數字簽名信息；

步驟3、FPGA計算設備先將網絡策略信息使用與步驟1相同的哈希算法生成策略摘要信息，同時使用應用程序的公鑰對數字簽名信息解密得到簽名摘要信息；再判斷策略摘要信息和簽名摘要信息是否相同：

如果兩者相同，則認定應用程序發送到控制器的策略簽名消息是完整的，并轉至步驟4；

如果兩者不相同，則認定應用程序發送到控制器的策略簽名消息在傳輸過程中被篡改，并拒絕此次應用程序對控制器的訪問請求；

步驟4、FPGA計算設備依據解密數字簽名信息的公鑰確定應用程序的身份，并查詢應用程序對控制器的當前信任值：

若當前信任值高于設定的信任閾值，則認定應用程序通過驗證，并轉至步驟5；

若當前信任值低于等于設定的信任閾值，則認定應用程序未通過驗證，拒絕此次應用程序對控制器的訪問請求；

步驟5、FPGA計算設備依據其所存儲的各控制器對不同應用程序的授予的權限集，對應用程序進行權限檢查：

若權限檢查通過，則將應用程序的網絡策略信息發送至控制器執行，同時探測此次應用程序下發的網絡策略對其他網絡策略轉發行為有無影響，以判定此次應用程序對控制器的訪問行為是正常訪問或非法訪問，并將探測結果寫入應用程序的行為記錄中，并轉至步驟6；

若權限檢查未通過，則認定此次應用程序對控制器的訪問為越權操作，并拒絕此次應用程序對控制器的訪問請求；

步驟6：FPGA計算設備依據應用程序的行為記錄對應用程序對控制器的當前信任值進行更新，即：當此次應用程序對控制器的訪問行為是正常訪問時，則令應用程序對控制器的當前信任值增加；當此次應用程序對控制器的訪問行為是非法訪問時，則令應用程序對控制器的當前信任值減少；

步驟7、FPGA計算設備將應用程序對控制器的當前信任值并發送至應用程序。

2.根據權利要求1所述的一種基于FPGA的SDN網絡策略合法性的驗證方法，其特征是，步驟5中，當應用程序下發的網絡策略對其他網絡策略轉發行為無影響時，則判定此次應用程序對控制器的訪問行為是正常訪問；當應用程序下發的網絡策略對其他網絡策略轉發行為有影響時，則判定此次應用程序對控制器的訪問行為是非法訪問。

3.根據權利要求1所述的一種基于FPGA的SDN網絡策略合法性的驗證方法，其特征是，步驟6，當前信任值的更新公式為：

式中，表示更新前即第t次應用程序i對控制器j訪問的信任值，表示更新后即第t+1次應用程序i對控制器j訪問的信任值，f^t為第t次返回的評估值，當第t次應用程序i對控制器j的訪問是正常訪問時，第t次返回的評估值f^t為正值，當第t次應用程序i對控制器j的訪問是非法訪問時，第t次返回的評估值f^t為負值。

4.根據權利要求3所述的一種基于FPGA的SDN網絡策略合法性的驗證方法，每次返回的評估值f^t的絕對值為固定值或可變值。