搜索

[672] 2019-01-28_软件定义网络中的跨应用投毒

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2019-01-28_软件定义网络中的跨应用投毒 软 件 定 义 网 络 中 的 跨 应 用 投 毒 A r k T e a m   2 0 1 9 - 0 1 - 2 8 作 者 ： { F r 4 n k } @ A r k T e a m 原 文 作 者 ： B e n j a m i n   E .   U j c i c h ,   S a m u e l   J e r o ,   A n n e   E d m u n d s o n ,   Q i   W a n g ,   R i c h a r d   S k o w y r a ,   J a m e s   L a n d r y ,   A d a m   B a t e s ,   W i l l i a m   H . S a n d e r s ,   C r i s t i n a   N i t a - R o t a r u 原 文 标 题 ： C r o s s - A p p   P o i s o n i n g   i n   S o f t w a r e - D e f i n e d   N e t w o r k i n g 原 文 会 议 ：   2 0 1 8   A C M   C o n f e r e n c e   o n   C o m p u t e r   a n d   C o m m u n i c a t i o n s   S e c u r i t y 软 件 定 义 网 络 因 其 在 设 备 控 制 功 能 的 可 编 程 和 可 扩 展 性 受 到 越 来 越 多 的 欢 迎 。 基 于 S D N 的 网 络 应 用 蓬 勃 发 展 ， 由 于 每 个 应 用 必 须 访 问 或 修 改 共 享 控 制 面 中 的 数 据 ， 因 此 也 就 引 入 了 严 重 的 安 全 问 题 ， 甚 至 会 破 坏 正 常 的 网 络 运 维 。 作 者 提 出 了 一 种 基 于 S D N 控 制 面 的 攻 击 ， 并 称 之 为 跨 应 用 投 毒 ( C A P ) ， 其 原 理 主 要 是 通 过 一 个 普 通 权 限 应 用 操 纵 共 享 控 制 面 的 状 态 从 而 欺 骗 更 高 权 限 的 应 用 被 动 采 取 行 动 。 基 于 角 色 的 访 问 控 制 既 不 跟 踪 信 息 流 也 不 强 制 执 行 信 息 流 控 制 ， 因 此 无 法 有 效 防 止 此 类 攻 击 。 针 对 于 此 ， 作 者 提 出 了 一 种 防 御 方 法 P r o v S D N ， 它 通 过 数 据 溯 源 跟 踪 信 息 流 ， 并 作 为 引 用 监 控 器 来 防 止 C A P   攻 击 。 作 者 在 O N O S 控 制 器 上 实 现 了 P r o v S D N ， 并 证 明 了 可 以 使 用 低 延 迟 开 销 跟 踪 信 息 流 。 图 1 中 分 别 展 示 了 S D N 架 构 的 重 要 组 件 、 通 过 A P I 交 互 / 数 据 面 事 件 监 听 的 应 用 交 互 。 图 1   S D N 架 构 概 览 和 利 用 服 务 A P I / 事 件 回 调 的 应 用 交 互 为 了 系 统 性 地 识 别 C A P 攻 击 ， 作 者 利 用 了 应 用 间 授 权 的 方 式 生 成 数 据 ， 连 同 真 实 数 据 流 一 并 传 输 ， 并 通 过 构 造 漏 洞 P O C 来 证 明 C A P 在 实 践 中 的 攻 击 过 程 和 危 害 。 作 者 构 建 的 C A P 安 全 组 件 分 析 结 果 如 表 1 所 示 ， 其 中 任 何 可 以 写 入 源 的 应 用 都 可 以 完 成 C A P 攻 击 。 表 1   C A P 组 件 的 静 态 分 析 结 果 在 作 者 提 出 的 防 御 方 法 中 ， P r o v S D N 通 过 h o o k 所 有 控 制 器 的 A P I 接 口 ， 从 应 用 程 序 收 集 源 信 息 、 构 建 溯 源 图 、 并 检 查 A P I 请 求 来 作 为 引 用 监 控 器 抵 御 未 知 的 C A P 攻 击 。 随 后 ， 作 者 在 运 行 有 O p e n
V s w i t c h 2 . 7 . 0 的 模 拟 环 境 中 评 估 了 P r o v S D N 的 性 能 表 现 。 图 2   某 应 用 回 调 N B   A P I 时 P r o v S D N 架 构 图 图 3 显 示 了 没 有 P r o v S D N 、 未 强 制 执 行 I F C 的 P r o v S D N 以 及 强 制 执 行 I F C 的 P r o v S D N 延 迟 。 作 者 对 三 种 情 景 中 的 每 一 种 进 行 了 3 0 次 试 验 ， 平 均 延 迟 分 别 为 1 1 . 6 6   m s ， 2 8 . 5 1   m s 和 2 9 . 5 3   m s 。 虽 然 P r o v S D N 增 大 了 数 据 延 迟 ， 但 随 着 更 多 应 用 和 内 部 控 制 器 接 收 事 件 的 增 多 ， 可 以 注 意 到 数 据 延 迟 在 具 有 一 定 规 模 的 流 量 上 被 进 行 了 均 分 。 这 是 由 于 与 交 换 机 中 流 规 则 匹 配 的 后 续 数 据 包 不 需 要 转 到 控 制 器 或 应 用 程 序 上 进 行 处 理 ， 即 P r o v S D N 仅 需 要 在 相 对 不 频 繁 的 控 制 面 状 态 变 化 上 操 作 。 图 3   数 据 流 启 动 延 迟 最 后 ， 作 者 讨 论 了 P r o v S D N 的 实 用 性 。 具 有 安 全 模 式 的 P r o v S D N 不 会 强 制 分 离 内 存 空 间 ， 并 利 用   J a v a 的 访 问 控 制 来 阻 止 应 用 程 序 访 问 私 有 数 据 结 构 。 此 处 ， 作 者 还 提 出 一 种 替 代 设 计 方 案 ， 是 将 每 个 应 用 程 序 分 离 到 其 自 己 的 进 程 中 ， 并 将 A P I 调 用 桥 接 到 控 制 器 ， 从 而 通 过 底 层 操 作 系 统 强 制 隔 离 ， 但 这 需 要 对 O N O S 的 体 系 结 构 进 行 重 新 设 计 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理