基于动态密钥SDN控制器与Ad Hoc节点安全通道自配置方法技术

本发明专利技术公开一种基于动态密钥SDN控制器与Ad Hoc节点安全通道自配置方法，包括：当移动节点初始加入基于SDN的Ad Hoc网络时，实现基于对称密钥技术的SDN控制层和移动节点间的相互认证；认证通过的移动节点加入到网络后自动配置控制层和移动节点间的安全通道；安全通道的配置过程中，始终采用对称密钥加密用于通信通道配置的消息，以保证消息的安全性；认证通过的同时，基于RTT时钟同步，SDN控制器可依据网络态势动态更新安全通道密钥。该技术面向基于SDN的Ad Hoc网络，显著提高了此类网络系统中SDN控制层与移动节点间通信的安全性，避免了伪装威胁节点进入网络；同时通过动态密钥更新提高了Ad Hoc网络抵抗攻击的能力，保证网络攻击场景下，数据通信的安全性。

SDN controller based on dynamic key and self configuration method of secure channel of ad hoc node

【技术实现步骤摘要】
基于动态密钥SDN控制器与AdHoc节点安全通道自配置方法
本专利技术涉及计算机网络管理
，更具体地，涉及一种基于动态密钥SDN控制器与AdHoc节点安全通道自配置方法。
技术介绍
以无人机自组网、车载自组网、传感器网络等新型网络为代表的自组网(即AdHoc网络，也称为“自组织网络”)，解决了无固定通信基础设施时数据传输的需求，已经被越来越多地应用到交通管理、工业/农业/环境监测、智能家居等领域。然而，AdHoc网络节点具有高度机动性，导致网络拓扑、性能等因素动态变化且不可预测，难以保证网络服务的一致性和稳定性。为此，研究界和业界偏向采用软件定义网络(SoftwareDefinedNetwork,简称SDN)构建新型AdHoc网络，从而有效利用SDN的集中控制和可编程特性，满足自组网对网络快速部署、服务质量自动维护的需求。软件定义网络(SoftwareDefinedNetwork,简称SDN)是由美国斯坦福大学CleanSlate研究组提出的一种新型网络创新架构，通过控制与转发分离提供了集中式管控能够实时发现网络状态的变化，并按照预置模块或算法自动调整网络策略以维持网络服务的一致性和稳定性。虽然基于SDN的AdHoc网络可以解决传统AdHoc网络服务质量差、不稳定的问题，然而，在实际应用中，SDN架构也为AdHoc网络带来了新的安全威胁。SDN的控制与转发分离在控制层与数据层引入了新的威胁层面，即安全通道(SecureChannel)。安全通道一般通过OpenFlow或其他厂商定义的南向通信协议实现控制层与数据层的信息传输。安全通道的引入导致AdHoc网络面临以下三个问题：1)网络运行过程不断有新的移动节点进入，但移动节点的可信性难以保证；2)由于节点的移动性，节点频繁接入和离开网络，因而难以在控制层与移动节点间维持稳定的安全通道，然而每次安全通道的建立都需要大量的手动配置，效率低、灵活性差；3)安全通道极易称为网络攻击者的目标，进而导致控制层面和/或整个网络瘫痪甚至完全被控制。因此，为了解决上述问题，需要提供一种基于动态密钥SDN控制器与AdHoc节点安全通道自配置方法，实现两部分功能：1)基于对称密钥的安全通道自配置，首先基于对称密钥完成控制器和其管理的移动节点之间的安全认证工作，以防止非法节点进入网络，因为非法的节点可以通过DDoS攻击和利用OpenFlow协议的漏洞攻击控制器和其他节点，从而破坏整个网络的安全性；只有在认证通过后，才能进行安全通道的配置工作。对称密钥算法是一种高效、简单的加密技术，通过共享密钥，通信双方既可以认证对方的合法性，又可以保证它们间的通信消息不会被非法窃取。2)基于往返计时报文(RoundTripTiming,RTT)时间同步的安全通道密钥动态更新技术。由于AdHoc网络对通信对安全性和可靠性要求极高，而且随时可能遭受各种网络攻击。静态的对称密钥极有可能被网络攻击者窃取，从而造成网络通信数据的泄露。相反，如果能够采取措施定时更新对称密钥，能在很大程度上提高AdHoc网络通信的安全性。
技术实现思路
本专利技术的一个目的在于提供一种基于动态密钥SDN控制器与AdHoc节点安全通道自配置方法。为达到上述目的，本专利技术采用下述技术方案：一种基于动态密钥SDN控制器与AdHoc节点安全通道自配置方法，用于基于SDN的AdHoc网络中控制器与移动节点之间安全通信通道的建立，其特征在于，包括以下步骤：认证步骤：基于对称密钥K，使所述控制器与所述移动节点之间进行相互认证；安全通道自配置步骤：在完成所述认证步骤后，基于所述对称密钥K，使所述控制器与所述移动节点之间安全通信通道进行自动配置；时钟同步步骤：在完成所述安全通道自配置步骤后，基于所述对称密钥K，进行所述控制器和所述移动节点的时钟同步，并得到所述控制器与所述移动节点的时延RTT；动态密钥更新步骤：在完成所述时钟同步步骤后，以所述时延RTT为基准进行所述控制器与所述移动节点之间动态密钥的更新。优选地，所述认证步骤通过如下过程实现：(1)当有新的所述移动节点加入网络时，所述移动节点先向网络中广播自己；(2)所述控制器收到新所述移动节点的广播消息，首先判断新所述移动节点之前是否进入过网络，如果已经进入过网络，则将所述对称密钥K设置为上次更新后的最新密钥，用公式表示为K＝Kt；如果未进入过网络，则将所述对称密钥设置为初始密钥，用公式表示为K＝K0；然后，控制器产生一个随机消息M，并和所述控制器的签名一起用所述对称密钥K对它们进行加密，将加密后的消息发送给对应的所述移动节点。(3)新加入的所述移动节点接收到来自所述控制器的消息，通过其存储的最新所述对称密钥K解密，得到所述控制器的签名和所述随机消息M；首先，判断得到的所述控制器签名与其本地存储的是否相等，如果二者相等，则可以认证所述控制器。(4)新所述移动节点认证了所述控制器后，所述移动节点通过相同的响应生成算法f计算所述随机消息M的响应MR，并用所述对称密钥K加密，将加密后的EK(MR)发送给所述控制器。(5)所述控制器收到来自所述移动节点的消息后，同样通过所述算法f计算所述随机消息M的响应，并对收到的EK(MR)解密，比较解密后的所述响应MR是否与本地计算出的相等，如果相等，则认证新所述移动节点。优选地，所述安全通道自配置步骤，通过如下过程实现：(1)所述控制器向新认证过的所述移动节点发送邀请Invite消息，所述邀请Invite消息包含所述控制器的签名，并用所述对称密钥K加密；(2)新所述移动节点收到消息，通过所述对称密钥K解密得到所述邀请Invite消息，首先，验证所述控制器的签名，如果验证通过，则所述移动节点生成其用于通信的公钥和私钥；(3)所述移动节点向所述控制器发送安全通道建立申请“Bootstraprequest”消息，并向所述控制器提供一个证书申请标准PKCS10,证书申请标准签名PKCS10_signature以及其公钥，所述安全通道建立申请“Bootstraprequest”消息用所述对称密钥K加密；(4)所述控制器接收到消息，用所述对称密钥K解密，并向所述移动节点发送安全通道建立答复“Bootstrapreply”消息，其中包含所述控制器的管理域的证书，此时，所述移动节点就成了所述管理域的一个成员，并且可与所述控制器建立安全的通信通道，并且通过此通道，所述控制器可以为所述移动节点分配IP来唯一标识所述移动节点；(5)所述移动节点可以与所述控制器通信，依据所述控制器或上层应用的策略决定对经过所述移动节点的网络流的处理操作。优选地，所述时钟同步步骤，通过如下过程实现：(1)所述通信通道建立，所述控制器立即向所述移动节点发送时间同步初始化Time_syn_init消息，所述时间同步初始化Time_syn_init消息包含所述控制器的签名和所述控制器的系统时间Tc，并用当前的所述对称密钥K加密；(2)所述移动节点收到所述控本文档来自技高网...

【技术保护点】
1.一种基于动态密钥软件定义网络(SDN)控制器与自组织网络(Ad Hoc)节点安全通道自配置方法，用于基于SDN的Ad Hoc网络中控制器与移动节点之间安全通信通道的建立，其特征在于，包括以下步骤：/n认证步骤(S1)：基于对称密钥K，使所述控制器与所述移动节点之间进行相互认证；/n安全通道自配置步骤(S2)：在完成所述认证步骤(S1)后，基于所述对称密钥K，使所述控制器与所述移动节点之间安全通信通道进行自动配置；/n时钟同步步骤(S3)：在完成所述安全通道自配置步骤(S2)后，基于所述对称密钥K，进行所述控制器和所述移动节点的时钟同步，并得到所述控制器与所述移动节点的时延RTT；/n动态密钥更新步骤(S4)：在完成所述时钟同步步骤(S3)后，以所述时延RTT为基准进行所述控制器与所述移动节点之间动态密钥的更新。/n

【技术特征摘要】
1.一种基于动态密钥软件定义网络(SDN)控制器与自组织网络(AdHoc)节点安全通道自配置方法，用于基于SDN的AdHoc网络中控制器与移动节点之间安全通信通道的建立，其特征在于，包括以下步骤：
认证步骤(S1)：基于对称密钥K，使所述控制器与所述移动节点之间进行相互认证；
安全通道自配置步骤(S2)：在完成所述认证步骤(S1)后，基于所述对称密钥K，使所述控制器与所述移动节点之间安全通信通道进行自动配置；
时钟同步步骤(S3)：在完成所述安全通道自配置步骤(S2)后，基于所述对称密钥K，进行所述控制器和所述移动节点的时钟同步，并得到所述控制器与所述移动节点的时延RTT；
动态密钥更新步骤(S4)：在完成所述时钟同步步骤(S3)后，以所述时延RTT为基准进行所述控制器与所述移动节点之间动态密钥的更新。


2.根据权利要求1所述的基于动态密钥SDN控制器与AdHoc节点安全通道自配置方法，其特征在于，所述认证步骤(S1)通过如下过程实现：
当有新的所述移动节点加入AdHoc网络时，所述移动节点先向网络中广播自己；
所述控制器收到新所述移动节点的广播消息，
判断新所述移动节点之前是否进入过网络，包括：
如果已经进入过网络，则将所述对称密钥K设置为上次更新后的最新密钥，用公式表示为K＝Kt；
如果未进入过网络，则将所述对称密钥设置为初始密钥，用公式表示为K＝K0；
控制器产生一个随机消息M，并和所述控制器的签名一起用所述对称密钥K对它们进行加密，将加密后的消息发送给对应的所述移动节点；
新加入的所述移动节点接收到来自所述控制器的消息，通过其存储的最新所述对称密钥K解密，得到所述控制器的签名和所述随机消息M，包括：
判断得到的所述控制器签名与其本地存储的是否相等；
如果二者相等，则可以认证所述控制器；
新所述移动节点认证了所述控制器后，所述移动节点通过相同的响应生成算法f计算所述随机消息M的响应MR，并用所述对称密钥K加密，将加密后的EK(MR)发送给所述控制器；
所述控制器收到来自所述移动节点的消息后，通过所述算法f计算所述随机消息M的响应，并对收到的EK(MR)解密，比较解密后的所述响应MR是否与本地计算出的相等，如果相等，则认证新所述移动节点。


3.根据权利要求1所述的基于动态密钥SDN控制器与AdHoc节点安全通道自配置方法，其特征在于，所述安全通道自配置步骤(S2)，通过如下过程实现：
所述控制器向新认证过的所述移动节点发送邀请Invite消息，所述邀请Invite消息包含所述控制器的签名，并用所述对称密钥K加密；
新所述移动节点收到消息，通过所述对称密钥K解密得到所述邀请Invite消息，包括：
验证所述控制器的签名；
如果验证通过，则所述移动节点生成其用于通信的公钥和私钥；
所述移动节点向所述控制器发送安全通道建立申请“Bootstraprequest”消息，并向所述控制器提供一个证书申请标准PKCS10，证书申请标准签名PKCS10_signature以及其公钥，所述安全通道建立申请“Bootstraprequest”消息用所述对称密钥K加密；
所述控制器接收到消息，用所述对称密钥K解密，并向所述移动节点发送安全通道建立答复“Bootstrapreply”消息，所述消息包含所述控制器的管理域的证书；
所述移动节点可以与所述控制器通信，依据所述控制器或上层应用的策略决定对经过所述移动节点的网络流的处理操作。


4.根据权利要求1所述的基于动态密钥SDN控制器与AdHoc节点安全通道自配置方法，其特征在于，所...

【专利技术属性】
技术研发人员：于金萍，毕经平，李新，王建斌，
申请(专利权)人：北京电子工程总体研究所，中国科学院计算技术研究所，
类型：发明
国别省市：北京;11