一种SDN网络控制器与交换机之间的流表消息敏感数据加密方法

摘要

一种SDN网络控制器与交换机之间的流表消息敏感数据加密方法，包括单流回复消息Flow‑stats、流表修改消息Flow‑mod，流表删除消息Flow‑removed。针对在SDN网络中，控制器和交换机在通信时发送与流表相关消息指令的过程中，攻击者进行网络嗅探从而破坏或者欺骗拦截数据流表信息，进而获取数据流表消息中的敏感数据，给整个SDN网络造成威胁。本发明为保留格式的加密方法，确保密文与明文具有相同的格式，达到加密的目的。加密所依赖的密钥分为固定密钥和调整因子两部分，调整因子是指令中的cookie字段，使用调整因子通过密钥分散算法产生用于加解密的密钥key，该特点大大降低了密钥管理的复杂度。

主权项

一种SDN网络控制器与交换机之间的流表消息敏感数据加密方法，主要适应于控制器与交换机之间发送流表消息包括流表修改消息Flow‑mod、删除消息Flow‑removed以及单流回复消息Flow‑stats时，其特征在于该方法包括如下步骤：第1、控制器和交换机在部署时预装指定的安全密钥K，将密钥种子写在控制器和交换机的相关配置文件中；第2、在消息发送前，首先利用安全密钥K和消息包结构中的可变项cookie，cookie是一个64位字段的参数，用来过滤流的统计信息，使用cookie作为密钥分散种子进行密钥分散，产生用于加密消息的的分散密钥key；再利用密钥key进行明文的加密和密文解密。第3、控制器或交换机到接收到对方发来的消息后，利用收到消息，再解密；第3.1、使用第2步产生的分散密钥key对消息指令中的IP源地址字段nw_src和目标地址nw_dst字段进行加密；第3.2、使用第2步产生的分散密钥key对IP源地址的密文和目标地址的密文进行解密。