張傳浩，谷學(xué)匯，孟彩霞

(鐵道警察學(xué)院 圖像與網(wǎng)絡(luò)偵查系，鄭州 450053)(*通信作者電子郵箱zhangchuanhao@rpc.edu.cn)

0 引言

網(wǎng)絡(luò)嗅探是一種捕獲網(wǎng)絡(luò)通信數(shù)據(jù)并進(jìn)行分析的攻擊手段。攻擊者能夠在網(wǎng)絡(luò)拓?fù)涞哪承┕?jié)點(diǎn)或者鏈路上竊聽(tīng)通信數(shù)據(jù)、監(jiān)視網(wǎng)絡(luò)狀態(tài)、竊取用戶賬號(hào)密碼等敏感數(shù)據(jù)。傳統(tǒng)網(wǎng)絡(luò)靜態(tài)的網(wǎng)絡(luò)配置，如通信端信息配置、路由配置等給網(wǎng)絡(luò)嗅探攻擊提供了便利，穩(wěn)定的路由配置和靜態(tài)的端信息便于攻擊者獲取通信數(shù)據(jù)以及對(duì)數(shù)據(jù)進(jìn)行分析。網(wǎng)絡(luò)嗅探在攻擊時(shí)的靜默特點(diǎn)使得防御方無(wú)法獲取攻擊特征，從而防御難度較大。通信加密是防御網(wǎng)絡(luò)嗅探的傳統(tǒng)方法，將通信數(shù)據(jù)加密傳輸，使得嗅探攻擊者難以破解通信內(nèi)容，然而該方法在實(shí)際應(yīng)用中存在一些局限性：首先，通信加密需要通信雙方都支持加密協(xié)議，否則通信無(wú)法正常進(jìn)行；其次，一些已經(jīng)被廣泛應(yīng)用的協(xié)議本身并沒(méi)有采用加密手段，如HTTP(HyperText Transfer Protocol)、 FTP(File Transfer Protocol)、Telent和SMTP(Simple Mail Transfer Protocol)等，這給基于這些協(xié)議的通信造成嚴(yán)重的安全隱患；再者，一些加密協(xié)議存在著安全缺陷，攻擊者可通過(guò)靜態(tài)的網(wǎng)絡(luò)配置獲取完整的通信數(shù)據(jù)，并利用這些缺陷破解通信數(shù)據(jù)。

另一種防御嗅探攻擊的思路是從網(wǎng)絡(luò)數(shù)據(jù)獲取完整性入手，采用移動(dòng)目標(biāo)防御(Moving Target Defense, MTD)[1-2]思想，在通信中引入周期路徑跳變機(jī)制，利用多個(gè)不同的路徑傳輸通信數(shù)據(jù)，并在網(wǎng)絡(luò)中將多個(gè)用戶的數(shù)據(jù)混雜，使得攻擊者“難以收集全，難以分離好”各個(gè)用戶的數(shù)據(jù)，增加攻擊者準(zhǔn)確獲取數(shù)據(jù)的難度，提高網(wǎng)絡(luò)抵抗嗅探攻擊的能力。

1 相關(guān)工作

跳變通信是基于移動(dòng)目標(biāo)防御(MTD)的動(dòng)態(tài)性、隨機(jī)性思想的一類主動(dòng)網(wǎng)絡(luò)防御方法，旨在打破攻擊者對(duì)網(wǎng)絡(luò)靜態(tài)配置的假設(shè)，變被動(dòng)防御為主動(dòng)防御。早在軟件定義網(wǎng)絡(luò)(Software Defined Network, SDN)[3]出現(xiàn)之前，就有利用跳變技術(shù)進(jìn)行安全傳輸?shù)南嚓P(guān)研究，主要包括通信地址跳變與路徑跳變。

地址跳變又可以劃分為通信端口跳變與網(wǎng)絡(luò)地址跳變：Atighetchi等[4]提出了一種虛假的端口地址跳變方法，在數(shù)據(jù)傳輸中使用偽地址和端口迷惑攻擊者；Sifalakis等[5]提出了一種基于地址跳變的信息隱藏技術(shù)，通過(guò)網(wǎng)絡(luò)地址跳變將數(shù)據(jù)流分散到多個(gè)端到端的連接進(jìn)行傳播，提高點(diǎn)到點(diǎn)數(shù)據(jù)傳輸?shù)陌踩?；Dunlop等[6]提出MT6D(Moving Target IPv6 Defense)，利用地址空間巨大的IPv6實(shí)現(xiàn)了魯棒的IP跳變策略，該方法采用隧道技術(shù)將數(shù)據(jù)包封裝，反復(fù)變換隧道源和目的IP地址，使攻擊者難以嗅探到完整的通信流量。受限于分布式網(wǎng)絡(luò)的控制方式，端口跳變一直存在協(xié)同難、規(guī)模受限的問(wèn)題，上述方法實(shí)現(xiàn)跳變通信均需要在終端部署軟件或在網(wǎng)絡(luò)中增加硬件設(shè)備，這使得跳變通信難以部署; 并且這些方法僅對(duì)端信息進(jìn)行跳變，而網(wǎng)絡(luò)中的路由/路徑不變，攻擊者容易在關(guān)鍵節(jié)點(diǎn)上獲得完整的通信數(shù)據(jù)。

路徑跳變技術(shù)則是隨著SDN技術(shù)的發(fā)展而逐漸被關(guān)注，在傳統(tǒng)網(wǎng)絡(luò)中，分布式管理的路由協(xié)議使得通信路徑難以快速協(xié)同跳變，而SDN技術(shù)的集中化網(wǎng)絡(luò)管理方式為路徑跳變的系統(tǒng)協(xié)同提供了支撐。路徑跳變研究主要包含路徑隨機(jī)跳變[7]和多路徑隨機(jī)選擇[8]兩類：路徑隨機(jī)跳變是預(yù)先獲取所有符合要求的節(jié)點(diǎn)，構(gòu)建跳變節(jié)點(diǎn)集合，從中隨機(jī)選取下一跳節(jié)點(diǎn)進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)的跳變技術(shù)。多路徑隨機(jī)選擇是預(yù)先獲得盡可能多的中間節(jié)點(diǎn)不重復(fù)的路徑，構(gòu)建跳變路徑集合，從而在每次跳變時(shí)隨機(jī)選取不同轉(zhuǎn)發(fā)路徑的跳變技術(shù)；在SDN架構(gòu)下，Jafarian等[9]提出了靈活的、對(duì)終端透明的IP跳變方法OF-RHM(OpenFlow Random Host Mutation)，該方法實(shí)現(xiàn)了終端透明的節(jié)點(diǎn)IP地址跳變，降低了掃描攻擊的有效性，但該方法需要在一次連續(xù)通信中保持虛擬IP不變，攻擊者容易在一臺(tái)交換機(jī)上獲取某次通信的全部數(shù)據(jù)； Duan等[8]基于SDN框架，提出一種動(dòng)態(tài)隨機(jī)路徑突變方法(Random Route Mutation, RRM)，多條數(shù)據(jù)流的路徑能夠同時(shí)進(jìn)行隨機(jī)變化，但這種方法需要在源/目的地址間預(yù)先保留多條冗余的路徑，在實(shí)際條件下滿足該需求造成的網(wǎng)絡(luò)拓?fù)浯鷥r(jià)較大。

本文工作是在項(xiàng)目組之前提出一種基于SDN的節(jié)點(diǎn)/路徑雙重跳變通信(Double Hopping Communication, DHC)機(jī)制[10]基礎(chǔ)上進(jìn)行的改進(jìn)，DHC方法實(shí)現(xiàn)了終端和路徑在有限網(wǎng)絡(luò)規(guī)模下終端IP地址與通信路徑的跳變。本文將主要關(guān)注路徑跳變，在DHC方法基礎(chǔ)上提出一種改進(jìn)的路徑跳變機(jī)制。

2 問(wèn)題定義

2.1 基本準(zhǔn)則

計(jì)算機(jī)網(wǎng)絡(luò)通信就是在源節(jié)點(diǎn)和目的節(jié)點(diǎn)之間建立一條滿足所有約束的通信鏈路。由于網(wǎng)絡(luò)拓?fù)涞奈锢項(xiàng)l件限制，這條鏈路(或者稱為路徑)一般將通過(guò)一個(gè)或者多個(gè)特定的節(jié)點(diǎn)，這些特定節(jié)點(diǎn)擁有較高的節(jié)點(diǎn)度，能夠滿足網(wǎng)絡(luò)嗅探攻擊利益最大化需求，所以，網(wǎng)絡(luò)嗅探攻擊就是要找到并攻陷網(wǎng)絡(luò)通信路徑上節(jié)點(diǎn)度較高的節(jié)點(diǎn)，實(shí)現(xiàn)嗅探攻擊的部署。

在現(xiàn)有的靜態(tài)配置網(wǎng)絡(luò)通信中，通信雙方在建立連接后，所有數(shù)據(jù)包在通信過(guò)程中均不改變通信鏈路信息，這一特點(diǎn)容易被攻擊者利用，在傳輸路徑上捕獲目標(biāo)節(jié)點(diǎn)從而獲取全部或者大量通信數(shù)據(jù)。本文從網(wǎng)絡(luò)通信的實(shí)際應(yīng)用情況出發(fā)，在SDN框架下提出一種動(dòng)態(tài)路徑跳變(Dynamic Path Hopping, DPH)機(jī)制用以應(yīng)對(duì)攻擊者完全靜默狀態(tài)下的網(wǎng)絡(luò)嗅探攻擊。在該DPH中，通信雙方建立的路徑能夠周期性遷移，增強(qiáng)了通信的不可預(yù)測(cè)性，同時(shí)考慮數(shù)據(jù)傳輸可靠性。DPH在宏觀上將一次通信過(guò)程建立在多條通信信道上，即便不同于無(wú)線通信的多徑傳輸協(xié)議，也能夠倍增在單點(diǎn)進(jìn)行竊聽(tīng)攻擊的難度。DPH機(jī)制在通信初始態(tài)的路徑由運(yùn)行在SDN控制器上的傳統(tǒng)的IP路由協(xié)議建立和維持，控制器上DPH模塊對(duì)路徑通過(guò)的節(jié)點(diǎn)進(jìn)行識(shí)別，并按照計(jì)算實(shí)施動(dòng)態(tài)路徑遷移。路徑遷移空間和遷移通信協(xié)議是DPH的兩個(gè)關(guān)鍵子模塊。

2.2 路徑遷移機(jī)制相關(guān)定義

1)路徑最大距離約束。主機(jī)H1與H2間的所有非環(huán)路路徑長(zhǎng)度均小于該依據(jù)該網(wǎng)絡(luò)拓?fù)錁?gòu)建的路徑集合PathSetH1→H2中的最大路徑長(zhǎng)度L。

網(wǎng)絡(luò)可以使用無(wú)向圖模型G=〈V,E〉來(lái)描述，其中V表示節(jié)點(diǎn)，而E表示節(jié)點(diǎn)間的連接或邊。節(jié)點(diǎn)度N是指和該節(jié)點(diǎn)相關(guān)聯(lián)的邊的條數(shù)，又稱關(guān)聯(lián)度?？梢詫⒙窂竭x擇條件形式化定義為路徑權(quán)重，作為選擇該路徑的概率。定義路徑權(quán)重表達(dá)式為:

Weight(Pathk) =

(1)

考慮到Pathi權(quán)重分布得不均衡，如果僅考慮空間擾動(dòng)，導(dǎo)致部分具有較大權(quán)重的路徑被選中的可能性比較大，而攻擊者可能在探測(cè)到某些關(guān)鍵路徑后，在該路徑上通過(guò)串并接、攻擊路徑節(jié)點(diǎn)等方式部署了嗅探探針，而這些路徑Pathi在連續(xù)的跳變周期中如果被重復(fù)選中就增加了被竊聽(tīng)探針捕獲的數(shù)據(jù)量，造成防御機(jī)制失效。本文為Pathi設(shè)定一個(gè)隨機(jī)計(jì)數(shù)器β，規(guī)定Pathi最近兩次被選中為傳輸路徑的間隔周期；用tPathi表示當(dāng)前Pathi被選中的迭代周期，則(t+1)-tPathi>β成為Pathi被再次選擇為傳輸路徑的必要條件(t為遞增變量，表示跳變周期)。設(shè)bi是一個(gè)布爾變量，則時(shí)間繞動(dòng)表達(dá)式為(2)所示，如果bi為真，則表示Pathi當(dāng)前滿足時(shí)間擾動(dòng)約束，可以作為待選路徑。從全局角度看，這使得各個(gè)路徑被選中為跳變路徑的概率均勻，增加了攻擊者對(duì)跳變路徑的預(yù)測(cè)難度。

(2)

通過(guò)定義上述1)～3)約束條件，兩個(gè)特定網(wǎng)絡(luò)節(jié)點(diǎn)的大部分通信流量都經(jīng)過(guò)某個(gè)單獨(dú)節(jié)點(diǎn)(除了源/目的節(jié)點(diǎn))的概率大大降低。

3 DPH的體系結(jié)構(gòu)與實(shí)現(xiàn)流程

3.1 跳變路徑選擇算法

算法1 WRPIS算法。

1)

WeightRamdomPathInterleavedSelect((Path1,Path2,…,Pathn),(b1,b2,…,bn),(w1,w2,…,wn),(tPath1,tPath2,…,tPathn),t,RP,β)

2)

sum = 0

3)

foriin (1,2,…,n)

4)

if (bi==true) and ((t+1)-tPathi>β)

5)

//時(shí)間擾動(dòng)約束

6)

new_sum=sum+wi

7)

ifsum

8)

//空間擾動(dòng)約束

9)

tPathi=t

10)

returntPathi，Pathi

11)

elsesum=new_sum

12)

endif

13)

else

14)

continue

15)

endif

16)

endfor

3.2 通信路徑配置流程

在軟件定義網(wǎng)絡(luò)體系機(jī)構(gòu)下，所有交換節(jié)點(diǎn)(OF switch)的轉(zhuǎn)發(fā)表(Route table)都統(tǒng)一由控制器(Controller)配置。依據(jù)DPH的運(yùn)行機(jī)制，每次跳變迭代周期在源目的通信節(jié)點(diǎn)間都會(huì)產(chǎn)生新的路徑，網(wǎng)絡(luò)控制器則根據(jù)系統(tǒng)選擇的路徑信息動(dòng)態(tài)更新交換節(jié)點(diǎn)的流表項(xiàng)(Flow Entry)。

圖1 通信配置流程實(shí)例

鏈路上節(jié)點(diǎn)轉(zhuǎn)發(fā)配置步驟如下所示：

1)由H1初始化通信鏈路的端節(jié)點(diǎn)信息為EI=(IP1,P1,IP2,P2)，其中P1和P2分別對(duì)應(yīng)Port1和Port2，這時(shí)通信鏈路的端節(jié)點(diǎn)信息在整個(gè)網(wǎng)絡(luò)中就被確定了。第一個(gè)含有端節(jié)點(diǎn)信息EI的包由H1送到數(shù)據(jù)鏈路中，鏈路交換節(jié)點(diǎn)(OF swtich)S1收到使用OpenFlow協(xié)議[11]將該包封裝為PACKET-IN消息，送到控制器中，如圖1中虛線①所示。

3)滿足路徑跳轉(zhuǎn)間隔時(shí)間后，控制器根據(jù)WRPIS算法及時(shí)間擾動(dòng)約束的約定，計(jì)算并選擇一條新的路徑Path2(S1?S4?S5?S3)，下發(fā)對(duì)應(yīng)的流表表項(xiàng)到交換機(jī)(S1,S4,S5,S3)，配置路徑為圖1中虛線③所示。這時(shí)新老路徑配置信息更新過(guò)程完成。

3.3 通信數(shù)據(jù)遷移流程

完成通信路徑配置后，還要對(duì)通信數(shù)據(jù)流進(jìn)行遷移，數(shù)據(jù)流遷移不應(yīng)影響當(dāng)前源/目的節(jié)點(diǎn)的通信，即新路徑上交換節(jié)點(diǎn)中的數(shù)據(jù)轉(zhuǎn)發(fā)流表項(xiàng)應(yīng)能保證當(dāng)前的通信過(guò)程不中斷，兩個(gè)端節(jié)點(diǎn)間的并發(fā)數(shù)據(jù)流可能不止一條，這需要控制器能夠感知當(dāng)前處于空閑狀態(tài)的流表項(xiàng)(還未老化)并將其遷移到新路徑對(duì)應(yīng)的交換節(jié)點(diǎn)上，同時(shí)保持正處于數(shù)據(jù)包命中(Hit標(biāo)志)狀態(tài)的流表項(xiàng)不變，待其完成數(shù)據(jù)傳輸后再進(jìn)行遷移，從而確保不發(fā)生丟包現(xiàn)象。該機(jī)制在其他軟件定義網(wǎng)絡(luò)的可靠性相關(guān)研究中有進(jìn)展[12-13]，這里只對(duì)空閑表項(xiàng)的遷移進(jìn)行描述。

圖2展示了一次路徑跳變中數(shù)據(jù)表項(xiàng)遷移的過(guò)程。端節(jié)點(diǎn)H1與端節(jié)點(diǎn)H2之間在路徑(H1,S1,S2,S3,H2)上進(jìn)行通信。假設(shè)路徑跳變由(H1,S1,S2,S3,H2)向(H1,S1,S4,S5,S3,H2)，數(shù)據(jù)流遷移步驟如下：

1)在通信初始化階段，控制器在(S1,S2,S3)安裝對(duì)應(yīng)的轉(zhuǎn)發(fā)表項(xiàng)，同時(shí)，根據(jù)通信路徑配置流程，在新的路徑(S1,S4,S5,S3)上也安裝了對(duì)應(yīng)轉(zhuǎn)發(fā)表項(xiàng)。此時(shí)S1和S3有兩條對(duì)應(yīng)含有EI包頭信息的流表項(xiàng)，可以通過(guò)設(shè)置表項(xiàng)優(yōu)先級(jí)實(shí)現(xiàn)對(duì)實(shí)際生效轉(zhuǎn)發(fā)路徑的控制。

2)修改S1和S3中的表項(xiàng)優(yōu)先級(jí)，將數(shù)據(jù)包轉(zhuǎn)發(fā)到節(jié)點(diǎn)交換機(jī)新端口，即在S1上修改為把含EI信息的數(shù)據(jù)包路徑從①改到②，同理，反向在S3上修改為把含EI信息的數(shù)據(jù)包路徑從③改到④。注意這里S1和S3的角色在跳變中與路徑上其他節(jié)點(diǎn)不一樣，類似于交換網(wǎng)絡(luò)中的網(wǎng)關(guān)(Gateway)或路徑切換的邊緣節(jié)點(diǎn)(Edge node)，根據(jù)流表項(xiàng)的變化修改發(fā)往新路徑的數(shù)據(jù)包二層封裝信息。需要說(shuō)明的是，對(duì)S1和S3中流表項(xiàng)的修改，對(duì)同一通信過(guò)程的后續(xù)包傳輸過(guò)程會(huì)引入一定的包亂序現(xiàn)象，但在一定程度上都能夠被網(wǎng)絡(luò)上層協(xié)議進(jìn)行糾正。

3)在最大延遲時(shí)間(可以在路徑跳變機(jī)制中定義)后刪除在原路徑(S1,S2,S3)中對(duì)應(yīng)的表項(xiàng)信息，或待其自動(dòng)老化。

圖2 通信數(shù)據(jù)遷移示意圖

由上述通信數(shù)據(jù)遷移方法描述可知，該機(jī)制能夠避免路徑更新期間的數(shù)據(jù)包丟失。

4 實(shí)驗(yàn)仿真

4.1 實(shí)驗(yàn)環(huán)境

實(shí)驗(yàn)環(huán)境是在Mininet[14]中創(chuàng)建了一個(gè)由16個(gè)支持OpenFlow1.0協(xié)議交換機(jī)(內(nèi)核是Open vSwitch)組成的網(wǎng)絡(luò)，網(wǎng)絡(luò)的路由信息由控制器POX[15](圖中C0)進(jìn)行管理，網(wǎng)絡(luò)拓?fù)洳捎梦墨I(xiàn)[16]中的拓?fù)浣Y(jié)構(gòu)，其中通信主機(jī)節(jié)點(diǎn)為H1和H2,設(shè)定最長(zhǎng)轉(zhuǎn)發(fā)路徑L為32，即最多通過(guò)32個(gè)交換機(jī)，如圖3所示。

圖3 實(shí)驗(yàn)環(huán)境配置截圖

4.2 路徑跳變有效性評(píng)估

實(shí)驗(yàn)采用總量為100 MB大小含多條數(shù)據(jù)流的UDP(User Datagram Protocol)數(shù)據(jù)包，以104包/秒的速率從主機(jī)H5發(fā)往主機(jī)H6，路徑跳變周期Thop為5 s。同時(shí)，使用SDN交換節(jié)點(diǎn)統(tǒng)計(jì)功能，統(tǒng)計(jì)途徑該節(jié)點(diǎn)的數(shù)據(jù)包數(shù)量。實(shí)驗(yàn)使用僅考慮權(quán)重的路徑選擇方法與依據(jù)WRPIS算法的路徑選擇方法進(jìn)行對(duì)比，同時(shí)與依據(jù)OSPF(Open Shortest Path First)路由信息的建立的傳統(tǒng)網(wǎng)絡(luò)通信方式進(jìn)行比較。傳輸節(jié)點(diǎn)轉(zhuǎn)發(fā)包分布比較結(jié)果如圖4所示。

圖4 不同路徑選擇方法的節(jié)點(diǎn)轉(zhuǎn)發(fā)包比例

在傳統(tǒng)依據(jù)路由信息建立的靜態(tài)網(wǎng)絡(luò)中，在某些節(jié)點(diǎn)(如節(jié)點(diǎn)S7、S11和S12)上可以嗅探到源到目的主機(jī)節(jié)點(diǎn)間的所有通信數(shù)據(jù)，原因就是傳統(tǒng)路由協(xié)議(例如OSPF)主要考慮傳輸效率，而且建立好的路徑在鏈路沒(méi)有中斷的情況下一般不發(fā)生變化，導(dǎo)致嗅探攻擊成功率很高。同時(shí)，在動(dòng)態(tài)路徑跳變條件下，僅考慮權(quán)重的路徑選擇方法會(huì)導(dǎo)致部分權(quán)重較大(依據(jù)2.2節(jié)權(quán)重定義，權(quán)重較大節(jié)點(diǎn)的節(jié)點(diǎn)度較低)節(jié)點(diǎn)所在鏈路被選中的概率較大，如圖4所示，有超過(guò)50%的數(shù)據(jù)包傳輸途徑節(jié)點(diǎn)S4、S8和S12，仍有被攻擊者從這些節(jié)點(diǎn)獲取較大量通信數(shù)據(jù)的風(fēng)險(xiǎn)。依據(jù)WRPIS算法的路徑選擇則通過(guò)跳變時(shí)間約束進(jìn)一步將單個(gè)流的數(shù)據(jù)包在多條路徑上相對(duì)均勻分布，避免攻擊者的字典攻擊方式，增加了攻擊成本。

4.3 反嗅探攻擊有效性評(píng)估

實(shí)驗(yàn)從節(jié)點(diǎn)1向節(jié)點(diǎn)16發(fā)送單條數(shù)據(jù)流，大小為100 MB數(shù)據(jù)，持續(xù)500 s，路徑跳變周期Thop仍為5 s，模擬攻擊者分別在節(jié)點(diǎn)集合N1={S6}，N2={S4,S6}，N3={S4,S6,S11},N4={S4,S6,S11,S12}上進(jìn)行數(shù)據(jù)嗅探，節(jié)點(diǎn)集合選擇的依據(jù)在4.2節(jié)路徑跳變有效性評(píng)估中，S4、S6、S11、S12的節(jié)點(diǎn)度和收發(fā)包總量都比較大的，容易成為攻擊者作為嗅探攻擊的目標(biāo)。傳統(tǒng)路由協(xié)議條件下，節(jié)點(diǎn)S5到節(jié)點(diǎn)S16的最短路徑為S5→S6→S11→S12→S16，圖5為N1、N2、N3、N4四個(gè)節(jié)點(diǎn)集合所監(jiān)聽(tīng)到的通信數(shù)據(jù)量。

圖5 不同路徑選擇方法在不同嗅探范圍下監(jiān)測(cè)數(shù)據(jù)比較

如圖5所示，在傳統(tǒng)網(wǎng)絡(luò)中，監(jiān)聽(tīng)節(jié)點(diǎn)集合N1、N2、N3、N4都能夠獲取到全部通信數(shù)據(jù)，其原因是N1、N2、N3、N4集合都在最短路徑上有一個(gè)節(jié)點(diǎn)S6，在該節(jié)點(diǎn)能監(jiān)聽(tīng)到通信的全部數(shù)據(jù)。然而在DPH跳變通信中，由于采用了路徑跳變，監(jiān)聽(tīng)節(jié)點(diǎn)集合N1、N2、N3都不能獲取到全部通信數(shù)據(jù)。同時(shí)，N4節(jié)點(diǎn)集合下， 由于WRPIS加入路徑選擇時(shí)間間隔約束，使得單數(shù)據(jù)流傳輸在多條路徑下更為均衡，在最大程度上防御攻擊者在一定攻擊成本的條件下嗅探到全部數(shù)據(jù)。

4.4 性能評(píng)估

在對(duì)DPH機(jī)制的性能的評(píng)估實(shí)驗(yàn)中，設(shè)置實(shí)驗(yàn)網(wǎng)絡(luò)拓?fù)渲械乃羞B接的鏈路速率為10 MB/s，跳變間隔為5 s。使用FTP在源/目的主機(jī)節(jié)點(diǎn)(H1和H2)間傳輸文件, 在無(wú)丟包的情況下測(cè)試傳輸時(shí)延。實(shí)驗(yàn)結(jié)果顯示，與傳統(tǒng)路由協(xié)議網(wǎng)絡(luò)相比，使用WRPIS算法的路徑跳變未引入較大的時(shí)延，結(jié)果如圖6所示?？梢钥闯?，隨著傳輸數(shù)據(jù)量(體現(xiàn)在FTP傳輸文件的大小)的增加，動(dòng)態(tài)路徑跳變網(wǎng)絡(luò)的時(shí)延比傳統(tǒng)路由協(xié)議網(wǎng)絡(luò)稍大，原因是路徑跳變會(huì)引入一定的路徑切換及控制開(kāi)銷(xiāo)，而且路徑跳變往往不遵循傳統(tǒng)的最短路徑原則，但在實(shí)驗(yàn)環(huán)境下，增加的時(shí)延都不超過(guò)10%。

圖6 傳統(tǒng)路由選擇與動(dòng)態(tài)路徑跳變時(shí)延對(duì)比

5 結(jié)語(yǔ)

SDN的集中控制和可編程特點(diǎn)使得在一定范圍的網(wǎng)絡(luò)內(nèi)部可以實(shí)現(xiàn)跳變通信。本文使用一種基于SDN的動(dòng)態(tài)路徑跳變方案DPH，DPH使用WRPIS算法周期性地改變通信源/目的主機(jī)間的傳輸路徑，增加了嗅探攻擊者得到完整通信數(shù)據(jù)的難度。實(shí)驗(yàn)表明該方案能夠有效抵御網(wǎng)絡(luò)嗅探攻擊，且不會(huì)中斷正在進(jìn)行的通信，引入的開(kāi)銷(xiāo)較小。此外，DPH完全依靠軟件實(shí)現(xiàn)，開(kāi)銷(xiāo)較低且對(duì)終端完全透明。下一步工作將在真實(shí)網(wǎng)絡(luò)中測(cè)試DPH通信方案，擬從OSPF協(xié)議狀態(tài)機(jī)層面引入跳變機(jī)制，從而能更加適配當(dāng)前的網(wǎng)絡(luò)協(xié)議體系。