The recommendations of the ONF comm

The recommendations of the ONF committee sketch the first approach to a secure programmable network. All switches and controllers are mutually authenticated and secured
using the latest TLS standard. Certificates and keys are distributed securely and automatically in the network and every device maintains several keys for each connection. It is deemed
impossible to inject falsified, malformed or spoofed messages into the network as the protocol
messages are checked for integrity and authenticity. If multiple controllers are used, every
controller is authenticated and a potential rule conflict of equal-role devices is avoided. All
events are instantly logged and reported and are secured over integrity mechanisms, which
prevent direct topology or data tampering. The approach tackles a large amount of problems
in current SDN and prevents ambiguous definitions. However, there are still several security issues present, even when using a secure OpenFlow protocol. The ONF team does not
propose out-of-band control channels and the overall secure by default design is held vague.
It is desirable to separate management and the automated control messages of the network
from conventional data traffic. If a network link is incapacitated, either inadvertently or
intentionally, control messages to automatically remedy the problem might not pass through
and the incident management capability is limited. Secondly, while several issues of multiple
controllers are addressed, the lack of clearly specified coordination and load-balancing functionality is not. It is not precisely defined how a switch distributes control or PACKET IN
messages among the connected equal controllers. It can be assumed that, if conventional
controllers (e.g. NOX or the OpenFlow reference controller) are used, the switch will send
the majority of asynchronous messages to a single device or to all connected devices equally.
In both cases a resource consumption attack is feasible. Assuming the main control channel
is overloaded, the switch does not change to a less occupied controller as the exhausted
connection is still active. Furthermore, the constant replication of OpenFlow coordination
messages might burden the switch CPU and generate significant traffic overhead in the over
all network. A stricter definition of load-balancing and distribution functionality, as it is the case with auxiliary connections, might be required. Thirdly, the exhaustion of switch flow
tables is still possible despite authentication and integrity checking algorithms. Modified
headers sent by a malicious host are presumable seen as legitimate and passed on to the
controller. The ONF security evaluation of the 1.3.4 version of the protocol does not address
flow table exhaustion. Since the release of OF-Switch 1.4 (outside the scope of the ONF
security document) the protocol specifies an automatic eviction mechanism based on flow
table priority, a measure which could successfully secure important flows. Still, the feature
is optional and not a required mechanisms in OF-switches. Due to the flow table exhaustion attacks demonstrated in Section 3.2.6 and in order to be secure-by-design, the eviction
mechanism must be a required feature. Additionally, Information Disclosure based on response times is still predictable and not prevented. It is unreasonable to demand proactive
flow installation to prevent timing attacks and randomisation could introduce unacceptable
delays in the network. [63] The OpenFlow protocol itself can not prevent the reveal of flow
table entries in a switch, a design flaw which has to be solved by external applications.

Kết quả (Việt) 1:

Các khuyến nghị của Ủy ban ONF phác thảo phương pháp tiếp cận đầu tiên với một mạng bảo mật lập trình. Tất cả các thiết bị chuyển mạch và bộ điều khiển được loại trừ lẫn nhau xác thực và bảo đảmsử dụng các tiêu chuẩn TLS mới nhất. Giấy chứng nhận và phím được phân phối một cách an toàn và tự động trong mạng và mỗi điện thoại quản lý một số phím cho mỗi kết nối. Nó được coi làkhông thể để bơm giả, bị thay đổi hoặc giả mạo thư vào mạng là giao thứcthư được kiểm tra cho tính toàn vẹn và tính xác thực. Nếu nhiều bộ điều khiển được sử dụng, mỗibộ điều khiển xác thực và tránh một cuộc xung đột quy tắc tiềm năng của thiết bị bằng vai trò. Tất cảsự kiện được ngay lập tức đăng nhập và báo cáo và được bảo đảm trên các bộ phận toàn vẹn đóngăn chặn cấu trúc liên kết trực tiếp hoặc dữ liệu giả mạo. Cách tiếp cận bóng một số lượng lớn của các vấn đềtrong hiện tại SDN và ngăn ngừa định nghĩa mơ hồ. Tuy nhiên, vẫn còn một số vấn đề an ninh hiện nay, ngay cả khi sử dụng một giao thức OpenFlow an toàn. Đội ONF khôngđề xuất out-of-band kiểm soát kênh và nói chung an toàn bởi thiết kế mặc định được tổ chức mơ hồ.Đó là mong muốn để tách quản lý và điều khiển tự động thư của mạngtừ thông thường dữ liệu lưu lượng truy cập. Nếu liên kết mạng vô hiệu hóa, hoặc là vô tình hoặccố ý, kiểm soát thư để tự động khắc phục vấn đề có thể không đi quavà năng lực quản lý sự cố là hạn chế. Thứ hai, trong khi một số vấn đề nhiềubộ điều khiển được địa chỉ, thiếu sự phối hợp xác định rõ ràng và cân bằng tải chức năng là không. Nó không chính xác được xác định như thế nào chuyển đổi một phân phối kiểm soát hoặc gói INthư trong số các bộ điều khiển được kết nối bằng nhau. Nó có thể được giả định rằng, nếu thông thườngbộ điều khiển (ví dụ như NOX hoặc bộ điều khiển tài liệu tham khảo OpenFlow) được sử dụng, chuyển đổi sẽ gửiphần lớn không đồng bộ thư với một thiết bị duy nhất hoặc thiết bị kết nối tất cả như nhau.Trong cả hai trường hợp một cuộc tấn công tiêu thụ tài nguyên là khả thi. Giả sử các kênh điều khiển chínhlà quá tải, việc chuyển đổi không thay đổi để một bộ điều khiển bị chiếm đóng ít như các kiệt sứckết nối là vẫn còn hoạt động. Hơn nữa, các bản sao liên tục của OpenFlow phối hợptin nhắn có thể gánh nặng công tắc CPU và tạo ra lưu lượng truy cập đáng kể trên không trong hơnTất cả các mạng. Một định nghĩa chặt chẽ của chức năng cân bằng tải và phân phối, như trường hợp với các kết nối phụ trợ, có thể được yêu cầu. Thứ ba, kiệt sức của switch flowbảng là vẫn còn có thể mặc dù xác thực và toàn vẹn kiểm tra thuật toán. Sửa đổi lầnđược gửi bởi một máy chủ độc hại tiêu đề được presumable coi là hợp pháp và thông qua vào cácbộ điều khiển. Đánh giá bảo mật ONF của 1.3.4 phiên bản của giao thức không địa chỉdòng chảy kiệt sức bảng. Từ việc phát hành của-chuyển đổi 1,4 (bên ngoài phạm vi của ONFbảo mật tài liệu) giao thức xác định một cơ chế tự động đuổi dựa trên dòng chảybàn ưu tiên, một biện pháp có thể thành công đảm bảo dòng chảy quan trọng. Tuy nhiên, các tính nănglà tùy chọn và không phải là một cơ chế cần thiết trong thiết bị chuyển mạch của. Do các bảng dòng chảy kiệt sức cuộc tấn công đã chứng minh trong phần 3.2.6 và để là bảo đảm bởi-thiết kế, sựcơ chế phải là một tính năng yêu cầu. Ngoài ra, công bố thông tin dựa trên thời gian trả lời là vẫn còn dự đoán và ngăn ngừa việc không. Nó là bất hợp lý để yêu cầu chủ độnglưu cài đặt để ngăn chặn cuộc tấn công thời gian và randomisation có thể giới thiệu không thể chấp nhậnsự chậm trễ trong mạng. [63] giao thức OpenFlow chính nó có thể không ngăn chặn những tiết lộ của dòng chảyBảng các mục nhập trong một chuyển đổi, một lỗ hổng thiết kế mà phải được giải quyết bằng ứng dụng bên ngoài.

Kết quả (Việt) 2:

Các khuyến nghị của Ủy ban ONF phác thảo cách tiếp cận đầu tiên với một mạng lập trình an toàn. Tất cả các thiết bị chuyển mạch và điều khiển được xác thực lẫn nhau và bảo đảm
sử dụng các tiêu chuẩn TLS mới nhất. Giấy chứng nhận và các phím được phân phối một cách an toàn và tự động trong mạng và mọi thiết bị duy trì một số phím cho mỗi kết nối. Nó được coi là
không thể bơm thông điệp giả mạo, bị thay đổi hoặc giả mạo vào mạng và các giao thức
thông điệp được kiểm tra tính toàn vẹn và xác thực. Nếu nhiều bộ điều khiển được sử dụng, mỗi
bộ điều khiển được xác thực và một quy tắc xung đột tiềm năng của các thiết bị bằng-vai trò là tránh. Tất cả các
sự kiện được ngay lập tức đăng nhập và báo cáo và được bảo đảm trên cơ chế toàn vẹn, mà
ngăn chặn topology trực tiếp hoặc giả mạo dữ liệu. Cách tiếp cận này đã khắc phục một số lượng lớn các vấn đề
trong hiện tại SDN và ngăn ngừa các định nghĩa mơ hồ. Tuy nhiên, vẫn còn có những vấn đề an ninh nhiều mặt, ngay cả khi sử dụng một giao thức OpenFlow an toàn. Các đội ONF không
đề nghị out-of-band kênh điều khiển và tổng thể an toàn bằng cách thiết kế mặc định được tổ chức mơ hồ.
Đó là mong muốn được quản lý riêng và các thông điệp điều khiển tự động của mạng lưới
từ lưu lượng truy cập dữ liệu thông thường. Nếu một liên kết mạng là bất lực, hoặc là vô tình hay
cố ý, kiểm soát các tin nhắn để tự động khắc phục các vấn đề có thể không đi qua
và khả năng quản lý sự cố là hạn chế. Thứ hai, trong khi một số vấn đề của nhiều
bộ điều khiển được giải quyết, thiếu sự phối hợp quy định rõ ràng và chức năng cân bằng tải không phải là. Nó không phải là định nghĩa chính xác làm thế nào một công tắc điều khiển hoặc phân phối GÓI TẠI
thông điệp giữa các bộ điều khiển bằng kết nối. Có thể giả định rằng, nếu thông thường
các bộ điều khiển (ví dụ như NOX hoặc bộ điều khiển chiếu OpenFlow) được sử dụng, việc chuyển đổi sẽ gửi
phần lớn các thông điệp không đồng bộ với một thiết bị duy nhất hoặc cho tất cả các thiết bị kết nối như nhau.
Trong cả hai trường hợp, một cuộc tấn công tiêu thụ tài nguyên là khả thi . Giả sử các kênh điều khiển chính
là quá tải, việc chuyển đổi không thay đổi để điều khiển một ít bị chiếm đóng như kiệt sức
kết nối vẫn còn hoạt động. Hơn nữa, các nhân rộng liên tục của sự phối hợp OpenFlow
thông điệp có thể gánh nặng cho CPU chuyển đổi và tạo ra lưu lượng truy cập trên không đáng kể trong hơn
tất cả các mạng. Một định nghĩa chặt chẽ của tải trọng và cân bằng chức năng phân phối, vì nó là trường hợp với các kết nối phụ trợ, có thể được yêu cầu. Thứ ba, sự cạn kiệt của dòng chảy chuyển đổi
bảng vẫn còn có thể mặc dù các thuật toán xác thực và toàn vẹn kiểm tra. Sửa đổi
tiêu đề gửi bởi một máy chủ độc hại là có đoán được coi là hợp pháp và chuyển cho
bộ điều khiển. Các đánh giá an ONF của phiên bản 1.3.4 của giao thức không giải quyết
dòng bảng kiệt sức. Từ việc phát hành HÀNH-Switch 1.4 (ngoài phạm vi của ONF
tài liệu bảo mật) các giao thức xác định một cơ chế thu hồi đất tự động dựa trên dòng
bảng ưu tiên, một biện pháp mà thành công có thể đảm bảo dòng chảy quan trọng. Tuy nhiên, tính năng này
là tùy chọn và không phải là một cơ chế cần thiết trong OF-switch. Do các cuộc tấn công kiệt bảng dòng chảy hiện tại mục 3.2.6 và để được an toàn-by-thiết kế, việc trục xuất
cơ chế phải là một tính năng cần thiết. Ngoài ra, Công khai thông tin dựa trên thời gian đáp ứng là vẫn có thể dự đoán và không ngăn cản. Nó là vô lý khi yêu cầu chủ động
cài đặt lưu lượng để ngăn chặn các cuộc tấn công và thời gian ngẫu nhiên có thể giới thiệu không thể chấp nhận
sự chậm trễ trong mạng. [63] Các giao thức OpenFlow tự nó không thể ngăn chặn sự tiết lộ của dòng
mục bảng trong một chuyển đổi, một lỗ hổng thiết kế mà phải được giải quyết bằng các ứng dụng bên ngoài.