基于哈希链的软件定义网络路径安全

针对软件定义网络中，控制器无法保证下发的网络策略能够在转发设备上得到正确执行的安全问题，提出一种新的转发路径监控安全方案。首先以控制器的全局视图能力为基础，设计了基于OpenFlow协议的路径凭据交互处理机制；然后采用哈希链和消息验证码作为生成和处理转发路径凭据信息的关键技术；最后在此基础上，对Ryu控制器和Open vSwitch开源交换机进行深度优化，添加相应处理流程，建立轻量级的路径安全机制。测试结果表明，该机制能够有效保证数据转发路径安全，吞吐量消耗比SDN数据层可信转发方案（SDNsec）降低20%以上，更适用于路径复杂的网络环境，但时延和CPU使用率的浮动超过15%，有待进一步优化。     

OpenFlow网络冗余控制报文消除机制研究

OpenFlow网络数据平面将未匹配流表的数据包发送给控制器,其中的无连接突发流量将产生冗余控制报文,对网络性能造成不良影响,而目前的OpenFlow协议并未对此进行处理.研究了在控制平面和数据平面分别消除冗余控制报文的方法 ERCMC(eliminating redundant control messages on the control plane)和ERCMD(eliminating redundant control messages on the data plane),分别在NOX和Open vSwitch上进行实现,并进行性能评价.实验结果表明,ERCMC方法能够消除冗余控制报文,但增加了额外的处理开销;ERCMD方法在减少冗余控制报文数量的情况下能够减小控制器和OpenFlow交换机负载.     

基于SDN的OpenFlow交换机数据包流水线处理机制

目前,软件定义网络(Software Defined Networking,SDN)已成为网络研究与开发的重点,但相关的研究与开发工作还仅仅局限于园区网络和数据中心网络等。由于SDN控制层与数据层处理效率的限制,SDN面向互联网这样超大规模网络的研究还基本处于空白阶段。为了提升SDN的性能以使其适应大规模网络的特点,挖掘SDN数据层中并行加速处理的可能性,提出了将流水线技术应用到SDN数据层中交换机对数据包的转发过程。另外,结合SDN南向接口OpenFlow协议提供的交换机工作规范,设计了适用于OpenFlow交换机数据包转发的三级流水线处理机制。仿真实验说明,将流水线应用到SDN中能有效加快OpenFlow交换机的数据包转发速度。     

基于通用宽带路由器的OpenFlow交换机设计

基于OpenFlow协议的软件定义网络离不开控制器与OpenFlow交换机。然而,支持OpenFlow协议的交换机异常昂贵且难于获得。为了方便地获得支持OpenFlow协议的交换机,介绍一种基于通用宽带路由器的OpenFlow交换机设计。该设计可以仅用市场上常见的通用宽带路由器以及开源Linux软件构建出一款完整支持OpenFlow协议的交换机。实验结果显示,该设计以可接受的性能实现现阶段OpenFlow协议的所有功能。     

MANET中TCP数据包的乱序问题及其解决方案

在MANET中,节点的移动性会导致不同的TCP数据包沿不同的路径到达接收端,进而在接收端产生大量的乱序数据包,影响TCP协议的性能.提出了一种延时响应TCP协议(TCP-D),通过延时触发拥塞控制算法来提高TCP协议在MANET中的性能.对延时响应TCP协议的吞吐量分析表明,增加延时定时器后,TCP_D协议仍能保证对标准TCP协议的友好性.仿真实验表明,TCP_D算法可以明显减少乱序数据包的数量,获得较标准TCP协议更高的网络吞吐量.而在网络结构稳定、无乱序数据包的情况下,改进协议仍具有很好的公平性和友好性.     

基于匹配动作表模型的可编程数据平面流表归并

与传统网络技术相比,SDN技术将网络的控制平面与数据平面分离,使网络具有一定的可编程能力。以OpenFlow、POF、P4等为代表,领域内常见的SDN交换机大多基于匹配动作表模型实现。与协议相关的OpenFlow等技术不同,协议无感知的SDN技术使用{偏移,长度}等结构表示协议字段,从而实现对任意协议字段的解析和处理。然而,待处理的数据包可能带有不同长度的数据包头,所以这些数据包中特定协议字段的偏移也会不同,需要多个匹配域偏移不同的流表去完成数据流的解析,从而造成流表和流水线结构复杂。针对上述问题,本文提出一种基于MAT模型的可编程数据平面流表归并方案,扩展MAT模型中的动作集,在数据包查询流表时使用特定的动作动态地调整数据包的起始偏移,使不同数据包同一协议字段的偏移保持一致,实现匹配域相同的流表的归并。本文方案在兼容VLAN、QinQ的POF Switch实验场景下,以跳转流表时多执行一条动作为代价,缩减了约69%的流表内存消耗。     

Nimble:一种适用于OpenFlow网络的快速流调度策略

突发流量是导致网络拥塞和丢包的重要原因之一.减少网络拥塞的一种方法是在多条可达路径间均衡网络流量,如等价多路径(Equal-Cost Multi-Path,ECMP)路由.然而,大多数等价多路径路由或者静态地将不同的流/数据包哈希到不同的路径,或者依赖于局部的/过时的路径状态信息.OpenFlow技术利用集中式控制器控制网络行为,为控制器根据全局网络状态信息进行动态的数据流优化提供了可能.然而,采用基于轮询的网络状态探测机制在处理突发流量问题上面临诸多困难.文中提出一种用于OpenFlow网络的快速流调度策略,称为Nimble.Nimble架构扩展了OpenFlow协议的packet-in消息,由网络设备自主监测设备状态,并在网络出现拥塞时通过扩展的packet-in消息主动向控制器通告拥塞信息.模拟结果显示Nimble策略能够以近于零的时延检测网络链路拥塞,从而有效提高网络性能.     

多协议仲裁加解密读写CPU内存的IP核设计

传统优先级反转或固定优先级仲裁方式会降低CPU(central processing unit)访存效率,且无法对内存数据进行保护。为此,设计一种能够仲裁控制多协议对CPU内存单元进行高效加解密读写的数字IP(intellectual property)。将同步电路与握手协议结合,实现两种协议间的跨时钟域处理;对多协议间的高效仲裁进行研究,提出饱和仲裁算法;设计以地址为种子的伪随机加密算法,完成对内存读写数据的加解密操作;设计自定义的访存协议,完成对内存的直接存取。仿真和流片结果表明,设计能很好调度多接口协议访存,防止CPU内存单元内的数据被非法破解。     

基于模型检测的OpenFlow多交换机数据包转发协议的分析与验证

OpenFlow协议是SDN网络中控制平面与数据转发平面之间进行交互的规范与标准,其正确性将直接影响到整个网络功能的实现。通过模型检测技术实现一种验证OpenFlow协议正确性的形式化方法。首先提取OpenFlow协议的核心子协议,即OpenFlow多交换机数据包转发协议作为验证的实例;然后运用协议行为自动机对该子协议进行形式化建模,并且通过时态逻辑描述协议需要进行验证的性质;最后给出算法验证协议模型是否满足给定的性质要求,以此检测OpenFlow协议是否存在正确性漏洞,以便对其进行修正。     

基于改进的NetFPGA的网络流量控制系统研究

OpenFlow是一种软件定义网络的解决方案,而现有的OpenFlow并没有考虑网络中不同连接的优先级。针对该方法的不足,基于开源的NetFPGA平台基础上,提出并设计了一种带优先级网络流量控制系统。系统通过报头解析器对数据包的优先级进行识别;在数据包处理模块中,将不同优先级别的数据包分配到不同的队列中,并通过令牌对队列进行管理;通过NOX控制器设置数据流的优先权和速率。由于加入了带优先级的流量处理模块,可以在满足整个网络流量约束的情况下对具有高优先级的连接数据优先处理;通过TCP和UDP两种连接环境下的实验验证了系统的有效性是具有一定的实际应用价值。     

Offloading data encryption to GPU in database systems

Graphics processing units have proved their capability for general-purpose computing in many research areas. In this paper, we propose the mechanism and implementation of a database system that encrypts and decrypts data by using GPU. The proposed mechanism is mainly designed for database systems that require data encryption and decryption to support high security level. The outsourced database systems or database cloud service could be a good candidate for our system. By exploiting the computation capability of GPU, we achieve not only a fast encryption and decryption time per operation, but also a higher overall performance of a database system by offloading computation to GPU. Moreover, the proposed system includes a mechanism which can decide whether to offload computation to GPU or not for more performance gain. We implemented the AES algorithm based on CUDA framework and integrate with MySQL, a commodity database system. Our evaluation demonstrates that the encryption and decryption on GPU show eight times better performance compared to that on CPU when the data size is 16 MB and the performance gain is proportional to the data size. We also show that the proposed system alleviates the utilization of CPU, and the overall performance of the database system is improved by offloading heavy encrypting and decrypting computation to GPU.     

基于区块链技术的工控数据安全传输系统设计

目前设计的工控数据安全传输系统加密速率较低,导致加密过程稳定性较差。为了解决上述问题,基于区块链技术设计了一种新的工控数据安全传输系统。系统硬件采用嵌入式的麒麟990处理器,处理器由单片机、内存器以及扩展电路组成,采用双频JJSH-9传输器代替传统的传输器。传输器两端设置双频的GPS接收天线,完成工控数据的发送和接收工作,配置PLC多路导轨式控制器。利用非对称加密算法,对需要传输的工控数据进行加密,保证数据的安全性。非对称加密算法由数据加密和解密两部分组成,算法通过密钥空间序列自动生成密钥对,可以生成解密密钥,完成解密。实验结果表明,设计的基于区块链技术的工控数据安全传输系统利用工控数据安全传输的加密速率和数据传输的稳定性,达到预期设定的目标,可以投入使用。     

基于可重构密码模块的VPN安全网关

结合片上可编程系统和IPSec技术,设计一种基于可重构密码处理模块的虚拟专用网安全网关.该网关采用双处理器结构,主处理器完成系统芯片的初始化配置、系统控制、管理和数据包的预处理,协处理器完成IPSec处理功能,可重构密码处理模块加速加解密处理,从而提高算法执行效率,同时扩展IPSec协议的安全性.实验结果表明,该网关具...     

LoRa数据传输网络混合加密设计

随着L o Ra网络应用深度与广度的增加,关于信息安全的需求逐渐变大,所以确保数据传输网络的安全性是LoRa网络发展与应用的必要条件.传统LoRa网络在数据传输过程中自身具有加密机制,其使用A ES-128加密算法对数据报文进行加密.但是,在加/解密过程中,2个密钥是相对称的,以至于各项参数大致相同,当一对密钥中任何一个密钥泄露时,都很容易计算出另外一个密钥.针对存在的安全问题,提出一种改进的混合加密方案:在LoRa网络的基础上引进RSA非对称加密算法,利用RSA加密算法安全性高的优势对AES加密算法加/解密数据过程中所用到的密钥进行加密处理,降低LoRa网络数据传输过程中的安全隐患,提高安全性;并在此基础上对A ES和RS A加密算法优化改进,以确保数据传输的效率.最后,对本文设计的方案进行测试,测试结果表明,本文方案在保证数据传输效率的同时增强了密钥的防窃取性,很大程度上提高了L o Ra网络数据传输的安全性.     

基于XML的作战数据安全交换策略研究

在指挥控制与作战仿真等军事信息系统中,存在大量的异构平台,为实现作战数据这些平台间的安全交换,提出了一种基于XML的数据交换方案。分析了基于XML的作战数据交换机制,数据安全交换的业务流程,以及XML数字签名与数据加密的基本原理,并给出了一种基于C#语言数据加密与解密模块的实现方法。实践表明,所提方案是实现作战数据安全交换的一种有效方案。     

基于混合模式匹配算法的网络入侵检测

为了提升中央处理单元(CPU)和图形处理单元(GPU)协同检测网络入侵的性能,本文提出了一种具有数据包有效载荷长度约束的CPU/GPU混合模式匹配算法(LHPMA)。在分析CPU/GPU混合模式匹配算法(HPMA)的基础上,设计了长度约束分离算法(LBSA)对传入数据包进行提前分类。利用CPU中的预过滤缓冲区对较长数据包进行快速预过滤,结合全匹配缓冲区将较短数据包直接分配给GPU进行全模式匹配,通过减少有效载荷长度的多样性,提升了CPU/GPU协同检测网络入侵的性能。实验结果表明,LHPMA增强了HPMA的处理性能,充分发挥了GPU并行处理较短数据包的优势,并且LHPMA提高了网络入侵检测的吞吐量。     

面向企业私有云的数据安全保护方法研究

针对现有企业私有云面临的数据安全存储和完整性校验问题,提出一种新的数据线性加扰混合加密保护方法。首先在数据加密之前进行数据细粒度和线性分割线划分;其次,分别对分割后的子数据块进行数据加扰处理;最后使用国产密码算法对加扰数据块进行混合加密和完整性校验。将所提出的算法与SM4和SM2加密算法进行比较,并通过实验分别对算法的正确性、加密文件类型、加/解密效率和安全性进行评估。实验结果表明,相对于另外两种加密算法,提出的算法在兼顾加/解密效率的同时安全性得到大幅度提升。     

基于IPSec的网络安全系统的分析与设计

针对软件加密解密时发送和接收数据包速率较低的问题,利用IPSec协议和密码卡相结合,提出一种高速、高性能和适应于各种安全需求的网络安全系统,包括标准IPSec的本地化改造,ESP协议和IKE协议自由使用密码卡上的专用算法等关键技术。测试和分析结果表明,该系统与软件加密系统相比具有比较明显的优势。     

安全网关优化

安全网关是网络安全的重要手段，既能控制网络行为，又能保证信息安全传输．但是，安全网关的协议变换操作和数据加密封装，增加了系统的复杂度和CPU的负荷，降低了安全网关的性能．重点研究安全网关的软件结构优化和系统性能优化．在系统软件结构优化方面，抽象出安全网关的原子操作集及操作序列表达式，并改进了安全网关的访问控制表；在系统性能优化方面，本文提出了安全快速处理算法．实验结果表明，新的算法和软件结构大大提高了安全网关的吞吐率，降低了分组处理延时，保证策略数目不会影响吞吐率的变化．