密码标识,是一种应用密码技术生成的用于实现安全功能的标识字段。由于软件定义网络(Software-Defined Networking,SDN)控制转发分离的架构和逻辑集中控制的特点,将密码标识与软件定义网络相结合,实现对密码标识的集中控制和解析处理,可以解决软件定义网络中涉及数据面的安全问题,提升软件定义网络安全性能,并从密码算法、密钥协议、密钥管理机制等方面对软件定义网络安全功能进行扩展。本文将软件定义网络数据面安全作为重点研究对象,结合软件定义网络特点及其数据面面临的安全威胁,应用数据面可编程P4(Programming Protocol-independent Packet Processors)技术、基于身份标识的密码体制(Identity-Based Cryptography,IBC)技术以及密码标识技术,构建基于密码标识的SDN数据面安全框架。针对SDN数据面中存在的报文细粒度安全控制转发、报文转发验证、安全隧道建立、与数据面连接南向接口安全等问题进行深入研究,确保软件定义网络数据面安全。本文主要研究工作和创新点如下:1.提出一种软件定义网络中基于密码标识的报文细粒度安全控制转发方法。针对软件定义网络中的报文控制转发,存在数据流控制粒度有限、缺少安全验证机制、公钥证书管理复杂等问题,将密码标识与软件定义网络报文相结合,利用P4转发设备可实现数据面重新编程来实现报文转发的特点,将密码标识分别与数据流标识字段、源设备标识字段、验证字段绑定。由P4转发设备解析处理密码标识,基于密码标识中的数据流标识字段精确控制报文转发,实现比Open Flow更细粒度的报文精确控制转发和基于计数阈值的采样控制;基于密码标识中的源设备标识字段,应用基于身份标识的签名算法生成设备标识公钥,确保转发设备不需要公钥证书或者从证书颁发机构获取公钥,降低系统维护成本和复杂性;基于密码标识中的验证字段验证数据报文来源真实性和完整性,防止非法用户篡改合法数据报文,清除数据恶意篡改、伪造等异常数据流,实现网络数据报文安全控制转发。2.提出一种软件定义网络中基于密码标识的P4和Open Flow混合转发验证方法。针对软件定义网络中应用Open Flow转发设备实现报文转发验证延迟较高,且无法实现基于自定义流标识的数据流精确报文采样的问题,将P4转发设备加入基于Open Flow的软件定义网络,P4转发设备、控制器、Open Flow转发设备相互配合,在不影响数据流正常转发的基础上,对网络业务流精确控制和按检测因子进行采样验证。该方法在确保检测准确率的同时,显著降低数据报文转发验证开销和转发延迟,有效检测业务报文篡改、伪造等转发异常行为,确保了报文转发验证安全性。与同类型转发验证方案比较,报文安全验证处理开销较低;转发延迟较低;且实现更细粒度的业务流精确控制和采样。3.提出基于密码标识的软件定义网络安全隧道及其密钥协商协议。针对软件定义网络中Open Flow原生不支持IP安全隧道的建立,现有安全隧道的建立依然依赖传统配置方式,安全隧道配置复杂、效率低下且缺乏安全性等问题,设计基于密码标识的SDN安全隧道及其密钥协商协议。针对隧道协商初始化过程,设计面向软件定义网络安全隧道的密钥协商协议,并给予形式化的证明与分析,实现签名密钥自动分发、会话密钥协商生成、协议可证安全;针对隧道数据交互过程,隧道网关应用匹配转发模块和安全处理模块,结合协商初始化过程生成的会话密钥,确保隧道转发报文的真实性、完整性和机密性。与同类型隧道相比,该SDN安全隧道实现集中控制下的隧道报文解封装和基于网关标识的隧道报文路由转发,较易管理和维护,是一种控制器控制下的数据面可编程的SDN安全隧道。4.提出一种基于密码标识的Open Flow南向接口安全连接方法。针对软件定义网络南向接口安全连接实现机制单一且缺乏安全性,控制器与转发设备建立的TLS(Transport Layer Security)连接,其密码算法、密钥交换协议、密钥管理机制缺乏灵活性和扩展性,难以满足自定义安全需求等问题,通过支持自定义密码标识管理报文,应用基于身份的认证密钥协商协议生成密码标识,应用自定义密码标识请求、应答报文承载密码标识,在实现控制器和转发设备相互认证的同时,生成安全密钥用于南向接口安全通信。与同类型南向安全连接机制相比,该南向接口安全连接方法,在实现控制器与转发设备南向接口安全协商的同时,可降低控制器与转发设备间的连接握手消息数量,缩短协商握手延迟,提高SDN南向接口安全协商性能,从密码算法、密钥交换协议、密钥管理机制等方面扩展Open Flow南向接口安全功能。