Securing network applications in software defined networking
Sécurisation des applications réseau dans des réseaux définis par logiciel¿¿
par Yuchia TSENG sous la direction de Farid NAÏT-ABDESSELAM et de Zonghua ZHANG
Thèse de doctorat en Informatique et réseaux
ED 130 Informatique, Télécommunications et Electronique

Soutenue le vendredi 29 juin 2018 à Sorbonne Paris Cité

Sujets
  • Protection de l'information (informatique)
  • SDN (architecture des réseaux d'ordinateurs)

Les thèses de doctorat soutenues à Université Paris Cité sont déposées au format électronique

Consultation de la thèse sur d’autres sites :

TEL (Version intégrale de la thèse (pdf))
Theses.fr (Version intégrale de la thèse (pdf))

Description en anglais
Description en français
Mots clés
Sécurité, SDN, Applications réseau
Resumé
Suite à l'introduction de divers services Internet, les réseaux informatiques ont été reconnus ¿comme ayant joué un rôle essentiel dans la vie moderne au cours du dernier demi-siècle. Le ¿développement rapide et la convergence des technologies informatiques et de communication ¿créent le besoin de connecter divers périphériques avec différents systèmes d'exploitation ¿et protocoles. Il en résulte de nombreux défis pour fournir une intégration transparente ¿d'une grande quantité de dispositifs physiques ou d'entités hétérogènes. Ainsi, les réseaux ¿définis par logiciel (Software Defined Networks, SDN) en tant que paradigme émergent ont ¿le potentiel de révolutionner la gestion des réseaux en centralisant le contrôle et la visibilité ¿globale sur l'ensemble du réseau. Cependant, les problèmes de sécurité demeurent une préoccupation ¿importante et empêchent l'adoption généralisée du SDN.¿¿ Pour identifier les menaces, nous avons effectué une analyse en 3 dimensions pour évaluer ¿la sécurité de SDN. Dans cette analyse, nous avons repris 9 principes de sécurité pour ¿le contrôleur SDN et vérifié la sécurité des contrôleurs SDN actuels avec ces principes. ¿Nous avons constaté que les contrôleurs SDN, ONOS et OpenContrail sont relativement plus ¿sécurisés que les autres selon notre méthodologie d'analyse. Nous avons également trouvé ¿le besoin urgent d'atténuer le problème d'injection d'applications malveillantes. Par conséquent, ¿nous avons proposé une couche d'amélioration de la sécurité (Security-enhancing layer, couche SE) ¿pour protéger l'interaction entre le plan de contrôle et le plan d'application. ¿¿Cette couche SE est indépendante du contrôleur et peut fonctionner avec OpenDaylight, ONOS, ¿Floodlight, Ryu et POX, avec une faible complexité de déploiement. Aucune modification de ¿leurs codes sources n'est requise dans leur mise en œuvre alors que la sécurité globale du ¿contrôleur SDN est améliorée. Le prototype I, Controller SEPA, protège le contrôleur ¿SDN avec l'authentification de l'application réseau, l'autorisation, l'isolation des ¿applications et le blindage de l'information avec un coût additionnel négligeable de moins ¿de 0,1% à 0,3%. Nous avons développé le prototype II de la couche SE, appelé Controller DAC, ¿qui rend dynamique le contrôle d'accès. Le controller DAC peut détecter l'utilisation ¿abusive de l'API en comptabilisant les opérations de l'application réseau avec un coût ¿additionnel inférieure à 0,5%.¿¿ Grâce à cette couche SE, la sécurité globale du contrôleur SDN est améliorée mais avec un ¿coût additionnel inférieure à 0,5%. De plus, nous avons tenté de fournir un framework de ¿déploiement d'application réseau sécurisé pour le contrôleur SDN avec un orchestrateur. ¿Tout d'abord, nous avons sécurisé le contrôleur SDN en utilisant la file d'attente de ¿messages pour remplacer les interfaces populaires actuelles, y compris les RESTful APIs ¿et les APIs internes, à l'aide d'une interface orientée événement décomposable. Avec cette ¿nouvelle interface northbound, l'orchestrateur peut déployer les applications réseau dans ¿le bac à sable(sanbox) avec contrôle des ressources et contrôle d'accès. Cette approche ¿peut efficacement protéger contre les menaces, qui incluent les attaques d'épuisement des ¿ressources (Resource exhaustion attacks) et le traitement des données sur le contrôleur SDN ¿actuel. Nous avons également implémenté une application réseau déployée par l'orchestrateur ¿pour détecter une attaque spécifique à OpenFlow, appelée attaque par contournement de priorité, ¿pour évaluer l'utilité de l'interface norttbound. À long terme, le temps de traitement d'un ¿message packet_in dans cette interface est inférieur à cinq millisecondes mais l'application ¿réseau peut être complètement découplée et isolée du contrôleur SDN.¿¿