组播是一种传统的计算机网络通信方式,以其“一对多”的通信特点,适用于视频直播、线上推送、多媒体在线会议等场景,具有节约网络资源、降低发送方负荷的优势。但IP组播在设计之初,安全性未得到重视,导致容易遭到窃听、盗用、拒绝服务等安全攻击,造成使用场景受限。为IP组播添加成员身份认证和组播数据加密机制是提高IP组播安全性的主要研究方向。为实现身份认证机制,普遍采用的方法是建立一个专用的服务器作为认证实体对成员实施访问控制,但在IP组播中,认证实体和转发实体之间需要进行协商配合,实现较为复杂。另一方面,为提高组播消息的机密性,需要建立组播数据加密机制,但组播密钥的管理难度比单播更大,要求更高。软件定义网络的出现使得IP组播的安全问题有了新的解决思路。在分析现有SDN组播安全研究进展的基础上,本文认为其中存在以下两方面缺陷:身份认证方案不完善和缺少消息加密机制。为此,本文提出了一种基于SDN的组播安全机制,该机制通过SDN控制器进行组播安全方案的部署,实现了安全策略与网络转发功能的统一。为了实现更快速的身份认证,本方案使用了数字证书机制,以降低组成员与SDN控制器之间因认证而产生的握手次数。在本方案中,每一个组成员都需要提前向SDN控制器申请一个数字证书,该证书可以区分申请者的组播源/接收者身份。拥有该证书之后,该组成员加入一个组播组时仅需要向SDN控制器发送其数字证书信息,便可完成身份认证。同时,本方案设计了一种适用于本方案的身份认证和组播加入/退出报文。该报文格式可以在实现组播加入、退出功能的同时携带身份认证信息,使得入组和认证只需通过一个报文即可完成。为实现基于SDN的加密组播,本方案设计了一种通过SDN控制器进行组播会话密钥生成、分配、更新的密钥管理机制,使得每一个通过了身份认证的组成员都可以通过该密钥进行加密组播通信。实验验证结果表明,该机制能够通过发放数字证书实现组播源和接收者的身份认证,拒绝非法组播接收者进入组播组,并实现了加密的SDN组播通信,提高了组播的安全性。