论文部分内容阅读
本文致力于研究可信网络功能虚拟化(NFV,Network Function Virtualisation)的关键技术。可信的NFV技术主要体现在两个方面,一个是基于TPM(Trusted Platform Module)的可信NFV架构,另一个就是虚拟网络功能(VNF,Virtualized Network Function)模块之间的可信认证机制。基于TPM的可信NFV架构保证了 NFV架构中组件的可信,而VNF之间的可信认证机制保证了 VNF的通信安全。基于TPM的可信NFV架构由硬件TPM可信链、虚拟TPM可信链以及TPM远程证明服务组成。在整个可信NFV架构中,虚拟TPM的安全性改进是关键。Xen是一种虚拟域管理组件,负责使用虚拟化层虚拟出来的虚拟化资源,而Xen的虚拟域架构包括特权域Domain 0和非特权域Domain U,虚拟TPM就运行在Xen的Domain 0中,由于Domain 0中的特权滥用,运行在Domain 0中的虚拟TPM的安全得不到保证。为了解决虚拟TPM存在的安全隐患,本文从两个方面来改进虚拟TPM运行环境:1)改变Xen中Domain 0的特权域。通过对Domain 0进行解耦,将Domain 0分离成单个独立的小特权域,降低可能存在的特权滥用,同时独立小特权域的合理使用可以提高系统的运行效率。2)改变虚拟TPM的运行环境。将虚拟TPM以及虚拟TPM的管理组件单独运行在Stub Domain的虚拟机中,同时控制虚拟机的读写权限,从而提高虚拟TPM的安全性。基于上述安全性改进,结合硬件TPM和虚拟TPM共同来实现完整的NFV可信架构。TPM负责可信链上度量值的可信记录和存储,远程证明服务完成平台的可信验证功能,这样就实现了基于TPM的完整NFV可信架构。VNF之间的双向认证机制保证了 VNF之间通信的安全性。对于频繁交互的VNF来说,一个安全高效的认证机制是必要的。本文基于NFV多租户多管理域的特点,提出了基于公钥证书的跨域认证机制以及基于哈希链的域内认证机制。1)对于域内的VNF双向认证,使用基于哈希链的轻量级认证机制。利用哈希链的单向性特点来实现认证,同时哈希链的不可伪造性保证了认证的安全性。使用ECC来实现域内认证机制的密钥生成,提高了整个系统在密钥生成上的效率。通过比对其他认证机制,基于哈希链的认证机制在保证安全性的前提下,有效提高了整个认证机制的执行效率。2)对于跨域的VNF双向认证,使用公钥证书来实现。跨域认证通过CA之间的证书颁发来实现,各个管理域的CA是整个管理域信任的锚点。同时改进传统的RSA机制,通过ECC来实现提高整个认证机制的效率。