可信網(wǎng)絡功能虛擬化關鍵技術研究.pdf

1、本文致力于研究可信網(wǎng)絡功能虛擬化(NFV，Network Function Virtualisation)的關鍵技術?？尚诺腘FV技術主要體現(xiàn)在兩個方面，一個是基于TPM(Trusted Platform Module)的可信NFV架構，另一個就是虛擬網(wǎng)絡功能(VNF，Virtualized Network Function)模塊之間的可信認證機制?；赥PM的可信NFV架構保證了NFV架構中組件的可信，而VNF之間的可信認證機制保證了

2、VNF的通信安全。
　　基于TPM的可信NFV架構由硬件TPM可信鏈、虛擬TPM可信鏈以及TPM遠程證明服務組成。在整個可信NFV架構中，虛擬TPM的安全性改進是關鍵。Xen是一種虛擬域管理組件，負責使用虛擬化層虛擬出來的虛擬化資源，而Xen的虛擬域架構包括特權域Domain0和非特權域Domain U，虛擬TPM就運行在Xen的Domam0中，由于Domain0中的特權濫用，運行在Domain0中的虛擬TPM的安全得不到保證。為

3、了解決虛擬TPM存在的安全隱患，本文從兩個方面來改進虛擬TPM運行環(huán)境:
　　1)改變Xen中Domain0的特權域。通過對Domain0進行解耦，將Domain0分離成單個獨立的小特權域，降低可能存在的特權濫用，同時獨立小特權域的合理使用可以提高系統(tǒng)的運行效率。
　　2)改變虛擬TPM的運行環(huán)境。將虛擬TPM以及虛擬TPM的管理組件單獨運行在Stub Domain的虛擬機中，同時控制虛擬機的讀寫權限，從而提高虛擬TPM的安

4、全性。
　　基于上述安全性改進，結合硬件TPM和虛擬TPM共同來實現(xiàn)完整的NFV可信架構。TPM負責可信鏈上度量值的可信記錄和存儲，遠程證明服務完成平臺的可信驗證功能，這樣就實現(xiàn)了基于TPM的完整NFV可信架構。
　　VNF之間的雙向認證機制保證了VNF之間通信的安全性。對于頻繁交互的VNF來說，一個安全高效的認證機制是必要的。本文基于NFV多租戶多管理域的特點，提出了基于公鑰證書的跨域認證機制以及基于哈希鏈的域內(nèi)認證機制。

5、
　　1)對于域內(nèi)的VNF雙向認證，使用基于哈希鏈的輕量級認證機制。利用哈希鏈的單向性特點來實現(xiàn)認證，同時哈希鏈的不可偽造性保證了認證的安全性。使用ECC來實現(xiàn)域內(nèi)認證機制的密鑰生成，提高了整個系統(tǒng)在密鑰生成上的效率。通過比對其他認證機制，基于哈希鏈的認證機制在保證安全性的前提下，有效提高了整個認證機制的執(zhí)行效率。
　　2)對于跨域的VNF雙向認證，使用公鑰證書來實現(xiàn)?？缬蛘J證通過CA之間的證書頒發(fā)來實現(xiàn)，各個管理域的CA是