买专利卖专利找龙图腾，真高效！ 查专利查商标用IPTOP,全免费！专利年费监控用IP管家,真方便！

申请/专利权人：北京工业大学

摘要：本发明公开了一种基于TrustZone的OpenFlow交换机安全转发方法，设计了一种在数据层保护交换机转发安全的架构，基于TrustZone对OpenFlow交换机中的数据包进行转发验证，该系统通过采样和可信机制来保证验证的效率和安全性。基于数据流的采样方案，使得本方案即使在涉及大量数据包的场景下也能实现快速验证。由于在控制器中存储流表会导致控制器存储大量的流表，因此我们在控制器中使用布隆过滤器存储流表，允许控制器压缩流表，从而显著降低流表存储开销。同时，将TEE中的检测模块移至REE中，避免检测模块频繁切换世界读取交换机数据，同时在TEE中设置相应的监控模块对检测模块进行度量，在降低开销的同时保证了安全性。

主权项：1.一种基于TrustZone的OpenFlow交换机安全转发方法，其特征在于：TZOVS系统引入TrustZone的双体系架构，将OpenvSwitch置于REE中运行，其中REE负责确保交换机的正常运行，TEE作为可信执行环境，存储和验证关键信息；所述双体系架构包含五个模块，TableCheck模块位于REE中用于检查交换机中的流表是否正确；通过布隆过滤器对比控制器中的流表，判断敏感应用的状态是否可信，从而提高安全性；ForwordCheck模块位于REE中，用于验证交换机是否正确执行发送数据包的规则；并通过数据包抽样转发，显著降低了检测机制对交换机性能的影响；ProCheck_CA模块位于REE中，负责计算程序代码段的基准值，并发送基准值到ProCheck_TA模块，以加强对运行时代码的安全监测；ProCheck_TA模块位于TEE中，判断交换机中的进程运行时代码是否遭到篡改，从而提高系统整体安全性；Store模块位于TEE中，用于存放度量摘要的基准信息，增加系统的安全性和稳定性；所述双体系架构提出动态度量机制和数据包转发抽样检测机制；动态度量机制，通过TableCheck模块对交换机流表进行动态度量，利用布隆过滤器对比控制器中的流表，确保交换机状态的可信性；对检测模块包括ForwordCheck模块，TableCheck模块以及ProCheck_CA模块，对检测模块的动态度量在度量交换机流表前进行，防止检测模块受到攻击后，提供的服务不再可信；数据包转发抽样检测机制，当数据包进入交换机时，ForwordCheck模块根据数据包头判断是否进行抽样检测；如有需要，ForwordCheck模块会验证数据包的转发端口是否与交换机中规定的一致，以提高对数据包的安全性监测。

全文数据：

权利要求：

百度查询： 北京工业大学 一种基于TrustZone的OpenFlow交换机安全转发方法