没有合适的资源?快使用搜索试试~ 我知道了~
资源详情
资源评论
资源推荐
两种常见的技术:
1.使用中间人方法
弊端:允许弃用密码套件,一个异构型的网络需要很多经验丰富的管理员管理
2.key 的共享和委托
介绍:企业方向证书或者私钥。客户端共享会话密钥。
以上这两种技术,都违背了端到端加密的初衷,并且实现困难。在多个 MB 的方法中,对于
正则表达式的检测都需要解密数据包。MB 需要得到完全的信任
-------------------------------------------------------------------------
本文主要讨论一些加密方案,并研究它们在真实世界的使用部署
将这些归类为 4 种基本技术,中间人方式作为第 5 个类别
定义一个通用的框架,标记它们的使用情况和限制。定义三个系统模型用于描述通过 MB 的
流量(面向客户,面向服务器,客户和服务器的)。提供了一种个细化的标准。
定义了信任模型,确认威胁和安全需要
将隐私保护分为两类(主动和被动的)并进行对比
被动的无需解密或改变底层协议
主动的需要解密或者修改底层协议(例如:访问控制,可搜索加密,机器学习和可信任
硬件)
分析了现有的方法,使作者更了解以后产业化的需求
解密流量是最好的办法,但是什么样的流量需要被解密,这是需要进一步研究的问题
-------------------------------------------------------------------------
实验模型和用例
blindbox blindIdS Bhargavan
图 123 展示了高级的框架内。
MB 被设置在 client 和 service 端之间时反应最位迅速。
第二部分提到的框架这里有详细的分析
面向客户:MB 接收多个来自 client 的通向 serv 的流量,MB 执行检查(广告拦截,防
火墙等)。
面向服务器:例如(web 服务器):加密流量从服务器端点路由到服务器的 MB,进行
流量审查。ps 为企业员工不在公司网络下访问公司的资源。
与面向客户的不同之处在于连接一般有客户端发起。MB 主要用于保护服务器:数
据库服务器等
----------------------------------------------------------------------------
信任模型
与以往的论文相同,都认为至少有一个端点时诚实的
当两个端点都是恶意的时候:Goltzsche David Goltzsche, Signe Rüsch, Manuel Nieke, Sébastien
Vaucher, Nico Weichbrodt, Valerio Schiavoni, Pierre-Louis Aublin, Paolo Costa, Christof Fetzer,
Pascal
Felber, Peter Pietzuch, and Rüudiger Kapitza. 2018. ENDBOX: Scalable Middlebox
Functions Using Client-Side Trusted Execution. In 48th Annual IEEE/IFIP International Conference
on Dependable Systems and Networks, DSN 2018, Luxembourg,
June 25-28, 2018. IEEE Computer Society, 1–12 ENDBOX 试图解决这个问题
本文的假设:一个实体可以是诚实的半诚实的或者不诚实的
表 1 有 list(共同之处:MB 都是诚实或半诚实的)只有 endbox 考虑了两端都不是诚实的情
况
SafeBrick [46], ShieldBox [56] and SGX-Box [31].被部署在云端,可能是恶意的
主流假设 1:MB 不是恶意的,以合端点必须是诚实的
主流假设 2:云端的 MB 是恶意的。或者两端是恶意的 MB 是诚实的
安全要求:对加密流量进行检测
------------------------------------------------------------------------------
技术
被动的无需解密或改变底层协议
主动的需要解密或者修改底层协议(例如:访问控制,可搜索加密,机器学习和可信任硬件)
部分检测:基于可搜索加密的技术仅仅在精确匹配和正则表达式匹配上解密
全面检测:检测所有的 payload
中间人可以解密流量进行主动检测
中间人检测的
优点:可以不改变底层的 tls 结构
功能性:流量可以被解密,也可以对流量再加密(可以处理加密和不加密的两种流量)
性能:根据一些公司的调查,setup 工作需要一定的网络流量和计算开销
局限:安全性问题,对于外包到云的 MB 不能得到完全的信任。
可搜素加密
不解密底层流量进行 token 匹配的工作
blindbox 使用可搜索加密。主要想法:MB 的规则即受用 tls 的会话密钥进行加密,mb
只需要比较 client 发来的是否一致即可。但是 MB 不能使用 key 解密流量
减轻运算,blindIDS 产生了,使用公钥对用于对 token 的匹配。这也在造成了 tls 需要被
跟换的问题
spabox:使用的 Diffie-Hellman 基于不经意 伪随机 函数 用于 加密 规则 的准备。并
且还用到了机器学习
【 Xingliang Yuan, Xinyu Wang, Jianxiong Lin, and Cong Wang. 2016. Privacypreserving deep
packet inspection in outsourced middleboxes. In 35th Annual
IEEE International Conference on Computer Communications, INFOCOM 2016, San
Francisco, CA, USA, April 10-14, 2016. IEEE, 1–9.】:提出比 blindbox 更高效的过滤器,扩展了
令牌机制,虽然高效但是需要托管。
privDPI:改进了 blindbox 的握手机制,减少 setup 时间,并且使用可以重复使用的中间
规则
优点:TLS 不需要被修改,提供了不解密加密流量的检测办法(可疑时依然解密)
局限性:规则和 token 的 rule 的映射。serv、client 都需要安装协议。需要独立的信道
性能:client 因为要处理 token 计算过于密集,mb 只执行匹配
访问控制技术:client 和 service 都知道有个 MB。并且它们同意赋予 MB 决定加密流量的访
问控制权限。(主要特点是 MB 可见)
现有的解决方案种,需要对 tls 等底层协议进行修改才能实现(mcTLS)mbTLS 可以做到不修
改底层协议
优点:安全性上,提供了一种问责机制,serv 端可以对部署的 MB 进行验证(独一无二)
性能:不需要 SE(可搜索加密)之类的,效率更高。不需要客户端安装整数,不
需要 MB 解密任何流量
功能:全面
局限性:tls 协议需要改变,安全上 MB 如果被托管可能会泄露隐私
机器学习
机器学习可以不改变当前 setup 的情况下进行检测。主要思路是分析协议的报头,从加
密载荷中提取信息
优点:不需要改变 tls,从而保证了协议设计之初的安全性
局限性:功能性,针对不同的情况需要改造迎合不同类型的中间件,性能上,需要高逼
真度的训练,很难获得
可信任硬件
解密流量不在 mb,而在一个可以信任的地方。主要需要把会话密钥安全的运送到可信
任硬件
SGXBOX
------------------------------------------------------------------------------------------------------------------
比较
中间人技术依然是最受业界欢迎的技术
当前的主要问题是保护 tls 的端到端安全,尽量少的泄露信息给 MB
安全性上:主要体现在 token 可能会泄露信息,MB 可能会与恶意的 client 或者 serv 合谋,ML
技术如何获得准确的训练集
性能上:SE 方案可以保护隐私,但是缠上的开销巨大(仅仅信道就要求两个)。机器学习的
解决方案理想,但是需要进一步的探索
新的方案正在向安全硬件(安全飞地)方面转移
看看 ENDBOX SGXBOX
翻译:
概论:
中间件在一个计算机网络系统的检查和分析网络流量检测恶意通信,监控系统性能,并提供
运营服务。然而,加密的流量,这已成为越来越普遍,阻碍了中间件提供上述服务的能力。
一个常见的在实践中解决这个问题是由采用中间人(MITM) 的方法,其特征在于, 一个
加密的业务流之间两个端点被中断,中间人解密并分析流量。中间人的做法被很多组织所使
用,但是带来了很多实际应用和隐私方面的担忧。实际上,由于成本的原因在 MITM 的延
迟发生由于到的加密,企业开始寻找一种消耗更少的解决方案。目前已经还了讨论上的许多
努力需要来配置 MITM。 此外, MITM 违反终端到终端的隐私,对于用户隐私的忧虑也在
提升。 此外,一些中的 MITM 实现被发现到被有缺陷的。 总的来说,新的方法和隐私保护
技术使对加密的流量检测被提出。
我们系统地检查了这些技术,以比较它们的优点,局限性和挑战。通过定义一个由系统架构,
用例,信任和威胁模型组成的框架,我们将它们分为四个主要类别。这些是可搜索的加密,
访问控制,机器学习和受信任的硬件。我们首先讨论中间人方法作为一个基线,然后讨论在
它们的每个细节,并提供了一个深入比较它们的优点和局限性。通过这样做 ,我们描述了
采用该技术的实际限制,优势和陷阱。继此,我们给出现有方法之间的区别和在业界的表现,
这引导我们现在面临的挑战和研究的方向。
1 引言:
包检查和分析已被用于对检测,减轻和阻止在家庭和企业网络可疑的活动。这个实现通过
实时检查的报头和有效载荷的网络流量。为这个目的部署的设备被称为中间件。一个中间设
备(MB)提供各种服务 ,在当今的计算机网络基础架构中必不可少。一个主要的服务包括
部署 MB 提供给系统和用户安全,用于例如,作为个人和组织的防火墙,入侵检测和预防系
统,家长过滤,数据泄露检测系统,取证分析工具,如良好的恶意软件分析系统。在另外在
安全方面,它也常见到部署 MB 提供性能和运营服务。这些包括服务于代理/高速缓存作为
在内容分发网络(CDN),广域网优化,协议加速,访问控制,计费和使用监控和网络地址
翻译。合规服务也是部署了一个 MB,来履行义务:支持合法拦截和控制的非法内容和隐私。
传统上, M 被部署在的企业或客户网络的一侧。被称为“预置”的解决方案。随着网络功能
虚拟化(NFV)中的出现,依赖于专门的和昂贵的硬件部署的 MB 被也被质疑,并且存在一
个明显转变朝部署基于软件的中间件功能。换句话说,我们已经开始向看到外包到的云基础
架构中的 MB 。 虽然云计算基础架构提供了更大的灵活性和动态可扩展性相对于基于硬件
的设备来说,但是他们也面临新的挑战, 尤其是在这些系统确保安全和隐私。
为了使服务提到上面在一个有效行为,中间件经常执行网络检查和分析使用一个公认的技术
称为为深包检查(DPI)。DPI 工具深入检测网络数据包的报头和有效载荷,对比以传统包检
测,传统方法只检测数据包报头。DPI 可以是有状态的,与不同状态存储期间的分组的处理,
例如流量特点,应用状态。然而,目前 87% 90%的网络通信量使用 TLS 加密。根据谷歌
剩余17页未读,继续阅读
基鑫阁
- 粉丝: 63
- 资源: 358
上传资源 快速赚钱
- 我的内容管理 展开
- 我的资源 快来上传第一个资源
- 我的收益 登录查看自己的收益
- 我的积分 登录查看自己的积分
- 我的C币 登录后查看C币余额
- 我的收藏
- 我的下载
- 下载帮助
安全验证
文档复制为VIP权益,开通VIP直接复制
信息提交成功
评论0