基于SDN 的量子密碼通信網(wǎng)絡(luò)設(shè)計(jì)與研究*

趙 鑫，李 愷

（成都國(guó)信安信息產(chǎn)業(yè)基地有限公司，四川 成都 610000）

0 引 言

傳統(tǒng)通信網(wǎng)絡(luò)中信息傳輸?shù)陌踩钥赏ㄟ^(guò)一次性加密實(shí)現(xiàn)，然而對(duì)于優(yōu)化量子密匙分配算法，一次性填充難以實(shí)現(xiàn)[1]。量子不可克隆定理及海森堡測(cè)不確定性定理等量子力學(xué)基本原理可確保量子密匙分配的無(wú)條件安全[2]。信息的安全傳輸可綜合一次性密匙的量子密碼通信網(wǎng)絡(luò)及量子密匙分配實(shí)現(xiàn)。

軟件定義網(wǎng)絡(luò)（SDN）作為新興技術(shù)，發(fā)展迅速，其綜合安全實(shí)施及統(tǒng)一策略，完成數(shù)據(jù)包傳輸及網(wǎng)絡(luò)設(shè)備連接[3]。OpenFlow 協(xié)議編程接口靈活且自適應(yīng)性強(qiáng)，對(duì)SDN 系統(tǒng)結(jié)構(gòu)具有關(guān)鍵作用[4]。文中利用SDN 的優(yōu)點(diǎn)，提出了量子密碼通信網(wǎng)絡(luò)模型，實(shí)現(xiàn)了整個(gè)網(wǎng)絡(luò)鏈路密匙可視化，通過(guò)密匙統(tǒng)計(jì)結(jié)果，選取網(wǎng)絡(luò)最優(yōu)路由。

1 網(wǎng)絡(luò)體系結(jié)構(gòu)模型設(shè)計(jì)

量子密碼通信網(wǎng)絡(luò)由量子層、應(yīng)用層及密匙管理層組成，應(yīng)用層用于語(yǔ)音、視頻等事務(wù)訪問(wèn)；密匙管理層儲(chǔ)存量子層生成密匙，并選取合適路由；量子層一方面完成端到端量子密匙分發(fā)，另一方面向密匙管理層上傳生成密匙[5]。量子密碼通信網(wǎng)絡(luò)為確保傳輸信息的安全性，通過(guò)量子密匙加密傳輸信息。較傳統(tǒng)網(wǎng)絡(luò)，量子密碼通信網(wǎng)絡(luò)具有理論上的無(wú)條件安全性。鏈路密匙在一定程度上限制量子密碼通信網(wǎng)絡(luò)，所以對(duì)整個(gè)網(wǎng)絡(luò)鏈路密匙進(jìn)行控制具有重要意義。

傳統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)中，SDN 體系由應(yīng)用層、控制層及基礎(chǔ)設(shè)施層構(gòu)成，如圖1 所示。由于網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)未知，大部分算法僅能滿足局部最優(yōu)，難以獲得全局最優(yōu)解NP。由于RIP 算法基于跳數(shù)，若量子通訊網(wǎng)絡(luò)采用該算法，系統(tǒng)將選取跳數(shù)最少路由作為最優(yōu)路由，將導(dǎo)致短時(shí)間內(nèi)耗盡鏈路密匙，致使整個(gè)網(wǎng)絡(luò)無(wú)法正常通信，此外嚴(yán)重浪費(fèi)不被視為最佳路由的鏈路密匙[6]。

圖1 傳統(tǒng)SDN 體系結(jié)構(gòu)

文中采用可信控制中心的量子密匙中繼方案，基于SDN 網(wǎng)絡(luò)構(gòu)架，設(shè)計(jì)了量子密碼通信網(wǎng)絡(luò)模型。該模型中網(wǎng)絡(luò)節(jié)點(diǎn)包括終端節(jié)點(diǎn)和中繼節(jié)點(diǎn)兩部分，終端節(jié)點(diǎn)由網(wǎng)絡(luò)層、量子層及應(yīng)用層構(gòu)成。網(wǎng)絡(luò)層負(fù)責(zé)網(wǎng)絡(luò)連接的建立，完成信息路由與轉(zhuǎn)發(fā)，服務(wù)上層；量子層完成端到端量子密匙分發(fā)。應(yīng)用層用于訪問(wèn)視頻、語(yǔ)音及FTP 等應(yīng)用。文中設(shè)計(jì)網(wǎng)絡(luò)與傳統(tǒng)網(wǎng)絡(luò)在協(xié)議層劃分上功能相同。

基于SDN 的量子密碼通信網(wǎng)絡(luò)模型的應(yīng)答層由量子層和中間層構(gòu)成，如圖2 所示。

圖2 分層模型體系結(jié)構(gòu)

文中參考量子密匙分配模塊對(duì)量子層進(jìn)行設(shè)計(jì)，通過(guò)量子密匙分配協(xié)議生成密匙。由于目前技術(shù)尚未支持控制器與量子密匙分配模塊直接通信，因此文中通過(guò)由OpenFlowAgent（OFA）及量子密匙儲(chǔ)存層構(gòu)成的中間層進(jìn)行轉(zhuǎn)換。OFA 充當(dāng)量子密匙管理層與量子密匙分配模塊之間的代理，為OpenFlow 擴(kuò)展交換機(jī)。量子密匙儲(chǔ)存層可儲(chǔ)存量子層生成密匙，并實(shí)時(shí)向OFA 傳送密匙數(shù)量。由于SDN 控制器可對(duì)整個(gè)網(wǎng)絡(luò)拓?fù)湫畔⑦M(jìn)行實(shí)時(shí)監(jiān)控，可通過(guò)控制帶寬資源提高網(wǎng)絡(luò)資源利用率，因此選取其為密匙關(guān)鍵管理層。密匙管理層具有傳統(tǒng)SDN控制器及控制網(wǎng)絡(luò)密匙狀態(tài)兩種作用，即其可向OFA 傳送負(fù)責(zé)傳統(tǒng)網(wǎng)絡(luò)數(shù)據(jù)定向及負(fù)責(zé)量子密匙加密數(shù)據(jù)定向兩種流表。數(shù)據(jù)信息通過(guò)SDN 中繼節(jié)點(diǎn)時(shí)有選擇的匹配流表。

密匙管理層、OFA 層、密匙儲(chǔ)存層及量子層間通信過(guò)程如圖3 所示。密匙儲(chǔ)存層中密匙信息經(jīng)OFA 層封裝于分組并上傳與密匙管理層。密匙管理層根據(jù)密匙狀態(tài)選擇全局最優(yōu)路由，并將路由信息傳送與OFA，通過(guò)網(wǎng)絡(luò)路由完成端到端的通信。

圖3 通信過(guò)程圖

MiniNet 作為網(wǎng)絡(luò)模式器，由交換機(jī)、虛擬終端節(jié)點(diǎn)、路由器組成，其輕量級(jí)虛擬化技術(shù)與真實(shí)網(wǎng)絡(luò)相差極小，非常適用于SDN 應(yīng)用程序，因此文中網(wǎng)絡(luò)拓?fù)渫ㄟ^(guò)MiniNet 生成[7]。仿真模型控制器選取易用性及穩(wěn)定性較高的主流SDN 控制器，通過(guò)以上兩個(gè)軟件，在Linux 系統(tǒng)搭建仿真平臺(tái)，如圖4 所示。

圖4 網(wǎng)絡(luò)拓?fù)鋱D

假定量子層以生成密匙并上傳、儲(chǔ)存于密匙儲(chǔ)存層。密匙管理層為獲得全局網(wǎng)絡(luò)密匙狀態(tài)需在既定周期內(nèi)輪詢節(jié)點(diǎn)。圖4 中各交換節(jié)點(diǎn)與多個(gè)主機(jī)節(jié)點(diǎn)相連。文中拓?fù)渑渲梦迮_(tái)主機(jī)（H10.0.0.1,H10.0.0.0.2,H10.0.0.0.3,H10.0.0.0.4,H10.0.0.0.5）模擬通信。

2 量子模式管理模擬

模擬通信鏈路可由以下步驟獲得，同時(shí)可獲取鏈路目的地址、源地址及鏈路剩余密匙數(shù)量。

（1）密匙管理層鏈路發(fā)現(xiàn)模塊周期性啟動(dòng)線程，監(jiān)控整個(gè)網(wǎng)絡(luò)拓?fù)洌?/p>

（2）密匙管理層通過(guò)鏈路發(fā)現(xiàn)協(xié)議（LLDP）獲知鏈路工作狀態(tài)[8]；

（3）通過(guò)發(fā)現(xiàn)模塊可實(shí)時(shí)更新并顯示各鏈路密匙狀態(tài)，以確保管理層了解整個(gè)鏈路工作狀態(tài)。

部分鏈路狀態(tài)如圖5 所示。

圖5 部分鏈路工作狀態(tài)

各鏈路儲(chǔ)存信息包括目的地址、源地址及鏈路剩余密匙量。如

[DST=00:00:00:00:00:00:02,InPort=1,QKEY=100]

該信息包括交換機(jī)名為ID1，通過(guò)端口2 連接至交換機(jī)ID2 端口1，且鏈路剩余密匙量為100 kb。

3 路由算法

由于目前技術(shù)條件限制，量子密碼通信網(wǎng)絡(luò)中量子密匙生成率不高，但無(wú)條件安全網(wǎng)絡(luò)對(duì)密匙需求量較大，因此路由條件應(yīng)充分考慮鏈路跳及鏈路可用密匙數(shù)量?jī)蓚€(gè)方面。

3.1 mQCNR 路由算法

由基于SDN 構(gòu)架的量子密碼通信網(wǎng)絡(luò)模型設(shè)計(jì)原理可知，密匙管理層包含各鏈路密匙信息，mQCNR 算法路由實(shí)現(xiàn)方法為：

（1）通過(guò)Yen 算法，密匙管理層選擇k 條最短路徑；

（2）遍歷各路徑并更新各路徑密匙數(shù)量。

通過(guò)對(duì)各路徑中瓶頸鏈路密匙數(shù)量的比較，刪除瓶頸路徑中可用密匙數(shù)量小于閾值的路徑。視頻、語(yǔ)音等為雙向通信，對(duì)密匙數(shù)量具有一定影響，其對(duì)密匙需求量為：

式中

VA——服務(wù)編碼速率；

VK——密匙速率；

W——鏈路密匙需求；

T——通信時(shí)長(zhǎng)。

由于密匙存在丟失，鏈路關(guān)鍵閾值設(shè)定為1.2W。通過(guò)VA、VK可對(duì)閾值進(jìn)行調(diào)整。

鏈路中跳數(shù)最少路徑為mQCNR 算法最佳路徑。由于方案為一次性密碼加密，第i 條鏈路可用密匙量Si與生成密匙總數(shù)有關(guān)，該鏈路各數(shù)據(jù)包長(zhǎng)度以Pj表示，則鏈路可用密匙數(shù)量Ri為：

式中，N 為第i 條鏈路數(shù)據(jù)包總數(shù)。設(shè)該路徑遍歷鏈路數(shù)為L(zhǎng)，則瓶頸鏈路中可用鍵數(shù)量m 為：

3.2 試驗(yàn)仿真

通過(guò)圖4 設(shè)計(jì)模擬仿真試驗(yàn)，獲得H2-H5 三條備選鏈路。參照語(yǔ)音編碼速率，設(shè)定VA=8 kbit/s、VK=5 kbit/s。當(dāng)鏈路關(guān)鍵閾值為1.2W 時(shí)，鏈路關(guān)鍵密匙應(yīng)大于70 kbit。對(duì)mQCNR 算法核心代碼修改，并對(duì)執(zhí)行過(guò)程進(jìn)行模擬。記錄H5 向H2 發(fā)送UDP數(shù)據(jù)包時(shí)不同時(shí)間鏈路選擇信息，如圖6 所示。

圖6 最佳路徑圖

由仿真結(jié)果可知，若第一條鏈路瓶頸鏈路關(guān)鍵值小于設(shè)定閾值，則系統(tǒng)自動(dòng)更改路由，選取最優(yōu)鏈路轉(zhuǎn)發(fā)路由，由此可知，mQCNR 算法可行。

4 結(jié) 語(yǔ)

QKD 所生成量子密匙資源具有價(jià)值高的特點(diǎn)，文中通過(guò)將SDN 與量子密碼通信進(jìn)行整合，實(shí)現(xiàn)靈活控制整個(gè)密碼通信網(wǎng)絡(luò)的量子密匙資源，并基于此，提出mQCNR 路由算法，由試驗(yàn)仿真可知，該算法具有全局路由最優(yōu)性。

實(shí)際網(wǎng)絡(luò)中，主機(jī)節(jié)點(diǎn)及交換節(jié)點(diǎn)數(shù)量較大，影響控制器效率，因此擴(kuò)展模型為多控制器模式，通過(guò)數(shù)個(gè)控制器協(xié)同管理整個(gè)網(wǎng)絡(luò)，將顯著提升網(wǎng)絡(luò)模型控制效率。