2015 http://excel.fit.vutbr.cz
´ Zakonn e´ odposlechy v SDN ´ Barbora Frankova* 1010000101110110101101010100010101 10101001000101011111101010001101011 10010100101010001010100101010100 10101000101000101000101010111 1111111111111010111110001010101001 1000100011000111000110101001101010 11001010001010100010100011110100 1010001010100010100010101010110101 10001010101000101110111101111110010101 10101010101000101010100010100011010
Abstrakt ´ se zab´yva´ vyuˇzit´ım softwaroveˇ definovan´ych s´ıt´ı v oblasti zakonn´ ´ Tato prace ych odposlechu. ˚ Stav´ı ´ ´ ´ ´ ´ na implementaci systemu pro zakonne odposlechy vyvinute v ramci projektu Sec6Net. Pˇr´ınosem ´ ´ ˇ ´ ke prace je rozˇs´ıˇren´ı tohoto systemu v nekolika oblastech, ve kter´ych SDN nab´ız´ı potencial ˇ s´ı identifikaci odposlouchavan´ ´ ˇ s´ımu vyuˇzit´ı s´ıte. ˇ Prvn´ı zm´ınen´ ˇ y spolehlivejˇ ych uˇzivatelu˚ a efektivnejˇ ´ prostˇrednictv´ım modulu funkce dynamicke´ identity, druh´y pak pomoc´ı modulu pro c´ıl je realizovan dynamickou konfiguraci s´ıt’ov´ych sond. ´ ˇ a´ slova: Softwaroveˇ definovane´ s´ıteˇ — OpenFlow — OpenDaylight — Zakonn Kl´ıcov e´ odposlechy — Sec6Net ´ Pˇriloˇzene´ materialy: N/A *
[email protected], Fakulta informaˇcn´ıch technologi´ı, Vysoke´ uˇcen´ı technicke´ v Brneˇ
´ 1. Uvod Softwarovˇe definovan´e s´ıtˇe rozˇsiˇruj´ı programovatelnost s´ıtˇe. Zat´ımco zaˇr´ızen´ı v klasick´ych s´ıt´ıch maj´ı pevnˇe danou funkcionalitu od v´yrobce a sloˇzit´y operaˇcn´ı syst´em, softwarovˇe definovan´e s´ıtˇe umoˇznˇ uj´ı z´ıskat glob´aln´ı pohled na s´ıt’ a ˇr´ıdit chov´an´ı s´ıtˇe pomoc´ı programovateln´ych s´ıt’ov´ych zaˇr´ızen´ı. Tato pr´ace je zamˇeˇrena na vyuˇzit´ı znalosti topologie ze softwarovˇe definovan´ych s´ıt´ı (SDN) v syst´emu pro z´akonn´e odposlechy. C´ılem je spolehlivˇejˇs´ı identifikace odposlouch´avan´eho uˇzitatele, efektivnˇejˇs´ı vyuˇzit´ı s´ıtˇe a dynamick´a konfigurace sond na z´akladˇe aktu´alˇ adn´y ze souˇcasn´ych syst´em˚u pro z´akonn´ı topologie. Z´ n´e odposlechy (napˇr. Cisco, Verint) ale nevyuˇz´ıv´a v´yhod, kter´e poskytuje propojen´ı syst´emu pro z´akonn´e odposlechy s SDN. ˇ sen´ı je postaveno na implementaci syst´emu pro Reˇ z´akonn´e odposlechy SLIS, kter´y vznikl v r´amci projektu Sec6Net. SLIS jsem v r´amci projektu propojila s SDN kontrolerem OpenDaylight, kter´y poskytuje
rozhran´ı pro zjiˇstˇen´ı kompletn´ı topologie s´ıtˇe. Vytvoˇrila jsem modul pro OpenDaylight, kter´y z´ısk´av´a informace o identit´ach koncov´ych uˇzivatel˚u a pˇred´av´a je d´al syst´emu pro z´akonn´e odposlechy. Topologie se vyuˇz´ıv´a pˇri pˇrid´av´an´ı poˇzadavk˚u na odposlech tak, aby se konfigurovala pouze jedna sonda. Vyuˇzit´ı SDN umoˇznˇ uje tak´e smˇerov´an´ı komunikace k sond´am, kter´e neleˇz´ı pˇr´ımo na lince, kterou odposlouch´avan´a data proch´az´ı, a vyvaˇzov´an´ı z´atˇezˇ e mezi sondami. V sekci 2 jsou rozebr´any teoretick´e pojmy. Podsekce 2.1 je vˇenov´ana struˇcn´emu popisu syst´emu SLIS, kter´y vznikl v projektu Sec6Net. V podsekci 2.2 je vysvˇetlen princip softwarovˇe definovan´ych s´ıt´ı. V sekci 3 je pops´an n´avrh rozˇs´ıˇren´ı syst´emu pro z´akonn´e odposlechy a v sekci 4 implementace tˇechto rozˇs´ıˇren´ı.
2. Teorie ´ 2.1 Zakonn e´ odposlechy Rostouc´ı poˇc´ıtaˇcov´a kriminalita je jedn´ım z rys˚u souˇcasn´e spoleˇcnosti. Z tohoto d˚uvodu byly nˇekter´e z u´ tok˚u,
2.2 Softwaroveˇ definovane´ s´ıteˇ Koncept softwarovˇe definovan´ych s´ıt´ı je nov´y pˇr´ıstup k poˇc´ıtaˇcov´ych s´ıt´ım, kter´y se v posledn´ı dobˇe prosazuje i v komerˇcn´ı sf´eˇre. SDN oddˇeluje logiku s´ıtˇe od samotn´eho pˇrepos´ıl´an´ı paket˚u a t´ım umoˇznˇ uje vytv´aˇret programovateln´e s´ıtˇe. Tento pˇr´ıstup lze vyuˇz´ıt pˇredevˇs´ım ve velk´ych datacentrech a u poskytovetel˚u internetov´eho pˇripojen´ı. V´yzkumu v t´eto oblasti se vˇenuje napˇr´ıklad Google, kter´y pomoc´ı SDN propojil sv´a datacentra napˇr´ıcˇ kontinenty nebo McKeown aj., kteˇr´ı zkoumali nasazen´ı SDN v univerzitn´ım kampusu [6, 7]. Princip SDN lze vyuˇz´ıt i v dalˇs´ıch aplikac´ıch, jako je dynamick´a kontrola pˇr´ıstupu, vyvaˇzov´an´ı z´atˇezˇ e, virtualizace s´ıtˇe nebo energeticky u´ sporn´e s´ıtˇe. Architektura softwarovˇe definovan´ych s´ıt´ı se skl´ad´a z vrstvy infrastruktury (data plane) a ˇr´ıd´ıc´ı vrstvy (control plane). Ve vrstvˇe infrastruktury se nach´az´ı jednotliv´a zaˇr´ızen´ı, kter´a maj´ı na starosti rychl´e pˇrepos´ıl´an´ı paket˚u. V ˇr´ıd´ıc´ı vrstvˇe se nach´az´ı oddˇelen´a kontroln´ı cˇ a´ st ve formˇe kontroleru. Kontroler m´a pˇrehled o topo• Funkce dynamick´e identity (IRI-IIF) – m´a za logii cel´e s´ıtˇe a o prostˇredc´ıch k smˇerov´an´ı a pˇrep´ın´an´ı u´ kol dynamick´e zjiˇst’ov´an´ı cˇ a´ steˇcn´e identity sle- paket˚u, kter´e umoˇznˇ uj´ı jednotliv´a s´ıt’ov´a zaˇr´ızen´ı. Nad dov´an´ım prob´ıhaj´ıc´ıch komunikac´ı (relace, hov- ˇr´ıd´ıc´ı vrstvou lze vytv´aˇret r˚uzn´e aplikace, upravuj´ıc´ı ory, spojen´ı apod.) a anal´yzou protokol˚u. ˇr´ızen´ı s´ıtˇe. • Triggerovac´ı funkce (CCTF) – konfiguruje jedKomunikaˇcn´ı rozhran´ı mezi ˇr´ıd´ıc´ı vrstvou a s´ıt’ov´ynotliv´e sondy ve chv´ıli, kdy m´a b´yt zah´ajen mi zaˇr´ızen´ımi m˚uzˇ e b´yt napˇr´ıklad OpenFlow [7]. Openodposlech. Flow pˇrep´ınaˇc vyuˇz´ıv´a koncept datov´ych tok˚u k identi• Sondy pro odposlech (CC-IIF) – maj´ı za u´ kol fikaci s´ıt’ov´eho provozu na z´akladˇe pravidel, kter´a jsou zachyt´avat obsah komunikace sledovan´ych uˇziva- naprogramov´ana staticky nebo dynamicky. Pravidla tel˚u. jsou uloˇzena v tabulk´ach tok˚u, kter´e porovn´avaj´ı proch´azej´ıc´ı pakety se sv´ymi z´aznamy a zvol´ı akci na Odposlouch´avan´y uˇzivatel mus´ı b´yt jednoznaˇcnˇe z´akladˇe v´ysledku porovn´an´ı. Pravidla se vyhled´avaj´ı identifikovateln´y v s´ıti. Jeho identita se skl´ad´a z mnoˇzi- sestupnˇe od nejvyˇssˇ´ı priority a je aplikov´ano prvn´ı ny identifik´ator˚u pouˇz´ıvan´ych v s´ıt’ov´em prostˇred´ı (napˇr. pravidlo, u kter´eho je nalezena shoda. IP adresa, MAC adresa apod.). Nˇekter´e identifik´atory se mohou na stranˇe poskytovatele dynamicky mˇenit ´ 3. Navrh napˇr. skrze protokoly DHCP, RADIUS nebo SLAAC [3]. Jiˇz dostupn´e moduly pro IRI-IIF maj´ı za u´ kol Syst´em pro z´akonn´e odposlechy SLIS je urˇcen k nasazeodes´ılat informace o tom, kdy a komu byly identi- n´ı u poskytovatel˚u internetov´eho pˇripojen´ı. V klafik´atory pˇridˇeleny. IRI-IIF na z´akladˇe tˇechto informac´ı sick´ych s´ıt´ıch mohou b´yt CC-IIF sondy pˇripojeny na dynamicky propoj´ı cˇ a´ steˇcn´e identity, kter´e patˇr´ı jed- lince s TAPem, kter´y veˇsker´a data zduplikuje. SLIS nastavuje vˇsechny sondy stejnˇe a sondy tak odposlounomu uˇzivateli nebo stroji [4, 5]. Jako pˇr´ıklad lze uv´est poˇzadavek na odposlech ch´avaj´ı veˇskerou z´ajmovou komunikaci. Jednou z moˇzuˇzivatele s urˇcitou e-mailovou adresou. Pokud tento nost´ı, jak syst´em vylepˇsit, je pouˇzit´ı softwarovˇe definouˇzivatel v pr˚ubˇehu odposlechu zmˇen´ı IP adresu sv´eho van´ych s´ıt´ı. Pokud syst´em rozˇs´ıˇr´ıme o znalost topolozaˇr´ızen´ı nebo ke komunikaci pouˇzije jin´e zaˇr´ızen´ı, IRI- gie, m˚uzˇ eme jednoduˇse identifikovat cestu z´ajmov´e IIF detekuje zmˇenu a pˇred´a tuto informaci syst´emu. komunikace a pˇrizp˚usobit chov´an´ı pˇrep´ınaˇcu˚ . Prvn´ım rozˇs´ıˇren´ım syst´emu je z´ısk´avan´ı cˇ a´ steˇcn´ych CCTF pak m˚uzˇ e vˇcas pˇrekonfigurovat pˇripojen´e sondy ˇ asteˇcn´a identit koncov´ych stanic z kontroleru SDN. C´ CC-IIF a zachytit veˇsker´y obsah komunikace. identita stroje zahrnuje identitu na s´ıt’ov´e (L2) a linkov´e vrstvˇe (L3). Identifik´atory z´ıskan´e z SDN kontroleru 1 http://www.fit.vutbr.cz/∼matousp/grants.php?id=517 (MAC adresa, IP adresa a pˇrep´ınaˇc, ke kter´emu je
napˇr. neopr´avnˇen´y pˇr´ıstup, odposlouch´av´an´ı, naruˇsen´ı syst´emu nebo poˇc´ıtaˇcov´e padˇel´an´ı, zaneseny do z´akona jako trestn´a cˇ innost. Pˇresn´e znˇen´ı lze nal´ezt v z´akonˇe o elektronick´ych komunikac´ıch (z´akon cˇ . 127/2005 ´ Sb.) a v Evropsk´em pr´avu (Umluva Rady Evropy o poˇc´ıtaˇcov´e kriminalitˇe – Convention on Cybercrime, ETS No. 185). Jednou z moˇznost´ı, jak bojovat proti poˇc´ıtaˇcov´e kriminalitˇe, jsou syst´emy pro z´akonn´e odposlechy. Doporuˇcen´a architektura tˇechto syst´em˚u byla vytvoˇrena u´ ˇradem ETSI pro vˇsechny zemˇe Evropsk´e unie [1]. Syst´emy pro z´akonn´e odposlechy umoˇznˇ uj´ı opr´avnˇen´ym org´an˚um sledovat komunikaci podezˇrel´ych subjekt˚u v poˇc´ıtaˇcov´e cˇ i telefonn´ı s´ıti. V r´amci projektu Sec6Net1 vznikla implementace syst´emu pro z´akonn´e odposlechy – Sec6Net Lawful Interception System (SLIS), kter´y je urˇcen pro nasazen´ı v s´ıt´ıch poskytovatel˚u Internetu [2]. Souˇca´ sti syst´emu SLIS, kter´e jsou d˚uleˇzit´e pro tuto pr´aci, jsou n´asleduj´ıc´ı:
konfigurace zaˇr´ızen´ı pˇripojeno) pot´e IRI-IIF propoj´ı s cˇ a´ steˇcn´ymi SLIS zachycená data identitami uˇzivatel˚u vyuˇz´ıvaj´ıc´ı detekovan´e stroje (z´ıskan´ych z jin´ych modul˚u syst´emu SLIS). ODL_trigger Druh´ym rozˇs´ıˇren´ım je dynamick´a konfigurace sond HTTP na z´akladˇe topologie s´ıtˇe. Kombinac´ı znalosti topoloHTTP OpenDaylight kontroler SLAAC DHCP ... ODL gie z kontroleru a znalosti pozice sond v t´eto topologii m˚uzˇ eme optimalizovat konfiguraci sond CC-IIF. SouOpenFlow pakety pakety cˇ a´ st´ı tohoto ˇreˇsen´ı je i dynamick´a rekonfigurace pˇrep´ınaˇcu˚ . Kombinace dynamick´e konfigurace sond a pˇrep´ınaˇcu˚ umoˇzn´ı vyrovn´av´an´ı z´atˇezˇ e a smˇerov´an´ı tok˚u k sond´am, kter´e neleˇz´ı pˇr´ımo na lince, kterou data proch´az´ı. ´ Obrazek 1. Sch´ema zapojen´ı syst´emu pro z´akonn´e odposlechy, SDN kontroleru, modulu pro zjiˇst’ov´an´ı ´ ı 4. Implementace a testovan´ dynamick´e identity – ODL (4.1) a modulu pro Pro implementaci navrˇzen´ych vylepˇsen´ı jsem zvolila sledov´an´ı topologie – ODL trigger (4.2). kontroler OpenDaylight. OpenDaylight je open source Na rozd´ıl od funkce dynamick´e identity, kter´a se projekt, kter´y m´a podporu i v komerˇcn´ı sf´eˇre (Cisco, HP a dalˇs´ı). Tato pr´ace vyuˇz´ıv´a rozhran´ı REST [8] zaj´ım´a o mˇen´ıc´ı se identifik´atory koncov´ych zaˇr´ızen´ı, je pro triggerovac´ı funkci nezbytn´e zn´at kompletn´ı protokolem HTTP. topologii. Jedinou informaci, kterou nejsme schopni z´ıskat dynamicky, je pozice CC-IIF sond v s´ıti. Souˇca´ st´ı ´ an´ ´ ı cˇ aste ´ ˇ ych 4.1 Z´ıskav cn ´ identit modulu proto mus´ı b´yt konfiguraˇcn´ı soubor, kter´y Z´ısk´av´an´ı cˇ a´ steˇcn´e identity z SDN je implementov´ano specifikuje, na kter´em rozhran´ı jsou pˇripojeny. v jazyce Python jako modul ODL pro OpenDaylight Kombinac´ı topologie z´ıskan´e z kontroleru a pozice kontroler. Na obr´azku 1 je zn´azornˇeno zapojen´ı ODL sond z konfiguraˇcn´ıho souboru modul vytv´aˇr´ı grafovou do syst´emu. reprezentaci, kde vrcholy grafu jsou jednotliv´a zaˇr´ızen´ı Z kontroleru je moˇzn´e z´ıskat tˇri typy identifik´ator˚u a hrany odpov´adaj´ı link´am. Ve chv´ıli, kdy pˇrijde pro dan´e zaˇr´ızen´ı: IP adresu, MAC adresu a identi- poˇzadavek na odposlech, zaˇc´ın´a modul s konfigurac´ı fik´ator pˇrep´ınaˇce, ke kter´emu je toto zaˇr´ızen´ı pˇripojeno. s´ıt’ov´ych zaˇr´ızen´ı. Funkci dynamick´e identity modul odes´ıl´a zpr´avy, kdyˇz Konfigurace spoˇc´ıv´a ve vyuˇzit´ı tˇr´ı tabulek tok˚u. Do byl detekov´an zaˇca´ tek a konec spojen´ı. Souˇca´ st´ı zpr´av prvn´ı tabulky modul ukl´ad´a pravidla, kter´a porovn´avaj´ı je uveden´a trojice identifik´ator˚u. IRI-IIF odpov´ıdaj´ıc´ı proch´azej´ıc´ı hlaviˇcky paket˚u s IP adresou, kter´a m´a identifik´atory propoj´ı a t´ım rozˇs´ıˇr´ı identitu tohoto zaˇr´ı- b´yt odposlouch´av´ana. Pokud zdrojov´a nebo c´ılov´a zen´ı. adresa paketu odpov´ıdaj´ı, je paket oznaˇcen VLAN tagem a odesl´an na v´ystupn´ı port smˇerem k CC-IIF 4.2 Dynamicka´ konfigurace sond sondˇe. N´aslednˇe je p˚uvodn´ı paket (bez VLAN tagu) Koncept softwarovˇe definovan´ych s´ıt´ı umoˇznˇ uje z´ıskat pˇred´an tˇret´ı tabulce. Druh´a tabulka tok˚u je na vˇsech pˇrep´ınaˇc´ıch stejn´a. kompletn´ı topologii a v syst´emu pro z´akonn´e odposlechy m˚uzˇ e znalost topologie zlepˇsit nastavov´an´ı jed- M´a za u´ kol porovn´avat pakety s VLAN tagem a odes´ılat notliv´ych CC-IIF sond. Sondy jsou konfigurov´any je smˇerem k CC-IIF sondˇe. Pravidla se proch´az´ı pospomoc´ı triggerovac´ı funkce. Pokud pˇrijde poˇzadavek tupnˇe od nejvyˇssˇ´ı priority, proto mus´ı b´yt v prvn´ı tabna zah´ajen´ı odposlechu, mus´ı tato funkce na z´akladˇe ulce pravidlo s vysokou prioritou, kter´e bude tak´e topologie rozhodnout, kterou sondu nastav´ı a jak´a data porovn´avat VLAN tag. Pakety, kter´e budou takto k n´ı bude pˇrepos´ılat. Z toho d˚uvodu byl vytvoˇren nov´y oznaˇceny, pak nebude zpracov´avat a pouze je pˇred´a modul do syst´emu pro z´akonn´e odposlechy ODL tri- druh´e tabulce. Tˇret´ı tabulka je plnˇe pod spr´avou kontroleru a pˇrepogger. Tento modul byl implementov´an v jazyce Python a jeho zapojen´ı do syst´emu je zn´azornˇeno na obr´azku s´ıl´a pakety k c´ılov´ym zaˇr´ızen´ım bez ohledu na pravidla 1. Modul ODL trigger se v pravideln´ych intervalech v pˇredchoz´ıch tabulk´ach. T´ımto zp˚usobem se tedy vytvoˇr´ı duplik´at paketu dotazuje kontroleru na aktu´aln´ı topologii, vkl´ad´a pravidla pro smˇerov´an´ı kopi´ı odposlouch´avan´ych dat k son- s VLAN tagem a p˚uvodn´ı nezmˇenˇen´y paket se pˇrepoˇsle d´am a triggerovac´ı funkce ve SLIS na z´akladˇe infor- podle pravidel z kontroleru. mac´ı od tohoto modulu konfiguruje jednotliv´e sondy. Modul zn´a aktu´aln´ı topologii s´ıt’eˇ a tak m˚uzˇ e jedno-
Tabulka 1. Uk´azka pravidel pro odposlech v prvn´ı S4
1
10.0.0.1 2
1
1
2 2
10.0.0.3
S1
S3
10.0.0.2
1 S2
´ Obrazek 2. Uk´azkov´a topologie se zapojenou CC-IIF
sondou.
tabulce tok˚u. Porovn´av´an´ı s hvˇezdiˇckou znamen´a, zˇ e na dan´em m´ıstˇe m˚uzˇ e b´yt cokoliv. Push/pop VLAN znaˇc´ı pˇrid´an´ı/odstranˇen´ı VLAN tagu, go-to table znamen´a skoˇc do tabulky a outport odesl´an´ı paketu na v´ystupn´ı port. Prio VLAN IP zdroj IP c´ıl Ostatn´ı 20
1
*
*
*
Akce go-to tab 2 push VLAN outport 1 pop VLAN go-to tab 3
10 * 10.0.0.1 * * duˇse zjistit, ke kter´emu pˇrep´ınaˇci je koncov´e zaˇr´ızen´ı s danou IP adresou pˇr´ımo pˇripojeno. Uvaˇzujme napˇr´ıklad topologii uvedenou na obr´azku 1 * * * * go-to tab 3 2. Pˇredpokl´adejme, zˇ e pˇriˇsel poˇzadavek na odposlech Tabulka 2. Uk´azka pravidel v druh´e tabulce tok˚u. IP adresy 10.0.0.1. Zaˇr´ızen´ı s touto IP adresou je pˇripojeno k pˇrep´ınaˇci S1. Na tento pˇrep´ınaˇc se vloˇz´ı Prio VLAN IP zdroj IP c´ıl Ostatn´ı Akce dvˇe pravidla s vysokou prioritou, kter´a budou porovn´a10 1 * * * outport 1 vat danou zdrojovou a c´ılovou adresu v paketu. V pˇr´ıpadˇe, zˇ e jedna z tˇechto adres bude rovna 10.0.0.1, vloˇz´ı se do paketu VLAN hlaviˇcka a odeˇsle se na v´ystupn´ı port 1. Uk´azka pravidel je uvedena v tabulce 1 (porovn´av´an´ı mentaci tohoto ˇreˇsen´ı staˇc´ı pouze jedna tabulka tok˚u, c´ılov´e IP adresy prob´ıh´a obdobnˇe jako porovn´av´an´ı ale nev´yhodou je permanentn´ı zablokov´an´ı jednoho zdrojov´e IP adresy). Na tomto i vˇsech ostatn´ıch pˇrep´ına- portu a nepˇrehlednost tabulky tok˚u. cˇ´ıch se pak vˇsechny pakety s VLAN hlaviˇckou budou pˇrepos´ılat na rozhran´ı 1. Tato pravidla jsou uloˇzena ´ er ˇ 5. Zav ve druh´e tabulce a uk´azka je uvedena v tabulce 2. Na Tato pr´ace se zab´yv´a rozˇs´ıˇren´ım syst´emu pro z´akonn´e pˇrep´ınaˇci S4 bude uloˇzeno pravidlo, kter´e ze vˇsech odposlechy tak, aby bylo moˇzn´e vyuˇz´ıvat v´yhody softpaket˚u odes´ılan´ych na rozhran´ı 1 VLAN odstran´ı. warovˇe definovan´ych s´ıt´ı. Pro implementaci jsem zvoSyt´em SLIS podporuje pravidla odposlechu konr´et- lila kontroler OpenDaylight, kter´y patˇr´ı k nejpouˇz´ıvanˇejn´ı IP adresy, trojice (IP adresa, port, protokol) a pˇetice sˇ´ım a m´a siln´e zastoupen´ı v komerˇcn´ı sf´eˇre. Navrhla (zdrojov´a IP adresa, port, c´ılov´a adresa, port a pro- jsem dvˇe rozˇs´ıˇren´ı: tokol). Pˇresnˇejˇs´ı poˇzadavek jednoduˇse lze vyˇreˇsit pomoc´ı pˇresnˇejˇs´ıch pravidel. U pˇetice pak m˚uzˇ eme libo• Modul ODL pro IRI-IIF, kter´y je urˇcen k z´ısk´av´avolnˇe rozhodnout, zda pravidlo pro vkl´ad´an´ı VLAN n´ı cˇ a´ steˇcn´e identity. Modul se periodicky dotazutag˚u vloˇz´ıme na pˇrep´ınaˇc, ke kter´emu je pˇripojeno je kontroleru OpenDaylight na zn´am´e koncov´e zaˇr´ızen´ı inici´atora komunikace nebo iniciovan´eho. stanice a zmˇeny hl´as´ı IRI-IIF. V pˇr´ıpadˇe, zˇ e je v topologii v´ıce CC-IIF sond, lze • Dynamick´a konfigurace CC-IIF sond. Jedn´a se jednoduch´ym zp˚usobem rozdˇelovat z´atˇezˇ . Kaˇzd´a CCpˇredevˇs´ım o rozˇs´ıˇren´ı SLIS o modul ODL trigger, IIF sonda bude m´ıt vlastn´ı VLAN tag. Pˇri pˇrid´an´ı kter´y rozliˇsuje jednotliv´e CC-IIF sondy a jejich odposlechu m˚uzˇ eme z grafu topologie zjistit, kter´a pozice v topologii. sonda je nejbl´ızˇ koncov´emu zaˇr´ızen´ı s danou IP adresou a pˇri duplikov´an´ı paket˚u vloˇz´ıme VLAN tag nejbliˇzsˇ´ı V klasick´ych s´ıt´ıch je nutn´e um´ıstit CC-IIF sondy CC-IIF sondy. V druh´e tabulce vˇsech pˇrep´ınaˇcu˚ pak bu- pˇr´ımo na linky, kter´ymi bude proch´azet komunikace dou pravidla, kter´a pakety s VLAN hlaviˇckou odeˇslou odposlouch´avan´eho uˇzivatele. Pokud by sonda byla smˇerem k odpov´ıdaj´ıc´ı CC-IIF sondˇe. pˇripojena na jin´e lince, bylo by velmi sloˇzit´e smˇerovat V re´aln´ych zaˇr´ızen´ıch nemus´ı b´yt k dispozici v´ıce odposlouch´avanou komunikaci pˇr´ımo k sondˇe. tabulek tok˚u. V takov´ych pˇr´ıpadech je moˇzn´e pouˇz´ıt Vyuˇzit´ım SDN v syst´emu pro z´akonn´e odposlechy i alternativn´ı pˇr´ıstupy. Jedn´ım z nich je vyuˇzit´ı jed- je moˇzn´e nastavit kaˇzdou sondu jinak podle um´ıstˇen´ı noho z fyzick´ych port˚u pˇrep´ınaˇce, na kter´y se bude v topologii. D´ıky tomu nedoch´az´ı k odposlechu jedduplikovat komunikace odposlouch´avan´eho uˇzivatele. noho uˇzivatele v´ıce sondami. Jednoduch´ym zp˚usobem Vˇsechny pakety pˇrijat´e na tomto portu pak budou lze tak´e smˇerovat k sondˇe z´ajmov´e pakety, kter´e neoznaˇceny a pˇreposl´any smˇerem k sondˇe. K imple- proch´azej´ı odposlouch´avanou linkou. Je tak´e moˇzn´e
pˇredej´ıt zahlcen´ı sondy pˇresmˇerov´an´ım toku odposlouch´avan´ych dat k jin´e, kter´a bude v danou chv´ıli m´enˇe vyt´ızˇ en´a. Souˇca´ st´ı navazuj´ıc´ı pr´ace bude d˚ukladn´e otestov´an´ı naimplementovan´ych cˇ a´ st´ı a pˇr´ıpadnˇe dalˇs´ıch rozˇs´ıˇren´ı, jako je napˇr´ıklad vyuˇzit´ı OpenFlow pˇrep´ınaˇce jako CCIIF sondy.
ˇ ´ ı Podekov an´ R´ada bych podˇekovala Ing. Liboru Polˇca´ kovi za cenn´e rady, vˇecn´e pˇripom´ınky a vstˇr´ıcnost pˇri konzultac´ıch.
Literatura [1] European Telecommunications Standards Institute: TR 101 943: Telecommunications security; Lawful Interception (LI); Concepts of Interception in a generic Network Architecture, 2001, v1.1.1. [2] L. Polˇca´ k, T. Mart´ınek, R. Hranick´y, S. B´arta, M. Holkoviˇc, B. Frankov´a, and P. Kramoliˇs. Z´akonn´e odposlechy v modern´ıch s´ıt´ıch. Technical report, FIT VUT v Brnˇe, 2014. [3] L. Polˇca´ k. Challenges in Identification in Future Computer Networks. In ICETE 2014 Doctoral Consortium. Wien: SciTePress - Science and Technology Publications, pages 15–24, 2014. [4] L. Polˇca´ k and R. Hranick´y and T. Mart´ınek. On Identities in Modern Networks. In Journal of Digital Forensics, Security and Law, volume 9, pages 9–22, 2014. [5] A. Pfitzman and M. Hansen. A terminology for talking about privacy by data minimization: Anonymity, Unlinkability, Undetectability, Unobservability, Pseudonymity, and Identity Management, August 2010. v0.34. [6] J. Sushant, K. Alok, M. Subhasree, and O. Joon. B4: Experience with a Globally-Deployed Software Defined WAN. In ACM SIGCOMM Computer Communication Review, pages 3–14. ACM, 2013. [7] N. McKeown and T. Anderson and H. Balakrishnan and G. Parulkar and L. Peterson. OpenFlow: enabling innovation in campus networks. In ACM SIGCOMM Computer Communication Review, pages 69–74. ACM, 2008. [8] J. Medved, A. Tkacik, R. Varga, and K. Gray. OpenDaylight: Towards a Model-Driven SDN Controller architecture. In 15th International Symposium on A World of Wireless, Mobile and Multimedia Networks (WoWMoM), pages 1–6, 2014.
