Підвищення безпеки площини даних віртуального комутатора Open vSwitch

Abstract

У магістерській кваліфікаційній роботі розглянуто проблему безпеки площини даних у віртуальному комутаторі Open vSwitch, який широко використовується у віртуалізованих і хмарних інфраструктурах. Встановлено, що перенесення оброблення пакетів у користувацький простір із застосуванням DPDK забезпечує високу пропускну здатність, проте створює ризики спільного використання процесорних ресурсів між віртуальними машинами. Це призводить до неконтрольованої конкуренції за CPU-цикли, коливань затримки пакетів і появи часових побічних каналів, що може бути використано для атак типу resource starvation або side-channel. Метою роботи є підвищення безпеки та передбачуваності роботи площини даних Open vSwitch шляхом розроблення та впровадження методів ізоляції процесорних ресурсів. Запропоновано ієрархічний механізм планування оброблення пакетів, який забезпечує стабільну затримку та контроль пріоритетів при одночасному обслуговуванні кількох орендарів.У процесі експериментальних досліджень, проведених у середовищі OVS-DPDK, продемонстровано, що реалізація запропонованих методів забезпечує стабільність пропускної здатності, зниження коливань затримки та ізоляцію навантажень між віртуальними машинами. Отримані результати підтверджують підвищення рівня кіберстійкості площини даних і зменшення впливу побічних каналів.

The master's thesis addresses the problem of data plane security in the Open vSwitch virtual switch, which is widely used in virtualized and cloud infrastructures. It has been established that transferring packet processing to user space using DPDK ensures high throughput but introduces risks of shared CPU resource usage among virtual machines. This leads to uncontrolled competition for CPU cycles, packet delay variations, and the emergence of timing side channels that can be exploited for resource starvation or side-channel attacks. The aim of the work is to enhance the security and predictability of the Open vSwitch data plane operation by developing and implementing methods of CPU resource isolation. A hierarchical packet processing scheduling mechanism is proposed to provide stable delay and priority control during concurrent tenant servicing. Experimental studies conducted in the OVS-DPDK environment demonstrated that the proposed methods ensure throughput stability, reduce delay variations, and achieve effective workload isolation between virtual machines. The obtained results confirm an increase in the cyber resilience of the data plane and a reduction in the impact of side channels.