Ensayo OpenFlow

Muchos se preguntaran si el protocolo OpenFlow es en realidad eficaz y seguro…, pero así como cada cosa tiene su parte buena también tiene su punto débil o vulnerabilidad, hablaremos acerca de las debilidades y vulnerabilidades que tiene o puede ocasionar OpenFlow, pero antes se debe hablar un poco acerca de este, como por ejemplo…

¿Qué es OpenFlow y para qué sirve?

Se dice que OpenFlow es un proyecto que cuyo origen se dio en una investigación llamada “OpenFlow: Enabling Innovation in Campus Networks” (Facilitando la Innovación en las redes de campus) en la universidad de Stanford.

“Se define como un protocolo emergente y abierto de comunicaciones que permite a un servidor de software determinar el camino de reenvío de paquetes que debería seguir en una red de switches.” (Wikipedia, 2014)

Es decir, hoy en día, cierta parte o la mayoría de configuraciones que se le hacen a una red, se realizan en el software que traen los routers o switches. Lo que nos quiere brindar este protocolo seria que dicha configuración y la programación, no se realicen en ellos si no directamente desde el servidor, para así poder crear redes definidas por software “SDN; Software-Defined Networking,” en vez de hacerlo por el hardware subyacente. Por otra parte, otro de los beneficios seria, que estando bajo dicho esquema de redes,  les sería más fácil a los Datacenters  redirigir por otro lado todo el tráfico de la red cuando algún hardware este fallando, o quizás también se lograrían ahorros de energía, ya que es mucho más rápido detectar routers que estén haciendo funciones repetidas, con el fin de apagarlos y volver a encenderlos cuando sea realmente necesario. Este estándar es el resultado de 6 años de investigación, en la que colaboraron la Universidad de Stanford y la Universidad de California en Berkeley.

Otro de los beneficios que nos ofrece OpenFlow es que utiliza unas reglas flexibles de hallazgo de coincidencias para así poder clasificar el tráfico de la red en flujos. También determina cierto conjunto de acciones las cuales los equipos de la red deben llevar a cabo para poder gestionar dichos flujos. En la parte práctica, el administrador de una red usaría un controlador habilitado para OpenFlow como una nueva herramienta que le permite definir unas políticas que especifiquen cómo quiere que el tráfico fluya. Dicho controlador transmitiría estas políticas a los equipos que estén trabajando con OpenFlow, como switches, etc. Así de esta forma, los dispositivos actuarían sobre el tráfico que entre o salga del dispositivo para cumplir con dichas políticas. 

Son muchas los beneficios y las ventajas que se obtienen con OpenFlow, además de revolucionar el tema de las redes junto a la tecnología SDN, pero viendo tantos beneficios y la forma en que facilita todo, es normal que nos preguntemos cosas como,

¿Qué tan seguro es?, ¿Tiene vulnerabilidades?, ¿Nos puede afectar en algo?

Empecemos mencionando que la especificación original de OpenFlow requiere el control del canal entre los controladores y switches que deben protegerse mediante TLS (Protocolo que garantiza la privacidad y la integridad de los datos entre aplicaciones cliente/servidor que se comunican a través de Internet). Sin embargo, las especificaciones siguientes hasta la actual (v1.3.0), hacen que usar TLS sea opcional. Se dice que TLS tiene una mayor barrera técnica para los operadores debido a los pasos necesarios para configurar de forma correcta y que incluyen lo siguiente: “generar un certificado en todo el sitio, generando controladores certificados, certificados del switch de generación, la firma de los certificados con la clave privada de todo el sitio, y la instalación de las keys y certificados correctos en todos los dispositivos”.

Se puede decir que dicha operación únicamente requiere de un solo parámetro de configuración, que sería la dirección del controlador. Esto creó un incentivo para que los administradores de redes dejaran de usar TLS. Debido a la rápida evolución que fue teniendo OpenFlow, muchos vendedores de ambos, switches y controladores no han aplicado del todo la especificación que mencionamos anteriormente, y peor aún, la mayoría han omitido por completo el uso de TLS.

Actualmente hay una falta de apoyo por parte de los fabricantes de software y los fabricantes de hardware, lo que causa que ambos lados no se vean interesados en gastar un esfuerzo significativo por su aplicación. Hasta el momento el único hardware switch (Interruptor de hardware) que brinda un poco de soporte TLS es el “NEC IP8800” y el único controlador con soporte completo de TLS fue abierto a vSwitch “Virtual Switch” (Conmutador virtual), pero, ¿qué tan completo es?

...