Redes de datos con nombre

La filosofía detrás de NDN fue impulsada por Ted Nelson en 1979 y posteriormente por Brent Baccala en 2002. En 1999, el proyecto TRIAD en Stanford propuso evitar las consultas DNS utilizando el nombre de un objeto para enrutar hacia una réplica cercana. En 2006, el proyecto Data-Oriented Network Architecture ( DONA ) en UC Berkeley e ICSI propuso una arquitectura de red centrada en el contenido, que mejoró TRIAD al incorporar seguridad (autenticidad) y persistencia como primitivas de primera clase en la arquitectura. Van Jacobson dio una charla en Google Talk , "Una nueva forma de ver las redes" , en 2006 sobre la evolución de la red, y argumentó que NDN era el siguiente paso. En 2009, PARC anunció su arquitectura centrada en el contenido dentro del proyecto CCNx , que fue liderado por Jacobson, quien era investigador asociado en PARC en ese momento. El 21 de septiembre de 2009, PARC publicó las especificaciones para la interoperabilidad y lanzó una implementación inicial de código abierto (bajo GPL ) del proyecto de investigación de redes centradas en el contenido en el sitio del Proyecto CCNx . NDN es un ejemplo de una dirección de investigación de redes más general llamada redes centradas en la información (ICN), bajo la cual han surgido diferentes diseños de arquitectura. ^{[ 7 ]} El Grupo de Trabajo de Investigación de Internet (IRTF) estableció un grupo de trabajo de investigación de ICN en 2012.

NDN incluye dieciséis investigadores principales financiados por la NSF en doce campus y un creciente interés por parte de las comunidades de investigación académica e industrial. ^{[ 8 ] [ 9 ]} Más de 30 instituciones conforman un banco de pruebas global . Existe un amplio cuerpo de investigación y una base de código en constante crecimiento. contribuyeron a NDN.

El reenviador NDN es compatible actualmente con Ubuntu 18.04 y 20.04, Fedora 20+, CentOS 6+, Gentoo Linux, Raspberry Pi, OpenWRT, FreeBSD 10+ y otras plataformas. Se ofrece soporte para bibliotecas cliente comunes en C++, Java, JavaScript, Python, .NET Framework (C#) y Squirrel. NDN-LITE es una biblioteca NDN ligera diseñada para redes IoT y dispositivos con recursos limitados. NDN-LITE se encuentra en desarrollo activo y, hasta la fecha, se ha adaptado a placas POSIX, RIOT OS y NRF. También se dispone de un simulador y un emulador NDN , que se encuentran en desarrollo activo. Se están desarrollando diversas aplicaciones cliente para videoconferencias en tiempo real, sistemas de archivos compatibles con NDN, chat, intercambio de archivos e IoT.

La comunicación en NDN es impulsada por los receptores, es decir, los consumidores de datos, mediante el intercambio de dos tipos de paquetes: de interés y de datos. Ambos tipos de paquetes llevan un nombre que identifica una pieza de datos que puede transmitirse en un paquete de datos.

Tipos de paquetes

• Interés: Un consumidor introduce el nombre del dato deseado en un paquete de interés y lo envía a la red. Los enrutadores utilizan este nombre para reenviar el paquete de interés hacia el o los productores de datos.
• Datos: Una vez que la solicitud llega a un nodo que posee los datos solicitados, este nodo devuelve un paquete de datos que contiene tanto el nombre como el contenido, junto con una firma mediante la clave del productor que vincula ambos. Este paquete de datos sigue en sentido inverso la ruta que siguió la solicitud para regresar al consumidor solicitante.

Para consultar la especificación completa, véase la Especificación del formato de paquete NDN .

Para llevar a cabo las funciones de reenvío de paquetes de interés y datos, cada enrutador NDN mantiene tres estructuras de datos y una política de reenvío:

• Tabla de Intereses Pendientes (PIT): almacena todos los intereses que un enrutador ha reenviado pero que aún no ha satisfecho. Cada entrada de la PIT registra el nombre de los datos que contiene el interés, junto con sus interfaces de entrada y salida.
• Base de Información de Reenvío (FIB): una tabla de enrutamiento que asigna componentes de nombres a interfaces. La propia FIB se alimenta mediante un protocolo de enrutamiento basado en prefijos de nombres y puede tener múltiples interfaces de salida para cada prefijo.
• Almacenamiento de contenido (CS): caché temporal de paquetes de datos recibidos por el enrutador. Dado que un paquete de datos NDN es significativo independientemente de su origen o destino, puede almacenarse en caché para satisfacer necesidades futuras. Tradicionalmente, la estrategia de reemplazo es la de menor uso, pero esta la determina el enrutador y puede variar.
• Estrategias de reenvío: una serie de políticas y reglas sobre el reenvío de paquetes de datos e intereses. Tenga en cuenta que la estrategia de reenvío puede decidir descartar un interés en ciertas situaciones, por ejemplo, si todos los enlaces ascendentes están congestionados o si se sospecha que el interés forma parte de un ataque DoS. Estas estrategias utilizan una serie de activadores en la canalización de reenvío y se asignan a prefijos de nombres. Por ejemplo, de forma predeterminada, /localhost utiliza la estrategia de reenvío Multicast para reenviar intereses y datos a cualquier aplicación local que se ejecute en un NFD cliente. La estrategia de reenvío predeterminada (es decir, "/") es la estrategia de reenvío de Mejor Ruta.

Cuando llega un paquete Interest, un enrutador NDN primero verifica el Content Store en busca de datos coincidentes; si los encuentra, el enrutador devuelve el paquete de datos por la interfaz de origen del Interest. De lo contrario, el enrutador busca el nombre en su PIT y, si encuentra una entrada coincidente, simplemente registra la interfaz de entrada de este Interest en la entrada del PIT. En ausencia de una entrada coincidente en el PIT, el enrutador reenviará el Interest hacia el o los productores de datos basándose en la información de la FIB y en la estrategia de reenvío adaptativa del enrutador. Cuando un enrutador recibe Interests con el mismo nombre de varios nodos descendentes, reenvía solo el primero hacia el o los productores de datos.

Cuando llega un paquete de datos, un enrutador NDN encuentra la entrada PIT correspondiente y reenvía los datos a todas las interfaces descendentes listadas en dicha entrada. A continuación, elimina esa entrada PIT y almacena los datos en caché en el Content Store. Los paquetes de datos siempre siguen la ruta inversa a la de los Interests y, en ausencia de pérdidas de paquetes, un paquete Interest genera un paquete de datos en cada enlace, lo que proporciona equilibrio de flujo. Para recuperar objetos de contenido grandes que constan de varios paquetes, los Interests desempeñan una función similar a la de los TCP ACK en la Internet actual en el control del flujo de tráfico: un bucle de retroalimentación preciso controlado por el consumidor de los datos.

Ni los paquetes de interés ni los de datos contienen direcciones de host o de interfaz; los enrutadores reenvían los paquetes de interés hacia los productores de datos basándose en los nombres que contienen, y los reenvían hacia los consumidores basándose en la información de estado PIT establecida por los paquetes de interés en cada salto. Esta simetría en el intercambio de paquetes de interés y datos genera un bucle de control salto a salto (que no debe confundirse con el enrutamiento simétrico, ¡ni con el enrutamiento en general!), y elimina la necesidad de nociones de origen o destino en la entrega de datos, a diferencia del modelo de entrega de paquetes de extremo a extremo de IP.

Los nombres NDN son opacos para la red. Esto permite que cada aplicación elija el esquema de nomenclatura que mejor se adapte a sus necesidades, y así la nomenclatura puede evolucionar independientemente de la red.

El diseño NDN asume nombres con estructura jerárquica; por ejemplo, un video producido por UCLA podría tener el nombre /ucla/videos/demo.mpg, donde '/' delimita los componentes del nombre en representaciones de texto, de forma similar a las URL. Esta estructura jerárquica tiene muchos beneficios potenciales:

• Especificación de relaciones: permite que las aplicaciones representen el contexto y las relaciones de los elementos de datos. Ejemplo: el segmento 3 de la versión 1 de un video de demostración de UCLA podría llamarse /ucla/videos/demo.mpg/1/3.
• Agregación de nombres: /ucla podría corresponder a un sistema autónomo que origina el video.
• Enrutamiento: permite que el sistema se adapte y ayuda a proporcionar el contexto necesario para los datos.

Para recuperar datos generados dinámicamente, los consumidores deben poder construir de forma determinista el nombre de un dato deseado sin haber visto previamente el nombre o los datos a través de:

• Un algoritmo permite que el productor y el consumidor lleguen al mismo nombre basándose en la información disponible para ambos.
• Los selectores de interés, junto con la coincidencia del prefijo más largo, recuperan los datos deseados mediante una o más iteraciones.

La investigación actual explora cómo las aplicaciones deben elegir nombres que faciliten tanto el desarrollo de aplicaciones como la entrega en red. El objetivo de este trabajo es desarrollar y perfeccionar los principios y directrices existentes para la nomenclatura, convirtiendo estas reglas en convenciones de nomenclatura implementadas en bibliotecas del sistema para simplificar el desarrollo de futuras aplicaciones. ^{[ 12 ]}

Los datos que se pueden recuperar globalmente deben tener nombres únicos a nivel mundial, pero los nombres utilizados para comunicaciones locales pueden requerir solo enrutamiento local (o difusión local) para encontrar datos coincidentes. Los nombres de datos individuales pueden tener significado en diversos ámbitos y contextos, desde "el interruptor de la luz de esta habitación" hasta "todos los nombres de países del mundo". La gestión de espacios de nombres no forma parte de la arquitectura NDN, al igual que la gestión del espacio de direcciones no forma parte de la arquitectura IP. Sin embargo, la nomenclatura es la parte más importante del diseño de aplicaciones NDN. Permitir a los desarrolladores de aplicaciones, y a veces a los usuarios, diseñar sus propios espacios de nombres para el intercambio de datos tiene varias ventajas:

• aumentar la precisión del mapeo entre los datos de una aplicación y su uso de la red.
• reduciendo la necesidad de notación secundaria (registro para mapear la configuración de la aplicación a la configuración de la red).
• Ampliar el abanico de abstracciones disponibles para los desarrolladores.
• Las solicitudes de contenido basadas en nombres también plantean problemas de privacidad . Gracias a la separación de la gestión del espacio de nombres de la arquitectura NDN, es posible proporcionar un esquema de nombres que preserve la privacidad mediante cambios menores en el esquema de nombres NDN convencional. ^{[ 13 ]}

NDN enruta y reenvía paquetes basándose en nombres, lo que elimina tres problemas causados ​​por las direcciones en la arquitectura IP:

• Agotamiento del espacio de direcciones : el espacio de nombres NDN es esencialmente ilimitado. El espacio de nombres solo está limitado por el tamaño máximo del paquete de interés de 8 kb y el número de posibles combinaciones únicas de caracteres que componen los nombres.
• NAT traversal: NDN elimina las direcciones, públicas o privadas, por lo que NAT es innecesario.
• Gestión de direcciones: la asignación y gestión de direcciones ya no es necesaria en las redes locales.
• En la multidifusión de red : Un productor de datos no necesita recibir múltiples solicitudes de interés para los mismos datos, ya que las entradas PIT en los nodos de reenvío descendentes agregan dichas solicitudes. El productor recibe y responde a una única solicitud, y los nodos de reenvío que recibieron múltiples solicitudes entrantes reenviarán las respuestas de datos a las interfaces desde las que se recibieron dichas solicitudes.
• Confiabilidad de extremo a extremo con alta pérdida: Las redes basadas en IP requieren que el remitente retransmita los paquetes perdidos o descartados. Sin embargo, en NDN, si un interés caduca antes de que la respuesta de datos llegue al solicitante, los reenviadores a lo largo de la ruta de retorno aún almacenan en caché dicha respuesta. El interés retransmitido solo necesita llegar a un reenviador con una copia en caché de los datos, lo que proporciona a las redes basadas en NDN un mayor rendimiento que a las redes basadas en IP cuando las tasas de pérdida de paquetes son elevadas.

NDN puede utilizar algoritmos de enrutamiento convencionales como el estado de enlace y el vector de distancia . En lugar de anunciar prefijos IP , un enrutador NDN anuncia prefijos de nombre que cubren los datos que está dispuesto a servir. Los protocolos de enrutamiento convencionales, como OSPF y BGP , pueden adaptarse para enrutar en prefijos de nombre tratando los nombres como una secuencia de componentes opacos y realizando una coincidencia de prefijo más largo componente a componente de un nombre en un paquete Interest contra la tabla FIB . ^{[ 14 ]} Esto permite agregar una amplia gama de entradas en tiempo real y distribuirlas en múltiples entornos de interfaz simultáneamente sin comprometer el cifrado del contenido. ^{[ 15 ]} El proceso también preserva los análisis de interfaz clave. La transferencia de aplicaciones y el intercambio de datos dentro del entorno se definen mediante un marco de distribución multimodal, de modo que los protocolos de retransmisión en la nube afectados son únicos para el identificador de tiempo de ejecución individual. ^{[ 16 ]}

El estado PIT en cada enrutador admite el reenvío a través del plano de datos de NDN, registrando cada Interés pendiente y la(s) interfaz(ces) entrante(s), y eliminando el Interés después de que se reciban los Datos coincidentes o se produzca un tiempo de espera. Este estado por salto y por paquete difiere del plano de datos sin estado de IP. Con base en la información de la FIB y las mediciones de rendimiento, un módulo de estrategia de reenvío adaptativo en cada enrutador toma decisiones informadas sobre:

• Control de flujo: dado que cada Interés recupera como máximo un paquete de datos, un enrutador puede controlar directamente el flujo controlando la cantidad de intereses pendientes que mantiene.
• Entrega de datos multicast: el registro PIT, que indica el conjunto de interfaces por las que han llegado los mismos datos, admite naturalmente esta función.
• Actualizar las rutas para adaptarse a los cambios en su visión de la red. ^{[ 17 ]}
• Entrega: un enrutador puede razonar sobre qué intereses reenviar a qué interfaces, cuántos intereses insatisfechos permitir en el PIT, así como la prioridad relativa de los diferentes intereses.

Si un enrutador decide que no se puede satisfacer el Interés (por ejemplo, si el enlace ascendente está caído, no hay entrada de reenvío en la FIB o se produce una congestión extrema), puede enviar un NACK a sus vecinos descendentes que transmitieron el Interés. Este Acuse de Recibo Negativo (NACK) puede provocar que el enrutador receptor reenvíe el Interés a otras interfaces para explorar rutas alternativas. El estado PIT permite a los enrutadores identificar y descartar paquetes en bucle, lo que les permite usar libremente múltiples rutas hacia el mismo productor de datos. Los paquetes no pueden formar bucles en NDN, lo que significa que no es necesario el tiempo de vida ni otras medidas implementadas en IP y protocolos relacionados para abordar estos problemas.

A diferencia de la seguridad TCP/IP (por ejemplo, TLS), que protege la comunicación al asegurar los canales IP a IP, NDN protege los datos en sí mismos al exigir que los productores de datos firmen criptográficamente cada paquete de datos. La firma del publicador garantiza la integridad y permite la autenticación de la procedencia de los datos , lo que permite que la confianza del consumidor en los datos se desvincule de cómo o dónde se obtienen. NDN también admite la confianza granular, lo que permite a los consumidores razonar si el propietario de una clave pública es un publicador aceptable para un dato específico en un contexto específico. El segundo eje principal de investigación es el diseño y desarrollo de mecanismos utilizables para gestionar la confianza del usuario. Se han investigado tres tipos diferentes de modelos de confianza:

• Modelo de confianza jerárquico: donde un espacio de nombres de claves autoriza el uso de claves. Un paquete de datos que contiene una clave pública es, en efecto, un certificado, ya que está firmado por un tercero, y esta clave pública se utiliza para firmar datos específicos. ^{[ 18 ]}
• red de confianza : para permitir una comunicación segura sin requerir anclas de confianza previamente acordadas. ^{[ 19 ]}
• Confianza ligera para IoT : El modelo de confianza NDN se basa principalmente en criptografía asimétrica , lo cual es inviable para dispositivos con recursos limitados en el paradigma de IoT. ^{[ 13 ]}

La seguridad centrada en datos de NDN tiene aplicaciones naturales en el control de acceso al contenido y la seguridad de la infraestructura. Las aplicaciones pueden cifrar datos y distribuir claves como paquetes con nombre utilizando la misma infraestructura con nombre para distribuir claves, lo que limita el perímetro de seguridad de los datos al contexto de una sola aplicación. Para verificar la firma de un paquete de datos, una aplicación puede obtener la clave apropiada, identificada en el campo de localización de clave del paquete, al igual que con cualquier otro contenido. Sin embargo, la gestión de la confianza, es decir, cómo determinar la autenticidad de una clave dada para un paquete particular en una aplicación dada, es un desafío de investigación fundamental. En consonancia con un enfoque experimental, la investigación sobre la gestión de la confianza de NDN está impulsada por el desarrollo y el uso de aplicaciones: primero se resuelven problemas específicos y luego se identifican patrones comunes. Por ejemplo, las necesidades de seguridad de NLSR requirieron el desarrollo de un modelo de confianza jerárquico simple, donde las claves en los niveles inferiores (más cercanos a la raíz) se utilizan para firmar claves en niveles superiores en los que las claves se publican con nombres que reflejan su relación de confianza. En este modelo de confianza, el espacio de nombres coincide con la jerarquía de delegación de confianza, es decir, /raíz/sitio/operador/enrutador/proceso. La publicación de claves con un nombre particular en la jerarquía las autoriza a firmar paquetes de datos específicos y limita su alcance. Este paradigma puede extenderse fácilmente a otras aplicaciones donde la confianza en el mundo real tiende a seguir un patrón jerárquico, como en nuestros sistemas de gestión de edificios (BMS). ^{[ 20 ]} Dado que NDN deja el modelo de confianza bajo el control de cada aplicación, también se pueden expresar relaciones de confianza más flexibles y expresivas. Un ejemplo de ello es ChronoChat, ^{[ 19 ]} que motivó la experimentación con un modelo de red de confianza. El modelo de seguridad es que un participante actual de la sala de chat puede presentar a un recién llegado a otros firmando la clave del recién llegado. Las aplicaciones futuras implementarán un modelo de certificación cruzada (SDSI) [13, 3], que proporciona mayor redundancia de verificación, permitiendo que los nombres de los datos y las claves sean independientes, lo que se adapta más fácilmente a una variedad de relaciones de confianza en el mundo real.

Además, NDN trata los mensajes de control y enrutamiento de red como todos los datos NDN, requiriendo firmas. Esto proporciona una base sólida para proteger los protocolos de enrutamiento contra ataques, por ejemplo, suplantación y manipulación. El uso de reenvío de rutas múltiples de NDN, junto con el módulo de estrategia de reenvío adaptativo, mitiga el secuestro de prefijos porque los enrutadores pueden detectar anomalías causadas por secuestros y recuperar datos a través de rutas alternativas. ^{[ 21 ]} Debido a la naturaleza de entrega de contenido de multidifusión y multiorigen de Named Data Networking , la codificación lineal aleatoria puede mejorar la eficiencia general de la red. ^{[ 22 ]} Dado que los paquetes NDN hacen referencia al contenido en lugar de a los dispositivos, es más difícil atacar maliciosamente un dispositivo en particular, aunque se necesitarán mecanismos de mitigación contra otros ataques específicos de NDN, por ejemplo, DoS de inundación de interés . ^{[ 23 ] [ 24 ]} Además, tener una tabla de interés pendiente, que mantiene el estado con respecto a las solicitudes pasadas, que puede tomar decisiones informadas sobre cómo manejar el interés tiene numerosas ventajas de seguridad: ^{[ 25 ]}

• Balanceo de carga: el número de entradas PIT es un indicador de la carga del enrutador; limitar su tamaño reduce el efecto de un ataque DDoS.
• Tiempo de espera de interés: Los tiempos de espera de entrada de PIT ofrecen una detección de ataques relativamente económica, y la información de la interfaz de llegada en cada entrada de PIT podría admitir un esquema de retroceso en el que los enrutadores descendentes son informados de los intereses no atendidos, lo que ayuda a detectar ataques.