無線Mesh網(wǎng)絡安全機制研究.pdf

1、無線Mesh網(wǎng)絡是一種自組織和自配置我多跳網(wǎng)絡。作為Internet的擴展和延伸，由于其具有自組織、自配置、靈活性等特點，在家庭、企業(yè)和公共場所等諸多領域都具有廣闊的應用前景。無線Mesh網(wǎng)絡既不同于完全移動的Ad Hoc網(wǎng)絡和無線傳感器網(wǎng)絡，也不同于基礎結構式的無線局域網(wǎng)。而是基礎結構網(wǎng)絡與Ad Hoc網(wǎng)絡的結合體。
　　 無線Mesh網(wǎng)絡使用無線鏈接建立回程網(wǎng)絡，相比傳統(tǒng)的有線網(wǎng)絡，具有經(jīng)濟性、靈活性、可快速部署等優(yōu)點。但也

2、由其傳輸暴露性和多跳性而更脆弱、更容易受到攻擊。因此無線Mesh網(wǎng)絡具有更高的安全需求。尤其是企業(yè)用戶，既需要防止非法用戶接入網(wǎng)絡，還要保證用戶數(shù)據(jù)的安全。
　　 在傳統(tǒng)有線網(wǎng)絡中基礎設施可以得到很好的保護。而無線Mesh網(wǎng)絡的網(wǎng)絡設備布置在室外，其安全性無法得到保證。無線Mesh的安全機制設計，還面臨網(wǎng)絡邊界不明確、傳輸介質(zhì)暴露、網(wǎng)絡帶寬有限、網(wǎng)絡實體和網(wǎng)絡結構的異構等諸多挑戰(zhàn)?；谝陨戏治觯疚尼槍o線Mesh網(wǎng)絡安全機制進

3、行了研究。研究工作主要包括以下內(nèi)容：
　　 （1）提出了一種基于路由驅動的安全機制，通過結合端到端的安全連接和本地安全連接，保證數(shù)據(jù)傳輸過程中的機密性和完整性，同時保證了網(wǎng)絡服務的可用性。該機制是在路徑發(fā)現(xiàn)的過程中，完成了源節(jié)點和目的節(jié)點之間的雙向鑒權及密鑰協(xié)商，在路由發(fā)現(xiàn)完成的同時，建立了一條端到端的安全連接。該連接使用高效的對稱加密算法，并使用hash算法進行簽名驗證。在安全連接中，共享密鑰及簽名采用分布式更新，由節(jié)點自身產(chǎn)

4、生并協(xié)商共享密鑰，密鑰更新具有分布式、周期短等特點。端到端安全連接與本地安全連接相結合，既保證了數(shù)據(jù)的端到端的機密性和完整性，又實現(xiàn)了報文的逐跳驗證。兩種連接獨立建立，但結合使用，中間節(jié)點不必為實現(xiàn)逐跳驗證而保留大量信息，這對路由及數(shù)據(jù)的安全具有重要意義。除了實現(xiàn)數(shù)據(jù)傳輸?shù)亩说蕉藱C密性和完整性以外，該機制還包括對控制幀及管理幀的簽名及加密。根據(jù)本地安全連接定義，所有節(jié)點發(fā)送的控制幀或管理幀必須帶有合法的簽名并加密才能夠被鄰居節(jié)點接受，從

5、根本上避免了大量基于這兩類幀的拒絕服務攻擊。
　　 （2）提出了一種針對無線Mesh網(wǎng)絡的匿名通信協(xié)議。該協(xié)議通過使用群簽名技術替代（1）中的公鑰加密算法，并擴展端到端安全連接建立方法，節(jié)點之間在匿名條件下完成雙向鑒權。用戶注冊無線服務時，由可信第三方給用戶分配一個唯一的群組私鑰和一個公用的群組公鑰。利用群組私鑰和DH密鑰協(xié)商機制，節(jié)點進入網(wǎng)絡后，可以通過匿名方式與鄰居節(jié)點建立本地安全會話，并通過匿名路由發(fā)現(xiàn)協(xié)議與網(wǎng)關建立安全連

6、接。不論是鄰居節(jié)點還是網(wǎng)關節(jié)點都能夠在不知曉節(jié)點身份的情況下使用群組公鑰驗證節(jié)點的合法性。每條數(shù)據(jù)流都有獨立的路由，每條路由的表現(xiàn)形式是在中繼節(jié)點上的假名和上下行共享密鑰。通過這些臨時建立的路由可以實現(xiàn)匿名名的消息傳遞，中繼節(jié)點只知道消息的上行與下行節(jié)點，但無法判斷消息的來源及目的地。在路由建立和數(shù)據(jù)傳輸過程中，所有的報文都被分割為同樣長度，因此該機制能夠有效抵御針對流量分析的攻擊。
　　 （3）提出一種針對無線Mesh網(wǎng)絡的層

7、次式的入侵檢測系統(tǒng)。系統(tǒng)共三個層次：中心檢測服務器、路由器檢測點、用戶區(qū)檢測點。最上層的中心檢測服務器位于網(wǎng)關路由處，可保證安全和可信。中心服務器提供管理員查看整個個網(wǎng)絡的安全狀況，同時還用于統(tǒng)計評定節(jié)點的信任值，當發(fā)現(xiàn)有節(jié)點信任值過低于閾值時發(fā)出警報。路由器檢測點不需要考慮能量和計算問題，因此該部分檢測點執(zhí)行核心的入侵檢測功能，檢測采用異常檢測和誤用檢測相結合的方法。除了具有本地檢測引擎外，路由器檢測點還可以與鄰居節(jié)點共享檢測信息，發(fā)

8、起聯(lián)合檢測。檢測到攻擊或入侵時，節(jié)點需要上報服務器并發(fā)起本地響應，服務器收到消息后決定是否向整個網(wǎng)分發(fā)該警報并發(fā)起全局響應。用戶節(jié)點區(qū)域檢測節(jié)點能量和計算能力有限，因此專門設計了輕量化檢測引擎，只分析報文頭部并進行濫用檢測。用戶區(qū)節(jié)點需要要采集到的數(shù)據(jù)上報給路由器檢測點，通過報文過濾規(guī)則庫削減報文回傳數(shù)量，減少報文發(fā)射的能量消耗。本文還引入了基于TMBS信任模型的信任機制。網(wǎng)絡內(nèi)的每個節(jié)點通過監(jiān)測與交互得出對鄰居節(jié)點的評價，并評價信息上