（信息与通信工程专业论文）移动自组网协同安全关键技术的研究.pdf

南京邮电人学硕士研究生学位论文摘要 摘要 移动自组网是一种特殊的对等式网络，具有自治性、无基础设施、快速组网的特点， 但容易引发安全问题。移动自组网中节点间的通信通过无线信道、由多个节点转发来共同 完成，因此，节点合作与否是实现通信的关键。协同安全机制是解决网络内部恶意节点和 自私性节点不合作行为的有效方法。本文主要研究在缺少预先约定的信任关系的情况下如 何激励节点合作性的问题。 本文首先分析了移动自组网的安全特性及安全威胁，总结了现有的安全策略研究现 状，并分析了它们的优点与缺点。针对非协同性网络中存在的节点的不合作行为，本文指 出了节点缺乏合作性的主要动机：自私性因素和恶意动机。在此基础上提出了节点不合作 性的攻击模型，并通过模拟仿真考查了节点自私行为对网络性能的影响。接着总结并分析 了现有的针对不合作节点行为所提出的抵御方案：基于虚拟货币的协同方案和基于声誉值 的协同方案。在已有研究的成果上，本文提出了一种声誉机制评价模型c r e m ，该模型 充分考虑到了移动自组网的特性，对声誉值的计算进行了优化，采用局部传输、逐步扩散 的方法来实现信息共享的目的，具有分布性、协作性和灵活性的特点。然后提出了基于该 声誉模型的安全路由协议i 迮m d s r 协议。仿真结果表明，c r e m - d s r 协议能够较 快的检测出网络中不合作节点并予以适当的处置，在网络吞吐量和包传输率方面有良好的 性能。最后，本文提出了将协同激励方案和能量感知相结合的路由设计思想，解决了能量 感知路由无法监测和惩罚谎报能量的自私节点的缺陷，提高了能量感知路由协议的性能。 关键字：移动自组网，安全，协同，声誉机制 南京邮电火学硕- t 研究生学位论文a b s t r a c t a b s t r a c t m o b i l ea dh o cn e t w o r ki sas p e c i a lp e e r - t o p e e rn e t w o r kw h i c hi s s e l f - o r g a n i z e d , i n f r a s t r u c t u r e l e s sa n dd y n a m i c a l l yr e c o n f i g u r a t i o n ，b u tv e r yv u l n e r a b l et oaw i d ev a r i e t yo f a t t a c k s i na dh o cn e t w o r k ，n o d e sc o o p e r a t eb yf o r w a r d i n gp a c k e t sf o re a c ho t h e rt oa l l o wt h e m t oc o m m u n i c a t eb e y o n dd i r e c tw i r e l e s st r a n s m i s s i o nr a n g e t h e r e f o r e ，t h ec o o p e r a t i o no fn o d e s i sak e yi s s u et oc o m m u n i c a t i o n t h ec o o p e r a t i v es e c u r i t ys c h e m e so f f e rt h er e a s o n a b l e e f f e c t i v es o l u t i o nt or e s o l v et h eu n c o o p r a t i v eb e h a v i o rw h i c hl a u n c h e db yt h em a l i c i o u sa n d s e l f i s hn o d e si nt h em o b i l ea dh o cn e t w o r k t h i st h e s i sm a i n l yd i s c u s s e sh o wt oi n s p i r i tn o d e s t oc o o p e r a t eu n d e rt h ec o n d i t i o nw h i c hl a c k sap r i o rt r u s tr e l a t i o n s h i p a tf a s t , t h i st h e s i sa n a l y s e st h es e c u r i t yi s s u e si na dh o en e t w o r k ，m a k e sac o m p a r i s o na n d d i s c u s s i o no ft h e i rr e s p e c t i v em e r i t sa n df a u l t s i nt h en o - c o o p e r a t i o nn e t w o r k ，s e l f o c o n c e ma n d m a l i c em a k et h en o d e sn o tc o o p e r a t ew i t ho t h e r s t h i st h e s i sp r o p o s e sa l lu n c o o p r a t i v ea t t a c k m o d e la n de x a m i n e st h ee f f e c to ft h i sm o d e lb ys i m u l a t i o n s i m u l a t i o nr e s u l t ss h o wt h a ts e l f i s h b e h a v i o rc a na f f e c tt h en e t w o r kp e r f o r m a n c ei nal a g r ed e g r e e t h e n , b a s e do nt h et h ee x i s t i n g r e s e a r c ho ft h ec o o p e r a t i o ns c h e m e s ：v i r t u a lc u r r e n c yb a s e ds c h e m e sa n dr e p u t a t i o nb a s e d s c h e m e s ，a l lo p t i m i z e dr e p u t a t i o ns y s t e mc r e mi sp r e s e n t e d t h em o d e lf u l l yc o n s i d e r st h e c h a r a c t e r i s t i co fm o b i l ea dh o cn e t w o r k , o p t i m i z e st h ec a l c u l a t i o no fr e p u t a t i o n , a n ds h a r e st h e i n f o r m a t i o nb e t w e e nn o d e s b yt r a n s m i t t i n gl o c a l l y i t h a st h ec h a r a c t e r s o f d i s t r i b u t i o n , c o o p e r a t i o na n df a c i l i t y o nb a s i s o ft h ec r e mm o d e l ，t h i st h e s i s p r o p o s e s a s e c u r i t yr o u t i n gp r o t o c o l ( c r e m - d s r ) s i m u l a t i o nr e s u l t ss h o wt h a ti tc a l lf l e e t l yd e t e c tt h e u n c o o p r a t i v en o d e s ，g i v et h ea p p r o p r i a t ep u n i s h m e n t ，a n dg e tb e t t e rp e r f o r m a n c eo nt h r o u g h p u t a sw e l la sp a c k e t sd e l i v e r yr a t i oa n dp a c k e t sd r o pr a t i o f i n a l l y , ar o u t i n gs c h e m ec o m b i n i n gt h e c o o p e r a t i o ns c h e m ea n dt h ee n e r g y - a w a r er o u t i n gi sp r o p o s e d t h es c h e m er e s o l v e st h ep r o b l e m t h a tt h ee n e r g y - a w a r er o u t i n gp r o t o c o lc a n n o td e t e c ta n dp u n i s ht h ee n e r g y - - m i s r e p o r t i n gs e l f i s h n o d e s ，m o r e o v e r , i tc a ni m p r o v et h er o u t i n gp e r f o r m a n c e k e y w o r d s ：m o b i l ea dh o e ；s e c u r i t y ；c o o p e r a t i o n ；r e p u t a t i o ns y s t e m s i i 南京邮电大学学位论文独创性声明 本人声明所呈交的学位论文是我个人在导师指导下进行的研究工作及取 得的研究成果。尽我所知，除了文中特别加以标注和致谢的地方外，论文中 不包含其他人已经发表或撰写过的研究成果，也不包含为获得南京邮电大学 或其它教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研 究所做的任何文献均已在论文中作了明确的说明并表示了谢意。 研究生签名：3 矗谴：日期： 垒3 ：生：! l 南京邮电大学学位论文使用授权声明 南京邮电大学、中国科学技术信息研究所、国家图书馆有权保留本人所送 交的学位论文的复印件和电子文档，可以采用影印、缩印或其他复制手段保 存论文。本人电子文档的内容和纸质论文的内容相一致。除在保密期内的保 密论文外，允许论文被查阅和借阅，可以公布( 包括刊登) 论文的全部或部 分内容。论文的发布( 包括刊登) 授权南京邮电大学研究生部办理。 研究生签名： 谴盛：导师签名：日期：呈兮：生：! l 南京衄电大学硪士研究生学位论文第一章绪论 1 1 课题背景 第一章绪论 移动自组网m a n e t ( m o b i l e a d h o e n e t w o r k ，简称移动a d h o c 网络) 1 1 是由一组带 有无线收发装置的移动终端组成的一个多跳的临时性自治系统。典型结构如图l _ 1 所示。 由于移动a db o c 网络具有分布式控制、无中心、多跳路由、节点可移动、自组织等技术 特点，使得它具有可快速临时组喇、系统抗毁性强、无需架设网络基础设施等优点，在很 多特殊场合的通信应用中具有独特的优势。 移动a dh o c 网络借助介质访问控制( m e d i aa c c e s sc o n t r o l ，m a c ) 、路由选择等算 法，可快速适应网络的动志拓扑变化( 节点移动、链路干扰与阻塞) ，适应于带宽受限( 节 点的分组处理能力、链路容量可变) 和功率受限( 小型化节点设备) 的通信应用环境。此 外，移动a d h o e 同络无需任何固定的基础设施，可实现网络的快速展开嘲 印乞单 落 。一。p s 矿”牟”品e ( a ) 物理阿络结构( b ) 逻辑网络结构 图1 1 移动自组网示意图 然而作为一种特殊的无线移动网络由于采用无线信道、有限电源、分布式控制等技 术，移动a d h o e 同络更加容易受到被动窃听、主动入侵、拒绝服务( d o s ) 、剥夺。睡眠” 等网络攻击。由于移动a dh o e 网络中的节点可以随意地加入和离开，网络的拓扑结构将 不断地动态变化，要实现多跳路由需要由节点充当路由器。接受和转发报文，并实现相 应的路由协议，这使得移动a dh o c 网络的安全问题，特别是路由协议的安全比传统有线 网络中要复杂地多。除了一般的安全考虑，移动a dh o e 网络还面临着特有的一些安全威 胁。 l 南京邮电大学硕t 研究生学位论文第一章绪论 安全性是决定移动a dh o c 网络潜能能否得到充分施展的一个关键所在。由于不依赖 固定基础设施，移动a dh o c 网络向其安全体系结构的设计提出了新的挑战。和传统网络 相比，移动a dh o e 网络更易受到各种安全威胁和攻击，包括被动窃听、数据篡改和重发、 伪造身份和拒绝服务等。用于传统网络的安全解决方案不能直接应用于移动a dh o e 网络， 现存的用于移动a dh o c 网络的大多数协议和提案也没有很好地解决安全问题，特别是没 有考虑移动a dh o e 网络的实际特点和特定环境。在移动a dh o e 网络的所有安全威胁中， 来自内部节点的安全威胁是最严重的，也是移动a dh o e 网络其它安全机制实现的基础。 因此，近几年，增强节点之间的协同成为移动a dh o e 网络安全方面的一个新的研究方向。 当前，国内外在a dh o e 网络节点协同性研究方面已经取得了一定进展。该领域的关 键技术包括节点协作激励、协作计费、协作路由等。i n t e r n e t i 程任务组( i n t e m e te n g i n e e r i n g t a s kf o r c e ，i e t f ) 已经公布了几种协作激励机制和协作路由协议草案。这些技术在增强 移动a dh o e 网络安全性方面有了进一步的突破，但是这些方案在性能、通用性等方面， 离实用还有很大的距离。因此，能够适应不同的网络规模和网络环境并且具有较高适用性 的协作方案的出现还需要进一步的大量的研究。 本课题的目标是：针对当前已有的各种移动自组网协同技术，给出各种协同激励机制 和典型协议的分类和介绍，指出当前该领域研究存在的缺陷和不足；在此基础上提出一种 优化的协同激励机制和协同路由协议，并通过仿真实验给出增加协同激励机制前后路由协 议的性能比较：然后将协同激励机制应用到能量感知路由协议设计中，实现感知和协同技 术的优势联合，从而进一步改善能量感知路由协议的安全性能。 1 2 移动自组网安全概况 1 2 1 安全问题面临的挑战 移动a d h o e 网络由于其特有的网络结构，在安全方面面临很多挑战【2 1 。具体可以概括 为以下几个方面l ( 1 ) 传输信道方面 移动a dh o c 网络采用无线信道作为传输媒介，信息在空中传输，任何人都可接收，无 需像有线网络一样，要切割通信电缆并搭接才能窃听，所以信息容易被敌方窃听。除此之 外，无线信道还容易遭受敌方的干扰和注入假报文。总之，攻击者很容易通过无线链路窃 听、假冒、篡改和转发在其上传输的信息。 2 南尿邮电大学硕士研究生学位论文第一章绪论 ( 2 ) 移动节点方面 移动a dh o c 网络节点是自主移动的，不像固定网络的节点，可以被置于安全的房间内 实施保护。尤其是军事场合的移动a dh o c 网络，节点在移动过程中容易被敌方截获并破译、 篡改其内部的密钥、报文等信息，截获后的节点重新以正常身份进入原来的网络，用来为 敌方获取秘密和破坏网络的正常运作。因此，节点本身的安全性是十分脆弱的，移动a dh o e 网络不仅要防范恶意节点的入侵，还要对抗内部恶意节点的攻击。 ( 3 ) 动态的拓扑 移动a dh o c 网络中节点的位置是不固定的，可以随时移动，因此网络拓扑结构不断变 化。动态的拓扑造成以下几个方面的安全挑战：一条正确的路由可能由于目的节点移动 到通信范围之外而不可达，也可能由于路由的中间节点移动而中断。因此，难以区分错误 的路由是因为节点移动造成的还是虚假路由信息形成的。由于节点的移动性，在某处已 经被识别的攻击节点可以通过移动到新的地点并改变标识来重新加入网络。动态的拓扑 结构和节点数目的不断变化( 移动节点不断加入和离开网络) 也会导致节点之间的信任关系 经常改变，特别是检测出被攻破移动节点以后，其它移动节点对它们的信任也随之消失。 由于拓扑结构的动态变化，移动a dh o c 网络没有边界，无法应用防火墙来实施安全保护。 ( 4 ) 安全机制方面 在传统的公钥密码体制中，用户采用加密、数字签名、报文鉴别码等技术来实现信息 的机密性、完整性、不可抵赖性等安全服务。这些技术都需要一个信任的认证中心来提供 密钥管理服务。然而在移动a dh o c 网络中不允许存在单一的认证中心，否则认证中心的崩 溃将造成整个网络无法获得认证，更为严重的是，被攻破的认证中心可能被攻击者利用， 签发错误的证书，假冒网络中任一个移动节点，或废除所有合法的证书，致使网络完全失 去安全性。如果通过备份认证中心的方法，虽然提高了抗毁性，但也增加了被攻击的目标， 任一个认证中心被攻破，整个网络都会失去了安全性。 ( 5 ) 路由协议方面 路由协议的实现也是移动a d h o c 网络安全方面的一个弱点。首先，移动a dh o c 网络的 最大特点在于其没有中心路由节点，所有的移动节点都参与路由工作，因此对其中任一节 点的攻击都可能影响其它节点的路由服务甚至造成整个网络拓扑的破坏。其次，目前已研 究出的路由算法都是建立在节点相互合作的假设之上。如果某些自私节点为了节省自身资 源而停止为其他节点转发数据，就会严重影响整个网络的性能。另外，一些恶意节点通过 广播假的路由信息或故意散布大量无用的数据包也会使整个网络崩溃。总之，a dh o c 网络 的网络层面临的安全威胁可以分为两大类：控制层攻击和数据层攻击。为了确保分组的成 3 南京邮电入学硕士研究生学位论文第一章绪论 功传送，必须同时保证控制层的路由安全和数据层分组转发的安全。 1 2 2 典型安全策略 由于移动a dh 0 口安全上的脆弱性，对其安全性的研究一直是该网络研究的重要方面。 研究的方向既有基础研究，包括密钥管理策略、节点入侵检测机制等，又有应用研究，如 安全路由协议、公平抗抵赖的消息交换协议等。前者为保证移动自组网的机密性、完整性、 非抵赖性、可用性等安全目标提供了基础设施，后者则是在前者基础上的具体安全应用方 案。接下来，首先将a dh o c 网络中现有的典型安全策略归纳如图1 2 所示，然后结合现 有的研究成果，简要说明每一种安全策略实现的关键技术 引。 路由 安全 现有的安 全路由协 议 a r a n 、 a o d v 、 s e a d 、 s r p a dh o c 网络安全策略 密钥 管理 基于概率 的预分配 密钥和组 密钥管理 协议 认证 机制 有基于身份 和基于口令 的认证机 制，认证模 型有1 ，r p 、 信任链和局 部认证 访问 控制 访问的授 权和认证 信任 模型 基于p l ( i 的网络信 任模型 其他 安全 密码算 法、数字 签名、入 侵检测等 图1 2a d h o c 网络的安全策略 ( 1 ) 安全路由协议 由于常用m a n e t 路由协议，如d s d v ，d s r ，w r p ，a o d v ，o l s r 等不具备安全 性，容易遭到伪装、纂改和重放消息、拒绝服务等攻击，因此必须提供可靠的路由安全服 务，阻止任何恶意节点对网络中各节点路由的生成与维护。具体需要做到以下几点：路 由签名不会被假冒：被伪造过的路由消息不被接受；路由消息在传输过程中不能被非 法修改，由于路由协议本身的需要作出的修改除外：防止被恶意攻击造成路由环路； 能抵御拒绝服务攻击。但是，目前已提出的用于移动a dh o c 网络的路由协议大都没有考 虑这个问题。路由协议的安全威胁主要来自两个方面：一是网络外部的攻击者通过发送错 误的路由信息、重放过期的路由信息、破坏路由信息等手段，来达到分割网络、产生无效 4 堕塞堕皇奎兰堡主竺窒竺堂垡堡茎蔓二皇丝丝 的错误路由、分组无谓的重传、网络发生拥塞并最终导致网络崩溃的目的，攻击者还可以 通过分析路由业务流量来获取有用信息；二是网络内部的攻击者可以向网内其他节点发布 错误的路由信息和丢弃有用的路由信息。两种攻击都会造成网络中的合法节点无法得到应 有的服务，因此也可以看作为一种拒绝服务攻击。 对于第一种威胁，可以通过传统的安全加密机制进行解决，例如带有时间戳的数字签 名。对第二种威胁的解决相对较困难，因为被占领的节点可以使用合法的私有密钥对路由 信息进行签名，对路由信息进行加密的机制不再可行。一种可行的方法就是要求合法节点 周期性的交换标识序列符。标识序列符由节点的标识符和序列号组成。入侵者在一个有效 的时间窗口内重放一个具有时间标签的消息，虽然能够获得合法的密钥，但它很难知道标 识序列符，因此可以在一定程度上减少这种攻击带来的威胁。 表1 1 对现有的一些安全路由协议从安全技术、基本路由协议、优缺点等几个方面进 行了比较。 表1 1a dh o e 网络现有安全路由协议的比较 安全路由 s a o d v 4 1s p 5 1s a r 6 1a r a n i v s e a d l 8 1a r i a d n e 9 协议 节点信任广播认证 数字签名 端到端对等级划分端到端验 单向h a s h 机制，单向 安全技术 称加密认 作为选路证；数字证 链表保护 h a s h 链， h a s h 链表路由信息 端到端的证标准：信任书 域 等级加密身份认证 基本路由 a o d vd s ra o d va o d vd s d vd s r 协议 协议简单，保证传输安全性能 可有效防 有效防止 有效防止攻可有效防路径的安高，可有效 止恶意节 内部和外 击节点的路止中间节 全，克服传 防止中间部恶意节 优点点对路由 点对路由由伪造和路点以假冒统源路由恶意节点 信息域的 信息的修由篡改为手段的协议中的篡改路由 篡改 各类攻击节点假冒信息改和伪造 不能避免信任等级须事先知只可阻止 基于公开密 恶意节点 的划分较 需要可信 道h a s h 链恶意行为， 钥机制的c a 以中间节困难，且共 任的第三 的最后一但无法检 缺陷 点的身份享密钥的 方；资源消 个元素及测出恶意 系统，节点资 加入路由； 分配、管理 耗和网络 长度，不符 节点，对隐 源消耗严重 负载严重 容易暴露和维护很合动态特蔽攻击缺 网络拓扑困难 增加 性乏抵制 ( 2 ) 防止信息窃取攻击 使用多跳的无线链路使a dh o e 网络容易受到诸如被动窃听、主动入侵、信息假冒等 各种信息窃取攻击。被动窃听可能使敌方获取保密信息，而通过主动窃取攻击，敌方可以 5 南京邮电大学顿i ：研究生学位论文第一章绪论 删除有用信息、插入错误信息或修改信息，从而破坏了数据的可用性、完整性、安全认证 和抗抵赖性。 对付被动窃听攻击，可以根据实际情况采用i p s e c 中的安全套接字协议( s s l ) 或封装安 全净荷( e s p ) 机制。封装安全净荷机制可以为不能支持加密的应用程序提供端到端的加密 功能，它不仅可以对应用层数据和协议报头加密，还能对传输层报头加密，从而可以防止 攻击者推测出运行的是哪种应用程序，具有较好的安全特性。对付主动攻击可以采用带有 认证的端到端加密的方法。 ( 3 ) 密钥管理协议 和任何其他分布式系统一样，正确地使用密钥管理系统对于a dh o c 网络的安全性能 十分重要，需要一种与情景相关的高效的密钥管理系统。节点通过协商使用共享密钥或交 换公钥来加密数据以防窃听。对于快速变化的a dh o c 网络，密钥的交换可能需要按需进 行而不能假设实现协商好的密钥。而对于拓扑变化较慢的小型a dh o c 网络，密钥可以进 行协商或手工配置。如果采用公钥体系，则整个保护机制依赖于私钥的安全性。由于节点 的物理安全性较低，私钥必须秘密地存储在节点中，例如使用一个系统密钥加密。但是这 并非动态a dh o c 网络所期望的特征，单独采用硬件保护和集中式管理都不可行，因此需 要采用分布式密钥管理机制。 密钥管理面临的问题根据其通信方式不同可分为单播通信的密钥管理问题以及组播 通信的密钥管理问题。在点到点通信即单播通信中，密钥管理的关键问题为信任关系的建 立以及会话密钥的生成。如何确信对方的身份以及如何安全地产生会话的加密密钥都与所 采用的密码系统密切相关。在移动自组网中如果使用对称加密体制，易遭受中间入攻击， 并且难于排除恶意的内部节点的危害。采用非对称加密体制，私有密钥的安全以及节点公 开密钥的鉴别是其核心问题。基于秘钥共享体制的自组织c a ( c e r t i f i c a t e a u t h o r i t y ) 着重研 究了证书服务的可用性问题，提出了适合移动自组网特点的证书服务模型和框架。组密钥 管理系统主要研究信任模型、组密钥的生成、分发、更新、一致性等问题。目前提出的组 密钥协议可分为集中式、分布式和协商式。集中式组密钥生成方式中，由集中控制节点生 成组密钥，该方法虽然简单，但是存在单点失效问题；分布式方法中，组密钥由少数中心 控制节点生成，该方法不但简单，而且避免了单点失效问题；而协商方式，需要所有组成 员参与组密钥的生成，虽然通信代价较大，但是通信消息无需加密。 ( 4 ) 认证协议 不同的应用环境可以采用不同的认证机制。a s o k a n 等人提出的基于口令的认证协议 ( p b a ，p a s s w o r db a s e da u t h e n t i c a t i o n ) 继承了加密密钥交换协议( e n c r y p t e dk e ye x c h a n g e ) 6 南京邮电大学硕士研究生学位论文第一章绪论 的思想。在p b a 中，所有与会者都参与会话密钥的生成，从而保证了最终的密钥不是由 极少数与会者产生的，攻击者的干扰无法阻止密钥的生成。同时，p b a 还提供了一种完 善的口令更新机制，与会者之间的安全通信可以基于动态改变的口令来建立。按照这种方 式，即使攻击者知道了当前的口令，它也无法知道之前的和将来的口令，从而进一步减少 了信息泄密的概率。另外，移动设备的能源和c p u 处理能力非常有限，使得移动节点难 以实现公开密钥加密算法。f r a n ks t a n j n o 等人针对此问题提出了一种称为“复活鸭子 的 安全模式。鸭子破壳而出之后，它会把见到的第一个移动物体视为它的母亲。m a n e t 也 可以采用类似的策略，也就是把第一个给它发送密钥的实体作为它的拥有者。在必要时， 拥有者可以清除留给节点的印象，令其“灵魂死亡，一直等到下一个拥有者出现时它才 “复活”。在节点“死亡”之前，它只接受拥有者的控制，但仍可以与其他节点通信。这 种方法可以在一定程度上保证拥有者之间的安全认证，但是不太实用，并且不能防止对拥 有者采取的拒绝服务攻击。 ( 5 ) 访问控制 a dh o c 网络中同样存在控制对网络的访问以及访问网络提供的服务的需求。在网络 层，路由协议必须保证不允许非授权节点加入网络，保证没有敌对节点加入和离开网络而 不被检测到。在应用层，访问控制必须保证非授权用户不能访问服务。访问控制常与身份 识别和认证相关联，确保合法用户有权访问服务。在一些系统中可能不需身份识别和认证， 节点通过证书来访问服务。根据不同的网络结构和安全级别，访问控制的实现方式也不同。 集中式的低安全级别网络，可以采用服务器控制的方式，即用户加密码。对于战场情况， 对网络和资源的访问控制都必须被定义。但是实现一个高效的、可扩展的、灵活的访问控 制协议是非常困难的。 ( 6 ) 其他相关策略 a dh o c 网络中的移动节点比传统网络中的有线节点更容易遭到物理攻击，并且物理安 全的重要性依赖于a dh o c 网络的互连方法和节点的操作环境，必须根据具体的应用环境 区别对待。另外，加强安全性能的同时需要兼顾网络性能。由于无线网络的带宽是一种宝 贵的资源，必须考虑尽可能减少网络开销。网络的可扩展性要求也影响着安全服务的可扩 展性，如密钥管理。通过使用加密和强认证的方法能够在很大程度上提高a dh o c 网络的 安全性能，但是引入了过多开销，特别是当网络规模较大的时候。因此应对安全性能和网 络性能进行折衷，根据实际需要来选择合适的安全级别。一般性的原则是当网络规模较小 或网络资源比较充足时，可以采用较强的安全机制；反之，则应适当降低安全性以保障网 络的可用性。提高安全性要考虑协议实现的复杂性。另外，可以通过提高某些节点的智能 7 南京邮电人学硕士研究生学位论文第一章绪论 程度来加强安全性，例如在簇头上增加分组过滤访问控制列表；还可以采用冗余机制和分 散信任的方法来减少拒绝服务攻击的威胁，降低网络的脆弱性。 1 2 3 现有安全策略存在的缺陷 通过对现有的移动a dh o e 网络安全策略的分析，可以发现普遍存在以下几个问题： 1 ) 加密安全策略大部分都有前提条件，例如需要可信任的中心发布和管理密钥，或在网 络初始化时给每个节点分配一个密钥，通过加密解密等手段来保证信息的安全。而由 于移动自组网本身的特点，密钥管理非常复杂，加密解密等技术尚不完善。因此加密 策略缺乏对移动a dh o e 网络实际特点的思考。 2 ) 传统安全策略计算量和处理强度太大，能量消耗过多，不符合a dh o e 网络资源和处 理能力有限的特点。 3 ) 现有安全路由协议不能很好的解决网络内部存在的自私性攻击、恶意攻击等不合作行 为，对不安全因素缺乏强有力的全面的抵制，对节点不良行为的应对措施还不够。 4 ) 传统安全路由协议容易泄露网络拓扑信息。入侵者通过分析路由信息可以轻松获知网 络拓扑信息，从而可以借助目标节点的邻居节点或某些特殊节点的地址信息展开攻 击。 可见，对移动a dh o e 网络安全机制的研究任重而道远，寻找既安全有效又能保证网 络性能的安全策略和安全路由算法是移动a dh o e 网络安全领域的主要目标。 1 3 本文的研究内容和意义 移动自组网中节点的通信往往是多跳的，需要中间节点的转发来共同完成。而由于能 源有限，有的节点不愿意给别的节点转发数据包，这种节点被称为自私性节点。还有些节 点出于别的目的，随意丢弃数据包，使得网络中的丢包现象严重，网络性能受到很大的影 响，这种节点被称为恶意节点。自私性节点和恶意节点都有一个共同的特点，就是丢弃或 不转发数据包，这两类节点都可以看作是不合作节点。如何防止网络中节点的不合作行为 也是安全性的一个重要方面，因此必须寻找新的安全方法来防止和解决节点的不合作行 为。移动自组网中没有值得信任的第三方证书，在节点间建立信任关系成为移动自组网安 全的中心问题。协同性方案提供了一种在没有预先约定的信任关系的情况下较好地抑制节 点不合作行为、增强节点间的合作性的解决办法。基于声誉值的协同性方案就是其中比较 有效的方法。但是目前基于声誉值的协同性方案尚不完善，有很多问题需要解决，如声誉 r 堕里些皇查兰堡圭堕壅竺兰垡笙苎 兰二童笙堡 系统模型的设计、声誉值计算的优化、声誉值的分发和声誉值一致性等，这些问题的解决 需要进一步研究。 本文首先对不良节点对a dh o e 网络的影响进行了理论和实验的分析，然后介绍了目 前国内外已研究出的一些有代表性的协同设计方案。本文的创新之处是提出了一种声誉机 制评价模型，使声誉值的计算及其分发过程更加公平合理，从而更加有效的抵御了节点的 不合作行为，增强节点间的合作性，使移动自组网的网络性能得到提高，安全得到保障。 本文的另外一点创新是针对目前能量感知路由协议存在的缺陷，提出了将协同激励机制应 用到能量感知路由协议中以抵御和激励谎报能量的自私节点，并给出了能量感知协同路由 协议的算法介绍和性能仿真。 1 4 本论文的组织架构 本论文共分六个章节，每个章节的主要内容如下： 第l 章绪论部分介绍了a dh o c 网络传统安全机制研究概况，分析现有安全研究存在 的缺陷，说明了该课题研究的目的和意义。 第2 章首先分析移动自组网中节点的不合作行为，提出了两种类型的自私模型；然后 通过仿真试验，指出节点的不合作行为对网络性能产生的影响；最后综述了现有两种协同 方案包括的典型方案，并进行了优缺点的分析和比较。 第3 章提出了一种优化的联合声誉机制评价机制c r e m ，对算法理论基础、实现模块、 实现流程进行了详细的介绍，并总结了该算法的特点。 第4 章将第3 章提出的声誉评价模型c r e m 和传统d s r 路由算法相结合，提出了一 种基于声誉值激励的协同安全路由算法c r e m d s r ，并通过仿真实验对该算法进行了性 能的分析。 第5 章是对协同激励方案一种应用的思考和研究。通过分析现有能量感知路由算法的 缺陷，提出在能量感知路由算法中引用协同激励方案的路由设计思想p a c r ，并通过仿真 实验比较了使用协同机制前后能量感知路由协议的性能。 第6 章给出了论文工作的总结，并对进一步工作进行了展望。 9 南京邮电大学硕士研究生学位论文 第二章移动自组网自私行为和协同方案分析 第二章移动自组网自私行为和协同方案分析 移动自组网与传统网络的最大不同在于移动自组网不依赖任何固定的基础设施，节点 兼备主机和路由器两种角色，基本网络功能( 如分组转发和路由) 需要所有节点的相互协 作来实现，不相邻的节点需要依靠中间节点来转发数据包。移动自组网现有的路由协议都 只是侦测接收方的接口是否接收了数据包，而且假定节点是相互协作的。而实际网络中存 在两种类型的不合作节点：自私节点和恶意节点。本章以自私节点为主要研究对象，首先 通过n s 2 仿真分析自私行为对网络性能造成的影响，然后通过博弈论和数学证明分析了 协同激励机制存在的必要性和有效性，最后给出了现有两种协同方案的综述和比较。 2 1 节点自私行为对网络性能的影响 2 1 1 自私行为原因分析 移动a dh o c 网络中的移动用户存在着终端内存小、c p u 处理能力低、电源能量有限 的资源限制o j 。如果网络中的节点在应用层或用户层上存在着共同的利益，如军事、救 灾场合、科学研究、公司内部网、家庭局域网等等，这些节点当然会具有完全的协作性。 但是如果网络中的节点在应用层或用户层上并不存在着共同的利益，节点之间互无关联， 它们通过节点的权利和义务来实现节点间的协作性，那么这种实现毫无保证。这样网络中 一些较为自私的节点，为了维护自身的利益最大化，保护自己的节点资源，减少能量消耗， 不参与路由协议或不对传递给其他节点的数据包进行转发。 假设网络中每个数据包平均需要转发k 跳，则平均每个节点要花费1 ) 瓜的能量为其 它节点转发数据包，而只花费1 l 【的能量用于发送自己的数据包【】。当k 值越大时，节点 用于其它节点上的能量消耗越大，例如当k - 5 时，要花费8 0 的能量为其它节点转发数 据包，这还只是针对平均情况而言。在实际情况中，处于中心位置的节点要比处于边缘位 置的节点消耗更多的能量，这是因为中心位置的节点常常需要作为中间节点，消耗自己的 能量来为其它节点转发数据包和执行路由功能。另外，节点处于中心的位置上也代表着节 点周围的邻居节点较多，也就是说节点的连接度较大，显而易见连接度较大的节点有更多 的机会参与路由功能和转发数据包，从而会比连接度较小的节点消耗更多的能量。特别是 当节点的移动性较低时，处于中心位置的节点往往长期不能改变，这就会导致中心位置的 1 0 堕塞堂皇叁兰堡兰竺塞竺兰篁堡壅兰三里堑垫皂望塑鱼垒堡垄塑塑旦查塞坌堑 节点能量消耗更加迅速。可以说，处于中心位置的节点要花费大部分能量为其它节点服务。 正因为如此，一些较为自私的节点，为了减少为其他节点消耗的能量，大大延长自己的生 存时间，就关闭自身的路由功能和数据转发功能，从而导致其自私行为的产生。 2 1 2 自私行为的分类 自私节点为了逃避转发数据包的义务，可以采用各种策略来使自己的转发功能失效。 根据自私节点参与网络功能的程度，可以将自私节点分成以下三类j ： ( 1 ) 自私类型1 ：参与路由服务，但不愿提供数据包的转发服务 自私节点不提供数据包的转发服务显然可以节省大量的能量。自私节点可以采用各种 策略来躲避转发任务，最直接的策略是丢弃其它节点请求转发的数据包，因此有些自私检 测算法对下游邻居节点转发数据包情况进行监督，但是自私节点也可以采用其它更隐蔽的 做法来应付邻居的监督：控制丢包概率小于惩罚门限，避免被其它节点实施惩罚；控制发 射信号的功率，使得信号可以到达监听方但无力到达接收方；不重传下游节点接收时发生 信号冲突的数据包；有意移动节点到较为空闲的位置等等。这种自私节点因为不愿执行数 据包的正确转发，使得经过该节点的数据包大量丢失，严重降低了网络的可靠性，因此是 网络重点要预防的自私类型。 ( 2 ) 自私类型2 ：不愿参与路由服务 自私节点操纵路由协议，企图阻止网络存在以本节点为中间节点的路径。这样自私节 点自然就不用参与任何数据包的转发工作。自私节点可以采取直接忽略其它节点的路由请 求，当收到其它节点的路由请求包时，若请求包中的目标节点不是本节点，则将其丢弃。 自私节点也可以采用其它更隐蔽的手段：虚报其它更好的路由信息：往路由请求包或路由 响应包里的源路径信息注入虚假节点信息：丢弃路由响应包；虚报下游路径中断等。这种 自私节点只为自己消耗能量，因此网络中其它参与协作的节点将承受更大的负载。可以做 以下分析：在自私节点不至于引起网络分裂的条件下，假设网络中的节点数为n ，平均每 个节点产生m 个数据包，每个数据包平均需要转发k 跳，自私节点个数为l ；则协作好 的节点平均要承担的转发业务为( m x n x k ) ( n l ) ，而自私节点平均要承担的转发业务为 0 。随着l 的增大，协作好的节点平均要承担的转发业务就越大，差距也越大。 ( 3 ) 自私类型3 ：根据能量的消耗来决定参与网络功能的程度 第三种自私行为比前两种类型更加复杂。它们根据自身能量来决定参与网络功能的程 度。假设初始网络中每个节点的能量为e ，在正常情况下，每个节点转发数据包和执行路 堕塞墅皇奎兰堡! ：堕塑竺兰篁堡苎堑三皇堑垫鱼垒塑旦整堑塑塑堡旦查壅坌塑 由功能都会消耗自己的能量。而自私类型3 的节点则使用两个能量门限( e l ，e 2 ) 来决定自 身的行为。当节点的剩余能量在( e 2 ，e 】范围内时，这个节点就正常参与网络功能。而当 节点的剩余能量降虱j ( e 1 ，e 2 范围内时，节点就仿照自私类型1 来执行网络功能，即参与 路由但不执行数据包的转发。当节点的能量消耗到了( 0 ，e l i 范围内时，节点的自私行为 就成了自私类型2 ，不执行路由功能，仅为自己消耗能量。 自私类型3 的节点比其它自私类型更加真实，它完全根据自己的剩余能量来决定参与 网络功能的程度。但这种自私行为比前两种更加隐蔽、更加难以检测，因此目前的合作激 励机制主要针对的都是前面两种类型的自私节点，对自私类型3 节点的监测和激励算法还 缺乏相应的研究。 2 1 3 自私行为影响的仿真分析 要使a dh o c 网络的性能得到最大化的提高，需要依靠所有可利用的节点来进行路由 和分组转发。因为越多的节点参与路由，就有越大的网络带宽，越短的路由路径，越小的 路由时延。事实上，现有的路由算法如d s r 、a o d v 、d s d v 等都只是侦测接收方的接 口是否成功接收到了数据包，但它们都假设节点是可信任的，这样虽然增加了节点的可利 用率，但也导致了自私行为的产生。自私行为的节点不正常执行网络功能，如不参与路由 或不执行数据包转发，这样的节点存在于网络中必定会导致a dh o e 网络的性能下降。下 面，本文通过n s 2 t 1 2 1 仿真实验验证自私行为对路由协议性能的影响。 1 仿真模拟环境配置 仿真模拟环境配置如表2 1 所示，在1 0 0 0 mx1 0 0 0 m 区域随机生成6 0 个节点，无线 传输速率为2 m b i t s 。使用s e t d e s t 工具来随机生成无线网络所需要的节点运动场景，即一 定数量的节点在某个固定大小的矩形区域中随机朝某个目的地运动，在到达该目的地后做 一段时间的停留后选择另一个目的地随机选择一个速度继续运动。另外使用e b r g e n 工具 来生成传输负载，可以产生t c p 流或者c b r 流。具体设置如下： j s e t d e s t v1 - n6 0 呻5 - m1 0 - t1 0 0 - - x1 0 0 0 - y1 0 0 0 一n6 0 表示生成的场景中共有6 0 个节点，一p5 指定节点在到达目的地后停留5 秒， 一m1 0 表示节点随机运动速度的最大值为1 0 m s ，节点将在( 0 ，1 0 】中随机选择运动速度， t1 0 0 表示场景的持续时间为1 0 0 s ，一x1 0 0 0 一y1 0 0 0 表示节点运动区域的长度和宽度都 为1 0 0 0 m 。 i i sc b r g e n t c l - t y p ee b r n n6 0 - s e e d1 - m c3 0 - r a t e1 0 1 2 南京邮电人学硕士研究生学位论文第二章移动自组网自私行为和协同方案分析 这表示用c b r g e n 工具随机生成一个数据流场景，在6 0 个节点中随机选择3 0 对节点， 启动3 0 个c b r 数据流，每个数据流每秒钟产生1 个5 1 2 字节大小的数据包。 具体仿真设置如表2 1 所示。 表2 1 模拟实验参数设置 参数配置 节点数量 6 0 区域长度( 神 1 0 0 0 区域宽度( m ) 1 0 0 0 业务模型c b r 发送速率( p a c k e t s ) 1 o 最大连接数 3 0 数据包大d , ( b y t e ) 5 1 2 模拟时间( s