無(wú)線Mesh網(wǎng)中的偽裝節(jié)點(diǎn)檢測(cè)研究

黃曉輝，郭淵博，劉 偉

（解放軍信息工程大學(xué) 電子技術(shù)學(xué)院，河南 鄭州450001）

0 引 言

無(wú)線網(wǎng)狀網(wǎng)（wireless mesh network，WMN）是一種具有動(dòng)態(tài)網(wǎng)絡(luò)拓?fù)洹⒆越M織和自配置特性的新型低投入、分布式公用寬帶網(wǎng)絡(luò)技術(shù)［1］。網(wǎng)絡(luò)中各節(jié)點(diǎn)自動(dòng)建立拓?fù)溥B接，保持多種網(wǎng)絡(luò)網(wǎng)狀互連的連接狀態(tài)。802.11s是當(dāng)前研究的主流 Mesh網(wǎng)絡(luò)協(xié)議。在IEEE 802.11sWMN中，定義了由大量相互連接的節(jié)點(diǎn)構(gòu)成的擴(kuò)展服務(wù)集（ESS），通過多跳的Mesh設(shè)備連接形成分布式的無(wú)線網(wǎng)狀架構(gòu)，網(wǎng)絡(luò)中配置有網(wǎng)關(guān)節(jié)點(diǎn)接入Internet［2］。這種自適應(yīng)和多跳的特性，大大減小了網(wǎng)絡(luò)維護(hù)的開銷，也增加了網(wǎng)絡(luò)節(jié)點(diǎn)受到的攻擊的危險(xiǎn)性。偽裝節(jié)點(diǎn)攻擊就是其中十分危險(xiǎn)的攻擊方式［3］。在 WMN中，入侵者通過偵聽、嗅探合法節(jié)點(diǎn)的MAC地址、Mesh profile等信息，修改自己的配置，將自己偽裝成合法Mesh節(jié)點(diǎn)，引誘用戶站點(diǎn)接入以捕獲網(wǎng)絡(luò)密鑰和登錄口令，即可繞過網(wǎng)絡(luò)的訪問控制機(jī)制接入骨干網(wǎng)絡(luò)。這是一種主動(dòng)攻擊，一旦這些偽裝節(jié)點(diǎn)設(shè)置在一些關(guān)鍵區(qū)域，攻擊者就可以控制用戶節(jié)點(diǎn)、斷開網(wǎng)絡(luò)連接甚至危害路由安全，造成嚴(yán)重的網(wǎng)絡(luò)安全事故或是發(fā)動(dòng)中間人攻擊［4］，尤其是在數(shù)據(jù)鏈路層利用偽造的大量管理幀迷惑用戶，致使用戶無(wú)法接入網(wǎng)絡(luò)最終形成大范圍的DoS攻擊［5－6］。而且偽裝后的節(jié)點(diǎn)對(duì)網(wǎng)絡(luò)來說是不被查覺的。因此偽裝節(jié)點(diǎn)檢測(cè)對(duì)無(wú)線Mesh網(wǎng)的安全有著很重要的意義。目前對(duì)節(jié)點(diǎn)的安全檢測(cè)主要還停留在無(wú)線局域網(wǎng)環(huán)境下對(duì)無(wú)線欺騙攻擊［7］進(jìn)行檢測(cè)，且技術(shù)已經(jīng)相對(duì)成熟，但由于Mesh網(wǎng)自身的多跳特性，對(duì)節(jié)點(diǎn)的安全要求要比一般無(wú)線網(wǎng)絡(luò)高的多，因此本文通過研究與實(shí)踐，對(duì)Mesh網(wǎng)中的偽裝節(jié)點(diǎn)攻擊模型進(jìn)行了討論，并提出了相應(yīng)的檢測(cè)方法，最后通過實(shí)驗(yàn)驗(yàn)證了方法的可行性。

1 相關(guān)工作

針對(duì)偽裝節(jié)點(diǎn)攻擊，目前應(yīng)用較多的是基于序列號(hào)異常跳變的檢測(cè)方法，主要應(yīng)用于無(wú)線局域網(wǎng)的MAC地址欺騙攻擊，但這種方法是不能直接在無(wú)線Mesh網(wǎng)中運(yùn)用的，而針對(duì)WMN中的偽裝節(jié)點(diǎn)攻擊檢測(cè)還很少涉及。在文獻(xiàn) ［8］中，作者提出了利用鄰居節(jié)點(diǎn)檢測(cè)機(jī)制對(duì)WMN網(wǎng)絡(luò)拓?fù)涓淖兊姆答佇畔⒔Y(jié)合網(wǎng)關(guān)節(jié)點(diǎn)訪問控制列表進(jìn)行偽裝節(jié)點(diǎn)的檢測(cè)，這種方法無(wú)法對(duì)不接入骨干網(wǎng)絡(luò)的偽裝節(jié)點(diǎn)進(jìn)行檢測(cè)，存在檢測(cè) “盲區(qū)”。文獻(xiàn) ［9］和文獻(xiàn) ［10］使用基于幀序列號(hào)的跟蹤技術(shù)來檢測(cè)偽裝攻擊的方法，通過發(fā)現(xiàn)幀序列號(hào)遞增關(guān)系出現(xiàn)碰撞或異常跳變，來確認(rèn)攻擊的發(fā)生。但由于重傳機(jī)制和WMN中數(shù)據(jù)傳輸?shù)亩嗵匦詴?huì)造成各種延遲和丟包，序列號(hào)會(huì)頻繁出現(xiàn)正常的跳變，誤報(bào)率很高。文獻(xiàn) ［11］提出利用網(wǎng)絡(luò)設(shè)備的各種硬件特征和射頻信號(hào)發(fā)射模式等一些在軟件層面無(wú)法修改的特征作為設(shè)備的指紋，以區(qū)分出攻擊者。而在文獻(xiàn) ［12］和文獻(xiàn) ［13］中，作者就通過時(shí)間戳來計(jì)算合法網(wǎng)絡(luò)設(shè)備的本地時(shí)鐘偏差作為無(wú)線設(shè)備的指紋來區(qū)別不同的無(wú)線設(shè)備。時(shí)鐘特征也是設(shè)備的物理屬性，，即使專門定制的設(shè)備也無(wú)法與原設(shè)備完全相同，因此從理論上說這種方法是最可靠的檢測(cè)方法，但是要發(fā)現(xiàn)這些特征需要非常精密的測(cè)量分析儀器，高昂的造價(jià)限制了這種方法的普遍應(yīng)用，同時(shí)實(shí)際測(cè)量時(shí)誤差的存在也使其誤報(bào)率很高，而且目前已經(jīng)證明此方法所計(jì)算出的偏差根本不足以區(qū)分不同的設(shè)備。文獻(xiàn) ［14］和文獻(xiàn) ［15］提出了基于信號(hào)強(qiáng)度分析的檢測(cè)方法，這種檢測(cè)方法通過傅立葉變換將數(shù)據(jù)變換到頻域，再通過觀察接收信號(hào)強(qiáng)度值的分布規(guī)律因攻擊節(jié)點(diǎn)信號(hào)的干擾而出現(xiàn)異常的高頻部分，判斷攻擊者的存在，利用信號(hào)強(qiáng)度值隨距離的變化還可實(shí)現(xiàn)定位功能。然而由于Mesh網(wǎng)中無(wú)線信號(hào)過于密集，導(dǎo)致信號(hào)間發(fā)生干擾和衰減在所難免，極易發(fā)生誤判。因此在Mesh網(wǎng)中效果很差，檢測(cè)效果很不理想。

因此，從誤報(bào)率、漏報(bào)率和實(shí)現(xiàn)難度各方面考慮，目前還沒有針對(duì)WMN的有效的偽裝節(jié)點(diǎn)檢測(cè)方法，本文基于此問題提出了新的檢測(cè)機(jī)制并通過實(shí)驗(yàn)與其他方法進(jìn)行了分析與比較，驗(yàn)證了本方法的可行性和優(yōu)越性。

2 WMN中偽裝節(jié)點(diǎn)攻擊模型

由于WMN網(wǎng)狀互連的特殊結(jié)構(gòu)，針對(duì)WMN的偽裝節(jié)點(diǎn)攻擊也出現(xiàn)了兩種特有的場(chǎng)景：一是攻擊者通過偵聽等方式獲取合法MAP1的接入認(rèn)證信息后，偽裝成MAP1，在MP3和MP4的區(qū)域接入網(wǎng)絡(luò)；另一種就是攻擊者偽裝成合法節(jié)點(diǎn)MAP1后，與MAP1在同一區(qū)域運(yùn)行。如圖1、2所示。

在圖1場(chǎng)景下，攻擊者具有和MAP1相同的MAC地址、BSSID和SSID，攻擊者已經(jīng)獲取了接入網(wǎng)絡(luò)所需要的網(wǎng)絡(luò)密鑰等認(rèn)證信息，鄰居節(jié)點(diǎn)MP3和MAP4對(duì)攻擊者進(jìn)行接入認(rèn)證后，攻擊者將成為合法用戶接入網(wǎng)絡(luò)，參與信息中轉(zhuǎn)和終端接入，然而此時(shí)攻擊節(jié)點(diǎn)的鄰居節(jié)點(diǎn)已經(jīng)發(fā)生變化，對(duì)于鄰居節(jié)點(diǎn)來說，當(dāng)有新的節(jié)點(diǎn)接入時(shí)，必然要進(jìn)行認(rèn)證，這樣的攻擊可以通過設(shè)置鄰居節(jié)點(diǎn)和網(wǎng)關(guān)節(jié)點(diǎn)訪問控制列表的方法就可以輕易的檢測(cè)到。

在圖2場(chǎng)景下，攻擊者具有與MAP1一樣的鄰居節(jié)點(diǎn)。攻擊者不僅可以進(jìn)行被動(dòng)的消息偵聽，還可以偽造斷開連接請(qǐng)求，斷開真實(shí)MAP1與主網(wǎng)絡(luò)的連接，再自己接入網(wǎng)絡(luò)，接管MAP1的基本服務(wù)集，進(jìn)而發(fā)動(dòng)主動(dòng)的數(shù)據(jù)丟棄或選擇轉(zhuǎn)發(fā)，甚至進(jìn)行更加嚴(yán)重的DoS攻擊，造成網(wǎng)絡(luò)連接的中斷甚至是整個(gè)區(qū)域網(wǎng)絡(luò)的隔離。

3 偽裝節(jié)點(diǎn)檢測(cè)機(jī)制

我們的基本檢測(cè)思想是采用基于異常的檢測(cè)方法，利用手持式移動(dòng)終端，在無(wú)線Mesh網(wǎng)中動(dòng)態(tài)的移動(dòng)，捕獲節(jié)點(diǎn)附近的無(wú)線傳輸數(shù)據(jù)包，并根據(jù)802.11s協(xié)議對(duì)數(shù)據(jù)包進(jìn)行協(xié)議解析，分析出節(jié)點(diǎn)的靜態(tài)和動(dòng)態(tài)特性，從而發(fā)現(xiàn)偽裝節(jié)點(diǎn)存在時(shí)出現(xiàn)的不合理網(wǎng)絡(luò)數(shù)據(jù)現(xiàn)象。

3.1 異地區(qū)接入偽裝節(jié)點(diǎn)攻擊檢測(cè)

由于移動(dòng)節(jié)點(diǎn)以任意速度和任意方式在網(wǎng)中移動(dòng)會(huì)帶來拓?fù)浣Y(jié)構(gòu)的變化，加之無(wú)線信道間的相互干擾因素、天氣地形等的影響，節(jié)點(diǎn)間通過無(wú)線信道形成的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)隨時(shí)都會(huì)發(fā)生變化，因此針對(duì)異地接入的偽裝節(jié)點(diǎn)，我們采用基于終端節(jié)點(diǎn)和網(wǎng)關(guān)節(jié)點(diǎn)訪問控制機(jī)制相結(jié)合的方法進(jìn)行非授權(quán)可疑節(jié)點(diǎn)檢測(cè)，過程如下：

（1）作為網(wǎng)關(guān)節(jié)點(diǎn)必然要對(duì)接入的網(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)行認(rèn)證，因此我們?cè)诰W(wǎng)關(guān)節(jié)點(diǎn)上以綁定MAC地址、SSID、IP地址和鄰居節(jié)點(diǎn)信息的方式存儲(chǔ)所有合法節(jié)點(diǎn)信息。其中鄰居節(jié)點(diǎn)信息為MAC地址和IP地址，綁定信息表如表1所示。

表1 節(jié)點(diǎn)信息格式

（2）利用智能終端進(jìn)行射頻信號(hào)監(jiān)聽，捕獲802.11數(shù)據(jù)包，獲取區(qū)域內(nèi)正在運(yùn)行的網(wǎng)絡(luò)節(jié)點(diǎn)信息和鄰居節(jié)點(diǎn)信息。

（3）智能終端通過網(wǎng)絡(luò)向網(wǎng)關(guān)節(jié)點(diǎn)發(fā)送請(qǐng)求，獲取合法節(jié)點(diǎn)信息表，并與捕獲到的節(jié)點(diǎn)信息進(jìn)行比對(duì)，一旦發(fā)現(xiàn)與表中信息不符合的違規(guī)節(jié)點(diǎn)即可發(fā)出威脅警報(bào)。

3.2 同地區(qū)接入偽裝節(jié)點(diǎn)檢測(cè)

對(duì)同地區(qū)接入的偽裝節(jié)點(diǎn)，我們根據(jù)來自同一MAC地址的信標(biāo)幀的序列號(hào)與發(fā)送時(shí)間遞增關(guān)系的破壞判斷攻擊者的存在。

無(wú)線Mesh網(wǎng)中的各個(gè)節(jié)點(diǎn)需要定期發(fā)送信標(biāo)幀來維持動(dòng)態(tài)的拓?fù)溥B接關(guān)系，更新路由信息。理想情況下它發(fā)送的信標(biāo)幀的序列號(hào)和發(fā)送時(shí)間是呈遞增關(guān)系的，且間隔分別為1和beacon interval，只有當(dāng)設(shè)備重啟或是序列號(hào)到達(dá)4095后，序列號(hào)才回跳到0。當(dāng)偽裝MAP存在時(shí)，攻擊者的發(fā)送序列或發(fā)送時(shí)間必然會(huì)與合法MP發(fā)生碰撞，造成信標(biāo)幀序列號(hào)與發(fā)送時(shí)間之間遞增關(guān)系的改變。因此我們可以通過檢測(cè)來自同一MAC地址的信標(biāo)幀序列號(hào)和發(fā)送時(shí)間之間一對(duì)一遞增關(guān)系的改變來判斷偽裝節(jié)點(diǎn)的存在。信標(biāo)幀的發(fā)送時(shí)間通過Beacon Timing字段獲取，它是由MP主時(shí)鐘產(chǎn)生的同步時(shí)間信息。無(wú)論MP是否同步，它都要維持一個(gè)TSF計(jì)時(shí)器，它的值就是發(fā)送時(shí)間，也就是beacon幀到達(dá)物理層開始傳輸?shù)臅r(shí)間。

3.2.1 檢測(cè)算法描述

算法描述如下：

定義1（N，t，T），作為新接收到的信標(biāo)幀信息，N為序列號(hào)，t＝Self Beacon Timing為發(fā)送時(shí)間，T為beacon interval值；

定義2三元組鏈表P＝（pi｜i＞＝0），作為幀記錄。其中pi＝（Ni，ti，Ti），表示第i個(gè)元組的序列號(hào)Ni、時(shí)間信息ti以及發(fā)送下一幀的時(shí)間間隔Ti；

定義3二元組鏈表Q＝（Qj｜j＞＝0），存儲(chǔ)P中的跳變記錄。其中Qj＝（n，k），表示P中發(fā)生跳變的位置n和跳變的值k，k大于1；

過程如下：

步驟1：初始化P、Q，將P、Q清零。

步驟2：接收新的（N，t，T），若（N ＞Nmax＆＆t＞＝tmax＋Tmax）為真，轉(zhuǎn)步驟3。若（N ＜Nmax＆＆t＜tmax）為真，轉(zhuǎn)步驟4。若（N ＜3 ＆＆t＞＝tmax＋T）為真，設(shè)備可能發(fā)生重啟或序列號(hào)發(fā)生回跳，轉(zhuǎn)步驟1；否則轉(zhuǎn)步驟5；

步驟3：序列號(hào)與時(shí)間戮都大于最后一個(gè)元組，直接加入鏈表：Pmax＋1＝（N ，t，T），max＝max＋1；若產(chǎn)生跳變，修改跳變記錄，轉(zhuǎn)步驟2，否則直接轉(zhuǎn)步驟2；

步驟4：若Q?。絥ull，鏈表中存在跳變，且存在n，使得（Nn＋1＞N ＞ Nn＆＆Nn＋1＞t＞＝tn＋Tn），在跳變處加入鏈表，并修改該位置跳變記錄，轉(zhuǎn)步驟2；否則轉(zhuǎn)步驟5；

步驟5：違反序列號(hào)與時(shí)間戮的一對(duì)一遞增關(guān)系，發(fā)出攻擊警報(bào)；

4 測(cè)試與性能分析

要驗(yàn)證方法的可行性，關(guān)鍵是要有建立可信的Mesh網(wǎng)測(cè)試環(huán)境，并運(yùn)用本文所提出的方法開發(fā)移動(dòng)終端檢測(cè)設(shè)備。由于無(wú)線Mesh網(wǎng)絡(luò)還處于研究和試驗(yàn)階段，并沒有普及推廣，甚至大部分科研單位還沒有真實(shí)的實(shí)驗(yàn)測(cè)試環(huán)境，因此很多實(shí)驗(yàn)還是通過OPNET 10.5A進(jìn)行模擬仿真來完成的。然而本文的實(shí)驗(yàn)需要智能終端對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行捕獲進(jìn)而分析出偽裝節(jié)點(diǎn)的存在，因此本文在簡(jiǎn)易的Mesh網(wǎng)絡(luò)環(huán)境下，對(duì)局部數(shù)個(gè)節(jié)點(diǎn)進(jìn)行了攻擊實(shí)驗(yàn)測(cè)試，試驗(yàn)測(cè)試環(huán)境包括：

WH－2530X－DAG無(wú)線 Mesh AP 8臺(tái)：其中一臺(tái)作為網(wǎng)關(guān)節(jié)點(diǎn)，其它作為合法MAP進(jìn)行mesh連接，另設(shè)一臺(tái)作為偽裝節(jié)點(diǎn)，可以進(jìn)行相應(yīng)的配置，偽裝成其它節(jié)點(diǎn)；

WinCE操作系統(tǒng)下PDA一臺(tái)：作為檢測(cè)終端，進(jìn)行主動(dòng)探測(cè)與射頻信號(hào)監(jiān)聽。我們通過NDIS中間層驅(qū)動(dòng)，捕空間中的無(wú)線網(wǎng)絡(luò)傳輸數(shù)據(jù)，并對(duì)數(shù)據(jù)包進(jìn)行了協(xié)議解析，提取802.11s數(shù)據(jù)包的相關(guān)參數(shù)，進(jìn)行分析檢測(cè)。

4.1 異地區(qū)接入偽裝攻擊檢測(cè)試驗(yàn)測(cè)試

如圖1中所示，攻擊節(jié)點(diǎn)偽裝成MAP1在另一區(qū)域試圖接入網(wǎng)絡(luò)。我們的檢測(cè)終端發(fā)現(xiàn)MAP1發(fā)送的數(shù)據(jù)后，首先獲知節(jié)點(diǎn)配置信息及其鄰居節(jié)點(diǎn)，偽裝節(jié)點(diǎn)信息見表2。

檢測(cè)終端再通過網(wǎng)絡(luò)與網(wǎng)關(guān)節(jié)點(diǎn)進(jìn)行交互獲取MAP1的節(jié)點(diǎn)信息，如表3所示。

經(jīng)過對(duì)比后很明顯，鄰居節(jié)點(diǎn)不對(duì)，檢測(cè)終端成功的發(fā)出警報(bào)，告知網(wǎng)絡(luò)當(dāng)前要接入的MAP1為偽裝的攻擊節(jié)點(diǎn)。

合同條款一般應(yīng)具備八個(gè)要素：當(dāng)事人的名稱或者姓名和住所（必須是全稱）；標(biāo)的；數(shù)量；質(zhì)量標(biāo)準(zhǔn)；價(jià)款或者報(bào)酬；履行期限、地點(diǎn)和方式；違約責(zé)任；解決爭(zhēng)議的方法。除以上條款外視具體合同而設(shè)置應(yīng)有的條款。

表2 偽裝節(jié)點(diǎn)信息

表3 節(jié)點(diǎn)MAP1信息

4.2 同地區(qū)接入偽裝攻擊檢測(cè)試驗(yàn)測(cè)試

如圖2所示的同地區(qū)接入的偽裝節(jié)點(diǎn)攻擊場(chǎng)景，偽裝節(jié)點(diǎn)與MAP1在同一鄰居節(jié)點(diǎn)區(qū)域內(nèi)接入網(wǎng)絡(luò)，我們使用不同的方法進(jìn)行了誤報(bào)和漏報(bào)測(cè)試以及性能分析，測(cè)試結(jié)果如下：

4.2.1 誤報(bào)率測(cè)試

我們?cè)谥挥蠱AP1開啟的情況下，設(shè)置各種復(fù)雜環(huán)境造成幀的亂序或是跳變以及信號(hào)強(qiáng)度的異常變化，形成疑似于出現(xiàn)攻擊者的假象并將檢測(cè)終端置于節(jié)點(diǎn)附近進(jìn)行測(cè)試，檢測(cè)數(shù)據(jù)分布如圖3所示。

圖3 單一節(jié)點(diǎn)數(shù)據(jù)分布

（1）序列號(hào)回跳測(cè)試：圖中橫坐標(biāo)單位為1個(gè)beacon interval，從相對(duì)時(shí)刻0開始，在時(shí)刻150時(shí)，序列號(hào)到達(dá)4095回跳至0，從250至550時(shí)間段內(nèi)，我們了重啟MAP，檢測(cè)終端都沒有產(chǎn)生誤報(bào)。

（2）丟包使序列跳變：將監(jiān)聽終端移出再移進(jìn)MAP信號(hào)覆蓋范圍，出現(xiàn)了數(shù)據(jù)包丟失造成的序列跳變，但這種跳變并沒有違反序列號(hào)與時(shí)間的一對(duì)一遞增關(guān)系，系統(tǒng)沒有發(fā)出警報(bào)；

（3）延遲造成幀亂序到達(dá)：由于傳送時(shí)間及路徑的影響，致使某些幀沒有按照序列號(hào)的順序到達(dá)，按算法將其插入鏈表后，也沒有違反序列號(hào)與時(shí)間之間的關(guān)系，所以也沒有發(fā)生誤報(bào)；

我們以信號(hào)發(fā)射強(qiáng)度的強(qiáng)弱為參考變量，與使用文獻(xiàn)10和13中方法所開發(fā)的系統(tǒng)進(jìn)行了檢測(cè)效果比較，檢測(cè)誤報(bào)情況化如圖4所示。

圖4 不同方法誤報(bào)率測(cè)試對(duì)比

開啟偽裝成合法Mesh節(jié)點(diǎn)的偽裝節(jié)點(diǎn)，并置于合法節(jié)點(diǎn)附近，設(shè)置不同的時(shí)鐘與合法MAP1同時(shí)工作，將檢測(cè)終端置于兩者之間，若終端沒有發(fā)出警報(bào)，即為漏報(bào)。檢測(cè)數(shù)據(jù)分布如圖5所示。

圖5 偽裝節(jié)點(diǎn)存在時(shí)數(shù)據(jù)分布

（1）相近（不同）的時(shí)鐘，不同（相近）的序列：如圖5所示，黑色線條為攻擊者的幀序列分布，紅色為合法節(jié)點(diǎn)的幀序列分布，系統(tǒng)檢測(cè)到發(fā)送時(shí)間與序列號(hào)遞增關(guān)系的破壞，在相同的時(shí)間段內(nèi)出現(xiàn)了不同的序列號(hào)；

（2）滯后（超前）的時(shí)鐘，滯后（超前）的序列：如圖5所示，在起始階段，終端由于沒有檢測(cè)到時(shí)間或是序列號(hào)的碰撞，因此并沒有發(fā)出警報(bào)，隨著檢測(cè)時(shí)間延長(zhǎng)，最終檢測(cè)到序列號(hào)出現(xiàn)了碰撞，導(dǎo)致發(fā)送時(shí)間與序列號(hào)遞增關(guān)系的破壞；

我們與文獻(xiàn)10和15中的方法進(jìn)行了性能比較，檢測(cè)漏報(bào)情況隨發(fā)射信號(hào)強(qiáng)度變化如圖6所示。

實(shí)驗(yàn)證明，新的設(shè)計(jì)方法和文獻(xiàn)10－15中的方法相比不僅檢測(cè)標(biāo)準(zhǔn)明確，誤報(bào)率和漏報(bào)率都大大降低，而且該方法易于實(shí)現(xiàn)，算法復(fù)雜度低，受信號(hào)強(qiáng)度影響最小。

5 結(jié)束語(yǔ)

本文通過分析WMN中偽裝節(jié)點(diǎn)攻擊的特點(diǎn)，闡述了WMN中偽裝節(jié)點(diǎn)異地區(qū)接入和同地區(qū)接入的兩種攻擊場(chǎng)景，設(shè)計(jì)了WMN中偽裝節(jié)點(diǎn)的檢測(cè)方法，并通過實(shí)驗(yàn)驗(yàn)證該方法的可行性，得出結(jié)論：本文提出的方法可以及時(shí)的發(fā)現(xiàn)偽裝節(jié)點(diǎn)攻擊，且不會(huì)因亂序或正常丟包產(chǎn)生誤報(bào)，與常見的幾種方法相比，大大降低了誤報(bào)率，有效地提高了檢測(cè)效率和檢測(cè)精度。但是，由于Mesh網(wǎng)試驗(yàn)測(cè)試平臺(tái)的不完善以及實(shí)驗(yàn)環(huán)境的簡(jiǎn)陋，本文提出的方法還沒有對(duì)大范圍內(nèi)的網(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)行全面深入的檢測(cè)試驗(yàn)，并且由于自身性能的有限，還無(wú)法對(duì)檢測(cè)到的攻擊做出有效的響應(yīng)，因此今后在檢測(cè)的時(shí)效性和防御措施方面還有待進(jìn)一步的研究。

圖6 不同方法漏報(bào)率測(cè)試對(duì)比

［1］ZHANG Y，LUO J，HU H.Wireless mesh networking architectures protocols and standards ［M］.Auer Bach Publications，Taylor ＆Francis Group，F(xiàn)irst Edition，NY，2006.

［2］Bruno R，Conti M，Gregori E.Mesh networks：Commodity multi－h(huán)op ad－h(huán)oc networks［J］.IEEE Communications Magazine，2005，43（3）：123－131.

［3］Santhanam L，Nandiraju N，Agrawal P.Distributed self－policing architecture fostering node cooperation in wireless Mesh networks ［G］.LNCS 4217：The Proc of the Personal Wireless Communication，2006：147－158.

［4］FU Yingfang，ZHANG Xing，ZHANG Ting.Research on wormhole attacks in wireless Mesh networks ［J］.Journal on Communications，2011，32（1）：59－65（in Chinese）.［付 穎芳，張興，張婷.無(wú)線Mesh網(wǎng)絡(luò)中jhb的蟲洞攻擊檢測(cè)研究［J］.通信學(xué)報(bào)，2011，32（1）：59－65.］

［5］KHAN S，LOO K－k，NAEEM T，et al.Denial of service attacks and challenges in broadband wireless network ［J］.International Journal of Computer Science and Network Security，2008，8（7）：1－6.

［6］Santhanam L，Nandiraju D，Agrawal D P.Active cache based defense against DoS attacks in wireless Mesh network ［C］.2nd IEEE International Symposium on Wireless Pervasive Computing，2007.

［7］SI Jifeng，WANG Meiqin，CAO Baoxiang.Detecting wireless lan MAC address spoofing attack ［J］.Computer Technology And Development，2006，L6（2）：232－234（in Chinese）. ［司紀(jì)鋒，王美琴，曹寶香，無(wú)線局域網(wǎng)MAC地址欺騙攻擊的檢測(cè) ［J］.計(jì)算機(jī)技術(shù)與發(fā)展，2006，L6（2）：232－234.］

［8］Shafiullah KHAN，Noor MAST，Kok Keong Loo1.Cloned access point detection and prevention mechanism in IEEE 802.11 wireless Mesh networks ［J］.Journal of Information Assurance and Security，2008，3（4）：257－262.

［9］MANO C，BLAICH A，LETAL Q Ripps.Rogue identifying packet payload slice detecting unauthorized wireless hosts through network traffic conditioning ［J］.ACM Transactions on Information and System Security，2008，11（2）：doi＞10.1145/1330332.1330334.

［10］GUO F，CKER CHIUEH T.Sequence number－based MAC address spoof detection［C］.Seattle，WA，USA：Proceedings of the 8th International Symposium on Recent Advances in Intrusion Detection，2005.

［11］Marechal N，Pierrot J B，Gorce J M.Fine synchronization for wireless sensor networks using gossip averaging algorithms［C］.IEEE International Conference on Communications，2008：4963－4967.

［12］Franklin J，Mccoy D，Tabriz P.Passive data link layer 802.11wireless device driver fingerprinting ［C］.Berkeley，CA，USA：Proceedings of the 15th conference on USENIX Security Symposium，2006：12－16.

［13］Faria D B，Cheriton D R.Detecting identity－based attacks in wireless networks using signal fingerprints ［C］.Proceedings of WiSe’06：ACM Workshop on Wireless Security，2006：43－52.

［14］CHEN Y，Trappe W，Martin R P.Detecting and localizing wireless spoofing attacks ［C］.Proceedings of the 4th Annual IEEE Conference on Sensor Mesh and Ad Hoc Communications and Networks，2007.

［15］Kucuksille E U，Tuncay Yigit，Ali Gunes.A system for the detection and reporting of wireless modem signals ［J］.Scientific Research and Essays，2010，5（11）：1346－1350.