一種防范泛洪攻擊的方法

劉學(xué)

（菏澤學(xué)院，山東菏澤274015）

0 引言

移動(dòng)Ad Hoc網(wǎng)絡(luò)是一種移動(dòng)節(jié)點(diǎn)通過(guò)無(wú)線連接組成的自治系統(tǒng)。每個(gè)節(jié)點(diǎn)不僅是一個(gè)終端節(jié)點(diǎn)，而且具有路由功能以轉(zhuǎn)發(fā)分組。這些節(jié)點(diǎn)可以自由的移動(dòng)，自組織成一個(gè)網(wǎng)絡(luò)。移動(dòng)Ad Hoc網(wǎng)絡(luò)不需要任何的固定基礎(chǔ)設(shè)施（如：基站），因此可以對(duì)移動(dòng)設(shè)備進(jìn)行快速靈活的組網(wǎng)。應(yīng)用的領(lǐng)域主要有：軍事、緊急事務(wù)、個(gè)人電子設(shè)備聯(lián)網(wǎng)以及無(wú)線網(wǎng)絡(luò)會(huì)議或無(wú)線教室等。在有線網(wǎng)絡(luò)中，也存在泛洪攻擊。通常稱它為SYN泛洪攻擊。它的工作機(jī)制是一個(gè)攻擊者向被攻擊者發(fā)送大量的TCP連接請(qǐng)求，這些連接請(qǐng)求有假源地址。每一次請(qǐng)求都會(huì)讓目標(biāo)主機(jī)在有限的資源池中分配數(shù)據(jù)結(jié)構(gòu)。一旦目標(biāo)主機(jī)的資源被耗盡，任何TCP連接將不會(huì)被建立，因此，它將拒絕其它合法的訪問(wèn)。SYN泛洪攻擊的目的是耗盡被攻擊主機(jī)的資源，本文描述了防止Ad Hoc泛洪攻擊的方法。

1 Ad Hoc 網(wǎng)絡(luò)安全

有關(guān)Ad Hoc網(wǎng)絡(luò)安全大致可分為三類：密鑰管理、路由安全以及入侵檢測(cè)。Capkun，Buttyan和Hubaux提出了一種完全自組織的公鑰管理系統(tǒng)，這個(gè)系統(tǒng)可以被用來(lái)支持Ad Hoc網(wǎng)絡(luò)路由協(xié)議的安全。Hass首次提出了利用閾值密碼學(xué)來(lái)安全的向多個(gè)節(jié)點(diǎn)分發(fā)認(rèn)證私鑰，由于早期的Ad Hoc網(wǎng)絡(luò)路由協(xié)議缺乏路由安全的討論與研究，如今路由安全以被人們所關(guān)注。因此許多包含安全服務(wù)的Ad Hoc網(wǎng)絡(luò)路由協(xié)議被提出。如有：SRP、Ariadne、ARAN、SEAD。但這些安全協(xié)議都不能夠阻止Ad Hoc泛洪攻擊。因?yàn)楣粽呤且粋€(gè)內(nèi)部的可信節(jié)點(diǎn)，它具有合法的密鑰。

2 AODV路由協(xié)議概述

在AODV中，路徑發(fā)現(xiàn)完全是按需進(jìn)行的。當(dāng)一個(gè)源節(jié)點(diǎn)需要發(fā)送數(shù)據(jù)包到一個(gè)目的節(jié)點(diǎn)時(shí)，如果這個(gè)源節(jié)點(diǎn)沒(méi)有到達(dá)目的節(jié)點(diǎn)的路由，它會(huì)給它的相鄰廣播一個(gè)路由請(qǐng)求（RREQ）分組。每個(gè)節(jié)點(diǎn)維持一個(gè)單調(diào)增加的序列號(hào)，以確保路由無(wú)環(huán)路并且及時(shí)取代緩存中陳舊的路由條目。源節(jié)點(diǎn)將一個(gè)已知的到達(dá)目標(biāo)節(jié)點(diǎn)的序列號(hào)包含到RREQ分組中。接收到RREQ分組的中間節(jié)點(diǎn)會(huì)檢查它的路由表項(xiàng)。如果它有一條到達(dá)目標(biāo)節(jié)點(diǎn)的路由條目，并且這個(gè)路由條目中的序列號(hào)比RREQ分組中的序列號(hào)要大，那么它會(huì)單播發(fā)送一條路由應(yīng)答RREP分組給它的相鄰節(jié)點(diǎn)（這個(gè)相鄰節(jié)點(diǎn)是剛才給它發(fā)送RREQ分組的那個(gè)）。否則，它會(huì)建立一條反向路徑，并且再次廣播RREQ分組。從一個(gè)節(jié)點(diǎn)重復(fù)接收到的RREQ分組在默認(rèn)情況下是被丟棄的。

在Ad Hoc泛洪攻擊中，攻擊節(jié)點(diǎn)會(huì)耗盡網(wǎng)絡(luò)資源。首先，攻擊節(jié)點(diǎn)和網(wǎng)絡(luò)中的其它節(jié)點(diǎn)都建立路徑。接著，攻擊者通過(guò)這些路徑向其它節(jié)點(diǎn)發(fā)送大量的無(wú)用的數(shù)據(jù)分組。這些過(guò)量的無(wú)用數(shù)據(jù)會(huì)阻塞網(wǎng)絡(luò)耗盡其它節(jié)點(diǎn)正常通信的帶寬。目的節(jié)點(diǎn)只能忙于接收攻擊者發(fā)送過(guò)來(lái)的無(wú)用分組而無(wú)法正常工作。耗盡可用的網(wǎng)絡(luò)通信帶寬，使其它節(jié)點(diǎn)彼此由于網(wǎng)絡(luò)的擁塞而無(wú)法正常的通信。另一方面，它們又有各自的特點(diǎn)。RREQ泛洪攻擊會(huì)造成節(jié)點(diǎn)中路由表的溢出，使節(jié)點(diǎn)不能接收新的RREQ分組。在數(shù)據(jù)泛洪攻擊中，接收攻擊數(shù)據(jù)包的過(guò)程將會(huì)消耗節(jié)點(diǎn)的大量的資源。如果攻擊者聯(lián)合使用這兩種攻擊手段，那么會(huì)造成網(wǎng)絡(luò)的崩潰。

3 阻止Ad Hoc泛洪攻擊的方法

這一部分將給出一套防止Ad Hoc泛洪攻擊的機(jī)制：相鄰抑制和路徑切斷。這兩種方法能夠分別阻止以上兩種泛洪攻擊。

據(jù)鏈路層提供了基本的可靠傳輸?shù)墓δ?，但沒(méi)有任何的數(shù)據(jù)鏈路安全服務(wù)，如：WEP協(xié)議。而且，假設(shè)鏈路是雙向的，大多數(shù)訪問(wèn)控制協(xié)議都需要這個(gè)條件，特別是在協(xié)議中啟用了RTS/CTS對(duì)話。另外，還需要MAC地址到IP地址的一對(duì)一的映射關(guān)系。最后，無(wú)線信道的廣播特性使一個(gè)節(jié)點(diǎn)的傳輸能被它的所有相鄰節(jié)點(diǎn)都收到。每一臺(tái)主機(jī)能有唯一的ID，而且，它的ID在Ad Hoc網(wǎng)絡(luò)中不允許被修改。

使用相鄰抑制的方法可以阻止RREQ泛洪攻擊。移動(dòng)Ad Hoc網(wǎng)絡(luò)是多跳的無(wú)線網(wǎng)絡(luò)，節(jié)點(diǎn)通過(guò)它的相鄰來(lái)發(fā)送和接收數(shù)據(jù)分組。如果它周圍的相鄰都拒絕轉(zhuǎn)發(fā)它的數(shù)據(jù)分組，那么這個(gè)節(jié)點(diǎn)就無(wú)法和Ad Hoc網(wǎng)絡(luò)中的其它節(jié)點(diǎn)進(jìn)行通信。這個(gè)節(jié)點(diǎn)會(huì)被其它節(jié)點(diǎn)孤立出來(lái)。

依據(jù)Ad Hoc網(wǎng)絡(luò)的特點(diǎn)，本文設(shè)計(jì)一種相鄰抑制的方法。在AODV路由協(xié)議中，節(jié)點(diǎn)在處理RREQ分組是根據(jù)先進(jìn)先出（FIFO）的原則。如果前面的RREQ分組沒(méi)有被處理，后面的RREQ分組將不會(huì)被接收。正是由于這個(gè)原則，攻擊者發(fā)出的大量的RREQ分組會(huì)首先到達(dá)，從而阻止后到達(dá)的RREQ分組。本文改變FIFO作為優(yōu)先級(jí)的準(zhǔn)則，使用過(guò)程優(yōu)先級(jí)和閾值的方法來(lái)阻止RREQ泛洪攻擊。節(jié)點(diǎn)為他的相鄰節(jié)點(diǎn)建立了一個(gè)過(guò)程優(yōu)先級(jí)和閾值節(jié)點(diǎn)的優(yōu)先級(jí)與相鄰節(jié)點(diǎn)發(fā)送RREQ的頻率成反比。

當(dāng)攻擊者發(fā)起數(shù)據(jù)泛洪攻擊時(shí)，相鄰節(jié)點(diǎn)很難識(shí)別，因?yàn)橄噜徆?jié)點(diǎn)不能在網(wǎng)絡(luò)層上判斷分組中的數(shù)據(jù)是否有用。當(dāng)目的節(jié)點(diǎn)接收到無(wú)用的數(shù)據(jù)分組后，它會(huì)在應(yīng)用層進(jìn)行判斷。下面介紹利用路徑切斷方法來(lái)阻止數(shù)據(jù)泛洪攻擊。當(dāng)攻擊者發(fā)起數(shù)據(jù)泛洪攻擊時(shí)，這個(gè)攻擊者首先建立一條到達(dá)被攻擊節(jié)點(diǎn)的路徑。當(dāng)被攻擊節(jié)點(diǎn)發(fā)現(xiàn)是一個(gè)數(shù)據(jù)泛洪攻擊時(shí)，它將切斷與攻擊者的路徑，阻止攻擊者繼續(xù)進(jìn)行數(shù)據(jù)泛洪攻擊。被攻擊節(jié)點(diǎn)向攻擊者發(fā)送RRER消息。這個(gè)消息會(huì)指出被攻擊這的IP地址是不可達(dá)的。中間節(jié)點(diǎn)會(huì)沿路經(jīng)轉(zhuǎn)發(fā)這個(gè)消息，并將自己路由表中到達(dá)被攻擊節(jié)點(diǎn)的路由刪除。RRER消息可能會(huì)攔截一些與數(shù)據(jù)泛洪攻擊無(wú)關(guān)的路徑，但是這些路徑以后會(huì)被發(fā)送消息的節(jié)點(diǎn)修復(fù)。由于泛洪攻擊的路徑被切斷，所以數(shù)據(jù)泛洪攻擊也就此終止。

4 結(jié)論

本文介紹了一種針對(duì)Ad Hoc網(wǎng)絡(luò)中按需路由協(xié)議的泛洪攻擊。攻擊者向Ad Hoc網(wǎng)絡(luò)發(fā)動(dòng)拒絕服務(wù)攻擊，攻擊使用了按需路由協(xié)議的Ad Hoc網(wǎng)絡(luò)，即使是安全按需路由協(xié)議也會(huì)遭受攻擊。本文設(shè)計(jì)的防止泛洪攻擊的方法來(lái)阻止這種攻擊，能夠有效的防止Ad Hoc網(wǎng)絡(luò)的泛洪攻擊。

［1］Haining Wang,Danlu Zhang,and Kang G.Shin,Detecting SYN Flooding Attacks[C].New York：IEEE INFOCOM’2002.

［2］Karthik Lakshminarayanan,Daniel Adkins,Adrian Perrig,Ion Stoica,Taming IP packet flooding attacks[J].ComputerCommunication Review,2004,34(1):45-50.