無(wú)線Mesh網(wǎng)絡(luò)安全性研究

陳鈞　張展翔　鐘成琦

摘 要 WMN作為一種適合在開放區(qū)域部署的具有大面積信號(hào)覆蓋特點(diǎn)的新型無(wú)線網(wǎng)絡(luò)，目前還沒(méi)有專門用于保護(hù)它的IDS。傳統(tǒng)無(wú)線網(wǎng)絡(luò)雖然已有一些高效的無(wú)線網(wǎng)絡(luò)IDS，但這些系統(tǒng)的工作原理一般都是通過(guò)連續(xù)不斷地監(jiān)視終端用戶、系統(tǒng)和網(wǎng)絡(luò)的行為來(lái)收集檢測(cè)數(shù)據(jù)，并由一個(gè)中心實(shí)體專門分析檢測(cè)數(shù)據(jù)，本文對(duì)無(wú)線Mesh網(wǎng)絡(luò)的安全性進(jìn)行了研究。

關(guān)鍵詞 無(wú)線Mesh網(wǎng)絡(luò) 異常檢測(cè) 協(xié)作 RBF神經(jīng)網(wǎng)絡(luò) 危險(xiǎn)理論

中圖分類號(hào)：TP3O9 文獻(xiàn)標(biāo)識(shí)碼：A

1無(wú)線Mesh網(wǎng)絡(luò)安全面臨的主要威脅

從美國(guó)人NikolaTesla于1893年首次公開展示無(wú)線電通信至今，針對(duì)不同的用途和使用環(huán)境，無(wú)線電通信已經(jīng)發(fā)展出多種類型。特別是從20世紀(jì)80年代以來(lái)，伴隨著全球移動(dòng)通信系統(tǒng)的發(fā)展，不同類型的無(wú)線網(wǎng)絡(luò)如WLAN、CDMA、Bluetooth和Wi-Fi（本文將些網(wǎng)絡(luò)統(tǒng)稱為傳統(tǒng)無(wú)線網(wǎng)絡(luò)）等也相應(yīng)迅猛發(fā)展起來(lái)。雖然WMN優(yōu)勢(shì)明顯，應(yīng)用廣泛，但其在安全方面仍然受到多種威脅，主要有以下五個(gè)方面。

（1）無(wú)線鏈路方面。WMN中各節(jié)點(diǎn)通過(guò)無(wú)線鏈路以廣播方式相互傳輸數(shù)據(jù)，通信范圍內(nèi)的所有節(jié)點(diǎn)都可以接收這條數(shù)據(jù)，因此易被監(jiān)聽。并且由于缺乏像有線網(wǎng)絡(luò)中的物理通道及防火墻等明確的防御線，WMN不能通過(guò)網(wǎng)絡(luò)邊界防護(hù)設(shè)備來(lái)控制客戶端和其它設(shè)備的接入，對(duì)主動(dòng)攻擊的防御能力不足。

（2）動(dòng)態(tài)拓?fù)浞矫?。?jié)點(diǎn)進(jìn)入或退出網(wǎng)絡(luò)都會(huì)引起WMN拓?fù)浣Y(jié)構(gòu)的動(dòng)態(tài)變化。若WMN接入認(rèn)證方案存在漏洞，惡意節(jié)點(diǎn)就能輕易合法化接入網(wǎng)絡(luò)，并發(fā)動(dòng)攻擊。此外，成功接入WMN的節(jié)點(diǎn)如果缺乏充分的物理保護(hù)易被破壞、捕獲和劫持，并用于網(wǎng)絡(luò)攻擊，而追捕它卻很困難。

（3）協(xié)作運(yùn)算方面。WMN的分布式結(jié)構(gòu)導(dǎo)致其一般采用分散的數(shù)據(jù)處理策略，即絕大多數(shù)WMN算法都依賴于與其他節(jié)點(diǎn)的合作。攻擊者利用沒(méi)有中心節(jié)點(diǎn)這一弱點(diǎn)對(duì)WMN協(xié)作運(yùn)算方面實(shí)施各種破壞。

（4）路由方面。WMN中所有節(jié)點(diǎn)共同參與完成路由發(fā)現(xiàn)過(guò)程。因此惡意節(jié)點(diǎn)很可能會(huì)抓住網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)變化的時(shí)機(jī)發(fā)動(dòng)攻擊。它冒充為AP并廣播虛假路由信息，從而吸引大量網(wǎng)絡(luò)流量經(jīng)過(guò)它，并隨意竊聽、篡改甚至中斷WMN的通信。

（5）設(shè)備資源方面。WMN中的客戶端移動(dòng)性強(qiáng)，設(shè)備體積小，處理能力低，多數(shù)為電池供電。而增強(qiáng)型客戶端由于具備路由和數(shù)據(jù)轉(zhuǎn)發(fā)功能，對(duì)電池電量、資源占用、通信帶寬等因素非常敏感。因此，客戶端不能使用復(fù)雜的路由或加密算法。

2無(wú)線Mesh網(wǎng)絡(luò)主要安全防護(hù)技術(shù)

（1）安全認(rèn)證。它能阻止未授權(quán)的節(jié)點(diǎn)接入并利用WMN發(fā)送和接收數(shù)據(jù)，避免網(wǎng)絡(luò)規(guī)模被異常擴(kuò)大。另外，WMN中各節(jié)點(diǎn)間互相通信和漫游時(shí)都需要身份認(rèn)證。認(rèn)證方式分為集中式和分布式兩種。集中式利用AAA服務(wù)器實(shí)現(xiàn)，節(jié)點(diǎn)認(rèn)證成功后才能參與后面的密鑰協(xié)商、密鑰交換和路由更新等活動(dòng)。分布式認(rèn)證主要采用數(shù)字證書或預(yù)分配共享密鑰模式（即PSK）。

（2）安全路由。它的目標(biāo)是確保路由信息的完整性、真實(shí)性、可用性和不可抵賴性，而利用加密和數(shù)字簽名技術(shù)就可以實(shí)現(xiàn)這些目標(biāo)。雖然各節(jié)點(diǎn)相互通信前都會(huì)進(jìn)行認(rèn)證并協(xié)商密鑰，但被俘獲節(jié)點(diǎn)通過(guò)產(chǎn)生錯(cuò)誤或虛假路由可以繞過(guò)這層安全防護(hù)。利用安全路由協(xié)議定期更新路由表或利用選舉方式確定安全路由，可以避開被俘獲節(jié)點(diǎn)引入的危險(xiǎn)。典型的安全路由協(xié)議有Ad hoc網(wǎng)絡(luò)的SAODV、ARAN、SAR、SEAD和SRP等。

（3）入侵檢測(cè)。認(rèn)證、加密等技術(shù)作為WMN的第一道安全防護(hù)墻可以抵御外部攻擊，但主動(dòng)防御內(nèi)部入侵的能力不足。入侵檢測(cè)對(duì)內(nèi)部入侵非常敏感，因此可以作為WMN的第二道安全防線?，F(xiàn)有的WMN入侵檢測(cè)方式有四種：

①獨(dú)立入侵檢測(cè)。每個(gè)節(jié)點(diǎn)都運(yùn)行檢測(cè)實(shí)例，并獨(dú)立對(duì)事件進(jìn)行響應(yīng)。

②分布式合作入侵檢測(cè)。入侵檢測(cè)被部署在部分節(jié)點(diǎn)上，各節(jié)點(diǎn)互相協(xié)作完成入侵檢測(cè)，并產(chǎn)生相應(yīng)的響應(yīng)。

③層次式入侵檢測(cè)。由一個(gè)主控節(jié)點(diǎn)管理多個(gè)子節(jié)點(diǎn)，子節(jié)點(diǎn)負(fù)責(zé)收集和上傳檢測(cè)信息給主控節(jié)點(diǎn)，主控節(jié)點(diǎn)對(duì)其分析并做出決策。

④基于移動(dòng)代理的入侵檢測(cè)。每個(gè)Agent被指定檢測(cè)任務(wù)，之后每個(gè)節(jié)點(diǎn)會(huì)被分配到一個(gè)或多個(gè)Agent，由Agent具體分布處理入侵檢測(cè)任務(wù)。

3神經(jīng)網(wǎng)絡(luò)和危險(xiǎn)理論在入侵檢測(cè)中的應(yīng)用

3.1神經(jīng)網(wǎng)絡(luò)在入侵檢測(cè)中的應(yīng)用

神經(jīng)網(wǎng)絡(luò)（Neural Networks，簡(jiǎn)寫為NN）也稱為人工神經(jīng)網(wǎng)絡(luò)（Artificial Neural Networks，ANN）連接模型，是一種利用機(jī)器模仿人腦進(jìn)行思維活動(dòng)，進(jìn)行分布式并行信息處理的數(shù)學(xué)算法模型。作為研究復(fù)雜問(wèn)題的有力工具，神經(jīng)網(wǎng)絡(luò)技術(shù)近年來(lái)在模式識(shí)別與分類、自動(dòng)控制、非線性濾波、預(yù)測(cè)等方面已顯示出其非凡的優(yōu)勢(shì)。

3.2危險(xiǎn)理論在入侵檢測(cè)技術(shù)中的應(yīng)用

計(jì)算機(jī)安全問(wèn)題與生物免疫系統(tǒng)（Biological Immune System ，BIS）遇到的問(wèn)題非常相似，即如何在不斷變化的環(huán)境中保持自身穩(wěn)定。近年來(lái)由BIS啟發(fā)設(shè)計(jì)的人工免疫系統(tǒng)（Artificial Immune System，AIS）在工作原理上與IDS非常相似，因此得到了網(wǎng)絡(luò)安全界的廣泛關(guān)注。AIS的基本特征包括自適應(yīng)、分布式、高頑健性、輕量級(jí)、多層次和多樣性等，與IDS相結(jié)合，被認(rèn)為是一條非常重要且有意義的研究方向，現(xiàn)已取得了一定研究成果 。

盡管該理論在生物免疫學(xué)領(lǐng)域尚未成熟，但用作模擬仿真，它比SNS模型更加適用于入侵檢測(cè)領(lǐng)域?；谖ｋU(xiǎn)理論的入侵檢測(cè)模型不再對(duì)“自體/非自體”進(jìn)行區(qū)分，而只識(shí)別“危險(xiǎn)”信號(hào)，以此解決SNS檢測(cè)模型因“自體”空間巨大而使檢測(cè)效率低下的問(wèn)題。

參考文獻(xiàn)

[1] YI P，WU Y，CHEN J L.Towards an artificial immune system for detecting anomalies in wireless meshnetworks[J].China Communications，2011，8（3）： 107-117.

[2] 周彥偉，楊波，張文政.安全高效的異構(gòu)無(wú)線網(wǎng)絡(luò)可控匿名漫游認(rèn)證協(xié)議[J].軟件學(xué)報(bào)，2016，27（2）：451-465.

[3] 黃毅杰，林暉，許力，黃川，周趙斌.認(rèn)知無(wú)線網(wǎng)絡(luò)中一種基于VCG的分布式安全頻譜感知策略[J].小型微型計(jì)算機(jī)系統(tǒng)，2016，37（6）：1228-1233