物聯(lián)網(wǎng)安全技術第4章物聯(lián)網(wǎng)感知層安全

第四章物聯(lián)網(wǎng)感知層平安4.1感知層平安概述4.2RFID平安4.3傳感器網(wǎng)絡平安4.1感知層平安概述4.1.1物聯(lián)網(wǎng)信息感知的平安特征1.有限的存儲空間和計算能力2.缺乏后期節(jié)點布置的先驗知識3.布置區(qū)域的物理平安無法保證4.有限的帶寬和通信能量5.網(wǎng)絡信息平安形式多樣6.應用相關性4.1.2物聯(lián)網(wǎng)信息感知面臨的攻擊1.選擇性轉(zhuǎn)發(fā)攻擊2.Sinkhole攻擊3.Sybil攻擊4.Wormhole攻擊5.Hello泛洪攻擊4.1感知層平安概述圖4-1物聯(lián)網(wǎng)感知層相對于互聯(lián)網(wǎng)來說，物聯(lián)網(wǎng)感知層平安是新事物，是物聯(lián)網(wǎng)平安的重點，需要重點關注。目前，物聯(lián)網(wǎng)感知層主要是由RFID系統(tǒng)和傳感器網(wǎng)絡組成，其他獨立的傳感器，如GPS系統(tǒng)等，屬于被動感知信息的設備，其平安問題不在本書討論的范圍內(nèi)。

4.1.1物聯(lián)網(wǎng)信息感知的平安特征物聯(lián)網(wǎng)信息感知的信息平安問題的解決思路和方法不同于傳統(tǒng)網(wǎng)絡平安協(xié)議，這主要是由物聯(lián)網(wǎng)感知層自身的特征所決定的。1．有限的存儲空間和計算能力物聯(lián)網(wǎng)感知層的資源有限特性導致很多復雜、有效、成熟的平安協(xié)議和算法不能直接使用。公鑰平安體系是目前商用平安系統(tǒng)最理想的認證和簽名體系，但從存儲空間上看，一對公私鑰的長度就到達幾百個字節(jié)，還不包括各種中間計算所需要的空間；從時間復雜度上看，公鑰密碼方法所需的計算量大，這對內(nèi)存和計算能力都非常有限的感知節(jié)點來說是無法完成的。密鑰過長、空間和時間復雜度過大的對稱密碼算法也不能用于物聯(lián)網(wǎng)。5．網(wǎng)絡信息平安形式多樣Internet上的信息平安，一般是端到端、網(wǎng)到網(wǎng)的訪問平安和傳輸平安。物聯(lián)網(wǎng)是作為一個整體來完成某項特殊任務的，每個節(jié)點不但具有監(jiān)測和判斷功能，而且又擔負著路由轉(zhuǎn)發(fā)功能。每個節(jié)點在與其他節(jié)點通信時都存在信任度和信息保密的問題。除了點到點的平安通信外，還存在信任播送問題?；鞠蛉W(wǎng)發(fā)布命令時，每個節(jié)點都要能夠有效判定消息確實來自于有播送權限的基站。6．應用相關性物聯(lián)網(wǎng)的應用領域非常廣泛，不同的應用對平安的要求也不同。在許多商用系統(tǒng)中，對于信息的保密性和完整性比較關心。對于軍事領域，除了信息的可靠性外，還必須對惡意篡改節(jié)點、異構(gòu)節(jié)點〔敵對方向物聯(lián)網(wǎng)感知節(jié)點所在區(qū)域投放的監(jiān)聽、干擾設備〕入侵的抵抗力要充分考慮。這就要求根據(jù)具體應用采用多樣化、靈活的方式解決平安問題。4.1.2物聯(lián)網(wǎng)信息感知面臨的攻擊物聯(lián)網(wǎng)信息感知得主要攻擊形式包括選擇性轉(zhuǎn)發(fā)攻擊、Sinkhole攻擊、Sybil攻擊、Wormhole攻擊、Hello泛洪攻擊等。1．選擇性轉(zhuǎn)發(fā)攻擊選擇性轉(zhuǎn)發(fā)攻擊是在節(jié)點收到數(shù)據(jù)包后，有選擇地轉(zhuǎn)發(fā)或者根本不轉(zhuǎn)發(fā)收到的數(shù)據(jù)包，從而導致數(shù)據(jù)包不能到達目的地。2．Sinkhole攻擊在Sinkhole攻擊中，攻擊者通過播送電源充足、可靠而且高效的信息，以吸引周圍的節(jié)點選擇它作為其路由路徑中的點，然后和其他攻擊手段〔如選擇性轉(zhuǎn)發(fā)攻擊，更改數(shù)據(jù)包的內(nèi)容等〕結(jié)合起來，以到達攻擊網(wǎng)絡的目標。4．Wormhole攻擊Wormhole攻擊通常需要兩個惡意節(jié)點相互串通，合謀進行攻擊。一般情況下，一個惡意節(jié)點位于Sink節(jié)點附近，另一個惡意節(jié)點距離Sink節(jié)點較遠，較遠的那個節(jié)點聲稱自己和Sink節(jié)點附近的節(jié)點可以建立低時延、高帶寬的鏈路，從而吸引周圍節(jié)點將其數(shù)據(jù)包發(fā)送到它這里。在這種情況下，遠離Sink節(jié)點的那個惡意節(jié)點其實也是一個Sinkhole。該攻擊常和其他攻擊，如選擇轉(zhuǎn)發(fā)等手段結(jié)合進行。5．Hello泛洪攻擊很多路由協(xié)議需要物聯(lián)網(wǎng)感知節(jié)點定時發(fā)送Hello包，以聲明自己是它們的鄰居節(jié)點。但是一個較強的惡意節(jié)點以足夠大的功率播送Hello包時，收到該包的節(jié)點會認為這個惡意節(jié)點是它們的鄰居。在以后的路由中，這些節(jié)點很可能會使用這條到此節(jié)點的路徑，向惡意節(jié)點發(fā)送數(shù)據(jù)包。針對進攻者的攻擊行為，物聯(lián)網(wǎng)的感知節(jié)點可以采取各種主動和被動的防御措施。主動防御指在網(wǎng)絡遭受攻擊以前，節(jié)點為防范攻擊采取的措施，例如對發(fā)送的數(shù)據(jù)加密認證，對接收到的數(shù)據(jù)進行解密、認證、完整性鑒定等一系列的檢查。被動防御指在網(wǎng)絡遭受攻擊以后，節(jié)點為減小攻擊影響而采取的措施，例如在遭到擁塞干擾的時候關閉系統(tǒng)，然后通過定期檢查判斷攻擊實施情況，在攻擊停止或間歇時恢復通信。4.2RFID平安4.2RFID平安4.2.1RFID平安威脅分析2.RFID各種平安威脅1〕零售業(yè)對于零售業(yè)來說，粘貼在一個昂貴商品上的RFID標簽可能被改寫成一個廉價的商品，或者可以換上一個偽造的標簽，或者更簡單地把其他廉價商品的標簽換上去。這樣一來攻擊者就可以用很廉價的價格買到昂貴的商品了。條碼系統(tǒng)的收銀員會檢查標簽內(nèi)容與商品是否一致，因此條碼系統(tǒng)上該問題不明顯。但是RFID系統(tǒng)不需要對準掃描，人工參與度不高，即使是在人工收銀的場合，收銀員也很容易無視這種情況。為了對付隱私泄露，在商品售出后都要把RFID標簽“殺死〞。這就引來另一種平安威脅：一個攻擊者出于競爭或者發(fā)泄等原因，可能攜帶一個閱讀器在商店里面隨意“殺死〞標簽。這樣就會帶來商店管理的混亂——商品在突然之間就不能正常地掃描了，顧客只能在收銀臺大排長隊；智能貨架也向庫房系統(tǒng)報告說大量貨價已經(jīng)出空，商品急需上架。很顯然，這個平安問題對于條碼來說也是不存在的。3．RFID系統(tǒng)攻擊模型RFID系統(tǒng)一般由三個實體局部與兩種通信信道組成，即電子標簽、閱讀器、后臺應用系統(tǒng)與無線通信信道、后端網(wǎng)絡通信信道。對于攻擊者來說，這幾局部都可能成為攻擊對象，攻擊者模型如圖4-2所示。圖4-2RFID攻擊模型〔2〕重放：重放主要針對RFID的空中接口而言。攻擊者可以把以前的合法通信數(shù)據(jù)記錄下來，然后重放出來以欺騙標簽或閱讀器?！?〕篡改：對RFID系統(tǒng)而言，既可以篡改RFID的空中接口數(shù)據(jù)，也可以篡改其標簽數(shù)據(jù)。對于可寫的電子標簽〔如公交卡〕，通過修改其中的數(shù)據(jù)可以增加其中的余額。篡改只讀卡不太容易，但篡改空中接口數(shù)據(jù)相比照較容易。〔4〕拒絕效勞：針對RFID的空中接口實施拒絕效勞是比較容易的。RFID系統(tǒng)工作的頻段比較窄，跳頻速度比較小，反射信號非常弱，通過施放大功率干擾設備，很容易破壞RFID系統(tǒng)的正常工作。還有一種方法是采用間諜標簽，攻擊其防沖突協(xié)議，對于閱讀器的每次詢問間諜標簽，均回應一個假冒數(shù)據(jù)，造成合法標簽與間諜標簽沖突。〔5〕病毒攻擊：RFID標簽數(shù)據(jù)容量比較小，但是仍然可以在其中寫入惡意數(shù)據(jù)，閱讀器把這些數(shù)據(jù)傳送到后臺系統(tǒng)中即可造成一種特殊的RFID病毒攻擊。

3〕物理攻擊物理攻擊需要解除系統(tǒng)的軟/硬件，并對其進行破解和破壞。針對RFID系統(tǒng)而言由于標簽數(shù)量巨大，難以控制，針對其進行物理攻擊是最好的途徑。另外，閱讀器的數(shù)量也比較大，不能確保每一個使用者都能正確和順利地使用系統(tǒng)，因此針對閱讀器的物理攻擊也可能存在。對電子標簽而言，其物理攻擊可分為破壞性攻擊和非破壞性攻擊?！?〕破壞性攻擊：破壞性攻擊和芯片反向工程在最初的步驟上是一致的，使用發(fā)煙硝酸去除包裹裸片的環(huán)氧樹脂；用丙酮、去離子水、異丙醇完成清洗；通過氫氟酸超聲浴進一步去除芯片的各層金屬。在去除芯片封裝之后，通過金絲鍵合恢復芯片功能焊盤與外界的電氣連接，最后可以使用手動微探針獲取感興趣的信號。對于深亞微米以下的產(chǎn)品，通常具有一層以上的金屬連線，為了了解芯片的內(nèi)部結(jié)構(gòu)，可能要逐層去除該連線以獲得重構(gòu)芯片幅員設計所需的信息。2〕完整性完整性是指電子標簽內(nèi)部數(shù)據(jù)及與讀寫器之間的通信數(shù)據(jù)不能被非法篡改，或者即使被篡改也能夠被檢測到。數(shù)據(jù)被篡改會導致欺騙的發(fā)生，因此對于大多數(shù)RFID應用，都需要保證數(shù)據(jù)的完整性。3〕可用性可用性是指RFID系統(tǒng)應該在需要時即可被合法使用，攻擊者不能限制合法用戶的使用。對于RFID系統(tǒng)而言，由于空中接口反射信號由于防沖突協(xié)議的脆弱性等原因，可用性受到破壞或降級的可能性較大。但對一般民用系統(tǒng)而言，通過破壞空中接口的可用性獲利的可能性比較小，而且由于無線信號很容易被定位，因此這種情況較難發(fā)生。但在公眾場合，電子標簽的可用性那么很容易通過屏蔽、遮蓋、撕毀手段等被破壞，因此也應在系統(tǒng)設計中加以考慮。4〕真實性對于RFID系統(tǒng)而言，真實性主要是要保證讀寫器、電子標簽及其數(shù)據(jù)是真實可行的，要預防偽造和假冒的讀寫器、電子標簽及其數(shù)據(jù)。5〕隱私性隱私性是針對個人攜帶粘貼RFID標簽的物品而產(chǎn)生的需求。一般可分為信息隱私、位置隱私和交易隱私。信息隱私是指用戶相關的非公開信息不能被獲取或者被推斷出來；位置隱私是指攜帶RFID標簽的用戶不能被跟蹤或定位；交易隱私是指RFID標簽在用戶之間的交換，或者單個用戶新增某個標簽，失去某個標簽的信息不能被獲取。對于不同的國家及個人而言，對隱私性的重視程度也不同，但重要的政治和軍事人物都需要較強的隱私性。

4.2.2RFID平安關鍵問題RFID系統(tǒng)中電子標簽固有的內(nèi)部資源有限、能量有限和快速讀取要求，以及具有的靈活讀取方式，增加了在RFID系統(tǒng)中實現(xiàn)平安的難度。實現(xiàn)符合RFID系統(tǒng)的平安協(xié)議、機制，必須考慮RFID系統(tǒng)的可行性，同時重點考慮以下幾方面的問題。1．算法復雜度電子標簽具有快速讀取的特性，并且電子標簽內(nèi)部的時鐘都是千赫茲級別的，因此，要求加密算法不能占用過多的計算周期。高強度的加密算法不僅要使用更多的計算周期，也比較占用系統(tǒng)存儲資源，特別是對于存儲資源最為缺乏的RFID電子標簽而言更是如此。無源EPCC1G2電子標簽的內(nèi)部最多有2?000個邏輯門，而通常的DES算法需要2?000多個邏輯門，即使是輕量級的AES算法，也大約需要3?400個邏輯門，表4-1為幾種傳統(tǒng)平安算法使用的邏輯門數(shù)。表4-1幾種傳統(tǒng)平安算法使用的邏輯門算法門數(shù)算法門數(shù)UniversalHash1

700DES2

300MD516

000AES-1283

400FastSHA-120

000Trivium2

599FastSHA-25623

000HIGHT3

0482．認證流程在不同應用系統(tǒng)中，讀寫器對電子標簽的讀取方式不同，有些應用是一次讀取一個電子標簽，如接入控制的門禁管理；有些應用是一次讀取多個電子標簽，如物流管理。對于一次讀取一個電子標簽的應用來說，認證流程占用的時間可以稍長；而對于一次讀取多個電子標簽的應用來說，認證時間必須嚴格控制，否那么會導致單個電子標簽的識別時間加長，在固定時間內(nèi)可能導致系統(tǒng)對電子標簽讀取不全。3．密鑰管理在RFID應用系統(tǒng)中，無論是接入控制，還是物流管理，電子標簽的數(shù)目都是以百來計算的。如果每個電子標簽都具有唯一的密鑰，那么密鑰的數(shù)量將變得十分龐大。如何對這些龐大的單一密鑰進行管理，將是一個十分棘手的問題。如果所有同類的商品具有相同密鑰，一旦這類商品中的一個密鑰被破解，那么所有同類商品將受到平安威脅。除了要考慮以上這幾個方面之外，還要考慮如何對傳感器、電子標簽、讀寫器等感知設備進行物理保護，以及是否要對不用的應用使用不同的平安等級等?！癒ill〞命令使其失效。接收到這個命令之后，標簽便終止其功能，無法再發(fā)射和接收數(shù)據(jù)，這是一個不可逆操作。為防止標簽被非法殺死，一般都需要進行口令認證。如果標簽沒有“Kill〞命令，還可用高強度的電場，在標簽中形成高強度電流燒毀芯片或燒斷天線。但是，商品出售后一般還有反向物流的問題，如遇到退貨、維修、召回問題時，由于標簽已經(jīng)被殺死，就不能再利用RFID系統(tǒng)的優(yōu)勢。對此，IBM公司開發(fā)出一種新型可裁剪標簽。消費者能夠?qū)FID天線扯掉或者刮除，縮小標簽的可閱讀范圍，使標簽不能被隨意讀取。使用該標簽，盡管天線不能再用，閱讀器仍然能夠近距離讀取標簽，當消費者需要退貨時，可以從RFID標簽中讀出信息。對于有些商品，消費者希望在保持隱私的前提下還能在特定的場合讀取標簽。以上方法本錢低廉，容易實施，可以很好地解決隱私問題。但是對于某些物品，需要隨身攜帶，且對于隨時需要被讀取的標簽來說不能使用。圖4-3Hash鎖協(xié)議認證過程由圖4-4可知，其認證過程是：閱讀器查詢〔Query〕電子標簽，然后電子標簽響應metaID，接著從數(shù)據(jù)庫中找出相同metaID對應的Key和ID，并將Key發(fā)給標簽，最后電子標簽把ID發(fā)給閱讀器。該方案的優(yōu)點是標簽運算量小，數(shù)據(jù)庫查詢快，并且實現(xiàn)了電子標簽對閱讀器的認證，但其漏洞很多：空中數(shù)據(jù)不變，并以明文傳輸，因此電子標簽可被跟蹤、竊聽和克隆；另外，重放攻擊、中間人攻擊、拒絕效勞攻擊均可奏效。由于存在這些漏洞，因此電子標簽對閱讀器進行認證沒有任何意義。②隨機Hash-Lock協(xié)議。隨機Hash-Lock協(xié)議由Weis等人提出，它采用了基于隨機數(shù)的詢問-應答機制。標簽中除Hash函數(shù)外，還嵌入了偽隨機數(shù)發(fā)生器，后端數(shù)據(jù)庫存儲所有標簽的ID，其認證過程如圖4-4所示。圖4-4隨機Hash-Lock協(xié)議認證過程由圖4-4可知，閱讀器首先查詢電子標簽，標簽返回一個隨機數(shù)R和H〔IDk‖R〕。閱讀器對數(shù)據(jù)庫中的所有電子標簽計算H〔ID‖R〕，直到找到相同的Hash值為止。該協(xié)議利用偽隨機數(shù)，使電子標簽響應每次都會變化，解決了電子標簽的隱私問題，實現(xiàn)了閱讀器對電子標簽的認證，同時也沒有密鑰管理的麻煩。但電子標簽需要增加Hash函數(shù)和隨機數(shù)模塊，增加了功耗和本錢。再者，它需針對所有標簽計算Hash，對于電子標簽數(shù)量較多的應用，計算量太大。更進一步，該協(xié)議對重放攻擊沒有抵御能力。最后，閱讀器把IDk返回給電子標簽，試圖讓電子標簽認證閱讀器，但卻泄漏了電子標簽的數(shù)據(jù)，假設去掉這一步，協(xié)議平安性可得到提高。③Xingxin〔Grace〕Gao等提出的用于供給鏈的RFID平安和隱私方案。Xingxin〔Grace〕Gao等在論文“ANAPPROACHTOSECURITYANDPRIVACYOFRFIDSYSTEMFORSUPPLYCHAIN〞中提出該協(xié)議。協(xié)議規(guī)定標簽內(nèi)置一個Hash函數(shù)，保存Hash〔TagID〕和ReaderID。其中ReaderID表示合法閱讀器的ID，假設需要移動到新的地點，那么用舊ReaderID或保護后更新為新的ReaderID。數(shù)據(jù)庫中保存所有標簽的TagID和Hash〔TagID〕。其協(xié)議流程如圖4-5所示。圖4-5供給鏈RFID協(xié)議流程④歐陽麒等提出一種基于相互認證的平安RFID系統(tǒng)，該協(xié)議是對上述Xingxin〔Grace〕Gao等提出協(xié)議的改進。其改進主要是在Gao協(xié)議之后添加了閱讀器對電子標簽的認證和加密信息的獲取兩個步驟。其中電子標簽添加了加密信息E〔useinfo〕。其協(xié)議流程如圖4-6所示。圖4-6相互認證RFID平安系統(tǒng)圖4-6中[粗線條]表示該文在原協(xié)議之后增加的步驟。增加的步驟為：〔a〕閱讀器向標簽發(fā)送隨機數(shù)r；〔b〕電子標簽計算并返回其H[H(TagID)‖r]；〔c〕閱讀器同樣計算并比照H[H(TagID)‖r]，假設相等那么認為電子標簽通過認證；〔d〕閱讀器請求電子標簽中的加密信息；〔e〕電子標簽返回加密信息E(userinfo)，并通過閱讀器轉(zhuǎn)發(fā)給數(shù)據(jù)庫；〔f〕數(shù)據(jù)庫查找電子標簽加密證書，解密信息后將明文userinfo返回給閱讀器。該協(xié)議聲稱閱讀器用隨機數(shù)r挑戰(zhàn)電子標簽可認證標簽，從而防止假冒電子標簽。但是假冒電子標簽可通過竊聽得到H(TagID)，因此假冒電子標簽也可生成H[H(TagID)‖r]。因此實際上達不到目的。當然，假設將認證數(shù)改為H(TagID‖r)，那么可到達目的。另一個問題是E(userinfo)是不變的，進一步加重了原協(xié)議存在的跟蹤問題。并且既然閱讀器始終要從效勞器取得userinfo，其實不如直接把userinfo保存在數(shù)據(jù)庫中，在原協(xié)議中返回TagID時直接返回更為簡捷。畢竟文中引入的證書加密一是增加了電子標簽存儲容量，二是增加了證書管理的困難。其他方面該協(xié)議與原協(xié)議沒有區(qū)別。綜合考慮，該文方案上不如原方案實用。⑤王新峰等提出的移動型RFID平安協(xié)議。王新峰等人在論文“移動型RFID平安協(xié)議及其GNY邏輯分析〞中提出該協(xié)議。協(xié)議要求標簽內(nèi)嵌一個Hash函數(shù)，保存ID和一個秘密值s，并與數(shù)據(jù)庫共享。其協(xié)議流程如圖4-7所示。圖4-7移動型RFID平安協(xié)議和別名Key。數(shù)據(jù)庫存儲所有標簽的H(Key)、ID和Key。每次認證成功后別名按照公式Key=S(Key)進行更新。為使失步狀態(tài)可以恢復，數(shù)據(jù)庫為每個標簽存儲兩條記錄，分別對應數(shù)據(jù)變化前后的數(shù)據(jù)，這兩條記錄通過字段Pointer可相互引用。其流程如圖4-8所示。圖4-8Reader-Tag平安協(xié)議流程⑦基于Hash的ID變化協(xié)議?；贖ash的ID變化協(xié)議與Hash鏈協(xié)議類似，在每一次認證過程中都改變與閱讀器交換的信息。在初始狀態(tài)，標簽中存儲ID、TID〔上次發(fā)送序號〕、LST〔最后一次發(fā)送序號〕，且TID=LST；后端數(shù)據(jù)庫中存儲H(ID)?ID?TID、LST、AE。認證過程如圖4-9所示。圖4-9ID變化協(xié)議認證過程如圖4-9中所示，協(xié)議運行過程如下：〔a〕閱讀器向電子標簽發(fā)送查詢命令；〔b〕電子標簽將自身TID加1并保存，計算H(ID)、TID=TID?LST、H(TID‖ID)，然后將這3個值發(fā)送給閱讀器；〔c〕閱讀器將收到的3個數(shù)轉(zhuǎn)發(fā)給數(shù)據(jù)庫；〔d〕數(shù)據(jù)庫根據(jù)H(ID)搜索電子標簽，找到后利用TID=LST＋TID計算出TID，然后計算H(TID‖ID)，并與接收到的電子標簽數(shù)據(jù)比較，如果相等那么通過認證；通過認證后，更新TID、LST=TID及ID=IDR，其中R為隨機數(shù)；然后數(shù)據(jù)庫計算H(R‖TID‖ID)，并連同R一起發(fā)送給閱讀器；〔e〕閱讀器將收到的兩個數(shù)發(fā)送給電子標簽；〔f〕電子標簽利用自身保存的TID、ID及收到的R計算H(R‖TID‖ID)，判斷是否與數(shù)據(jù)庫發(fā)送的數(shù)值相等，假設相等那么通過認證；通過認證后電子標簽更新自身LST=TID，ID=IDR。⑧LCAP協(xié)議。LCAP協(xié)議每次成功的會話都要動態(tài)刷新電子標簽ID，電子標簽需要一個Hash函數(shù)，其協(xié)議流程如圖4-10所示。圖4-10LCAP協(xié)議流程可能與其他電子標簽的ID重復。⑨孫麟等對LCAP的改進協(xié)議。孫麟等提出一種增強型基于低本錢的RFID平安性認證協(xié)議，該協(xié)議實際上對LCAP的一種改進，其流程如圖4-11所示。圖4-11LCAP改進協(xié)議流程由圖4-11可知，該協(xié)議與前述LCAP協(xié)議相似，唯一區(qū)別在于標簽ID的更新方法。在LCAP中，，而本協(xié)議中IDS，其中S由數(shù)據(jù)庫選取，可使新ID能夠保證唯一性，而LCAP協(xié)議中那么不能保證唯一性。但該協(xié)議S以明文方式傳輸，極易被篡改，尤其是如果S被改為0，那么ID異或后并未發(fā)生變化，將更便于跟蹤，同時也將造成數(shù)據(jù)庫與電子標簽更容易失步。⑩薛佳楣等提出的一種RFID系統(tǒng)反跟蹤平安通信協(xié)議，稱為UNTRACE。該協(xié)議規(guī)定電子標簽和數(shù)據(jù)庫共享密鑰K，K同時作為電子標簽的標志。電子標簽將存儲一個可更新的時間戳Tt，并實現(xiàn)一個帶密鑰的Hash函數(shù)Hk。數(shù)據(jù)庫保存一個時間戳Tr。Tr每隔一定周期變化一次，當其變化是數(shù)據(jù)庫預先計算時保存所有電子標簽的Hash值Hk(Tr)。其認證步驟如下：〔a〕讀寫器發(fā)送當前時間戳Tr到電子標簽；〔b〕電子標簽比較時間戳Tr與Tt，假設Tr大于Tt，那么閱讀器合法，用Tr更新Tt，計算并返回Hk(Tr)；〔c〕后端數(shù)據(jù)庫搜索電子標簽返回值，假設有效那么認證通過，此處Tr作為時間戳。圖4-12Hash函數(shù)構(gòu)造算法流程圖4-13UHFRFID隱私增強保護方案圖4-13中，ODS表示對象目錄效勞，IDo表示原ID，IDe表示臨時ID。該方案的優(yōu)點是：簡單，標簽不需要增加任何功能。其缺點為：用戶的移動需要集成閱讀器；用戶需要不時對電子標簽加密，當商品數(shù)量比較多時尤其困難；密鑰管理困難，密鑰的分配和更新難度非常大；未考慮相互認證，攻擊者向電子標簽寫入任何數(shù)據(jù)；在兩次更新之間，攻擊者可以跟蹤電子標簽。②LeonidBolotnyy等提出的基于PUF的平安和隱私方案。PUF〔PhysicallyUnclonableFunction〕函數(shù)實際上是一種隨機數(shù)發(fā)生器，其輸出依賴于電路的線路延時和門延時在不同芯片之間的固有差異，這種延時實際上是由一些不可推測的因素引起的，如制造差異、量子波動、熱梯度、電子遷移效應、寄生效應以及噪聲等，因此難以模擬、預測或復制一個優(yōu)秀的PUF電路。PUF對于相同的輸入，即使完全相同的電路都將產(chǎn)生不同的輸出。PUF需要的芯片面積很小，估計一個產(chǎn)生64bit輸出的PUF大約需要545個門。由于物理攻擊需要改變芯片的狀態(tài)，會對PUF產(chǎn)生影響，因此PUF具有很好的抗物理攻擊性能。作者提出的認證協(xié)議非常簡單：假設標簽具有一個PUF函數(shù)p，一個ID，那么每次閱讀器查詢電子標簽時，電子標簽返回ID，并更新ID=p(ID)。由于PUF的不可預測性，數(shù)據(jù)庫必須在初始化階段，在一個平安的環(huán)境中把這些ID序列從標簽中收集并保存起來。PUF函數(shù)本身受到兩個問題的制約：一個是對于相同輸入，兩個PUF產(chǎn)生相同輸出的概率；另一個是對于相同輸入，同一個PUF產(chǎn)生不同輸出的概率。第一個問題要求不同的PUF之間要有足夠的區(qū)分度，第二個問題是要求同一個PUF要有足夠的穩(wěn)定度。對于穩(wěn)定度問題，作者建議PUF執(zhí)行屢次，然后取概率最大的輸出。但是即使如此，電子標簽工作的環(huán)境變化也較大，例如，物流應用中，標簽可能從熱帶地區(qū)的30℃，移動到寒帶地區(qū)的?30℃。顯然，在這種情況下靠屢次執(zhí)行PUF并不能解決問題。除PUF特定的問題外，該協(xié)議還存在一些其他問題：數(shù)據(jù)庫存儲量增加過大；初始化過程時間過長；難以確定需要收集多少初始化數(shù)據(jù)；電子標簽需更新數(shù)據(jù)，識別距離減半；攻擊者可調(diào)整功率使標簽可讀取，但不可更新，即可跟蹤電子標簽。〔3〕基于效勞器數(shù)據(jù)搜索的平安通信協(xié)議。①Hun-WookKim等提出的認證協(xié)議。該協(xié)議的特點是基于流密碼，但并未指出采用何種算法，僅指出其協(xié)議流程基于挑戰(zhàn)響應協(xié)議，并且認證成功后其密鑰會被更新。效勞器與電子標簽共享密鑰和ID。為了恢復同步，效勞器端保存上次成功密鑰和當前密鑰，具體如圖4-14所示。圖4-14Hun-WookKim認證協(xié)議流程利用密鑰更新增大了破解難度；當密鑰同步時，數(shù)據(jù)庫搜索很快。其缺點：當密鑰不同步時，數(shù)據(jù)庫需要針對所有電子標簽進行加密運算，不適合較大的系統(tǒng)；當攻擊者給閱讀器發(fā)送任意數(shù)據(jù)時，將引起數(shù)據(jù)庫執(zhí)行全庫計算，非常容易產(chǎn)生拒絕效勞；電子標簽需要更新數(shù)據(jù)，造成識別距離減半。②裴友林等提出的基于密鑰矩陣的RFID平安協(xié)議。該協(xié)議的特點是以矩陣作為密鑰。加密是明文與密鑰矩陣相乘得到密文。解密時與其逆矩陣相乘得到明文。該協(xié)議涉及3個數(shù)據(jù)：秘值S，密鑰矩陣K1和K2。電子標簽具備矩陣運算能力，其中保存S、和。數(shù)據(jù)庫中保存X、和，其中X=S。每次成功認證后S會用隨機值更新，X的值也對應更新。其協(xié)議流程如圖4-15所示。圖4-15密鑰矩陣RFID平安協(xié)議其執(zhí)行步驟為：〔a〕閱讀器詢問電子標簽；〔b〕電子標簽計算，并將其通過閱讀器轉(zhuǎn)發(fā)給數(shù)據(jù)庫；〔c〕后端數(shù)據(jù)庫查找X，計算X并與數(shù)據(jù)庫中的S比較，假設相等那么認證通過；然后計算；選取，計算，用和更新數(shù)據(jù)庫字段；把Y、Z通過閱讀器轉(zhuǎn)發(fā)給電子標簽；〔d〕電子標簽用Y計算出S認證閱讀器，假設認證通過，那么用Z計算出更新原S。注：其實后續(xù)協(xié)議并未用到“與〞運算〕，其協(xié)議流程如圖4-16所示。圖4-16LMAP協(xié)議流程其協(xié)議分成3個步驟：電子標簽識別、相互認證和數(shù)據(jù)更新。①在識別階段，閱讀器詢問電子標簽，電子標簽返回識別名IDS；②在相互認證階段，閱讀器生成兩個隨機數(shù)n1和n2，并計算A、B、C三個數(shù)，然后把這三個數(shù)發(fā)給電子標簽。電子標簽從A中計算出n1，然后用B認證閱讀器，用C得到n2，然后計算D并發(fā)給閱讀器，閱讀器用D認證電子標簽。A、B、C、D的計算公式如圖4-16所示。③認證通過后雙方更新IDS、K1、K2、K3、K4，其更新公式如圖4-17所示。圖4-17LMAP協(xié)議更新公式數(shù)據(jù)庫搜索方案一般都需要數(shù)據(jù)庫實時在線，對于有些應用系統(tǒng)來說是很難實現(xiàn)的。還有一些方案那么對每個電子標簽保存了很多條記錄，大大增加了數(shù)據(jù)量，也是不利于實際實現(xiàn)的?！?〕不少方案都利用了秘密值、密碼、別名或密鑰等概念。這里存在的問題是，如果所有電子標簽共享相同的秘密值，那么系統(tǒng)平安性面臨較大威脅。如果每個標簽的秘密值不同，那么它們的管理難度較大。系統(tǒng)不僅要處理秘密值的生成，寫入電子標簽，更難的是它們的更新。在同一個地點要確定適宜的更新周期，移動到新的地點那么要處理后臺密鑰的傳輸?！?〕有些方案采用了一些非常簡單的運算作為加密函數(shù)或Hash函數(shù)，如CRC和一些自行設計的簡單交換。對于這種方案既使其協(xié)議設計完善，但由于其算法未經(jīng)驗證，難以在實踐中采用?！?〕很多采用別名的方案存在別名數(shù)量難以確定的問題。增加別名數(shù)量有利于平安性提高，但卻需要增加電子標簽容量。如果采用EPC碼96位作為一個別名，那么1?KB的電子標簽僅能存儲10多個標簽，對于很多應用來說是遠不能到達需求的。〔6〕有些方案對標簽要求太高，根本不能使用，如需要進行3次以上的Hash運算，還有的需要存儲數(shù)百千比特的公鑰?！?〕有些方案〔如PUF方案〕目前尚不成熟，難以實際采用。當然也有些方案設計比較完善，幾乎沒有漏洞，也有較佳的實用性，這種方案一般都基于傳統(tǒng)的挑戰(zhàn)響應協(xié)議和經(jīng)典的密碼算法。另外，基于公鑰的算法密鑰管理簡單，如果運算速度較快，密鑰較短的算法也應優(yōu)先采用。3．幾種高頻RFID平安方案對于13.56?MHz頻率的RFID標簽，目前已經(jīng)有幾種可行的方案，以下介紹兩

種方案。1〕恩智浦MIFAREI芯片恩智浦公司的MIFARE系列是符合ISO—14443TypeA標準的電子標簽。其中采用的認證協(xié)議符合國際標準ISO2〕中電華大C11A0128M-B北京中電華大公司最新推出的電子標簽芯片C11A0128M-B也支持ISO—14443TypeA協(xié)議。與MIFARE卡一樣采用三通認證機制。其區(qū)別主要在于算法使用國產(chǎn)的SM7分組算法。由于該算法采用128位的密鑰，因此平安性要比MIFARE高得多。4.3傳感器網(wǎng)絡平安

4.3.1傳感器網(wǎng)絡概述1.根本結(jié)構(gòu)2.資源特性3.網(wǎng)絡特性4.物理特性

4.3.2傳感器網(wǎng)絡面臨的平安威脅

4.3.3傳感器網(wǎng)絡平安防護主要手段1.信息加密2.數(shù)據(jù)校驗3.身份認證4．擴頻與跳頻5．平安路由6．入侵檢測

4.3.1傳感器網(wǎng)絡概述1．根本結(jié)構(gòu)傳感器網(wǎng)絡是由大量具有感知能力、計算能力和通信能力的微型傳感器節(jié)點構(gòu)成的自組織、分布式網(wǎng)絡系統(tǒng)。在傳感器網(wǎng)絡中，搭載各類集成化微型傳感器的傳感器節(jié)點協(xié)同實時監(jiān)測、感知和采集各種環(huán)境或監(jiān)測對象的信息，并對其進行處理，最終通過自組織無線網(wǎng)絡以多跳中繼方式將所感知的信息結(jié)果傳輸?shù)接脩羰种?。傳感器?jié)點主要由傳感、數(shù)據(jù)處理、通信和電源4局部構(gòu)成。根據(jù)具體應用的不同，還可能會有定位系統(tǒng)以確定傳感節(jié)點的位置，有移動單元使得傳感器可以在待檢測地域中移動，或具有供電裝置已從環(huán)境中獲得必要的能源。此外，還必須有一些應用相關局部，例如，某些傳感器節(jié)點有可能在深?；蛘吆５祝灿锌赡艹霈F(xiàn)在化學污染或生物污染的地方，這就需要在傳感器節(jié)點的設計上采用一些特殊的防護措施。由于在傳感器網(wǎng)絡中需要大規(guī)模地配置傳感器，為了降低本錢，傳感器一般都是資源十分受限的系統(tǒng)，典型的傳感器節(jié)點通常只有幾兆赫或十幾兆赫的處理能力及十幾千字節(jié)的存儲空間，通信速度、帶寬也十分有限。同時，由于大多數(shù)應用環(huán)境中傳感器節(jié)點無法重新充電，體積微小，其本身所能攜帶的電量也十分有限。在傳感器網(wǎng)絡中，節(jié)點散落在被監(jiān)測區(qū)域內(nèi)，節(jié)點以自組織形式構(gòu)成網(wǎng)絡，通過多跳中繼方式將監(jiān)測數(shù)據(jù)傳到基站節(jié)點或者基站，最終借助長距離或臨時建立的基站節(jié)點鏈路將整個區(qū)域內(nèi)的數(shù)據(jù)傳輸?shù)竭h程中心進行集中處理。無線傳感器網(wǎng)絡的結(jié)構(gòu)如圖4-18所示。從傳感器網(wǎng)絡結(jié)構(gòu)中可以看出，節(jié)點對監(jiān)控區(qū)域進行數(shù)據(jù)采集，并與網(wǎng)絡內(nèi)節(jié)點進行信息交互，連接網(wǎng)關節(jié)點，最終通過網(wǎng)關節(jié)點連接到互聯(lián)網(wǎng)，把數(shù)據(jù)傳輸?shù)胶蠖说墓芾硐到y(tǒng)，管理系統(tǒng)根據(jù)采集到的數(shù)據(jù)對節(jié)點進行管理和控制?！?〕存儲有限。絕大多數(shù)的傳感器都是比較小型化的設備，具有相對較小的存儲容量〔2〕能量有限。多數(shù)傳感器使用電池供電，或者使用電磁感應的方式獲取能量。例如，Imote使用3節(jié)AAA電池供電，即使在睡眠模式下也難以維持較長的工作時間。對于部署無人環(huán)境下的傳感器而言，應當盡量降低功耗，延長設備的使用壽命。但是，平安機制的實現(xiàn)，將大大消耗傳感器的電能，包括數(shù)據(jù)加/解密、密鑰存儲、管理、發(fā)送等。3．網(wǎng)絡特性作為感知設備的各種傳感器，為了部署于各種環(huán)境中同時能對其數(shù)據(jù)進行采集，傳感器的數(shù)量、位置對于不同的環(huán)境、應用系統(tǒng)而言都是不固定的。單個傳感器的能量有限，監(jiān)測和通信的范圍都有限，這就要求應用系統(tǒng)在檢測環(huán)境中具有多個傳感器相互協(xié)作，已完成對環(huán)境數(shù)據(jù)的采集，以及把數(shù)據(jù)傳輸?shù)竭h在千里之外的應用系統(tǒng)中。1〕自組織網(wǎng)絡和動態(tài)路由為了滿足應用系統(tǒng)多個傳感器相互協(xié)作的需要，傳感器能夠?qū)崿F(xiàn)自組織網(wǎng)絡及動態(tài)路由。所謂的自組織網(wǎng)絡就是應用系統(tǒng)的傳感器能夠發(fā)現(xiàn)附近的其他傳感器，并進行通信。例如，原先應用系統(tǒng)只有傳感器A，在系統(tǒng)中部署傳感器B后，只要B在A的通信范圍內(nèi)，或者A在B的通信范圍內(nèi)，通過彼此自動尋找，很快就可以形成現(xiàn)通信。而從整個網(wǎng)絡來說，基站也是網(wǎng)絡中的一個節(jié)點，也具有自組織的動態(tài)路由特性。2〕不可靠的通信多數(shù)傳感器使用無線的通信方式。無線通信方式固有的不可靠性會導致數(shù)據(jù)喪失及易受到干擾。3〕沖突和延遲在一個應用系統(tǒng)中，可能有成百上千的傳感器進行協(xié)同工作，而同時可以有幾十個或者上百個傳感器發(fā)送數(shù)據(jù)包，那么將導致數(shù)據(jù)通信沖突和延遲。4．物理特性傳感器通常部署在公共場合或者惡劣的環(huán)境中，而為了適應商業(yè)低本錢的要求，傳感器設備的外殼等材質(zhì)并不能防止外界對設備的損壞?！?〕無人值守環(huán)境。傳感器常部署于無人值守環(huán)境，難免會受到人為破壞，也不可防止地受到惡劣天氣或者自然災害〔如臺風、地震等〕的影響。〔2〕遠程監(jiān)控。坐在監(jiān)控室里的管理人員通過有線或無線方式對遠在千里之外的成百上千個傳感器進行監(jiān)控，難以發(fā)現(xiàn)傳感器的物理損壞，也不能夠及時給傳感器更換電池。4.3.2傳感器網(wǎng)絡面臨的平安威脅傳感器的資源有限，并且網(wǎng)絡運行在惡劣的環(huán)境中，因此，很容易受到惡意攻擊。傳感器網(wǎng)絡面臨的平安威脅與傳統(tǒng)移動網(wǎng)絡相似，傳感器網(wǎng)絡的平安威脅主要有以下4種類型?！?〕干擾。干擾是指正常的通信信息喪失或者不可用?！?〕截取。截取是指攻擊人員使用專用設備獲取傳感器節(jié)點或者簇中的基站、網(wǎng)關、后臺系統(tǒng)等重要信息?！?〕篡改。篡改是指非授權人沒有獲得操作傳感器節(jié)點的能力，但是可以對傳感器通信的正常數(shù)據(jù)進行修改，或者使用非法設備發(fā)送大量假的數(shù)據(jù)包到通信系統(tǒng)，把正常數(shù)據(jù)淹沒在這種假數(shù)據(jù)的“洪水〞中，是本來數(shù)據(jù)處理能力就不高的感知設備節(jié)點無法為正常數(shù)據(jù)提供效勞。〔4〕假冒。假冒是指使用非法設備假冒正常設備，進入到傳感器網(wǎng)絡中，參與正常通信，獲取信息?；蛘呤褂眉倜暗臄?shù)據(jù)包參與網(wǎng)絡通信，使正常通信延遲，或誘使正常數(shù)據(jù)，獲得敏感信息。對于這些平安威脅，主要的攻擊手段有以下幾種?！?〕竊聽。竊聽是指一種被動的信息收集方式。攻擊者隱藏在感知網(wǎng)絡通信范圍內(nèi)，使用專用設備收集來自感知設備的信息，不管這些信息是否加密。〔2〕偽造。攻擊者使用竊聽到的信息，仿制具有相同信號的傳感器節(jié)點，并使用偽造的傳感器節(jié)點設備在系統(tǒng)網(wǎng)絡中使用?！?〕重放。重放也稱為回放攻擊，攻擊者用特定裝置截獲合法數(shù)據(jù)，然后使用非法設備把該數(shù)據(jù)參加重發(fā)，使非法設備合法化，或者誘導其他設備進行特定數(shù)據(jù)傳輸，獲取敏感數(shù)據(jù)?！?〕拒絕效勞攻擊。攻擊者在感知網(wǎng)絡中注入大量的偽造數(shù)據(jù)包，占用數(shù)據(jù)帶寬，淹沒真實數(shù)據(jù)，浪費網(wǎng)絡中感知設備有限的數(shù)據(jù)能力，從而使真正的數(shù)據(jù)得不到效勞?！?〕通信數(shù)據(jù)流分析攻擊。攻擊者使用特殊設備分析系統(tǒng)網(wǎng)絡中的通信數(shù)據(jù)流，對信息收集節(jié)點進行攻擊，使節(jié)點癱瘓，從而導致網(wǎng)絡局部或者整個網(wǎng)絡癱瘓?！?〕物理攻擊。傳感器設備大多部署在無人值守環(huán)境，并且為適應低本錢需要，這些感知設備的外部機殼材料等都沒有太高的防護性，容易受到拆卸、損壞等物理方面的攻擊。除以上這些主要攻擊手段之

4.3.3傳感器網(wǎng)絡平安防護主要手段傳感器網(wǎng)絡由多個傳感器節(jié)點、節(jié)點網(wǎng)關、可以充當通信基站的設備〔如個人計算機〕及后臺系統(tǒng)組成。通信鏈路存在于傳感器與傳感器之間、傳感器與網(wǎng)關節(jié)點之間和網(wǎng)關節(jié)點與后臺系統(tǒng)〔如通信基站〕之間。對于攻擊者來說，這些設備和通信鏈路都有可能成為攻擊的對象。圖4-19為傳感器網(wǎng)絡的攻擊模型。圖4-19傳感器網(wǎng)絡的攻擊模型為實現(xiàn)傳感器網(wǎng)絡平安特性的4個方面，并針對傳感器網(wǎng)絡存在的攻擊手段，需要不同的防護手段。1．信息加密對通信信息進行加密，即對傳感器網(wǎng)絡中節(jié)點與節(jié)點之間的通信鏈路上的通信數(shù)據(jù)進行加密，不以明文數(shù)據(jù)進行傳播，即使攻擊者竊聽或截取到數(shù)據(jù)，也不會得到真實信息。2．數(shù)據(jù)校驗數(shù)據(jù)接收端對接收到的數(shù)據(jù)進行校驗。檢測接收到的數(shù)據(jù)包是否在傳輸過程中被篡改或喪失，確保數(shù)據(jù)的完整性。優(yōu)秀的校驗算法不僅能確保數(shù)據(jù)的完整性，也能夠確保攻擊者的重放攻擊，從假數(shù)據(jù)包找到真實數(shù)據(jù)包，防御拒絕效勞攻擊。3．身份認證為確保通信一方或雙方的真實性，要對數(shù)據(jù)的發(fā)起者或接收者進行認證。這就好比阿里巴巴的咒語，只有知道咒語的人，門才能翻開。認證能夠確保每個數(shù)據(jù)包來源的真實性，防止偽造，拒絕為來自偽造節(jié)點的信息效勞，防御對數(shù)據(jù)接收端的拒絕效勞攻擊等。1．平安協(xié)議無線傳感器網(wǎng)絡協(xié)議棧如圖4-20所示，包括物理層、數(shù)據(jù)鏈路層、網(wǎng)絡層、傳輸層和應用層，與互聯(lián)網(wǎng)協(xié)議棧的五層協(xié)議相對應。無線傳感器網(wǎng)絡協(xié)議棧還包括能夠按照能量管理平臺、移動管理平臺和任務管理平臺。這些管理平臺使得傳感器節(jié)點能夠按照能源高效的方式協(xié)同工作，在節(jié)點移動的無線網(wǎng)絡中轉(zhuǎn)發(fā)數(shù)據(jù)，并支持多任務和資源共享。設計并實現(xiàn)通信平安一體化的傳感器網(wǎng)絡協(xié)議棧，是實現(xiàn)平安傳感器的關鍵。平安一體化網(wǎng)絡協(xié)議棧能夠整體上應對傳感器網(wǎng)絡面臨的各種平安威脅，到達“1+1>2〞的效果。該協(xié)議棧通過整體設計、優(yōu)化考慮將傳感器網(wǎng)絡的各類平安問題統(tǒng)一解決，包括認證鑒權、密鑰管理、平安路由等，協(xié)議棧設計如圖4-21所示。1〕物理層平安物理層主要指傳感器節(jié)點電路和天線局部。在已有節(jié)點的根本功能根底上分析其電路組成，測試已有節(jié)點的功耗及各個器件的功耗比例。綜合各種節(jié)點的優(yōu)點，設計一種廉價、低消耗、穩(wěn)定工作、多傳感器的節(jié)點，可以安裝加速度傳感器、溫度傳感器、聲音傳感器、濕度傳感器、有害氣體傳感器、應變傳感器等。分析各種傳感器節(jié)點的天線架構(gòu)，測試它們的性能并進行性價比分析，設計一種低消耗、抗干擾、通信質(zhì)量好的天線。為了保證節(jié)點的物理層平安，就要解決節(jié)點的身份問題和通信問題。研究使用天線來解決節(jié)點間的通信問題，保證各個節(jié)點間及基站和節(jié)點間可以有效地互相通信。研究使用多信道通信，防范針對物理層的攻擊?！?〕平安節(jié)點設計。平安WSN節(jié)點主要由數(shù)據(jù)采集單元、數(shù)據(jù)處理單元及數(shù)據(jù)傳輸單元三局部組成。如圖4-22所示。工作時，每個節(jié)點首先通過數(shù)據(jù)采集單元，將周圍環(huán)境的特定信號轉(zhuǎn)換成電信號，然后將得到的電信號傳輸?shù)秸{(diào)整濾波電路和A/D轉(zhuǎn)換電路，進入數(shù)據(jù)處理單元進行數(shù)據(jù)處理，最后由電路傳輸單元將從數(shù)據(jù)處理單元中得到的有用信號以無線通信的方式傳輸出去。圖4-22平安WSN節(jié)點結(jié)構(gòu)①平安WSN節(jié)點硬件結(jié)構(gòu)設計。②微處理器和射頻芯片的選擇。③微處理器與射頻芯片之間的連接。④射頻電路的設計。⑤數(shù)據(jù)采集單元的設計。2〕鏈路層平安協(xié)議媒體訪問控制協(xié)議〔MediaAccessControl，MAC〕處于傳感器網(wǎng)絡協(xié)議的底層，對傳感器網(wǎng)絡的性能有較大的影響，是保證無線傳感器網(wǎng)絡高效通信的關鍵網(wǎng)絡協(xié)議之一。無線傳感器網(wǎng)絡的MAC協(xié)議由最初的對CSMA和TDMA的算法改進開始，到提出新的協(xié)議，或者在已有協(xié)議的根底協(xié)議上有所改進，如SMACS/EAR、S-MAC〔SensorMAC〕、T-MAC、DMAC。其中有些協(xié)議引入了休眠機制減少能量的消耗，減少串音和沖突碰撞等，但是其中最為重要的就是MAC層通信的平安問題，需要有效的方案解決MAC層協(xié)議的平安問題。S-MAC協(xié)議是在IEEE802.11MAC協(xié)議根底上針對傳感器網(wǎng)絡的節(jié)省能量需求而提出的傳感器網(wǎng)絡MAC協(xié)議。針對S-MAC協(xié)議存在的平安缺陷，提出了基于NTRUsign數(shù)字簽名算法的SSMAC〔SecureSensorMAC〕協(xié)議，實現(xiàn)了數(shù)據(jù)完整性、來源真實性和抵御重放攻擊的平安目標。NTRU公鑰體制是由Hoffstein、Pipher和Silverman于1996年首先提出的，由于該公鑰只使用簡單的模乘法和模求逆運算，因此它的加/解密速度很快，密鑰生成速度也很快。SSMAC協(xié)議設計如下?！?〕幀格式設計。MAC子層幀結(jié)構(gòu)設計的目標是用最低復雜度實現(xiàn)S-MAC的可靠傳輸，幀結(jié)構(gòu)設計的好壞直接影響整個協(xié)議的性能。每個MAC子層的幀都由幀頭、負載和幀尾三局部構(gòu)成。①數(shù)據(jù)幀格式的設計。數(shù)據(jù)幀用來傳輸上層發(fā)到MAC子層的數(shù)據(jù)，它的負載字段包含了上層需要傳輸?shù)臄?shù)據(jù)。數(shù)據(jù)負載傳輸?shù)組AC子層時，被稱為MAC效勞數(shù)據(jù)單元，它的首尾被分別附加了幀頭信息和幀尾信息后，就構(gòu)成了MAC幀。由于S-MAC協(xié)議是建立在IEEE802.11協(xié)議的根底上，對照IEEE802.11的MAC數(shù)據(jù)幀格式，新的SSMAC數(shù)據(jù)幀格式如圖4-23所示。圖4-23SSMAC數(shù)據(jù)幀格式圖4-23中，F(xiàn)rame-ctrl表示幀控制域，Duration表示持續(xù)時間，Address表示地址域，Seq表示幀序列號，Data表示數(shù)據(jù)域，Check表示校驗域，M表示{Sep,Address,Frame-ctrl}，Hash(M)表示用SHA-1算法進行Hash得到的消息摘要，Signature[Hash(M)]表示對生成的消息摘要Hash〔M〕用簽名算法進行數(shù)字簽名。②ACK幀格式的設計。ACK幀是接收端接收到正確的數(shù)據(jù)幀后發(fā)送確實認幀，它的幀類型值為0xEE，幀序號為正確接收的數(shù)據(jù)幀序號。為確保傳輸質(zhì)量，ACK確認幀也要盡可能短，此時它的MAC負載為空，ACK確認幀格式如圖4-24所示。圖4-24中，F(xiàn)rame-ctrl表示幀控制域，Seq表示序列號，Address表示地址域，Check表示校驗域，M表示{ACKID,Address,Frame-ctrl}，Hash(M)表示對M用哈希算法進行Hash得到的消息摘要，Signature[Hash(M)]表示對生成的20字節(jié)的消息摘要Hash(M)用簽名算法進行數(shù)字簽名?！?〕協(xié)議流程。針對碰撞重傳、串音、空閑傾聽和控制消息等可能造成傳感器網(wǎng)絡消耗更多能量的主要因素，S-MAC協(xié)議采用以下機制：采用周期性偵聽/睡眠的低占空比工作方式，控制節(jié)點盡可能處于睡眠狀態(tài)來降低節(jié)點能量的消耗；鄰居節(jié)點通過協(xié)商的一致性睡眠調(diào)度機制形成虛擬簇，減少節(jié)點的空閑偵聽時間；通過流量自適應的偵聽機制，減少消息在網(wǎng)絡中的傳輸延遲；采用帶內(nèi)信令來減少重傳和防止監(jiān)聽不必要的數(shù)據(jù)等。SSMAC協(xié)議流程描述為：假設A為發(fā)送節(jié)點，B為目的節(jié)點；當A要發(fā)送消息Msg時，要選擇對Msg幀頭中的Seq字段、Frame-ctrl字段和Address字段進行數(shù)字簽名，M={Seq,Address,Frame-ctrl}。具體過程如下：目的節(jié)點B收齊消息后，對消息進行驗證，如果驗證通過，那么認為該信息合法；如果驗證通不過，那么認為該消息不合法，丟棄。接收方發(fā)送ACK確認幀及其簽名給A，B向A發(fā)送確認幀ACK及其簽名，假設A在規(guī)定時間內(nèi)沒有收到確認幀ACK，就必須重傳消息，直到收到確認幀為止，或者經(jīng)過假設干的重傳失敗后放棄發(fā)送。3〕網(wǎng)絡層平安路由協(xié)議針對已有的WSN路由協(xié)議進行研究分析，并著重分析各類路由協(xié)議中運用的分簇機制、數(shù)據(jù)融合機制、多跳路由機制、密鑰機制和多路徑路由機制，在此根底上提出高效平安路由協(xié)議算法。在高效能路由設計方面，通過在LEACH路由協(xié)議的根底上引入節(jié)點剩余能量因子，降低剩余能量較小節(jié)點被選取為簇頭的概率；通過引入“數(shù)據(jù)特征碼〞的概念，以最大限度地減少數(shù)據(jù)傳輸量為目的進行網(wǎng)內(nèi)數(shù)據(jù)融合；在多跳機制中利用ECM〔EnergyConsideringMerge〕算法，縮短源節(jié)點到目的節(jié)點的距離，從而進一步減少數(shù)據(jù)傳遞能耗。在平安路由設計方面，通過對WSN網(wǎng)絡層易受的攻擊進行分析，在認證機制上通過改進SNEP，用可信任的第三方節(jié)點為通信雙方分發(fā)密鑰，并且采用基于單向隨機序號的消息認證機制，綜合能耗因素，采用多路徑路由，用冗余路由保證可靠傳輸?！?〕總體框架。該工程提出的SEC-Tree〔SecurityandEnergyConsideringTree〕路由制是一個高效率、高平安和高可靠的WSN路由協(xié)議，它通過改進的分簇機制、數(shù)據(jù)融合機制、多路徑路由機制實現(xiàn)SEC-Tree路由協(xié)議的高效能，通過密鑰機制和多融合機制實現(xiàn)平安可靠的路由協(xié)議，其設計框架如圖4-25所示。圖4-25SEC-Tree協(xié)議設計框架身份認證模塊實現(xiàn)了改進的SNEP〔傳感器網(wǎng)絡加密協(xié)議〕，為簇管理、多跳路由、多路徑路由、數(shù)據(jù)信息的傳遞與融合提供平安機制；簇管理模塊內(nèi)置SEC-Tree簇形成算法ECM，實現(xiàn)基于剩余能量機制的簇頭選擇，周期性維護基于簇拓撲的結(jié)構(gòu)；多跳路由機制實現(xiàn)基于SEC-Tree的層次化路由算法，選擇最短路徑路由，自適應更改路由表，能夠提高網(wǎng)絡傳播效率；多路徑路由在路由的建立和維護階段，建立冗余的數(shù)據(jù)通道，提高路由的平安性，包括容錯自適應策略、時延能耗自適應策略和平安自適應策略三個策略字塊；數(shù)據(jù)融合模塊內(nèi)置基于數(shù)據(jù)特征碼的高效數(shù)據(jù)融合算法，提供在簇頭節(jié)點進行數(shù)據(jù)融合的處理方法?！?〕運行邏輯。SEC-Tree協(xié)議包括拓撲建立和拓撲維護兩個階段，數(shù)據(jù)傳輸階段包括含在拓撲維護階段內(nèi)，SEC-Tree的簇管理、多跳路由、多路徑路由、認證、數(shù)據(jù)融合等各個模塊在路由建立和路由維護階段協(xié)調(diào)作用，實現(xiàn)了以最小化傳感器網(wǎng)絡能量消耗為目的的平安路由?！?〕路由建立運行邏輯。在節(jié)點初始化時，由簇管理模塊進行簇頭選擇，簇管理內(nèi)置SEC-Tree改進的LEACH路由算法，引入了剩余能量因子。通過隨機選取簇頭，進入簇形成階段。該階段由簇頭播送請求信號，其余節(jié)點通過判斷收到的信號強度決定自己所參加的簇。在簇形成階段調(diào)用身份認證模塊，實現(xiàn)非簇頭節(jié)點對簇頭節(jié)點的信息認證。一旦簇形成，根據(jù)ECM算法建立簇內(nèi)SEC-Tree拓撲和簇間SEC-Tree拓撲，至此初始化路由表工作完成。路由建立階段處理流程如圖4-26所示。針對目前路由協(xié)議存在這么多平安問題，考慮利用ARRIVE路由協(xié)議的思想，對SEC-based路由算法進行平安擴充，提出了基于SEC-Tree的平安路由協(xié)議算法和基于優(yōu)化BP神經(jīng)網(wǎng)絡的系統(tǒng)平安評價模型，從而保證路由的健壯性和可靠性，如圖4-27所示。圖4-26路由建立階段處理流程圖4-27基于優(yōu)化BP神經(jīng)網(wǎng)絡的系統(tǒng)平安評價模型Tree-based路由算法是以SinkNode為樹根，使用動態(tài)網(wǎng)絡發(fā)現(xiàn)算法構(gòu)造出覆蓋網(wǎng)絡所有節(jié)點的樹狀網(wǎng)絡拓撲結(jié)構(gòu)。首先在路由發(fā)現(xiàn)階段，需要初始化無線傳感器網(wǎng)絡中的所有節(jié)點的層次結(jié)構(gòu)，這里采用通用的動態(tài)路由發(fā)現(xiàn)算法。動態(tài)路由發(fā)現(xiàn)可以由任意一個節(jié)點發(fā)起，但通常是由網(wǎng)關節(jié)點發(fā)起的。網(wǎng)關節(jié)點通常提供了一個到傳統(tǒng)網(wǎng)絡的連接，每個根節(jié)點周期性地向它的鄰居節(jié)點發(fā)送一個帶有自身ID和距離〔初始值為0的消息，消息處理程序檢查這個消息源節(jié)點是否為到目前為止所偵聽到的距離最近的節(jié)點，如果是，那么記錄下該源節(jié)點的ID并作為它的多轉(zhuǎn)發(fā)路由的父節(jié)點，增加距離，然后將它自己的ID作為源節(jié)點的ID重新發(fā)送這個消息，以此就可以構(gòu)造出一棵自組織的生成樹。動態(tài)網(wǎng)絡發(fā)現(xiàn)以分布的形式構(gòu)造了一棵以原始節(jié)點為根的寬度優(yōu)先的生成樹，每個節(jié)點僅記錄固定數(shù)量的信息。這棵樹的具體形狀是由網(wǎng)絡傳輸特性決定的，而不是提前規(guī)定層次，因此網(wǎng)絡是自組織的。當可以有多個并發(fā)點根節(jié)點時，就可以形成一個生成森林。在動態(tài)網(wǎng)絡發(fā)現(xiàn)階段所生成的樹中，數(shù)據(jù)包的路由是根據(jù)節(jié)點中所記錄的路由信息直接轉(zhuǎn)發(fā)的。當節(jié)點要傳輸一個需要被路由的數(shù)據(jù)時，它指定了一個多轉(zhuǎn)發(fā)點〔Multi-hop〕轉(zhuǎn)發(fā)處理程序，并指明它的父節(jié)點是接收者。轉(zhuǎn)發(fā)處理程序會將數(shù)據(jù)包發(fā)送給它的每個鄰居節(jié)點。而只有節(jié)點的父節(jié)點會繼續(xù)轉(zhuǎn)發(fā)該數(shù)據(jù)包給它的父節(jié)點，通過使用消息緩沖區(qū)交換的地方。其他的相鄰節(jié)點簡單地將包丟棄。數(shù)據(jù)經(jīng)過多個轉(zhuǎn)發(fā)點之后，最終路由到達根節(jié)點。其實現(xiàn)過程如下：①確定網(wǎng)絡的拓撲結(jié)構(gòu)，包括中間隱層的層數(shù)及輸入層、輸出層和隱層的節(jié)點數(shù)。②確定被評價系統(tǒng)的指標體系，包括特征參數(shù)和狀態(tài)。在運用神經(jīng)網(wǎng)絡進行平安評價時，首先必須確定評價系統(tǒng)的內(nèi)部構(gòu)成和外部環(huán)境，確定能夠正確反映被評價對象平安狀態(tài)的主要特征參數(shù)〔輸入節(jié)點數(shù)、各節(jié)點實際含義及其表達形式等〕，以及這些參數(shù)下系統(tǒng)的狀態(tài)〔輸出節(jié)點數(shù)、各節(jié)點實際含義及其表達方式等〕。③選擇學習樣本，供神經(jīng)網(wǎng)絡學習；選取多組對應系統(tǒng)不同狀態(tài)參數(shù)值時特征參數(shù)值作為學習樣本，供網(wǎng)絡系統(tǒng)學習；這些樣本應盡可能地反映各種平安狀態(tài)，其中對系統(tǒng)特征參數(shù)進行〔?∞，∞〕區(qū)間的預處理，對系統(tǒng)參數(shù)應進行〔0,1〕區(qū)間的預處理。神經(jīng)網(wǎng)絡的學習過程即是根據(jù)樣本確定網(wǎng)絡的連接權值和誤差反復修正的過程。④確定作用函數(shù)，通常選擇非線性S形函數(shù)。⑤建立系統(tǒng)平安評價知識庫。通過學習確認的網(wǎng)絡結(jié)構(gòu)，包括輸入、輸出和隱節(jié)點數(shù)及反映期間關聯(lián)度的網(wǎng)絡權值的組合；具有推理機制的被評價系統(tǒng)的平安評價知識庫。⑥進行實際系統(tǒng)的平安評價。經(jīng)過訓練的神經(jīng)網(wǎng)絡將實際評價系統(tǒng)的特征值轉(zhuǎn)換后輸入到已具有推理功能的神經(jīng)網(wǎng)絡中，運用系統(tǒng)平安評價知識庫處理后得到評價實際系統(tǒng)的平安狀態(tài)的評價結(jié)果。實際系統(tǒng)的評價結(jié)果又作為新的學習樣本輸入神經(jīng)網(wǎng)絡，使系統(tǒng)平安評價知識庫進一步充實。4〕傳輸層可靠傳輸協(xié)議可靠性傳輸模塊的功能有：在網(wǎng)絡受到攻擊時，運行于網(wǎng)絡層上層的傳輸層協(xié)議能夠?qū)?shù)據(jù)平安、可靠地送達目的地；能夠抵御針對傳輸層的攻擊。傳統(tǒng)的有線網(wǎng)絡為實現(xiàn)數(shù)據(jù)的可靠性傳輸采用的是端到端的思想，依靠智能化的終端執(zhí)行復雜算法來保證其可靠性，盡量簡化網(wǎng)絡核心的操作以降低其負擔，以此提高網(wǎng)絡整體性能。和有線網(wǎng)絡不同，無線傳感器網(wǎng)絡可靠通信不能采用傳統(tǒng)的TCP協(xié)議。在實現(xiàn)傳感器網(wǎng)絡的可靠通道時，要考慮以下因素的影響?！?〕無線通信。傳感器網(wǎng)絡通信能力低，無線鏈路具有極大的不可靠性，非對稱鏈路、隱藏終端盒暴露終端、信號干擾、障礙物等因素會導致信道質(zhì)量急劇惡化，難以實現(xiàn)可靠通信?！?〕資源有限。傳統(tǒng)的無線網(wǎng)絡傳輸層協(xié)議主要集中于過失和擁塞控制上，而在傳感器網(wǎng)絡中，由于能量、內(nèi)存、計算能力、通信能量等的影響，在傳感器網(wǎng)絡上實現(xiàn)復雜的或內(nèi)存開銷大的算法來提高可靠性是不現(xiàn)實的，為增強可靠性而產(chǎn)生的通信開銷應盡量小，以延長網(wǎng)絡的生存期?！?〕下層路由協(xié)議。傳統(tǒng)的有線網(wǎng)絡和無線網(wǎng)絡傳輸層都是在不可靠的IP層根底上為應用層提供一個可靠的端到端傳輸效勞的，與此不同，無線傳感器網(wǎng)絡是基于事件驅(qū)動的網(wǎng)絡模型，該系統(tǒng)對某一事件的可靠傳輸依靠的是假設干傳感器的集體努力，會聚節(jié)點對某一事件的可靠發(fā)現(xiàn)是基于多個源節(jié)點提供的信息而不是單個節(jié)點的報告。因此，傳統(tǒng)的端到端可靠傳輸定義不再適用于無線網(wǎng)絡傳感器網(wǎng)絡。Merkle哈希樹，以所有密鑰鏈的鏈頭密鑰的Hash值作為葉子節(jié)點構(gòu)造Merkle樹。這樣每個傳感器節(jié)點僅存儲Merkle樹的根信息就能夠分配密鑰鏈的鏈頭密鑰和認證用戶的請求信息?；贛erkle樹的訪問控制方式使用Merkle哈希樹以認證的方式分配使用的鏈頭密鑰，如圖4-28所示。中心效勞器產(chǎn)生m個密鑰鏈，每個密鑰鏈都被分配唯一的ID，ID∈[1,m]。中心效勞器計算為

式中，i∈{1，…，m}，為第i個密鑰鏈的鏈頭信息。使用{K1，…，Km}作為葉子節(jié)點構(gòu)造Merkle哈希樹〔完全二叉樹〕，每個非葉子節(jié)點為其兩個孩子節(jié)點串連的Hash值。構(gòu)造的Merkle哈希樹被稱為參數(shù)為{C1，…，Cm}的密鑰鏈頭分配數(shù)。圖4-28中顯示了使用8個密鑰鏈的Merkle哈希樹構(gòu)造過程，其中式中，H為消息認證碼生成函數(shù)。圖4-28密鑰鏈頭分配樹這里提出一種基于信任管理的無線傳感器網(wǎng)絡可信管理模型，該模型的核心思想是：將信任管理引入無線傳感器網(wǎng)絡的管理體系，整個網(wǎng)絡以節(jié)點信任度作為根底來組建，并以信任度作為網(wǎng)絡各種行為的依據(jù)；克服現(xiàn)有的基于密碼認證管理體系無法解決來自網(wǎng)絡內(nèi)部的攻擊、惡意節(jié)點的惡意行為及自私節(jié)點和低競爭力節(jié)點容易“失效〞等缺點；并以較少的資源消耗對網(wǎng)絡的資源配置、性能、故障、平安和通信進行統(tǒng)一的管理和維護，保證網(wǎng)絡正常有效運行。基于信任管理的無線傳感器網(wǎng)絡可信模型的總體框架如圖4-29所示。在該模型中，處于底層的信任度計算是信任管理的根底，主要的功能是根據(jù)當前的上下文信息和節(jié)點之間的歷史合作數(shù)據(jù)，采用簡單、有效的計算模型，得到節(jié)點的信任度。信任度管理是TWSN模型的核心，位于模型中央，其主要功能是管理各相鄰節(jié)點的信任度，識別惡意節(jié)點，同時根據(jù)當前節(jié)點的狀態(tài)調(diào)整節(jié)點的行為等。位于模型上層的是模型各種應用，這些應用都是基于信任度管理這一根底。在信任管理模型中，通過信任計算模型得到的信任度能否真實反映當時相鄰節(jié)點的狀況，影響著模型管理性能的優(yōu)劣。信任度是節(jié)點相互之間的主觀判斷，因此網(wǎng)絡中各節(jié)點各自維護著一個相鄰節(jié)點的信任關系表，用來記錄某節(jié)點所有相鄰節(jié)點的各種信任參數(shù)。表4-3是簡化后的信任關系表。影響節(jié)點信任度的因素主要包括節(jié)點是否擁有網(wǎng)絡密鑰、節(jié)點之間的歷史信任信息、節(jié)點之間的歷史合作信息、節(jié)點歷史行為信息、節(jié)點之間相互合作的頻率、其他相鄰節(jié)點所保存的節(jié)點信息及鼓勵因子等。節(jié)點區(qū)域標志即節(jié)點的ID。在無線傳感器網(wǎng)絡中由于節(jié)點的數(shù)目眾多，所以節(jié)點在部署前不可能將節(jié)點的ID唯一化，節(jié)點需要在部署完成后通過協(xié)商生成節(jié)點的區(qū)域ID，在同一網(wǎng)絡中，不同的區(qū)域可以存在相同的ID，節(jié)點的區(qū)域ID將會作為節(jié)點的唯一標志。TWSN信任管理模型是對基于密碼體系的一個重要補充，所以是否擁有密鑰也是用來判斷節(jié)點是否外來節(jié)點的一個最直觀的判斷。歷史信任信息記錄的是上一次計算節(jié)點信任度時所得到的信任度。歷史合作信息記錄的是兩節(jié)點之間合作的次數(shù)及成功合作的次數(shù)。歷史行為信息記錄的是節(jié)點篡改傳輸數(shù)據(jù)的歷史次數(shù)。合作頻率記錄的是相鄰節(jié)點發(fā)起合作的頻率，計算相鄰節(jié)點的合作頻率能方便地識別惡意節(jié)點的Hello泛洪攻擊及DOS攻擊。鼓勵因子那么是一個與歷史信任信息及合作頻率相關值，當信任度越高且合作頻率也越高時，鼓勵因子就會比較低，即降低兩者的合作頻率，主要用來實現(xiàn)TWSN模型中的鼓勵與懲罰機制。節(jié)點在計算相鄰節(jié)點的信任度時，首先通過自身監(jiān)測和保存的各種信任影響因素信息，計算當前信任度。節(jié)點完全依靠自身信息對另外的節(jié)點信任度進行判斷，可能會因惡意節(jié)點的欺騙而導致判斷出現(xiàn)誤差，所以節(jié)點需要從其他節(jié)點處得相關節(jié)點的信任信息。但是在網(wǎng)絡系統(tǒng)中，節(jié)點之間信任信息過多的傳遞會導致網(wǎng)絡中節(jié)點資源的大量消耗，從而影響網(wǎng)絡整體性能，因此通常采用定期更新的方法來滿足兩方面的需求。信任度計算模型分兩種：內(nèi)部計算模型和修正計算模型。通常，節(jié)點主要以自身保存各種信任信息作為信任度的計算依據(jù)。經(jīng)過一段時間或者一定次數(shù)的合作，當滿足信任度修正閾值時，節(jié)點發(fā)起更新信任度的請求。通過從其他節(jié)點得到的間接信任度，按照相關的規(guī)那么更新和修正自己所保存的信任度。信任度計算流程如圖4-30所示。在TWSN模型中，信任管理包含兩方面的內(nèi)容：相鄰節(jié)點狀態(tài)管理和自身狀態(tài)管理。相鄰節(jié)點狀態(tài)管理是針對節(jié)點外部網(wǎng)絡環(huán)境進行考慮的，主要記錄和分析相鄰節(jié)點的行為，識別網(wǎng)絡中的惡意節(jié)點。其目的是快速組建網(wǎng)絡，并提供平安保障機制來保證網(wǎng)絡平安、穩(wěn)定、有效地運行。在該模型中，節(jié)點并不擁有自己的信任信息，也不具備對自身信任度進行直接評價的能力，節(jié)點只保存和它相鄰節(jié)點的信任信息和其他相關信息。為防止網(wǎng)絡中惡意節(jié)點獲得自身的信任信息，在網(wǎng)絡中不采用播送的方式來通知網(wǎng)絡中的其他節(jié)點這個惡意節(jié)點的相關信息。因為如果惡意節(jié)點知道了自身的信任度已經(jīng)降到很低的水平，那么它可能采取一些手段，例如，主動地參與網(wǎng)絡中的某些行為，來提高自身的信任度。而且采用播送的方式來傳播惡意節(jié)點的相關信息也會對非惡意節(jié)點有限的資源造成一定程度上的浪費，再者，在TWSN信任管理模型中，所有的信任度都是區(qū)域性的，沒有全局信任度，節(jié)點本身只需要維護和自身相鄰節(jié)點的信任信息，而不需要了解全局的信任信息。無線傳感器網(wǎng)絡本身就是一個自適應、自組織的分布式系統(tǒng)，因此也就沒有必要設定節(jié)點全局信任度信息。自身狀態(tài)管理是從節(jié)點本身的資源角度去管理節(jié)點是否參與網(wǎng)絡中的各種行為，將節(jié)點的能量和節(jié)點參與網(wǎng)絡合作的頻率作為主要的參考依據(jù)。其目的是防止任何信任度高的節(jié)點因資源的快速消耗而退出系統(tǒng)，使網(wǎng)絡擁有更好的負載平衡，提高網(wǎng)速的生命周期，即當節(jié)點監(jiān)聽到另一節(jié)點發(fā)出的合作請求后，首先在信任表中查詢當前自身保存的節(jié)點信任度和合作頻率，同時查詢自身的資源狀態(tài)，然后根據(jù)當前的資源狀況和合作信息，判斷是否參與網(wǎng)絡行為合作，如果節(jié)點認定自身在其他節(jié)點中具有比較高的信任度，那么可選擇不參與合作，來減少資源消耗。圖4-31是節(jié)點自身狀態(tài)管理流程圖。時間相關性：信任度是時間相關的，它建立在一定的時間的根底上的，信任度會隨著時間的變化而變化，具有很強的動態(tài)性；上下相關性：信任度是和具體的上下文信息有著直接的關系，離開了具體的上下文信息，信任度便失去了意義；弱傳遞性：一般認為信任度是不可以傳遞的，即節(jié)點A對節(jié)點B的信任度為W1，節(jié)點B對C的信任度為W2，不能簡單地斷定節(jié)點A對節(jié)點C的信任度為W1W2；不對稱性：信任度是不對稱的，節(jié)點A對節(jié)點B的信任度為W1，但并不意味著節(jié)點B對節(jié)點A的信任度也為W1。信任度計算包括信任度定義、信任度初始化、信任度計算模型等步驟。在無線傳感器網(wǎng)絡中，由于節(jié)點的計算能力、資源等方面的限制，使得在信任管理系統(tǒng)中不適于用比較復雜的計算模型，而采用比較簡單的計算方法?！?〕信任度定義。信任度定義是定義信任度的表示方式，即信任的衡量方式。一般采用離散式信任等級和連續(xù)式的信任值區(qū)間來表示。離散式的信任等級一般定義對稱的正、負區(qū)間，例如，信任度區(qū)間定義為[?2,?1,0,1,2]，那么節(jié)點的信任度由區(qū)間內(nèi)的5個數(shù)來表示。其中，?2表示節(jié)點不可信，?1表示節(jié)點可能不可信，0表示節(jié)點的可信度還無法判斷，1表示節(jié)點可能可信，2表示節(jié)點是可信的。同樣，連續(xù)式的信任區(qū)間也采用對稱的正負區(qū)間來表示，例如，?1<x<1，x為節(jié)點的信任度，x可為區(qū)間內(nèi)的任意值。信任度連續(xù)式的表示方式把信任度劃分為更多的等級，更能反映真實情況，但同時也給對節(jié)點信任的評估和更新帶來了額外的計算負擔?！?〕信任度初始化。信任度的初始化指節(jié)點在自組織形成網(wǎng)絡時節(jié)點可能具有的信任度，即節(jié)點的初始信任度。節(jié)點初始的信任度定義對網(wǎng)絡的組建及新節(jié)點參加產(chǎn)生很大的影響。一般信任度的初始值為中等偏下、中間值、中等偏上。采用中等偏下或者中間值得初始值可以防止惡意節(jié)點為更新自己的信任記錄而重新參加網(wǎng)絡的行為的出現(xiàn)，但是這樣也不利于網(wǎng)絡組建和新節(jié)點的參加；采用中等偏上的初始值那么正好相反。為保證無線傳感器網(wǎng)絡對網(wǎng)絡拓撲變化比較敏感，而且在基于密碼和無線傳感器網(wǎng)絡中節(jié)點的參加是需要進行認證的，所以在實際應用中通常采用中等偏上的初始值?！?〕信任度計算模型。信任度計算模型的合成方法，是信任度計算的核心?？梢孕蜗蟮貙⑿湃味鹊母履Ｐ捅硎竞瘮?shù)f(x1,x2,···,xn)，其中的參數(shù)x1,x2,···,xn是影響信任行為的各種因素。信任度計算模型隨信任管理模型的不同而各異。但總體而言，信任度計算的主要依據(jù)是兩節(jié)點之間的歷史合作數(shù)據(jù)，其他節(jié)點所保存的節(jié)點合作數(shù)據(jù)和維護的信任度〔第二手信息〕及節(jié)點當前保存的各類信任因素數(shù)據(jù)。在現(xiàn)有的無線傳感器網(wǎng)絡信任管理模型中，為保證節(jié)點所維護的信任度能反映真實的情況，大多數(shù)模型都采用兩種或兩種以上的數(shù)據(jù)來源作為節(jié)點信任度計算的依據(jù)。通過計算節(jié)點的數(shù)學期望來求節(jié)點的信任度，使用當前節(jié)點保存的各類信任因素數(shù)據(jù)和其他節(jié)點所保存的節(jié)點合作數(shù)據(jù)及維護的信任度這兩種信息。模型中每個節(jié)點i維護著一個信任表RTi，表示記錄者和節(jié)點i所以相鄰節(jié)點的信任度Rij，即RTi={Rij}。看門狗機制是模型中一種專門監(jiān)測目標節(jié)點是否合作的一種機制，通過看門狗機制能夠得到當前節(jié)點之間的合作情況，從而利用貝葉斯公式計算當前的信任度Rij

。節(jié)點需要選擇和它相鄰的某一個節(jié)點j作為下一跳節(jié)點時，那么會查詢所有相鄰節(jié)點中保存的節(jié)點j的信息Rkj，其中k為相鄰節(jié)點的編號。節(jié)點i通過自身維護的信任表中的信任信息Rik，轉(zhuǎn)化為信任權重ωk，那么節(jié)點i對節(jié)點j的信任度計算模式為

在信任模式中，信任度的更新和節(jié)點是否擁有相同的密鑰〔C〕，節(jié)點之前合作成功的概率〔A〕，發(fā)出請求后也收到回復的概率〔P〕及鼓勵因子〔β〕有關。即采用兩節(jié)點之間的歷史合作數(shù)據(jù)和當前保存的各類信任因素數(shù)據(jù)作為節(jié)點信任度計算的依據(jù)。節(jié)點之前合作成功的概率A的表達式為式中，QA={0,1}表示第j次是否合作成功。發(fā)出請求后也收到回復的概率P的表達式為式中，QP={0,1}表示第j次回復是否收到回復，那么信任度的更新函數(shù)表示為式中，i為節(jié)點所保存的相鄰節(jié)點的編號；Ti表示第i個相鄰節(jié)點的信任度；Ci=0或1〔當Ci=1時表示節(jié)點擁有密鑰〕。3．訪問控制訪問控制是傳感器網(wǎng)絡中具有挑戰(zhàn)性的平安問題之一。傳感器網(wǎng)絡作為效勞提供者向合法用戶提供環(huán)境監(jiān)測數(shù)據(jù)請求效勞，僅僅具有合法身份和訪問權限的用戶發(fā)送的請求在通過驗證后才能夠得到網(wǎng)絡效勞器的響應。傳統(tǒng)的基于公鑰的訪問控制方式開銷較大，不適合于傳感器網(wǎng)絡。目前設計的傳感器網(wǎng)絡訪問控制機制在開銷和平安性方面仍存在較大問題，難以抵抗節(jié)點捕獲、DoS和信息重放等攻擊，本節(jié)提出了基于單向Hash鏈的訪問控制方式。為了增加用戶數(shù)量，提高訪問能力的可擴展性及抵抗用戶捕獲攻擊，提出了基于Merkle哈希樹的訪問控制方式和用戶訪問能力撤銷方式。經(jīng)過分析，評估和比較，與現(xiàn)有的傳感器網(wǎng)絡訪問控制方式相比，這些方式計算，存儲和通信開銷較小，能夠抵抗節(jié)點捕獲，請求信息重放和DoS攻擊。〔1〕基于非對稱密碼體制的訪問控制機制。傳統(tǒng)的訪問控制多是基于非對稱密碼體制的。資源的訪問者持有身份證書和職屬證書。在通過身份認證后。根據(jù)職屬證書的屬性和預先設定的訪問控制策略〔如BLP模型及基于角色訪問控制策略〕判斷是否具有相應的訪問控制權限。使用非對稱密碼體制的訪問控制機制需要相應的網(wǎng)絡平安根底設施，使用公鑰密碼算法計算開銷大，難以應用在傳感器網(wǎng)絡中。在傳感器網(wǎng)絡訪問控制方面，目前的研究還處在起步階段，使用公鑰機制的傳統(tǒng)訪問控制方式因開銷大而難以直接使用，許多研究者正嘗試著在傳感器節(jié)點上實現(xiàn)公鑰運算。例如，ZinaidaBenenson等人推薦一個魯