CN101394270B

CN101394270B - 基于模块化路由的无线网状网络链路层加密方法

Info

Publication number: CN101394270B
Application number: CN2008102006539A
Authority: CN
Inventors: 吴越; 孔少杰; 易平; 李建华
Original assignee: Shanghai Jiaotong University
Current assignee: Shanghai Jiaotong University
Priority date: 2008-09-27
Filing date: 2008-09-27
Publication date: 2011-01-19
Anticipated expiration: 2028-09-27
Also published as: CN101394270A

Abstract

本发明公开一种无线网络技术领域的基于模块化路由的无线网状网络链路层加密方法，每一个节点均基于CLICK模块化路由软件设置了包含预共享密钥的采用DES加密算法的加密链路层功能的element，并在CLICK执行脚本代码流程中加入该element并设置正确的参数，在整个mesh网络启动后，通过本发明的加密方法，mesh网络各个节点间的通信均有了可靠安全的加密保障，解决了mesh网络节点间链路层加密的问题。

Description

基于模块化路由的无线网状网络链路层加密方法

技术领域

本发明涉及一种无线网络技术领域的加密方法，具体地说，涉及的是一种基于模块化路由的无线网状网络链路层加密方法。

背景技术

无线mesh网络是一种在无线接入、市政管理、灾难救助、安全监控、工业管理、物流协作等领域中应用非常广泛的技术，其加密方法的设计直接影响到无线mesh网络工作的可靠性和保密性。因为无线mesh网络不同于普通的无线网络，它具有自组织、自恢复、自适应的性能要求，和多跳性，可移动、环境多变的背景特征，所以无线mesh网络的加密方法必须一方面照顾到网络的稳定性，保证数据通信的畅通与高效，另一方面必须能够防止网络数据信息在节点之间传输时被侦听，窃取甚至篡改的威胁，以保证网络处于暴露的公共环境中的时候，能够最大限度的维持通信的可靠保密安全的进行。一个具有可靠性，保密性，完整性的加密方法是构建实用化的无线mesh网络的安全保障。

无线mesh网络是无线wifi(无线保真技术，802.11b标准)网络的发展，而基于无线wifi网络的数据加密及身份认证方法几乎全部是针对用户接入AP(接入点)设计的，因为目前的普通无线局域网仅支持一跳的用户接入方式，并没有mesh网络多跳的特性。目前的这种客户端和AP的安全传输加密和身份认证方法主要有以下几种：WEP(有线等效保密)，WPA(Wi-Fi保护接入)，WPA-PSK(预共享密钥)，WPA2和802.1x等等。其中使用最广泛的是WEP加密方法，而该方法早就被证实是不可靠的，针对其破解的算法和软件在网上层出不穷，而且一般用户都可以十分方便的去下载用来破解，另外几种加密方法也被证实存在已知的安全隐患，同样能够被破解。而真正针对mesh网络这种AP节点之间的链路层加密方法除了国外个别几家mesh路由器生产厂家有自己的方法外，目前还没有正式公布公开的加密方法。

经对现有技术的检索发现，申请号为02155172的中国专利“无线网路的认证系统与认证加密方法”，包括：一认证服务器，该认证服务器会产生随机数；一认证设备，在该认证设备中写入第一随机数；一终端设备，该终端设备与该认证设备相连接，并且至少包含一无线传输装置，该认证服务器与该终端设备利用该无线传输装置互相通讯，当终端用户欲取得认证时，该终端设备会发送一认证请求以及一用户名给该认证服务器；以及，一认证数据库，该认证数据库与该认证服务器相连接，并且在该认证数据库中写入该第一随机数。

上述的无线网络认证加密方法只是采用了简单的握手协议过程加服务器认证方法来实现的，不适用于本发明所针对的无线mesh网络。首先从安全的角度而言，该发明仅用随机数的交互来完成认证，这在无线网络中很容易被窃取数据包进行重放攻击从而骗取服务器信任非法获取密钥加入网络，其次从设备需求的角度而言，该发明需要专用的服务器进行验证，而这在无线mesh网络中是不合适的，因为无线mesh网络是一多跳网络，如果每一AP都要通过与服务器的交互才能加入网络，则第一在交互过程中的AP之间的认证过程无法保证，而且如果新的AP离服务器距离很远时通信将变得十分困难，因此大大降低了网络的可用性，唯一的方法是增加服务器数量，这又将大大增加网络的布置成本和难度，这些都不符合无线mesh网络自适应灵活的特点。

发明内容

本发明目的在于针对现有技术中的不足，提供一种基于模块化路由的无线网状网络链路层加密方法，在mesh网络的AP节点(无线路由器)上通过CLICK(模块化路由软件)解决目前缺少的mesh网络链路层加密功能，以使mesh网络具有更强的安全性。

本发明是通过以下技术方案实现的，本发明包括如下步骤：

第一步，在无线路由器上安装模块化路由软件CLICK。

第二步，使用安装了CLICK的路由器，在其上交叉编译包含链路层加密方法的CLICK的element“MYENCRYPT”(加密element的名称)的CLICK程序。

第三步，根据第一步和第二步所描述的软硬件环境，在路由器的操作系统启动脚本里添加上CLICK的启动过程并且在CLICK的运行脚本里添加MYENCRYPT这个element用于mesh网络节点间数据传输的加密。

第四步，在CLICK执行脚本中MYENCRYPT这个element的参数中设置其加解密模式以及预共享密钥。

第五步，重复以上四步过程以得到满足网络需求的若干台无线路由器，用这些路由器作为AP搭建的无线mesh网络节点间的数据传输便有了链路层加密保障。

所述的无线路由器是指其硬件环境要有32兆以上的ram(路由器内存大小)，8兆以上的flash(路由器闪存大小)以及配有支持madwifi(无线网卡驱动类型)驱动的无线网卡，软件环境需要有完整的Linux操作系统。

所述的模块化路由软件CLICK功能是用户可以通过该软件提供的各种element来设计自己需要的网络路由协议以及针对Linux操作系统的基于网络二层，三层的通信协议来完成网络间通信需求，用户也可以自行用C++代码编写element来满足自己的需求。软件CLICK是公开的，由美国麻省理工学院EddieKohler教授等人通过C++编程语言开发研制，其详细信息及下载可参见网页http://read.cs.ucla.edu/click/。

所述的element是CLICK提供的模块，这些模块是CLICK程序运行的主要组成部分，通过各种模块的组合反复使用可以满足网络通信的各种需求。

所述的交叉编译就是在主机上为目标机编译，比如在PC上编译，然后在手机上运行，这种编译就叫交叉编译。或者说，就是在一个平台上生成另一个平台上的可执行代码。这里用到的交叉编译就是为了让在台式机上正常工作的CLICK代码通过交叉编译器在路由器上生成可以正常工作的可执行代码。

所述的脚本这里是指Linux系统启动及运行过程中所调用的shell程序代码，这些代码组合成一个个脚本文件在路由器的Linux系统启动时运行来配置各种参数使得操作系统能正确调用硬件设备，执行软件功能并正常工作。这里还提到的CLICK执行脚本是指专为CLICK程序编写的用于CLICK程序执行所需要的用来调用各种element的代码文件，脚本的内容是对各种element的声明，初始化以及参数赋值，并且模拟网络数据包传输过程通过“->“符号连接各个element来实现所需要的功能。CLICK脚本文件正是CLICK程序执行所需要的参数。

所述的element参数是指CLICK脚本中对各个element脚本功能的设置，本发明所使用的element“MYENCRYPT”的参数有：加密算法选择，加解密选择，预共享密钥设置以及偏移位置设置等。

所述的预共享密钥是指对各个路由器AP节点在其Linux操作系统的启动脚本里的CLICK执行脚本的element″MYENCRYPT″的参数设置加解密算法所需要的密钥，每个路由器提前设置好相同的密钥才能使数据包正常的在各个路由器之间加解密传输。

所述的偏移位置是指对数据包加密时数据包加密的起始字节之前的字节长度，设置偏移位置是为了只加密网络层及以上高层内容，而不加密影响网络正常通信的链路层数据包包头内容。

所述AP节点是指mesh网络的核心组成部分，其可分为网关节点和非网关节点，网关节点会主动通告网络中相邻的其他节点自己是网关出口，既可以直接连接到internet，非网关节点则不能直接连接到internet，其必须通过网关节点连接到internet。所有节点都能执行AP功能，即用户的接入节点，用户可以是笔记本电脑，wifi手机，pda等等，通过这些设备的无线连接功能便可以连上mesh网络的AP节点从而连接至internet。

本发明是一种使用于无线mesh网络AP节点之间链路层加密方法，对于作为现今无线网络重要组成部分的无线mesh网络而言，本发明能够很好地结合无线mesh网络的特点，具有安全性强，灵活性高，操作简单等特点。本发明采用DES加密算法，目前除了暴力破解并未发现其他算法上的漏洞；本发明只需选择合适的路由器配置好正确的软件硬件环境便可在任何适合布置无线mesh网络的环境中发挥作用；网络管理员可以在布置网络前登陆每个路由器进行简单的操作来配置预共享密钥等参数。另外，正如技术背景所说的现今的无线mesh网络的AP节点之间的链路层加密的方法没有公开的标准可以选用，本发明的加密方法解决了技术领域中的一项空白。

附图说明

图1为本发明CLICK脚本中加密element流程示意图；

图中：包含了加密element参数信息：采用DES加密算法，预共享密钥为″sjtu″，偏移位置为14位。

具体实施方式

下面结合附图对本发明的实施例作详细说明：本实施例在以本发明技术方案为前提下进行实施，给出了详细的实施方式和具体的操作过程，但本发明的保护范围不限于下述的实施例。

本发明中，在无线路由器上安装模块化路由软件CLICK，每一个节点均基于CLICK模块化路由软件设置了包含预共享密钥的采用DES加密算法的加密链路层功能的element，并在CLICK执行脚本代码流程中加入该element并设置正确的参数，在整个mesh网络启动后，通过加密方法，mesh网络各个节点间的通信均有了可靠安全的加密保障，解决了mesh网络节点间链路层加密的问题。

CLICK的element″MYENCRYPT″的具体实现是采用的DES加密算法，数据加密算法(Data Encryption Algorithm，DEA)的数据加密标准(Data EncryptionStandard，DES)是规范的描述，它出自IBM的研究工作，并在1997年被美国政府正式采纳。DES使用一个56位的密钥以及附加的8位奇偶校验位，产生最大64位的分组大小。这是一个迭代的分组密码，其中将加密的文本块分成两半。使用子密钥对其中一半应用循环功能，然后将输出与另一半进行“异或”运算；接着交换这两半，这一过程会继续下去，但最后一个循环不交换。DES使用16个循环。

如图1所示，每个方框代表一个element，方框里是该element的名称，括号里是该element的参数，上半部分是解密流程，下半部分是加密流程。

每一个无线mesh网络节点(无线路由器)的CLICK执行脚本中都包含了MYENCRYPT这个element，在脚本的流程图中其用于解密的element被放置在DECAP这个element之后，用于加密的element被放置在ENCAP这个element之前。其中DECAP这个element的作用是对收到的无线网络数据包去掉其802.11协议的无线链路层包头，换上以太网包头使其在CLICK脚本里的处理过程和有线网络一样，相应的ENCAP这个element的作用就是把数据包的以太网包头转换成802.11协议的无线网络包头再通过无线广播转发给别的mesh节点。需要说明的是通过以上这一流程收发的无线数据包均是在本发明所使用的mesh网络节点之间传输的数据包，不包括节点与用户之间或者与internet之间传输的数据包，这是由本发明所使用的CLICK执行脚本保证的，这就满足了本发明的加密方法只是用于mesh网络节点之间链路层加密，而不会影响用户与节点之间的通信过程以及网关节点与internet之间的通信。

本发明所使用的加密element″MYENCRYPT″拥有4个参数，依次是加密方法选择，加解密选择，密钥设置，偏移位置设置。其中加密方法选择DES加密算法，同时也可以支持其他多种加密算法，如高级加密标准(Advanced EncryptionStandard，AES)等，需要程序员自己用C++代码编写实现。加解密选择分别用1和0表示，1表示加密，0表示解密。密钥设置是网络管理员提前在此为整个mesh网络所有节点之间链路层加密设置预共享密钥，密钥长度支持8位由任意字符组成的密码以供输入。偏移位置设置是为了满足加密内容是对数据包的整个IP层及以上各层内容的加密，不包括链路层的物理地址等信息，所以要设置偏移位置在链路层字节段之后开始加密，一般偏移位置设置为14位。

以下给出本发明具体应用实施例的描述：

以一座二层住宅为例，假设只有一楼有有线网络接口，则网关路由器必须放置在一楼并且覆盖一楼无线网络范围，令该路由器为A，在二楼可以布置节点路由器覆盖二楼范围，令其为B。现无线网络启动后，即两路由器启动后，根据mesh网络的自组织特性，该两路由器会自动广播探针发现周围拓扑环境，在本实施例的加密环境下，这些探针均是加密的数据包，只有设置了正确的预共享密钥的mesh路由器才能解密接收，于是该两路由器组成了最小的mesh网络环境。现有二楼用户甲需要无线上网至Internet，甲用自己的笔记本接入至二楼的无线路由器B，该接入过程所使用的是现有的加密标准，与本实施例无关。接下来B收到发往internet的数据包后，在它的路由表中查到A为可以转发的节点且是网关节点，于是B将甲发送给他的数据包转发给A，这一过程由CLICK完成，传输过程中用了本发明叙述的加密方法，因此假设一楼有一恶意用户乙试图窃取A和B之间通信的数据包，在他没有权限登陆路由器的情况下，只能得到加密后的数据包，该数据包的保密性由DES加密算法保证。网关节点A收到B的数据包后才能正确解密并发送至internet最终让用户甲完成通信需求。

以上实施例为最简单的情况，当mesh网络节点增多情况也是一样，则只有网络管理员正确设置的含有预共享密钥的路由器之间才能组成mesh网络，任意二节点间的数据传输均有加密保障，其他路由器将无法被识别加入到网络中。

Claims

1.一种基于模块化路由的无线mesh网络链路层加密方法，其特征在于，包括如下步骤：

第一步，在无线路由器上安装模块化路由软件CLICK；

第二步，在安装了CLICK的路由器上交叉编译包含链路层加密方法的CLICK的element“MYENCRYPT”的CLICK程序；

第三步，根据第一步和第二步所描述的软硬件环境，在路由器的操作系统启动脚本里添加上CLICK的启动过程并且在CLICK的运行脚本里添加MYENCRYPT这个element用于mesh网络节点间数据传输的加密；

第四步，在CLICK运行脚本中MYENCRYPT这个element的参数中正确设置其加解密模式以及预共享密钥；

第五步，重复以上四步过程以得到满足网络需求的若干台无线路由器，用这些路由器作为接入点AP搭建的无线mesh网络节点间的数据传输便有了链路层加密保障；

所述的无线路由器是指其硬件环境要有32兆以上的ram，8兆以上的flash以及配有支持madwifi驱动的无线网卡，且软件环境有完整的Linux操作系统。

2.根据权利要求1所述的基于模块化路由的无线mesh网络链路层加密方法，其特征是，所述的模块化路由软件CLICK是通过C++编程语言开发研制的软件，用户通过该软件提供的各种element来设计自己需要的网络路由协议以及针对Linux操作系统的基于网络二层，三层的通信协议来完成网络间通信需求。

3.根据权利要求1所述的基于模块化路由的无线mesh网络链路层加密方法，其特征是，所述的element是CLICK提供的模块，这些模块是CLICK程序运行的主要组成部分，通过各种模块的组合反复使用能满足网络通信的各种需求。

4.根据权利要求1所述的基于模块化路由的无线mesh网络链路层加密方法，其特征是，所述的交叉编译是指在一个平台上生成另一个平台上的可执行代码，这里用到的交叉编译就是为了让在台式机上正常工作的CLICK代码通过交叉编译器在路由器上生成能正常工作的可执行代码。

5.根据权利要求1所述的基于模块化路由的无线mesh网络链路层加密方法，其特征是，所述的操作系统的启动脚本是指Linux系统启动及运行过程中所调用的shell程序代码，这些代码组合成一个个脚本文件在路由器的Linux系统启动时运行来配置各种参数使得操作系统能正确调用硬件设备，执行软件功能并正常工作；

所述的CLICK运行脚本是指专为CLICK程序编写的用于CLICK程序执行所需要的用来调用各种element的代码文件，脚本的内容是对各种element的声明，初始化以及参数赋值，且模拟网络数据包传输过程通过“-＞”符号连接各个element来实现所需要的功能，CLICK运行脚本文件正是CLICK程序执行所需的参数。

6.根据权利要求1所述的基于模块化路由的无线mesh网络链路层加密方法，其特征是，所述的element参数是指CLICK脚本中对各个element脚本功能的设置，element″MYENCRYPT″的参数有：加密算法选择，加解密选择，预共享密钥设置以及偏移位置设置。

7.根据权利要求1所述的基于模块化路由的无线mesh网络链路层加密方法，其特征是，所述的预共享密钥是指对各个路由器AP节点在其Linux操作系统的启动脚本里的CLICK运行脚本的element″MYENCRYPT″的参数设置加解密算法所需要的密钥，每个路由器提前设置好相同的密钥才能使数据包正常的在各个路由器之间加解密传输。

8.根据权利要求6所述的基于模块化路由的无线mesh网络链路层加密方法，其特征是，所述的偏移位置是指对数据包加密时数据包加密的起始字节之前的字节长度，设置偏移位置是为了只加密网络层及以上高层内容，而不加密影响网络正常通信的链路层数据包包头内容。

9.根据权利要求1所述的基于模块化路由的无线mesh网络链路层加密方法，其特征是，所述AP节点是指mesh网络的核心组成部分，其分为网关节点和非网关节点，网关节点会主动通告网络中相邻的其他节点自己是网关出口，能直接连接到internet，非网关节点则不能直接连接到internet，其必须通过网关节点连接到internet，所有节点都能执行AP功能，即用户的接入节点，用户通过设备的无线连接功能连上mesh网络的AP节点从而连接至internet。