CN102170639B - 一种分布式无线Ad Hoc网络认证方法 - Google Patents

Abstract

本发明的一种分布式无线Ad Hoc网络认证方法，其具体步骤为：（1）由群首对初次接入系统用户的认证；（2）对已经存在于网络中的用户接入网络中其他节点直接通过认证，并更新邻居表信息；（3）对离线后再次接入网络的用户通过其它接入节点实施接入认证；（4）对已经曾经被拒绝的用户以及进入黑名单的用户，当其请求被拒绝次数达到拒绝接入次数，直接拒绝认证，并将拟接入的节点记录入黑名单；如果被拒绝次数小于拒绝接入次数，则按照认证的过程进行认证；如果用户再次被拒绝，则将被拒绝次数加1，并记入黑名单。本发明的各个节点都具有认证功能，认证数据传播路径短，认证速度快，并且认证数据分散在不同的节点中，系统的鲁棒性很强。

Description

一种分布式无线Ad Hoc网络认证方法

技术领域

本发明涉及无线网络通信领域，具体涉及一种分布式无线Ad Hoc网络认证方法。

背景技术

无线Ad Hoc网络，是一种具有自动组网功能的无线通信网络，适用于移动通信网环境。网络节点对等，在移动条件下能够自动组网，自主管理，并且在网络移动以及拓扑变化的过程中保证系统中的网络节点间的通信连续，各个节点可以相互通信，并可以根据需要接入互联网。允许在小型区域范围内多个无线网络同时存在，不同网络能自动区分，可以多跳组网，则支持网络节点间多跳连接。拓扑结构可以动态变化，动态路由。

目前可用于无线组网的通信手段，例如无线局域网、蓝牙等，其组网方式基本上是一种单跳网络，或简单结构的多跳网络，并且跳数很少，路由方式简单，不同网络互相交叠时会造成相互混淆，影响网络构建与通信容量，甚至造成通信中断。

自组织无线互联网络是近年来无线通信网领域研究的热点，它与利用基站管理移动节点的有中心结构网络不同，它是由一组带有无线收发信装置的移动节点组成，它不依赖于预设的基础设施而临时组建，网络中移动的节点利用自身的无线收发设备交换信息，当相互之间不在彼此的通信范围内时，可以借助其它中间节点中继来实现多跳通信。在动态变化的无线环境中，节点实时感知和监控网络拓扑结构的构成和变化情况，为网络通信提供正确的路由。因此，在无线自组网中，每个节点既是主机（业务源），又是路由设备（为其它节点转发分组）。

集中式认证是常用的认证方式，由于认证信息存放在一台设备里，存在抗毁性差、稳定性差等严重缺点。而本发明所设计的分布式认证，则是集中认证与全分布认证的结合。由于完全分布认证的认证数据量大，而且为达到认证信息的收敛需要较大的网络开销，将消耗较多的系统时间等资源。 

目前的认证算法中，节点的认证信息集中在RADIUS服务器中，或者集中在根节点或专门的认证节点中，这就不可避免地造成如下问题：

（1）安全问题

由于在集中式认证中，由于认证节点内存放了网络内所有其它节点的认证信息，一旦该节点被破坏，比如故障、炸毁等，整个网络将瘫痪，系统的抗毁性是很差的。或者在节点被敌方或其他人员恶意获取之后，将造成系统安全信息的泄漏。因此从安全性来讲，集中式认证识是有问题的。

（2）性能问题

集中式认证网络中，由于认证请求信息必须由各个用户由各处分散到认证服务器，客观上将造成认证请求的路径过长，认证的时延增加；由于所有的认证是由专门的认证服务器完成的，该服务器的工作负荷会很大；由于的等待认证的信息过多，处理时间会加长；同时，因为集中式认证服务器的是对整个网络进行认证，为了适应其大量的业务流量，对其硬件要求较高，这就造成整个系统中各个节点的平台要求的不对称，在服务器出现问题的时候，不能由其它节点进行替换。

综上，集中式认证将造成认证效率、节点的互换性等多方面的性能缺陷。

发明内容

为解决现有认证技术中存在的缺陷和不足，本发明提供一种分布式无线Ad Hoc网络认证方法，即节点信息分散在各个节点上，节点间可以相互认证。

对此，本发明使用了全新的分布式认证机制，采取类似于人际识别的仿生策略。在每个组网节点的知识库中，保留有合法用户的身份甄别信息。对于新用户，将使用特定的识别信息判断。为保证信息的安全，该识别过程的实现将作特殊考虑。在系统面板上，设计有认证失能的按键，一旦出现特殊情况，通过该按键，设备的认证功能以及身份信息将被清除。

本发明的一种分布式无线Ad Hoc网络认证方法，具体包括以下步骤：

（1）对初次接入系统用户的认证：由群首统一完成群内节点的认证信息，并在群内通播，达到收敛；

（2）对已经存在于网络中的用户接入网络中其他节点的认证：直接通过认证，并更新邻居表信息；

（3）对离线后再次接入网络的用户认证：下线后的节点再次请求认证，通过已经成功通过认证并接入到网络中的节点实施接入认证；

（4）对已经曾经被拒绝的用户以及进入黑名单用户的认证处理：当用户的认证请求在某个群中被拒绝次数达到拒绝接入次数N时，直接拒绝认证，并将拟接入的节点记录入黑名单表；如果用户被拒绝次数小于拒绝接入次数N，则按照认证的过程进行认证；如果用户再次被拒绝，则将被拒绝的次数加1，并被记录在黑名单中。

N一般取值为3，也可根据拒绝强度大小的需要，也可以取更大或更小的自然数。

群内节点的认证信息，将由群首统一完成，并在群内通播，达到收敛。在群成员变化情况下，群外接入的成员节点信息，将通过群首进行信息交换完成。所述群首被毁或失效时，重新选举群首；在群内部分节点被毁或失效状态下，如果原群内节点仍是群内子集，则无需认证；否则，群将分裂进行群重组，在没有新节点加入的情况不再进行认证。

群重组或群首选举后，群首调整本群内的认证信息，群首及群内节点只保留本群内的认证信息。

接入认证的认证信息，是由群内每一成员的唯一的认证信息组构成。由接入和被接入信息组的校核完成接入认证过程。

从功能上讲，认证模块完成对接入用户的资格甄别，确定是否为合法用户，将合法用户纳入主机表。在分布式认证的情况下，还将根据该主机的情况，确定是否进入本机的邻居表。

模块的输入，来自于信道设备的接收信息，包括发射设备所传送的身份标识、归属信息，以及收信机的接收功率等。

该功能块的输出，包括主机表、邻居表，输出结果将被作为路由输入参数使用。

主机表是所有主机的信息集合。关键参数包括主机名称、标识信息、群属关系等。

表1  主机表的结构

数据名称	数据类型	说明
			主机名称	字符
标识信息	数字	即主机ID
			群属关系	字符
认证询问信息	字符

在分层情况下，主机表在不同层都各有一张，而上一层的主机表同时是低一层的群首。

认证询问信息被接收机收到后，将进行认证运算，其结果作为返回信息串送回。如果该接收信息正确，则认证通过。该信息由主机名称与认证询问信息的数学运算完成。

邻居表记录了主机可以探测到的主机的名称，包括主机名称、邻居主机、接收信号强度等。

表2   邻居表的结构

数据名称	数据类型	说明
			主机名称	字符
邻居主机	字符
			信号强度	数字	用分级整数表示
其它

黑名单表记录了认证节点已经发现属于不可进入本网络的主机，数据信息包括主机名称、拒绝接入次数。

表3  黑名单表的结构

数据名称	数据类型	说明
			主机名称	字符
拒绝接入次数	数字

认证过程需要考虑隐藏终端与暴露终端问题。

在Ad Hoc网中，因为节点的发射功率、位置等差异，会出现隐藏终端与暴露终端问题，这将造成网络时隙的争用浪费，增加数据碰撞概率，影响系统吞吐量、容量及传输时延。

解决隐藏终端的方法，可以在发送节点在发送消息之前，通过握手信令，通知邻居节点接收消息，采用RTS/CTS的信道握手机制解决问题。发送数据之前，先发送包含了欲发送的分组长度信息，等待接收站收讫后返回的确认信息。发送站收到CTS后可以发送数据，否则认为RTS被冲突破坏，执行退避算法，重发RTS。

解决暴露终端问题，采用数据信道、控制信道分离的双信道机制。

自Ad Hoc网络中，分布式认证实现：用户首次接入时，对用户进行合法性验证，验证通过后，接入节点才能为其提供接入通信服务；当通过认证的用户在未离线的情况下，接入到其他节点时，对用户的认证应该在网络内部快速完成，不要求用户重新进行显式认证，以维持用户通信的持续性。

与现有技术相比，本发明具有以下优点：

（1）本发明的各个节点都具有认证功能，认证数据传播路径短，认证速度快；

（2）本发明认证数据分散在不同的节点中，即使若干节点出现出现故障或被毁，都不影响系统的认证能力，系统的鲁棒性很强。

附图说明

图1为本发明对接入系统的用户的认证流程概要图；

         图2为本发明对用户接入网络时节点的总认证流程图。

具体实施方式

下面结合附图和实施例对本发明做进一步的解释，但不限于此。

节点初次接入群内之前，需要在主机表内添加该用户的信息，并设置其接入状态为NULL，拒绝计数器为0，这一过程是数据初始化过程。

认证流程图1所示，具体步骤如下：

1）节点搜索到用户接入请求信息；

2）接入节点检查待接入设备认证信息进行计算校验；

3）如果通过校验，则添加用户的信息到主机表中，并设置当前状态为接入状态；

4）否则接入节点把用户的信息添加到黑名单表中，拒绝接入计数器加1；

5）更新邻居表，并通知其他节点更新主机表和邻居表；

6）结束。

本发明对用户接入网络时节点的总认证流程图如图2所示：若节点已经存在于群中，由于节点的移动，引起拓扑结构的变化，接入群中的无线路由器（WR）的情况可直接通过认证，并更新邻居表的信息。

如图2所示，节点下线后的再次请求认证，也可通过另一个已成功通过认证并接入到网络中的节点实施接入认证；

如图2所示，当一个节点的认证请求在某个群中被拒绝次数达到限制次数3时，将直接拒绝认证，并将请求接入的节点记入黑名单。如果用户被拒绝次数<3，则按照认证的过程继续进行认证，如果再次被拒绝，则将被拒绝的计数加1，直到达到3次，并被记录在黑名单中，直接拒绝认证。

用户接入网络时节点认证的具体步骤如下：

1）接入用户搜索到一个可连接的网络节点，发送认证请求信息；

2）网络的接入节点收到认证邀请信息后，发送认证信息；

3）接入节点检查黑名单表：

若用户信息存在于黑名单中，则检查拒绝接入计数器，如果达到设定次数3，直接结束认证；若不存在于黑名单中，则检查主机的当前状态，若当前状态为在线，直接通过认证，更新邻居表，并通知其他节点更新主机表和邻居表，认证结束。

若主机当前状态为离线，则接入节点检查认证信息，如果认证通过：把用户的信息添加主机表中，并设置当前状态为在线状态，更新邻居表，通知其他节点更新主机表和邻居表，然后接入节点检查认证信息；

4）接入节点检查认证信息：认证信息通过，则删除黑名单表内该节点的记录，并把用户的信息添加到主机表中，设置当前状态为在线状态，更新邻居表，通知其他节点更新主机表和邻居表；若认证不通过，则删除主机表内的该用户信息，把用户信息添加到黑名单表中，拒绝接入计数器加1 ；

5) 当用户离线时，发送离线通知，接入节点收到该消息后修改主机表内用户的当前状态为离线状态，并且更新邻居表信息；

6）广播被认证的节点基本信息，即名称、ID号等，主机表收敛；

7）认证结束。 

Claims (1)

1.一种分布式无线Ad Hoc网络认证方法，其特征在于：具体包括以下步骤：

（1）对初次接入系统用户的认证：由群首统一完成群内节点的认证信息，并在群内通播，达到收敛；所述群首被毁或失效时，重新选举群首；在群内部分节点被毁或失效状态下，如果原群内节点仍是群内子集，则无需认证；否则，群将分裂进行群重组，在没有新节点加入的情况不再进行认证；所述认证信息由群内每一成员唯一的认证信息组构成，由接入和被接入信息组的校核完成接入认证过程；

（2）对已经存在于网络中的用户接入网络中其他节点的认证：直接通过认证，并更新邻居表信息；邻居表信息包括主机名称、邻居主机、接收信号强度；

（3）对离线后再次接入网络的用户认证：下线后的节点再次请求认证，通过已经成功通过认证并接入到网络中的节点实施接入认证；

（4）对曾经被拒绝的用户以及进入黑名单用户的认证处理：当用户的认证请求在某个群中被拒绝次数达到拒绝接入次数时，直接拒绝认证，并将拟接入的节点记录入黑名单表，所述黑名单表记录了认证节点已经发现属于不可进入本网络的主机数据信息；如果用户被拒绝次数小于拒绝接入次数，则按照认证的过程进行认证；如果用户再次被拒绝，则将被拒绝的次数加1，被记录在黑名单表中；所述主机数据信息包括主机名称和拒绝接入次数；

用户接入网络时节点认证的具体步骤如下：

1）接入用户搜索到一个可连接的网络节点，发送认证请求信息；

2）网络的接入节点收到认证邀请信息后，发送认证信息；

3）接入节点检查黑名单表：

若用户信息存在于黑名单中，则检查拒绝接入计数器，如果达到设定次数3，直接结束认证；若不存在于黑名单中，则检查主机的当前状态，若当前状态为在线，直接通过认证，更新邻居表，并通知其他节点更新主机表和邻居表，认证结束；

若主机当前状态为离线，则接入节点检查认证信息，如果认证通过：把用户的信息添加主机表中，并设置当前状态为在线状态，更新邻居表，通知其他节点更新主机表和邻居表，然后接入节点检查认证信息；

4）接入节点检查认证信息：认证信息通过，则删除黑名单表内该节点的记录，并把用户的信息添加到主机表中，设置当前状态为在线状态，更新邻居表，通知其他节点更新主机表和邻居表；若认证不通过，则删除主机表内的该用户信息，把用户信息添加到黑名单表中，拒绝接入计数器加1 ；

5) 当用户离线时，发送离线通知，接入节点收到该离线通知消息后修改主机表内用户的当前状态为离线状态，并且更新邻居表信息；

6）广播被认证的节点基本信息，即名称、ID号，主机表收敛；

7）认证结束。