CN102612035A - 多级分簇无线传感器网络中能量高效的身份认证方法 - Google Patents

Abstract

本发明提供了一种多级分簇无线传感器网络中能量高效的身份认证方法，属于计算机网络技术领域，本方法以对称加密算法为基础，通过基站来传递身份信息，针对多级分簇无线传感器网络的特点，所有结点只需要完成和其簇头结点的双向身份认证即可，从而避免了不必要的认证过程，采用本发明，可以在多级分簇无线传感器网络中能量高效地实现全网必要的身份认证，以最少的能量开销保障了全网结点的身份安全。

Description

多级分簇无线传感器网络中能量高效的身份认证方法

技术领域

本发明涉及计算机网络技术领域，尤其涉及一种多级分簇无线传感器网络中能量高效的身份认证方法。

背景技术

在无线传感器网络中，目前的针对结点间的身份认证方法，绝大多数使用非对称密钥算法实现点到点之间的直接身份认证。先是每个结点存有一份私钥，然后利用公钥发现机制获取目标结点的公钥，之后通过公钥与私钥是否配对的方法来实现结点的身份认证。尽管人们不停地优化该过程，但非对称加密算法的特质决定了该方法十分消耗结点能量。

针对多级分簇无线传感器网络，目前还没有专门的身份认证方法，使用通用的身份认证方法将带来巨大的能量消耗，尤其是簇头结点能量消耗巨大，会严重影响网络的存活时间。

因此，当下需要迫切解决的一个技术问题就是：如何能够提出一种有效的措施，以解决现有技术中存在的问题。

发明内容

本发明所要解决的技术问题是提供一种多级分簇无线传感器网络中能量高效的身份认证方法，可以在多级分簇无线传感器网络中能量高效地实现全网必要的身份认证，以最少的能量开销保障了全网结点的身份安全。

为了解决上述技术问题，本发明提供了一种多级分簇无线传感器网络中能量高效的身份认证方法，包括：

由基站为所有结点建立认证密钥并分发至各结点中，基站处存储所有结点的认证密钥；

由底层簇内结点向上逐层发起认证请求，各级簇头依次汇集认证请求信息并压缩与融合后向上级汇集，知道认证请求包汇集至基站；

基站通过各结点的认证密钥对结点身份进行识别，并将识别结果逐级下发，各级簇头结点通过反馈信息识别簇内结点身份，并继续向合法结点下发来自基站的反馈信息；下级结点收到反馈信息后，检查其簇头结点的合法性，之后检查下级结点并下发反馈信息，该过程重复进行，直到底层簇内结点时停止；

未获得反馈消息的结点启动局部再认证流程。

进一步地，所述的多级分簇无线传感器网络中能量高效的身份认证方法，其特征在于，所述由基站为所有结点建立认证密钥并分发至各结点中，基站处存储所有结点的认证密钥具体包括以下步骤：

基站读取结点的id，为保证不同结点的认证密钥没有关联性，使用随机值产生器Rand产生一个随机密钥，作为K_id；

基站保存id与K_id的对应关系：id＝＞K_id，针对id建立B-Tree索引，以方便快速根据id查找K_id；

基站将K_id写入结点中，此时结点保存了数据{id |K_id}。

进一步地，所述未获得反馈消息的结点启动局部再认证流程包括以下步骤：

重新进行本级簇的簇头结点的选举；

将缓存的认证信息再次发给新簇头结点，各级簇头依次汇集认证请求信息并压缩与融合后向上级汇集，知道认证请求包汇集至基站；

基站通过各结点的认证密钥对结点身份进行识别，并将识别结果逐级下发，各级簇头结点通过反馈信息识别簇内结点身份，并继续向合法结点下发来自基站的反馈信息；下级结点收到反馈信息后，检查其簇头结点的合法性，之后检查下级结点并下发反馈信息，该过程重复进行，直到底层簇内结点时停止；

多次重复仍然失败时，则下一级结点将发起簇头选举，产生新的簇头和上一级簇头，并重复认证流程。

进一步地，由于每一级的超时时间至少大于上一级的两倍，因此新的簇头如果认证通过，则不影响整体认证流程的进行。

综上，本发明提供的多级分簇无线传感器网络中能量高效的身份认证方法以对称加密算法为基础，通过基站来传递身份信息，针对多级分簇无线传感器网络的特点，所有结点只需要完成和其簇头结点的双向身份认证即可，从而避免了不必要的认证过程，采用本发明，可以在多级分簇无线传感器网络中能量高效地实现全网必要的身份认证，以最少的能量开销保障了全网结点的身份安全。

附图说明

图1是本发明的具体实施方式中所述的多级分簇无线传感器网络中能量高效的身份认证方法的流程示意图；

图2是本发明的具体实施方式中所述的密钥预分配方案示意图；

图3是本发明的具体实施方式中所述的基站收到的认证请求结构示意图；

图4是本发明的具体实施方式中所述的全网身份认证流程示意图；

图5是本发明的具体实施方式中所述的身份认证实施场景示意图。

具体实施方式

下面结合附图和具体实施方式对本发明作进一步详细的说明。

整个技术方案包含三个阶段：密钥预分配阶段、全网身份认证阶段、局部再认证阶段。首先，在结点部署前为各结点分配唯一的认证密钥，并在基站中存储。之后，在多级分簇无线传感器网络形成后，进行全网身份认证，该阶段结合认证信息的相似性可以很好地进行数据压缩和融合，减少通信能耗。最后，针对全网身份认证未通过的簇头，对应的簇内进行新的簇头选举，并进行局部再认证，该过程可以重复，直到排除所有身份虚假的结点。具体参见图1给出的流程示意图，所述方法包括：

步骤S101，由底层簇内结点向上逐层发起认证请求，各级簇头依次汇集认证请求信息并压缩与融合后向上级汇集，知道认证请求包汇集至基站；

步骤S102，基站通过各结点的认证密钥对结点身份进行识别，并将识别结果逐级下发，各级簇头结点通过反馈信息识别簇内结点身份，并继续向合法结点下发来自基站的反馈信息；下级结点收到反馈信息后，检查其簇头结点的合法性，之后检查下级结点并下发反馈信息，该过程重复进行，直到底层簇内结点时停止；

步骤S103，未获得反馈消息的结点启动局部再认证流程。

1.密钥预分配阶段

结点密钥预分配过程如图2所示，由基站为所有结点建立认证密钥并分发至各结点中，基站处存储所有结点的认证密钥。具体步骤如下：

基站读取结点的id，为保证不同结点的认证密钥没有关联性，使用随机值产生器Rand产生一个随机密钥，作为K_id。

基站保存id与K_id的对应关系：id＝＞K_id，针对id建立B-Tree索引，以方便快速根据id查找K_id。

基站将K_id写入结点中，此时结点保存了数据{id|K_id}。

以上步骤在所有结点中进行后，则每个结点拥有了一个独特的且无关联的密钥，服务器掌握所有结点的密钥信息。

2.全网身份认证阶段

在该阶段，多级分簇网络拓扑结构已经形成，结点间尚未进行身份认证，结点间的通信还在以非安全形式进行。此时，由底层簇内结点向上逐层发起认证请求，各级簇头依次汇集认证请求信息并压缩与融合后向上级汇集，知道认证请求包汇集至基站。基站通过各结点的认证密钥对结点身份进行识别，并将识别结果逐级下发，各级簇头结点通过反馈信息识别簇内结点身份，并继续向合法结点下发来自基站的反馈信息。下级结点收到反馈信息后，检查其簇头结点的合法性，之后检查下级结点并下发反馈信息，该过程重复进行，直到底层簇内结点时停止。该过程如图4所示。

整个过程上传和下发的数据协议格式如下：

{id|Certificate_id|Data}

该阶段的具体步骤如下：

1.1由底层的普通结点向簇头结点汇聚认证请求，请求的具体数据内容如下：

id：{id}

该结点的唯一标识id，该部分数据为明文形式。

Certificate_id：

该部分把结点id，一个随机值rand(该值需要记录下来以校验与反馈信息的一致性)，和数据域的哈希值hash(Data)连接在一起后，用结点的密钥K_id加密。

Data：{}

最底层的簇内结点，该部分内容为空。

1.2簇头结点汇集所有来自簇内结点的认证请求后，产生自己的认证请求，并把簇内结点的认证请求压缩后存在数据的Data部分，计算hash(Data)并生成自己的认证请求。之后簇头结点把数据继续向上一级簇头发送，同时缓存该数据直到收到合法的反馈消息。该过程在各级簇头结点进行，直到数据到达基站。簇头发送的数据中，id和Certificate_id部分与普通结点的相同，Data部分为：

Data：{Compress(List(subdata))}

递归的结构，存储压缩后的数据，该部分内容解压缩后为来自下层数据的认证请求。

1.3基站获取的认证请求经逐级解压缩后为图3所示的树状结构，基站遍历该树中的所有结点，并对其进行身份认证，具体流程如下：

(1)根据结点id在密钥库中查询其密钥K_id。

(2)使用K_id解密Certificate_id数据，获得：

{id|rand|hash(Data)}

检查数据中的id与结点声称的id是否一致，如果一致则该结点通过身份认证，否则无法通过。

(3)如果该结点通过身份认证，对其Data计算哈希值，并与上面的hash(Data)做比较，如果一致说明下一层结点的数据是完整的，则解压缩Data域，并对其中结点重复认证步骤。

1.4基站根据通过身份认证的结点的信息，生成反馈消息，数据内容如下：

id：{id}目标结点的id

目标结点的唯一标识id，该部分数据为明文形式。

Certificate_id：

$\left\{P_{K_{\mathrm{id}}}\left(\mathrm{id}\right|\mathrm{copyrand}\left|\mathrm{GK}\right|{\mathrm{GK}}_{\mathrm{sub}}\left|\mathrm{hash}\left(\mathrm{Data}\right)\right)\right\}$

该部分把结点id，认证请求中随机值的拷贝copyrand，所在簇组密钥GK，下级簇组密钥GK_sub和数据域的哈希值hash(Data)连接在一起后，用目标结点的密钥K_id加密。

Data：{Compress(List(subdata))}

递归的结构，存储压缩后的数据，该部分内容解压缩后为反馈给目标结点下层各结点的响应数据。

1.5各级簇头结点接收到来自基站的反馈数据后，执行以下步骤：

(1)若超出预设的超时时间T_timeout没有获得反馈，则跳至步骤(4)，若收到反馈数据，则使用预存的密钥K_id解密Certificate_id数据，获得：

{id|copyrand|id_header|GK|GK_sub|hash(Data)}

(2)检查数据中的id与自身id是否一致，确认消息合法性；判断copyrand与上次发送请求时的rand值是否一致，确定本次反馈是针对上次请求的；检查接受反馈的簇头结点id与id_header是否一致，防止其它结点伪装；记录本簇的通信组密钥GK，从而可以和簇内及簇头结点安全通信；记录子簇的通信组密钥GK_sub，从而可以与即将身份认证的下级簇的结点安全通信；计算Data部分的哈希值并和数据中的hash(Data)做比较以检查运载数据的完整性。若以上步骤未全部通过，则跳至步骤(4)。

(3)解压缩Data部分，获得List(subdata)，依次向其中的各下级结点发送对应的subdata。

(4)簇头身份不可信，则该结点进入等待局促再认证阶段。等待时间为一经验值T_timeout，该值需要结合结点的计算能力、通信带宽、结点休眠时间、服务器计算能力等实际情况得出，且每下一级的等待时间T_timeout至少大于上一级T_timeout的两倍。

由于subdata中的结点均是通过了服务器的认证的，因此此时已完成了该结点对其簇内结点的身份认证。同时，通过校验加密信息中的id_header，因而完成了对簇头结点的身份认证。也即是说，当反馈消息顺利经过一个结点时，该结点就同时完成了对直接上级和直接下级结点的单向身份认证。

由于该过程是从上级往下级依次进行的，因此：每个反馈消息验证成功的结点，都完成了对上级结点的双向身份认证；反馈消息验证失败的结点，表示上级簇头身份不可信；无法收到反馈消息的结点，表示从基站到该结点的通信链路上存在认证失败的结点。

3.局部再认证阶段

当结点在T_timeout时间内无法获得反馈消息，则启动局部再认证流程，具体为：

(1)重新进行本级簇的簇头结点的选举；

(2)将缓存的认证信息{Compress(List(subdata))}再次发给新簇头结点，之后重新进行2.2-2.5的认证流程。

(3)由于每一级的超时时间至少大于上一级的两倍，因此新的簇头如果认证通过，则不影响整体认证流程的进行；多次重复仍然失败时，则下一级结点将发起簇头选举，产生新的簇头和上一级簇头，并重复认证流程；以此类推，重建所有受到影响的层级的簇。

经过局部再认证阶段，簇头中的非法结点被隔离，避免了因中间层级的簇头不合法导致大范围结点认证的失败。

具体实施如图5所示，包含以下内容：

基站Base，汇聚结点Sink Node和七个传感器结点ss01，ss02，ss03，ss04，ss05，ss06，ss07。其中ss02为恶意结点。

本发明具体实施时包括密钥预分配，全网身份认证和局部再认证三个阶段。

1.密钥预分配阶段

分别为各结点生成随机密钥，记录在各传感器中，且在基站中存放所有结点id、密钥对。此时基站中的密钥表如下所示：

结点id	密钥Kid
		01	VbpfkZU4LiSb
03	5JmIKJRsWEcj
		04	LOPCcRgJ1vrD
05	7bxWv2Z3qcVJ
		06	53JzjuJSk5Of
07	twE32EZSCaxA

2.全网身份认证阶段

初始网络拓扑如图5所示，ss03，ss04，ss06，ss07为普通结点，ss02，ss05为一级簇头结点，ss01为二级簇头结点，ss01通过Sink Node和基站连接。其中ss02为恶意结点，基站

首先由ss03，ss04，ss06向ss02发送认证请求结点，ss07向ss05发送认证请求结点。ss02和ss05对收集到的认证请求信息进行压缩，然后生成自己的认证请求信息，发送给ss01。ss01收集来自ss02和ss05的认证请求信息，生成自己的认证请求信息，之后发送给基站。

此时基站收到的数据，解压缩后如下：

基站从ss01开始进行身份认证，通过后对ss02和ss05进行认证，ss05通过后对ss07进行认证，由于ss02无法通过验证，因此不对ss03，ss04，ss05进行认证。之后基站生成反馈消息如下：

01

Cert01

05

Cert05

07

Cert07

该消息首先发送至ss01，结点ss01检查反馈消息后发给ss05，检查后发给ss07。完成后，ss01，ss05，ss07都是经过身份认证的结点，且均获得了通信密钥，之后通信内容便是加密传输的。

ss03，ss04，ss05由于超时时间T_timeout内没有收到来自ss02的反馈数据，于是进入了局部再认证阶段。

3.局部再认证阶段

ss03，ss04，ss05结点协商重新选举簇头结点，并且不允许ss02再次担任簇头，于是ss04成为新的簇头。ss04收集ss02，ss03，ss05的身份认证请求并经过ss01发给基站，基站分别认证后传回给ss04，ss04发现反馈消息中没有ss02的信息，于是认定ss02身份不可信，只给ss03和ss05发送反馈消息。

经过上述步骤，全网只有ss02无法获得通信所需的组密钥，其它结点都经过了身份认证并在加密的环境下通信，ss02被排除出了通信网络。

本发明的多级分簇无线传感器网络中能量高效的身份认证方法，可广泛用于多级分簇结构的无线传感器网络为簇内结点和簇头结点能量高效地建立双向身份认证。

以上对本发明所提供的多级分簇无线传感器网络中能量高效的身份认证方法进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (4)

1.一种多级分簇无线传感器网络中能量高效的身份认证方法，包括：

由基站为所有结点建立认证密钥并分发至各结点中，基站处存储所有结点的认证密钥；

由底层簇内结点向上逐层发起认证请求，各级簇头依次汇集认证请求信息并压缩与融合后向上级汇集，知道认证请求包汇集至基站；

基站通过各结点的认证密钥对结点身份进行识别，并将识别结果逐级下发，各级簇头结点通过反馈信息识别簇内结点身份，并继续向合法结点下发来自基站的反馈信息；下级结点收到反馈信息后，检查其簇头结点的合法性，之后检查下级结点并下发反馈信息，该过程重复进行，直到底层簇内结点时停止；

未获得反馈消息的结点启动局部再认证流程。

2.根据权利要求1所述的多级分簇无线传感器网络中能量高效的身份认证方法，其特征在于，所述由基站为所有结点建立认证密钥并分发至各结点中，基站处存储所有结点的认证密钥具体包括以下步骤：

基站读取结点的id，为保证不同结点的认证密钥没有关联性，使用随机值产生器Rand产生一个随机密钥，作为K_id；

基站保存id与K_id的对应关系：id＝＞K_id，针对id建立B-Tree索引，以方便快速根据id查找K_id；

基站将K_id写入结点中，此时结点保存了数据{id|K_id}。

3.根据权利要求1所述的多级分簇无线传感器网络中能量高效的身份认证方法，其特征在于，所述未获得反馈消息的结点启动局部再认证流程包括以下步骤：

重新进行本级簇的簇头结点的选举；

将缓存的认证信息再次发给新簇头结点，各级簇头依次汇集认证请求信息并压缩与融合后向上级汇集，知道认证请求包汇集至基站；

基站通过各结点的认证密钥对结点身份进行识别，并将识别结果逐级下发，各级簇头结点通过反馈信息识别簇内结点身份，并继续向合法结点下发来自基站的反馈信息；下级结点收到反馈信息后，检查其簇头结点的合法性，之后检查下级结点并下发反馈信息，该过程重复进行，直到底层簇内结点时停止；

多次重复仍然失败时，则下一级结点将发起簇头选举，产生新的簇头和上一级簇头，并重复认证流程。

4.根据权利要求3所述的多级分簇无线传感器网络中能量高效的身份认证方法，其特征在于，由于每一级的超时时间至少大于上一级的两倍，因此新的簇头如果认证通过，则不影响整体认证流程的进行。

Images