CN102647713A

CN102647713A - 一种基于数字水印技术的虚假数据识别方法

Info

Publication number: CN102647713A
Application number: CN2012100811746A
Authority: CN
Inventors: 张登银; 程春玲; 许超
Original assignee: Nanjing Post and Telecommunication University
Current assignee: Nanjing Post and Telecommunication University; Nanjing University of Posts and Telecommunications
Priority date: 2012-03-26
Filing date: 2012-03-26
Publication date: 2012-08-22

Abstract

本发明涉及一种基于数字水印技术的虚假数据识别方法。该方法包括如下步骤：网络初始化后，簇头节点对各采集节点发送来的感知数据进行数据融合，并向簇内节点寻求融合数据的认证水印信息，对t个证人节点提供的证人水印信息进行处理后嵌入到融合数据中；数据到达基站后，基站通过对接收到的数据进行证人水印提取和生成来判断融合数据是否为伪造的虚假数据。该方法可以有效的识别出虚假数据，同时也不依赖于传统识别方法中消息认证码（MAC）。

Description

一种基于数字水印技术的虚假数据识别方法

技术领域

本方法是一种基于数字水印技术的虚假数据识别方法。主要解决无线传感器网络中虚假数据的识别工作，属于无线传感器网络安全领域。

背景技术

无线传感器网络(Wireless Sensor Networks) 是由大量部署在无人看管的区域并进行数据采集和传输的传感器节点构成的网络，在军事、环境、医疗、家居、工业等方面都有着广阔的应用前景。无线传感器网络主要以数据为中心，节点采集数据后都要通过多跳传输到达基站。数据在采集和传输过程中，会遭到各方面的攻击，虚假数据攻击就是其中一类。所谓虚假数据攻击即攻击者俘获感知区域内的簇内节点，通过生成虚假数据来达到欺骗基站的目的。虚假数据攻击示意如图1：簇1中，簇头节点和两个簇内节点为被俘获的攻击节点，这样簇头节点可以发送自己捏造的虚假数据给基站，实现虚假数据的注入工作。簇2中，簇头节点为正常节点，可是簇内存在被俘获的感知节点，簇头节点通过对感知节点接收到的数据的融合，得出感知区域的相应数据。簇内被俘获的感知节点捏造虚假数据发送给簇头节点，影响簇头节点融合出正确的数据，使得簇头节点生成错误数据，实现虚假数据的注入工作。

虚假数据的注入攻击越来越成为制约和影响无线传感器网络数据安全传输的重大隐患。近年来，很多学者针对如何识别和过滤虚假数据这个问题进行了研究，主要的研究成果如下：

1. Zhu S C, Setia S, Jajodia S et al. An interleaved hop-by-hop authentication scheme for filtering false data in sensor networks. Proc IEEE Symposium on Security and Privacy, Berkeley, California, USA, 2004: 259-271.提出了采用确定的、逐跳的方式来对数据进行校验的方法，简称IHA。该方案在网络初始化之前需要给每个节点预置一个唯一的ID以及与其他节点进行对称密钥匹配的信息。传感器节点被抛掷到感知区域后，形成很多个簇，当区域内节点感知到某事件后，利用自身密钥和对称密钥生成两个消息认证码(MAC)，随后由簇头节点对数据进行融合并发往基站，传输路径上每个转发节点检验与自己相对应的对称密钥的MAC，如果检验正确，则该转发节点用其关联的下游的对称密钥信息生成MAC来替代旧的MAC，一直到数据到达基站为止，基站最后对数据进行判断。

2. Ye F, Luo H Y, Lu S W et al. Statistical en-route filtering of injected false data in sensor networks. IEEE Journal on Selected Areas in Communications, Special Issue on Self-organizing Distributed Collaborative Sensor Networks, 2005, 23(4):839-850.提出了一种概率性过滤虚假数据包的方案，简称SEF方案，该方案对分配给每个传感器节点的密钥进行处理，每个节点可以从全局密钥池随机选择密钥载入节点内部，当感知区域内发生某事件后，检测到该事件的节点都用自身的密钥信息生成自己的MAC，最终簇头节点收集T个MAC并加入到融合数据的尾部。这样由于网络初始化时基站对密钥的处理，传输路径上的转发节点有一定概率的去检测数据包中数据的真实性，数据达到基站后，再对其进行全面的检测。

上述方法在有效的检测出虚假数据的同时也存在一定的不足之处：

1. 阈值安全问题

当攻击者俘获网络中节点个数超过一定阈值后，攻击者就可以推测出整个网络的保护措施，例如整体密钥信息等，攻击者利用推测出的安全信息可以任意伪造数据包，令基站做出错误判断。

2. MAC值的安全问题

由于无线传感器网络是采用的无线通信的方式来进行数据传输的，所以传输过程中容易受到噪声等其他情况的干扰，因此上述方法中提到的MAC码在传输过程中容易遭到破坏，即使网络中不存在虚假数据攻击行为，遭到破坏的MAC码也可能会误导基站，使基站将正确的数据当作虚假数据处理。

发明内容

技术问题：本发明通过对无线传感器网络中的虚假数据注入攻击的研究，针对已有的检测虚假数据方法的不足之处，引入数字水印技术来判断数据的真实性。本发明的目的是提供一种虚假数据的识别方法，对接收到的感知数据的真实性进行判断。

技术方案:本发明的方法主要是提出一种基于数字水印技术的虚假数据识别方法。通过对簇头节点发送给基站的数据寻求证人信息，采用了结合数字水印技术的簇内节点认证机制，簇内多个节点参与最终数据的生成，从而避免了少数节点被俘获而引起的虚假数据攻击行为，用户在基站端通过对水印的提取来判断数据的真实性。

本发明的方法主要分为网络初始化、证人节点认证、合法数据包生成和基站检测四部分，方法的结构如图2所示。

1. 网络初始化

在网络布置前，基站给每个节点分配一个唯一的密钥K[p]、密钥编号p、节点编号ID和差值扩展调制值d，基站维持所有节点的密钥、密钥编号、节点编号和调制值的信息列表。同时，基站还给每个节点分配一个随机函数种子R（用于生成随机数，该随机数参与合法数据包生成工作），基站维护全部的节点随机函数种子信息列表。每个传感器节点内部存在用于计算水印的单向函数F( )和用于计算随机数的随机函数S( )，每个节点内的单向函数和随机函数都相同。

2. 证人节点认证

网络进入正常工作后，进行数据采集，簇头节点负责对簇内节点采集到的数据进行聚合，获得聚合数据。为了让基站确认该聚合数据的真实性，采用簇内多节点提供证人信息作为认证依据，即簇头节点发送的数据需要参与聚合数据生成的簇内节点来证明其真实性并提供相关证人水印信息。

簇头节点将采集到的聚合数据的最高有效部分(MSP，most significant part)和证人请求发送给簇内参与数据采集的节点，簇内节点接收到聚合数据的最高有效部分和证人请求后，首先将聚合数据的最高有效部分与自身采集的数据信息进行相似度比较，判断聚合数据是否合格，若合格，则利用单向函数F( )对自身密钥和聚合数据的MSP进行处理，生成证人水印信息，之后将证人水印信息连同密钥编号一起发送给簇头节点；若不合格则拒绝发送证人水印信息。

簇头直到收集齐t个证人水印信息之后，再进行下一步的合法数据包生成工作。若没有收集齐t个证人水印信息，则通知基站数据收集工作有异常，由基站进行判断处理。

3. 合法数据包合成

当簇头节点收集到t个证人水印信息后，簇头节点利用单向函数F( )，对t个水印信息进行融合，获得水印信息W=F(w₁,w₂,…,w_t)，利用该水印信息对聚合数据进行嵌入。首先，对聚合数据进行分组，利用差分扩展可逆水印算法，嵌入水印信息W。嵌入水印后，将证人节点的密钥编号、时间戳信息加入数据包，再发送数据。

4. 基站检测

数据到达基站后，进行初步判断数据的合法性，首先检测数据包是否为重复数据包。利用时间戳信息与基站已收到的记录进行比对，如果相同则认为是重复包；如果不相同，则将此时间戳信息加入基站相应列表中，供后续数据进行比对，再检查证人节点密钥编号个数是否为t个，如果不是，则判断为虚假数据。如果是，则进入水印认证部分。

首先对数据中证人节点密钥编号和数据中最高有效部分进行提取，对照密钥和密钥编号对照表，找出对应密钥编号的密钥，结合数据最高有效部分，逐个计算t个证人水印信息。最后利用单向函数F( )，获得检测水印信息W_检测。再对数据进行分组，利用差分扩展可逆水印算法获得提取水印信息W_提取和原始数据，比较W_检测和W_提取，若符合相似度比较则判断数据合法，再组合数据的最高有效部分和原始数据得到原始的聚合数据供用户使用；若不符合，则判断数据不合法。

方法流程：基于数字水印技术的虚假数据识别方法具体为：采集端簇内节点的证人节点认证、证人水印的生成和嵌入等操作，数据经过网络到达基站后，进行基站检测，基站端通过对数据中证人水印的提取和生成来判断数据是否为虚假数据包。具体的步骤如下：

(1) 网络初始化阶段。基站维护相关数据信息：每个节点分配一个唯一的密钥K[p]、密钥编号p、节点编号ID和差值扩展调制值d，随机函数种子R（用于生成随机数，该随机数参与合法数据包生成工作），用于计算水印的单向函数F( )和用于计算随机数的随机函数S( )。

(2) 证人节点认证阶段。簇内节点将自身采集的数据发送给簇头节点，簇头节点进行融合获得融合数据后，为融合数据寻求证人节点，簇内广播融合数据的最高有效部分和证人水印请求信息。簇内节点收到证人水印请求信息后，将自身采集数据与收到的融合数据最高有效部分进行比对，若相同，则判断融合数据是根据自身数据融合获得的，根据自身的预置信息生成证人水印信息，并与自身的密钥编号一起发送给簇头节点；若不相同，则判断融合数据为虚假数据，拒绝提供证人水印信息，证人节点认证过程如图3所示。

(3) 合法数据包生成阶段。簇头节点收集到t个证人水印信息后，利用单向函数F()对t个证人水印信息进行处理获得水印W，根据预置值m从W中去m为作为嵌入水印，水印的嵌入采用的是基于的差值扩展数字水印算法，水印嵌入后，将t个证人节点的密钥编号和时间戳信息加到数据包中，合法数据的生成如图4所示。

(4) 基站检测阶段。基站接收到数据后，首先通过数据包的时间戳信息判断数据包是否为重复包，如果是重复包，则判断为虚假数据；如果不是，则计算数据包中的证人节点密钥个数是否为t个，如果不是，则判断为虚假数据；如果是，则进行水印信息的提取获得提取水印信息，同时利用密钥编号信息计算生成水印信息，通过比较提取水印信息和生成水印信息，如果相同，则说明数据为真实数据；如果不相同，则说明数据为虚假数据。基站检测流程如图5所示。

有益效果

本发明主要针对无线传感器网络中存在的虚假数据注入攻击，提出了一种基于数字水印技术的虚假数据识别方法，该方法主要是采用证人节点认证的方式并有证人节点利用自身特征值生成水印信息来对数据的身份进行证明，基站可以有效的判断是数据的真实性，同时也避免了由传统方法中消息认证码（MAC）易遭到破坏的不足，有效的提高了网络的安全性。

附图说明

图1 虚假数据注入攻击示意。

图2 虚假数据识别方法功能模块。

图3 簇头节点寻求证人节点协商过程。

图4 合法数据包生成过程。

图5 基站检测流程。

具体实施方案

基于数字水印的虚假数据识别方法的具体实施方案如下：

1. 网络布置阶段，初始化后进入正常工作状态；

2. 感知区域发生感兴趣时间后，各节点采集数据并发送给簇头节点，簇头节点进行处理获得融合数据；

3. 簇头节点提取融合数据的最高有效部分（MSP），连同证人信息请求一起发送给簇内节点；

4. 簇内节点接收到融合数据的MSP后，与自身采集的数据进行比较，若不相似，则不提供证人信息；若相同，则利用自身密钥和MSP一起计算获得证人水印信息，并连同自身密钥编号一起发送给簇头；

5. 簇头节点直到接收到t个证人信息后，进行合法数据包的生成；

a) 对接收到的t个证人水印信息进行处理获得嵌入水印信息；

b) 将t个证人节点密钥编号以及数据包发送的时间戳信息一起加入到数据包中。

6. 簇头节点发送数据，接收端接收数据。接收端进行虚假数据的识别工作；

a) 检查数据包的时间戳信息，若已经存在，则判断为重复数据包，检查结束；若不存在，则进行下一步检查；

b) 检查数据包中证人密钥编号个数，若不为t个，则判断为虚假数据，检查结束；若为t个，则进行下一步检查；

c) 利用水印提取算法获得提取水印，再利用数据包中的附加信息计算获得生成水印信息，比较提取水印和生成水印，若不相同，则判断数据为虚假数据，检查结束；若相同，则判断数据为真实数据，检测结束。

Claims

1.一种基于数字水印技术的虚假数据识别方法，其特点在于包含如下步骤：

采用数字水印认证技术和证人节点认证机制来实现对数据真实性的判断，通过在簇头处进行水印的收集和处理，再向待发送数据中嵌入水印信息，最后在接收端进行水印提取和水印生成，判断生成水印信息和提取水印的相似程度来判断数据是否为虚假数据。

2.如权利要求1所述的一种基于数字水印技术的虚假数据识别方法，其特征在于所述证人节点认证机制的具体实施过程为：簇头节点将采集到的聚合数据的最高有效部分和证人请求发送给簇内参与数据采集的节点，簇内节点接收到聚合数据的最高有效部分和证人请求后，首先将聚合数据的最高有效部分与自身采集的数据信息进行相似度比较，判断聚合数据是否合格，若合格，则利用单向函数F对自身密钥和聚合数据的最高有效部分进行处理，生成证人水印信息，之后将证人水印信息连同密钥编号一起发送给簇头节点；若不合格则拒绝发送证人水印信息。

3.如权利要求1所述的一种基于数字水印技术的虚假数据识别方法，其特征在于所述由接收端水印提取和水印生成来判断接收数据的真实性的过程为：接收端首先根据时间戳信息来判断是否为重复数据包，若是重复数据包，则判断接收的数据为虚假数据；若不是虚假数据包，则检查数据包，查看证人节点密钥编号的个数，如不为t个，则判断为虚假数据；如为t个，则利用水印提取算法从融合数据中获得提取水印信息，同时利用数据中的附加信息生成水印信息，比较提取水印信息和生成水印的相似度，若不相同，则判断为虚假数据；若相同，则判断为真实数据。