CN104125572B - 基于节点协作的Sybil攻击检测方法 - Google Patents

Abstract

本发明公开了一种功率可控无线传感网（Wireless Sensor Networks，WSN）中基于节点协作的Sybil攻击检测方法，属于网络安全技术领域。本发明首先面向具有路径损耗和阴影衰落的更为真实的网络环境（大尺度传播模型）分析接收信号强度指示（Received Signal Strength Indicator，RSSI）的二次差值；然后根据RSSI二次差值不受节点发射功率变化影响的特性提出一种Sybil节点识别算法。该算法通过两个普通节点的所有公共监测节点相互协作来判别这两个节点是否为一个恶意节点伪造的两Sybil身份。本发明结合了RSSI二次差值的特性和监测节点协作的方案，提高了功率可控WSN中Sybil攻击的检测效率，并能够延长了网络生命周期。

Description

基于节点协作的Sybil攻击检测方法

技术领域

本发明属于无线传感网、信息安全的交叉技术应用领域，具体涉及一种基于节点协作的Sybil攻击检测方法。

背景技术

Sybil攻击是指攻击者通过捕获传感器节点或者监听大量通信消息使合法节点成为恶意节点，之后以多个虚假身份出现在网络其他节点的面前的一种攻击方式。其中，由恶意节点伪造的节点身份称为Sybil节点。早期的Sybil攻击出现在P2P网络中，由于分布式网络中缺乏可信权威中心，一个合法的物理节点极易遭到Sybil攻击的捕获，通过伪造对等节点身份对P2P网络中的信誉系统进行破坏，而类似的问题同样存在于无线传感网中。Sybil攻击是无线传感网中一种最主要的内部攻击方式。它具有很强的破坏性，一旦攻击成功，网络路由机制、数据分布式存储机制和恶意行为检测机制等都将遭到破坏，严重影响节点间的正常通信，造成巨大的资源损失。

目前随着无线传感器中功率控制技术的迅速发展，Sybil攻击已变得愈来愈难以发现。由于节点的发射功率直接决定了节点通信半径，而功率控制会使得邻居关系不断变化，因此节点每次收到的消息都可能来自不同的邻居节点集合。一旦网络中存在恶意节点，那么其他合法节点即使收到了来自Sybil节点的虚假消息也无法发现。这样的问题使得反Sybil攻击的研究者越来越渴望找到一个可以满足功率可控无线传感网的Sybil攻击检测方法。

从本质上来看，检测无线传感网中Sybil节点的过程实际上是网络识别哪些是合法节点，哪些是Sybil节点的过程。基于接收信号强度指示(Received Signal StrengthIndicator，RSSI)的研究带给人们一些启发。RSSI具有许多优良的特点，例如传感器节点硬件无需特殊的要求，传输消息无需捎带额外内容，通信能耗相对较小等等。因此，基于RSSI的Sybil攻击检测方法能够被应用到Sybil检测工作中。例如，Murat等人在《An RSSI-basedscheme for Sybil attack detection in wireless sensor networks》一文中提出了一种基于RSSI的Sybil攻击检测方法，该方法通过设置监测节点使其计算来自不同节点的RSSI比率，并将这些比率和发送节点的身份ID进行绑定，从而判断网络中是否发生了Sybil攻击。但该方法未能面向无线传感网运行的真实环境情况，而且没有考虑节点发射功率可控的情况，容易造成Sybil节点漏检误检现象的发生，具有一定的局限性。

发明内容

本发明所要解决的技术问题是：本发明提供一种基于节点协作的Sybil攻击检测方法，解决了现有技术中未能面向无线传感网运行的真实环境情况，未考虑节点发射功率，造成的Sybil节点漏检误检的问题。

本发明为解决上述技术问题，采用如下技术方案：

基于节点协作的Sybil攻击检测方法，包括网络初始化及Sybil节点检测，所述网络初始化包括如下步骤：

步骤1，部署普通节点和监测节点，初始化Sybil节点集合为空；

步骤2，选取任意一个监测节点；

步骤3，选取步骤2中监测节点的任一个邻居监测节点；

步骤4，首先，计算步骤2中监测节点及步骤3中邻居监测节点到同一个共有普通节点之间的距离比，然后，计算步骤2中监测节点及步骤3中邻居监测节点到所有共有普通节点之间的距离比，每个距离比分别除以所有比自身小的距离比，得到一个距离比的分数比值集合，对该分数比值集合中的元素进行判断，将每个元素中分子、分母对应的共有普通节点ID号放入与步骤2中监测节点对应的不同的两个ID集合中；

步骤5，重复步骤3至步骤4，将步骤2中监测节点与其所有邻居监测节点共有的普通节点ID号分别放入步骤4中的两个ID集合中；

步骤6，重复步骤2至步骤5，遍历所有监测节点，直到每个监测节点与自身所有邻居监测节点共有的普通节点ID号均放入对应的ID集合中；

Sybil节点检测包括如下步骤：

步骤a，任选一个监测节点；

步骤b，从步骤a中监测节点对应的两个ID集合中各选取一个普通节点的ID号，计算这两个普通节点共有的监测节点的个数，记为count，并根据count的值判断这两个普通节点是否为“安全节点”，如果这两个普通节点为“安全节点”则继续从两个ID集合中选取其他的普通节点执行步骤b，否则执行步骤c；

步骤c，选取步骤a中监测节点的一个邻居监测节点，该邻居监测节点与步骤b中选出的两个普通节点互为邻居节点，计算该邻居监测节点及步骤a中监测节点到步骤b中选出的两个普通节点的距离比，根据该距离比的比值判断这两个普通节点是否为“安全节点”，如果是“安全节点”则count数值不变，否则，count数值减1；

步骤d，重复步骤c，将步骤a中选取的监测节点、两个普通节点共有的所有邻居监测节点判断完毕，得到count的当前值；

步骤e，根据count的当前值判断这两个普通节点是否为“Sybil节点”，如果是“Sybil节点”，则将两个普通节点的ID号写入Sybil节点集合，否则，Sybil节点集合保持不变；

步骤f，重复步骤b至步骤e，将步骤b中两个ID集合中所有普通节点均判断完毕，将步骤a中监测节点对应的所有“Sybil节点”写入到Sybil节点集合；

步骤g，重复步骤a至步骤f，将所有监测节点对应的“Sybil节点”写入到Sybil节点集合。

步骤4中对所述分数比值集合中的元素进行判断，将每个元素中分子、分母对应的共有普通节点ID号放入与步骤2中监测节点对应的不同的两个ID集合中，采用如下方法：

将所述分数比值集合中的元素逐一与预先设定的距离比的比值阈值u进行比较，

若距离比的比值大于u，则将该分数比值分子的距离比对应的普通节点ID号存入集合A1中，将该分数比值分母的距离比对应的普通节点ID号存入集合B1中，

若距离比的比值小于u，则将该分数比值分母的距离比对应的普通节点ID号存入集合A1中，将该分数比值分子的距离比对应的普通节点ID号存入集合B1中，

若距离比的比值等于u，则调节步骤1中监测节点的位置，重复步骤3，直到监测节点1和监测节点2的所有共有普通节点的ID号均放入集合A1、B1中；其中阈值u大于1。

步骤b中根据count的值判断所述两个普通节点是否为“安全节点”采用如下方法：

预先设定这两个普通节点的公共监测节点数阈值λ＝2.5logN+1，其中N为步骤1中部署的普通节点的个数，若count≤λ，则这两个普通节点为“安全节点”，否则，执行步骤c；

步骤c中根据该距离比的比值判断这两个普通节点是否为“安全节点”，采用如下方法：

判断所述距离比的比值是否属于若该距离比的比值不属于则这两个普通节点为“安全节点”，count数值保持不变，否则，这两个普通节点为“可疑节点”，count数值减1；其中ε_max为距离测量误差系数的最大值。

步骤e中根据count的当前值判断这两个普通节点是否为“Sybil节点”，采用如下方法：

将count的当前值与初始值比较，如果count的当前值小于初始值的一半，则这两个普通节点为“Sybil节点”，否则这两个普通节点为“安全节点”。

与现有技术相比，本发明具有如下有益效果：

1、面向更真实的无线传感网环境，即在综合路径损耗和阴影衰落的无线信号传输模型中对RSSI二次差值进行分析，通过预先控制监测节点的部署位置提高正确区分两节点是否处于同一地理位置的概率，本发明能够面向真实的网络运行环境，并结合监测节点的各种优点及网络分布式的特点，不但可以将Sybil节点检测扩展到整个网络，还可以提高Sybil节点检测效率降低漏检率，并延长网络生命周期。

2、由于简单的依赖于一个监测节点或不可信普通节点所决定的检测结果是不可信的，因此本发明在Sybil节点检测过程中，采用监测节点相互协作的方法使算法最终的输出结果由Sybil节点的所有公共监测节点共同决定，以有效提高检测效率，减少误检漏检情况的发生。

3、由于监测节点在计算能力、通信能力、存储容量以及电能等方面都优于普通节点，因此基于监测节点执行的检测算法不会消耗普通节点的有限能量，有效延长了网络生命周期。

附图说明

图1为本发明功率可控WSN中的Sybil攻击示意图。

图2本发明两种不同情况下随机变量Q的概率密度函数图。

图3为本发明正判率与两距离比的商的关系图。

具体实施方式

下面结合附图对本发明的技术方案进行详细说明：

1.功率可控WSN中RSSI二次差值的分析

假设S是一个恶意节点，S_i和S_p是由它伪造的两个Sybil节点，它们各自的邻居监测节点集合分别为和O_j和O_k是S_i和S_p的公共监测节点，即O_j、Sybil攻击如图1所示。当恶意节点S以S_i身份向邻居节点广播Hello邻居消息时，基于大尺度传输模型O_j计算得到的RSSI值为：

其中，P_i(d₀)为节点S_i在参考距离d₀处的发射功率，d_ij表示S_i与O_j间的距离，γ为路径损耗系数，Z_i是由阴影衰落引起的路径损耗，它服从均值为0方差为σ²的正态分布。

由于监测节点O_k同样能收到S_i广播的Hello邻居消息，而广播同一消息所用发射功率是相同的，因此将两监测节点各自计算得到的RSSI值做差，得到O_j和O_k的RSSI差值为：

其中ΔZ_i服从均值为0方差为2σ²的正态分布。同理，当恶意节点S以S_p身份向邻居节点广播Hello邻居消息时，可以得到O_j和O_k的RSSI差值为：

由此，可得监测节点O_j和O_k针对S_i和S_p的RSSI两次差值：

其中将记作 记作ΔZ_i-ΔZ_p记作ΔZ_ip，ΔZ_ip服从均值为0方差为4σ²的正态分布。

由于S_i和S_p是同一物理节点伪造的两Sybil身份(即S_i和S_p处在同一地理位置)因此Q＝ΔZ_ip服从均值为0方差为4σ²的正态分布。随机变量Q的概率密度函数为：

然而，假如S_i和S_p仅是两个普通节点(即S_i和S_p位于不同地理位置)，那么服从均值为方差为4σ²的正态分布。随机变量Q的概率密度函数为：

综上所述，RSSI两次差值是一个与节点发射功率大小无关的变量，它不受节点发射功率变化的影响，并且其在两种不同情况下具有不同的函数分布情况，能够被用于区分普通节点和Sybil节点，因此基于RSSI二次差值去实现Sybil攻击检测是一种适用于功率可控WSN的方法。

两种不同情况下随机变量Q的概率密度函数如图2所示。从图中可以看出f_same(Q)和f_diff(Q)两曲线必存在一交点τ，由此可得正确判断两节点是否处在不同位置的概率(正判率)(这里的正判率不是攻击检测率)为：

图3描述了在不同的由阴影衰落引起的路径损耗标准差σ下，正判率p_Accuracy与两距离比的商的关系。由此可知，在相同的路径损耗标准差σ(即无线信道情况已给定)情况下，正判率p_Accuracy随着增大而增大。因此，可通过预先控制监测节点的部署位置使且来提高正判率p_Accuracy。

2.针对Sybil攻击的检测

基于节点协作的Sybil攻击检测方法，包括网络初始化及Sybil节点检测，其中，所述网络初始化包括如下步骤：

步骤1，部署普通节点和监测节点，普通节点为静止节点，监测节点为可移动节点；每个节点均具有通信半径R＝c*r，其中r为普通节点通信半径，c为大于1的常数，在每个节点的通信半径内的其他节点称为该节点的邻居节点，每个普通节点均包括Hello邻居消息，Hello邻居消息包括自身节点ID、自身地理位置信息以及自身邻居监测节点集合；每个普通节点周期性广播Hello邻居消息，每个监测节点接收自身通信半径内的Hello邻居消息，并计算自身到所有普通邻居节点的距离，将所有数据进行存储；每个监测节点将其所有邻居普通节点标记为合法节点，并初始化Sybil节点集合为空；

步骤2，选取任意一个监测节点，定义为监测节点1；

步骤3，选取监测节点1的任一个邻居监测节点，定义为监测节点2，计算监测节点1到监测节点2之间的距离及监测节点1与监测节点2共有的普通节点的数量，获取共有普通节点的ID号，并进行存储；

步骤4，分别计算监测节点1和监测节点2到第n个共有普通节点的距离比an/bn，an为监测节点1到第n个共有普通节点的距离，bn为监测节点2到第n个共有普通节点的距离，n＝1、2、…、N，N为监测节点1和监测节点2的共有普通节点的个数；将所有距离比按照从大到小的顺序排列，每个距离比均对应一个共有普通节点，每个距离比分别除以所有比自身小的距离比，得到一个距离比的比值集合，将该比值集合中的元素逐一与预先设定的距离比的比值阈值u进行比较，其中，u大于1，

若距离比的比值大于u，则将该比值分子的距离比对应的普通节点ID号存入集合A1中，将该比值分母的距离比对应的普通节点ID号存入集合B1中，

若距离比的比值小于u，则将该比值分母的距离比对应的普通节点ID号存入集合A1中，将该比值分子的距离比对应的普通节点ID号存入集合B1中，

若距离比的比值等于u，则调节监测节点1的位置，重复步骤3，直到监测节点1和监测节点2的所有共有普通节点的ID号均放入集合A1、B1中；

步骤5，重复步骤3至步骤4，直到将监测节点1与所有邻居监测节点共有的普通节点ID号均放入集合A1、B1中；

将任意两个监测节点的公共普通节点划分成两个集合，主要是为了通过网络初始化的位置部署工作使得正判率能够得到提高，并降低算法中节点的遍历次数。

步骤6，重复步骤2至步骤5，遍历所有监测节点，直到每个监测节点与自身所有邻居监测节点共有的普通节点ID号均放入对应的集合Ak、Bk中，其中k为第k个监测节点，k＝1,2，…，M，M为监测节点的个数；

Sybil节点检测包括如下步骤：

步骤a，任选一个监测节点k，

步骤b，从监测节点k对应的集合Ak、Bk中各选取一个普通节点的ID号，从集合Ak中选出的普通节点记为普通节点1，从集合Bk中选出的普通节点记为普通节点2，计算这两个普通节点共有的监测节点的个数，记为count，并将其与预先设定的阈值λ比较，λ＝2.5logX+1，其中X为步骤1中部署的普通节点的个数，若count≤λ，则这两个普通节点为“安全节点”，否则，这两个普通节点为“可疑节点”；如果这两个普通节点为“安全节点”则继续从集合Ak、Bk中选取其他的普通节点执行步骤b进行判断，如果这两个普通节点为“可疑节点”则执行步骤c；

步骤c，选取步骤a中监测节点k的一个邻居监测节点，该邻居监测节点与步骤a中选出的两个普通节点互为邻居节点，计算监测节点k到普通节点1与邻居监测节点到普通节点1的距离比，记为距离比1，计算监测节点k到普通节点2与邻居监测节点到普通节点2的距离比，记为距离比2，计算距离比1与距离比2的比值，并判断该比值是否属于若比值不属于则普通节点1与普通节点2为“安全节点”，count数值不变，否则，普通节点1与普通节点2为“可疑节点”，count数值减1，其中ε_max为距离测量误差系数的最大值；距离测量指监测节点通过RSSI值计算得到的与普通节点或者监测节点的距离，这个距离与真实距离之间是有误差的。

步骤d，重复步骤c，将监测节点k、普通节点1、普通节点2共有的所有邻居监测节点判断完毕，得到count的当前值；

步骤e，将count的当前值与初始值比较，如果count的当前值小于初始值的一半，则普通节点1和普通节点2为“Sybil节点”，将普通节点1和普通节点2的ID号写入Sybil节点集合；否则，Sybil节点集合保持不变；

步骤f，重复步骤b至步骤e，将集合Ak、Bk中所有普通节点均判断完毕，将监测节点k对应的所有“Sybil节点”写入到Sybil节点集合；

步骤g，重复步骤a至步骤f，将所有监测节点对应的“Sybil节点”写入到Sybil节点集合。

最后，将监测到的Sybil节点集合向网络中的基站发布，让基站做相应的隔离处理。

无线传感网是一种分布式的自组织网络，其中具有大量自组织的传感器节点。各节点均具有消息的接收、存储和发送功能等。考虑到普通节点一般是不可信的，因此无线传感网中有时会借助监测节点来更好的完成数据融合工作或提高网络安全性能。监测节点在计算能力、通信能力、存储容量以及电能等方面多个方面都要优于普通节点，因此如果利用监测节点去执行Sybil攻击检测算法可提高Sybil节点检测效率和网络性能。此外，如果Sybil攻击检测方法能够面向真实的网络运行环境，并结合监测节点的各种优点及网络分布式的特点，不但可以将Sybil节点检测扩展到整个网络，还可以提高Sybil节点检测效率降低漏检率，并延长网络生命周期。

Claims (4)

1.基于节点协作的Sybil攻击检测方法，包括网络初始化及Sybil节点检测，其特征在于：所述网络初始化包括如下步骤：

步骤1，部署普通节点和监测节点，初始化Sybil节点集合为空；

步骤2，选取任意一个监测节点；

步骤3，选取步骤2中监测节点的任一个邻居监测节点；

步骤4，首先，计算步骤2中监测节点及步骤3中邻居监测节点到同一个共有普通节点之间的距离比，然后，计算步骤2中监测节点及步骤3中邻居监测节点到所有共有普通节点之间的距离比，每个距离比分别除以所有比自身小的距离比，得到一个距离比的分数比值集合，对该分数比值集合中的元素进行判断，将每个元素中分子、分母对应的共有普通节点ID号放入与步骤2中监测节点对应的不同的两个ID集合中；

步骤5，重复步骤3至步骤4，将步骤2中监测节点与其所有邻居监测节点共有的普通节点ID号分别放入步骤4中的两个ID集合中；

步骤6，重复步骤2至步骤5，遍历所有监测节点，直到每个监测节点与自身所有邻居监测节点共有的普通节点ID号均放入对应的ID集合中；

Sybil节点检测包括如下步骤：

步骤a，任选一个监测节点；

步骤b，从步骤a中监测节点对应的两个ID集合中各选取一个普通节点的ID号，计算这两个普通节点共有的监测节点的个数，记为count，并根据count的值判断这两个普通节点是否为“安全节点”，如果这两个普通节点为“安全节点”则继续从两个ID集合中选取其他的普通节点执行步骤b，否则执行步骤c；

步骤c，选取步骤a中监测节点的一个邻居监测节点，该邻居监测节点与步骤b中选出的两个普通节点互为邻居节点，计算该邻居监测节点及步骤a中监测节点到步骤b中选出的两个普通节点的距离比，根据该距离比的比值判断这两个普通节点是否为“安全节点”，如果是“安全节点”则count数值不变，否则，count数值减1；

步骤d，重复步骤c，将步骤a中选取的监测节点、两个普通节点共有的所有邻居监测节点判断完毕，得到count的当前值；

步骤e，根据count的当前值判断这两个普通节点是否为“Sybil节点”，如果是“Sybil节点”，则将两个普通节点的ID号写入Sybil节点集合，否则，Sybil节点集合保持不变；

步骤f，重复步骤b至步骤e，将步骤b中两个ID集合中所有普通节点均判断完毕，将步骤a中监测节点对应的所有“Sybil节点”写入到Sybil节点集合；

步骤g，重复步骤a至步骤f，将所有监测节点对应的“Sybil节点”写入到Sybil节点集合；

步骤4中对所述分数比值集合中的元素进行判断，将每个元素中分子、分母对应的共有普通节点ID号放入与步骤2中监测节点对应的不同的两个ID集合中，采用如下方法：

将所述分数比值集合中的元素逐一与预先设定的距离比的比值阈值u进行比较，

若距离比的比值大于u，则将该分数比值分子的距离比对应的普通节点ID号存入集合A1中，将该分数比值分母的距离比对应的普通节点ID号存入集合B1中，

若距离比的比值小于u，则将该分数比值分母的距离比对应的普通节点ID号存入集合A1中，将该分数比值分子的距离比对应的普通节点ID号存入集合B1中，

若距离比的比值等于u，则调节步骤1中监测节点的位置，重复步骤3，直到监测节点1和监测节点2的所有共有普通节点的ID号均放入集合A1、B1中；其中阈值u大于1。

2.根据权利要求1所述的基于节点协作的Sybil攻击检测方法，其特征在于：步骤b中根据count的值判断所述两个普通节点是否为“安全节点”采用如下方法：

预先设定这两个普通节点的公共监测节点数阈值λ＝2.5logN+1，其中N为步骤1中部署的普通节点的个数，若count≤λ，则这两个普通节点为“安全节点”，否则，执行步骤c。

3.根据权利要求1所述的基于节点协作的Sybil攻击检测方法，其特征在于：步骤c中根据该距离比的比值判断这两个普通节点是否为“安全节点”，采用如下方法：

判断所述距离比的比值是否属于若该距离比的比值不属于则这两个普通节点为“安全节点”，count数值保持不变，否则，这两个普通节点为“可疑节点”，count数值减1；其中ε_max为距离测量误差系数的最大值，u为预先设定的距离比的比值阈值。

4.根据权利要求1所述的基于节点协作的Sybil攻击检测方法，其特征在于：步骤e中根据count的当前值判断这两个普通节点是否为“Sybil节点”，采用如下方法：

将count的当前值与初始值比较，如果count的当前值小于初始值的一半，则这两个普通节点为“Sybil节点”，否则这两个普通节点为“安全节点”。