CN105763455A - 一种基于6LoWPAN邻居发现的节点安全注册方法 - Google Patents

Abstract

本发明涉及一种基于6LoWPAN邻居发现的节点安全注册方法。通过对RFC6775提出的ARO进行改进，利用添加的DID字段和对应的SLLAO选项地址字段的对应关系，实现了节点的安全注册。NS/NA携带相关的带DID字段的ARO和SLLAO选项进行地址注册的过程具体包括6个具体的步骤。由于仅在ARO上增加了2bit的帧选项，并没有更改其他的字段，易于与已有网络融合，具有良好的可推广性；而且通过6LN和6LR间多次NS/NA消息交互，无须在6LN上添加密码生成功能，就实现了伪节点干扰下6LN依然可以安全注册的过程。通过改进的ARO帧格式使得节点具有抗网络攻击的自恢复能力，同时克服了RFC6775标准下IPv6地址浪费的问题。在节点注册过程中，将原来每次128位的传输缩短到48位/16位，减轻网络带宽的占用，提高网络效率。

Description

一种基于6LoWPAN邻居发现的节点安全注册方法

技术领域

本发明涉及一种以协议为特征的数字信息的传输技术，具体涉及一种基于6LoWPAN邻居发现的节点安全注册方法。

背景技术

6LoWPAN(IPv6overLowpowerWirelessPersonalAreaNetwork)是一种基于IPv6的低速无线个域网标准，即IPv6overIEEE802.15.4。6LoWPAN所具有的低功率运行的潜力使它很适合应用在从手持机到仪器的设备中，而其对AES-128加密的内置支持为强健的认证和安全性打下了基础。随着IPv4地址的耗尽，IPv6是大势所趋。物联网技术的发展，将进一步推动IPv6的部署与应用。6LoWPAN技术具有无线低功耗、自组织网络的特点，是物联网感知层、无线传感器网络的重要技术，ZigBee新一代智能电网标准中SEP2.0已经采用6LoWPAN技术，随着美国智能电网的部署，6LoWPAN将成为事实标准，全面替代ZigBee标准，6LoWPAN技术得到学术界和产业界的广泛关注。

当6LN(6LoWPAN域内的普通节点或者主机节点)完成RFC6775和RFC4861规定的路由发现(即路由请求和路由广播)后，其为自己配置一个全球IPv6地址。为了节省开销，6LN希望根据16位短地址来配置其IPv6地址，如RFC4944所述。6LN随机地选择一个16位链路层地址，并且由此形成一个临时的64位IPv6地址。接着，6LN通过发送一个带有ARO(包括用以注册的临时的全球IPv6地址，注册生存期以及其EUI-64)的单播NS消息，完成与一个或者更多默认路由器的地址注册。此NS消息内也携带了SLLAO(SourceLink-LayerAddressOption),其内包括了6LN的链路层地址。如果成功地接收到NA消息(状态0)，那么该地址可以被使用。如果接受到一个重复地址NA消息(状态1)，6LN则会移除临时的IPv6地址和16位链路层地址，并且重新随机生成16位链路地址。如果接受到一个邻居缓存已满的消息(状态2)，6LN尝试与其他默认的6LR注册，或者如果没有其他默认路由器，重新进行路由发现。在生存时间到期之前，6LN通过发送一个新的NS消息地址注册来执行维护。然而在上述过程中，由于伪节点会随机发送NS消息给6LR，从而占据了有效的IPv6地址，干扰节点注册；或随机发送NA消息给6LN，使得节点误认为在6LR上已经完成注册。上述问题使得网络状态不稳定，存在一定的网络安全隐患，同时也浪费了网络带宽,因此需要进行改进。国际互联网工程任务组(TheInternetEngineeringTaskForce，简称IETF)于2015年10月发布草稿文档AddressProtectedNeighborDiscoveryforLow-powerandLossyNetworks(draft-sarikaya-6lo-ap-nd-01)，拟在解决节点注册过程中的安全性问题。该方案拟采用加密技术，利用UID代替原先的EUI-64作为接口标识，实现地址安全注册的功能。但该方案采用的加密技术形式复杂，且UID字段的改变与原先接口其他协议的兼容性也有待实践。

申请号为CN201410439115.0、名称为《一种基于邻居发现的LoWPAN节点安全接入控制方法》的发明专利公开了一种基于邻居发现的LoWPAN节点安全接入控制方法，以解决6LoPWAN网络链路的通信安全问题，该发明通过对路由器发现协议中RS和RA消息的优化，有效地实现网络中新节点加入时的安全认证，检测网络中的消息是否被篡改。通过新节点的安全接入控制，在网络范围内共同维护认证地址IP列表，能够在全网范围内防止恶意节点的攻击和伪装。该专利也关注了通信安全方面的问题，但其主要运用了哈希加密的方式，解决了路由发现过程中的安全接入问题，而作为节点注册过程的网络安全通信则并没有涉及到。

发明内容

鉴于此，本发明要解决的技术问题是提供一种能克服网络状态不稳定，排除网络安全隐患的基于6LoWPAN邻居发现的节点注册方法。

为此，本发明提出一种基于6LoWPAN邻居发现的节点安全注册方法。

本说明书中使用的相关技术术语的含义如下：

LoWPAN：6LoWPAN基本组成单元，拥有边缘路由器和一些主机节点、转发路由。

NS：NeighborSolicitation。主机节点通过发送单播NS消息进行节点地址注册。具体数据格式和用法参见RFC4861和RFC6775。

NA：NeighborAdvertisement。用于回复收到的NS消息，或者为了数据更新而主动发送。具体数据格式参见RFC4861。

6LN：6LoWPAN域内的普通节点或者主机节点。

6LR：6LoWPAN域内的路由器，其维护一个邻居缓存表(NCE)，此缓存表具有重复地址检测功能。

ARO：AddressRegistrationOption，地址注册选项，在6LoWPAN节点进行地址注册时使用，具体格式见RFC6775。本专利对此字段做了修改。

注册：一个6LN发送带有ARO的NS消息到6LR，并为该6LN创建一个带有特定超时的邻居缓存条目(NCE)的过程。

具体的技术方案为一种基于6LoWPAN邻居发现的节点安全注册方法，包括以下步骤：

步骤1：6LN根据其获得的RA帧，发送NS请求，具体为：

1)IP头部

a)源路径设置为非链路本地地址；

b)目的地址为6LR的非链路本地地址；

2)ICMPv6部分

a)类型设置为157；

b)DID设置为A；

c)EUI-64为唯一的接口标识；

d)随机生成preCA和SA，注册地址携带preCA；

步骤2：目的6LR收到NS帧后，解析NS帧，若第4个字节最后一位为0，读取EUI-64和preCA信息，并执行下列操作：

1)将EUI-64信息放入EUI-64缓存栈中；

2)将preCA信息放入preCA缓存栈中；

3)对preCA缓存栈进行检索

a)没有发现相同的preCA，则对EUI-64进行检索

i.没有发现相同的EUI-64，则返回NA帧，其DID设置为D，注册地址为空；

ii.发现相同EUI-64，则修改此EUI-64所对应的preCA，并返回DAD帧，其DID为D，注册地址为空；

b)发现相同的preCA，则对EUI-64进行检索

i.没有发现相同的EUI-64，则返回NA帧，其DID设置为C，注册地址为所有preCA相同的注册条目的SA值；

ii.发现相同的EUI-64，则返回NA帧，其DID设置为D，注册地址为对应的SA；

目的6LR收到NS帧后，解析NS帧，若第4个字节最后一位为1，则转至步骤4；

步骤3：6LN收到NA帧，并对NA帧进行解析，如下：

1)若第4个字节最后一位为0，则6LN按照16bits每组将得到的注册地址分段后，对得到的n个SA计数，

a)若n>＝，则返回步骤1，节点重新生成preCA；

b)否则，随机生成一个与这n个节点都不相同的SA，并返回NS帧，其DID为B，注册地址为SA；

2)若第4个字节最后一位为1，则解析注册地址部分

a)若注册地址为空，说明preCA注册成功，此时返回NS帧，其DID为B，注册地址为SA；

b)若注册地址非空，而是1个SA值，则将此SA值与6LN自身的SA值对比

i.若两者相同，则说明节点注册成功，无返回帧，转至步骤5；

ii.若两者不同，则返回NS帧，其DID为B，注册地址为SA；

步骤4：6LR收到NS后，解析NS，将其注册地址部分取出，放入对应EUI-64的SA栈中存储，存储完毕后，返回NA帧，其DID设置为D，注册地址为SA，返回步骤3；

步骤5：6LN注册结束，利用其RandA和前缀地址共同构成6LN的全球IP地址；

步骤6：6LN周期性地发送NS和接收NA，以保证注册信息的更新和容错。

上述DID的取值与注册地址的对应关系如下：

A：注册地址为节点的preCA，效果是进行预注册，使用类型为NS；

B：注册地址为节点的SA，效果是注册，使用类型为NS；

C：注册地址为n个SA部分，效果是有N个SA与原SA相同，使用类型为NA；

D：注册地址为空/SA信息，效果是预注册成功并返回SA确认，使用类型为NA。

所述DID的选取可以是2bits或3bits或更多。

为了通信开销最小化，DID优选为2bits，如果DID为2比特，则A，B，C，D的取值范围为00，01，10，11的任一组合。

如果DID为3bits，则A，B，C，D对应的值分别为000，001，010，011，100，101，110，111中的任意4个。

有益效果：

1、本方案仅在ARO上增加了2bit或更多bit的帧选项，并没有更改其他的字段，易于与已有网络融合，具有良好的可推广性；

2、本方案通过6LN和6LR间多次NS/NA消息交互，无须在6LN上添加密码生成功能，就实现了伪节点干扰下6LN依然可以安全注册的过程，可以作为IETF提出的草案的备选方法。

3、本方案改进了ARO帧格式，使得节点具有抗网络攻击的自恢复能力，减轻了网管人员的工作负担，同时克服了RFC6775标准下IPv6地址浪费的问题。

4、本方案在节点注册过程中，减少了注册地址的长度，将原来每次128位的传输缩短到48位/16位，从而减轻网络带宽的占用，提高网络效率。

附图说明

图1为更改前的ARO选项格式。

图2为更改后的ARO选项格式。

图3为节点安全注册过程图。

图4为节点安全注册流程图

具体实施方式

下面结合附图对本发明的具体实施做进一步详细的说明。

当6LN完成路由发现过程后，其将在对应的6LR上进行节点注册。图1为更改前的ARO选项格式，本发明更改了RFC6775中提出的地址注册选项(ARO)，将其提供的ARO选项格式中保留部分取出2bits。这里的位数不一定是2比特，也可以是3比特或更多，但是从通信开销的角度，使用2比特是最好的方式。如果是取出3比特，也可以选择其中的4种作为表2中DID和注册地址关系的对照。作为节点安全注册过程中的检验标识符位(DID,DetectedID)。更改后的ARO选项如图2所示。

其中，图2中的各字段意义如下所示：

●Type:类型，33。

●Length:长度。选项的长度以8字节为单位计算，总是为2。

●State:状态。指出NA消息响应中注册表的状态。在NS消息中必被设置为0。

●RegistrationLifetime:注册时间，时间量以60秒为单位计算，路由器应当为包括此选项的NS消息的发送者保留于邻居缓存条目中。

●EUI-64：该字段通过不可变的EUI-64标识符，唯一的标识注册地址的接口。

●DID：该字段为添加字段，用于关联具体的注册地址。

根据RFC6775标准规定，6LN在注册开始前生成16位的短地址，该地址可修改，因此在注册过程中可以避免地址被重复注册。由此16位短地址生成的IPv6地址作为临时地址，进行节点注册。本发明将此临时地址分为2部分，具体划分结果如表1所示。

表1.本专利采用的IPv6地址格式

本发明在NS/NA传输过程中，摒弃了源地址字段携带整段IPv6地址的方式，而是将DID字段与注册地址部分相对应，在后续的节点安全注册过程中，根据DID的不同变换注册地址检验的部分。表2说明了DID为2比特时DID值与注册地址部分的关系，即在ARO选择中添加DID字段的意义。但下表中的DID与注册地址部分的对应关系只是示例，可以有不同的组合，如DID值取00时，对应的注册地址也可以是n个SA部分等。

表2.DID意义及用法

DID值	使用类型	用法	意义
				00	NS	注册地址为节点的preCA	进行预注册
01	NS	注册地址为节点的SA	注册
				10	NA	注册地址为n个SA部分	有N个SA与原SA相同
11	NA	注册地址为空/SA信息	(预)注册成功并返回SA确认

本发明补充定义了6LR内邻居缓存的内容，具体内容如表3所示。表3中给出了3个已经成功注册节点的例子。

表3.邻居缓存条目(NCE)

利用本发明添加的DID字段，本发明提出了节点安全注册方法，具体过程如图3所示。

步骤1：6LN根据其获得的RA帧，发送NS请求。具体为：

3)IP头部

a)源路径设置为非链路本地地址

b)目的地址为6LR的非链路本地地址

4)ICMPv6部分

a)类型设置为157

b)DID设置为00

c)EUI-64为唯一的接口标识

d)随机生成preCA和SA，注册地址携带preCA

步骤2：目的6LR收到NS帧后，解析NS帧，若第4个字节最后一位为0，读取EUI-64和preCA信息，若最后一位为1，转至第4步

4)将EUI-64信息放入EUI-64缓存栈中

5)将preCA信息放入preCA缓存栈中

6)对preCA缓存栈进行检索

a)没有发现相同的preCA，则对EUI-64进行检索

iii.没有发现相同的EUI-64，则返回NA帧，其DID设置为11，注册地址为空

iv.发现相同EUI-64，则修改此EUI-64所对应的preCA，并返回DAD帧，其DID为11，注册地址为空

c)发现相同的preCA，则对EUI-64进行检索

i.没有发现相同的EUI-64，则返回NA帧，其DID设置为10，注册地址为所有preCA相同的注册条目的SA值

ii.发现相同的EUI-64，则返回NA帧，其DID设置为11，注册地址为对应的SA

步骤3：6LN收到NA帧，并对NA帧进行解析

3)若第4个字节最后一位为0，则6LN按照jbits每组将得到的注册地址分段后，对得到的n个SA计数

a)若n>＝，则返回步骤1，节点重新生成preCA

b)否则，随机生成一个与这n个节点都不相同的SA，并返回NS帧，其DID为01，注册地址为SA

4)若第4个字节最后一位为1，则解析注册地址部分

a)若注册地址为空，说明preCA注册成功，此时返回NS帧，其DID为01，注册地址为SA

b)若注册地址非空，而是1个SA值，则将此SA值与6LN自身的SA值对比

i.若两者相同，则说明节点注册成功，无返回帧，转至步骤5

ii.若两者不同，则返回NS帧，其DID为01，注册地址为SA

步骤4：6LR收到NS后，解析NS，将其注册地址部分取出，放入对应EUI-64的SA栈中存储。存储完毕后，返回NA帧，其DID设置为11，注册地址为SA，进入步骤3

步骤5：6LN注册结束，利用其RandA和前缀地址共同构成6LN的全球IP地址。

步骤6：6LN周期性的发送NS和接收NA，以保证注册信息的更新和容错。

该过程的流程图如图4所示。根据该流程图，伪节点进行的NS/NA帧的网络攻击都会被6LN在注册的过程中避免，从而实现节点的安全注册。

针对用本发明的基于6LoWPAN邻居发现的节点安全注册方法构建的网络，下面提供一个网络安全测试用例，以测试其效能：

1、基础网络构建

本部分以自组织LoWPAN为例(简单LoWPAN和扩展LoWPAN注册过程和攻击处理方式相同，故不再赘述)，构建了一个状态如下的LoWPAN网络。

1)当新节点X试图在一个含有K个网络节点条目的LBR上注册时，网络攻击者P试图干扰X的注册过程。

2)新节点X的EUI-64为xIID，其preCA为xp，SA为xS(若在注册过程中更改，则变为x2S，x3S等)。

3)网络攻击者节点的EUI-64为pIID，其伪造的NS帧中preCA称为pp。DID＝01时对应SA称为pS，DID＝10时对应SA称为p2Ss，DID＝11时对应SA称为p3S。

2、NS帧伪造

a)p伪造了DID为00，注册地址为pp。

a)pIID＝＝xIID，进入步骤2(b)，pIID对应的，即X对应的preCA更改为pp。因为EUI-64占据64位，pIID＝＝xIID的情况概率为1/2^64，几乎为0。

b)pIID！＝xIID，则会在6LR邻居缓存中另外开辟一条EUI-64为pIID，并不会影响节点X的注册。

b)p伪造了DID为01，注册地址为pS。

a)pIID＝＝xIID，进入步骤4，6LR返回一个DID为11，注册地址为pS的NA帧。节点X收到后，检查pS与自身SA是否相同。如果相同，则没有达到攻击效果；若不相同，返回DID＝11，注册地址为xNID的NA帧，从而纠正pNID的注册错误。

b)pIID！＝xIID，则不会影响节点X的注册。

3、NA帧伪造

a)P伪造了DID为10，注册地址为p2Ss的帧。

a)进入步骤3.1(a)，此时节点重新生成SA，重启注册过程；

b)进入步骤3.1(b)，根据此步骤的规则，产生一个新的称为x2S的NID值后，节点发送DID＝01，注册地址为x2S的NS帧给6LR。

b)p伪造了DID为11的帧。

a)注册部分为p3S，节点收到后进入步骤3。

i.若p3S！＝xS，则进入步骤3.2.b(i)中，此时发送了DID为01，注册地址为SA的NS帧。

ii.若p3S＝＝xS，则进入步骤3.2.b(ii)中，此时节点默认自己已在6LR上成功注册。因为xS的字节数为16，故出现此情况概率为1/2^16。

b)注册部分为空，节点收到后，按照上面i(A)情况的处理方式处理此情况。

根据上述情况，基本可以判断无论攻击者伪造何种数据帧都无法干扰6LN进行节点注册，而且避免了IPv6地址浪费的情况。

以上所述仅为本发明的一个具体实施例，并不用以限制本发明，本实施例中所用数据集和攻击模式仅限于本实施例，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种基于6LoWPAN邻居发现的节点安全注册方法，其特征在于包括以下步骤：

步骤1：6LN根据其获得的RA帧，发送NS请求，具体为：

1)IP头部

a)源路径设置为非链路本地地址；

b)目的地址为6LR的非链路本地地址；

2)ICMPv6部分

a)类型设置为157；

b)DID设置为A；

c)EUI-64为唯一的接口标识；

d)随机生成preCA和SA，注册地址携带preCA；

步骤2：目的6LR收到NS帧后，解析NS帧，若第4个字节最后一位为0，读取EUI-64和preCA信息，并执行下列操作：

1)将EUI-64信息放入EUI-64缓存栈中；

2)将preCA信息放入preCA缓存栈中；

3)对preCA缓存栈进行检索

a)没有发现相同的preCA，则对EUI-64进行检索

i.没有发现相同的EUI-64，则返回NA帧，其DID设置为D，注册地址为空；

ii.发现相同EUI-64，则修改此EUI-64所对应的preCA，并返回DAD帧，其DID为D，注册地址为空；

b)发现相同的preCA，则对EUI-64进行检索

i.没有发现相同的EUI-64，则返回NA帧，其DID设置为C，注册地址为所有preCA相同的注册条目的SA值；

ii.发现相同的EUI-64，则返回NA帧，其DID设置为D，注册地址为对应的SA；

目的6LR收到NS帧后，解析NS帧，若第4个字节最后一位为1，则转至步骤4；

步骤3：6LN收到NA帧，并对NA帧进行解析，如下：

1)若第4个字节最后一位为0，则6LN按照jbits每组将得到的注册地址分段后，对得到的n个SA计数，

a)若n>＝，则返回步骤1，节点重新生成preCA；

b)否则，随机生成一个与这n个节点都不相同的SA，并返回NS帧，其DID为B，注册地址为SA；

2)若第4个字节最后一位为1，则解析注册地址部分

a)若注册地址为空，说明preCA注册成功，此时返回NS帧，其DID为B，注册地址为SA；

b)若注册地址非空，而是1个SA值，则将此SA值与6LN自身的SA值对比

i.若两者相同，则说明节点注册成功，无返回帧，转至步骤5；

ii.若两者不同，则返回NS帧，其DID为B，注册地址为SA；

步骤4：6LR收到NS后，解析NS，将其注册地址部分取出，放入对应EUI-64的SA栈中存储，存储完毕后，返回NA帧，其DID设置为D，注册地址为SA，返回步骤3；

步骤5：6LN注册结束，利用其RandA和前缀地址共同构成6LN的全球IP地址；

步骤6：6LN周期性地发送NS和接收NA，以保证注册信息的更新和容错。

2.如权利要求1所述的基于6LoWPAN邻居发现的节点安全注册方法，其特征在于所述DID的取值与注册地址的对应关系如下：

A：注册地址为节点的preCA，效果是进行预注册，使用类型为NS；

B：注册地址为节点的SA，效果是注册，使用类型为NS；

C：注册地址为n个SA部分，效果是有N个SA与原SA相同，使用类型为NA；

D：注册地址为空/SA信息，效果是预注册成功并返回SA确认，使用类型为NA。

3.如权利要求1所述的基于6LoWPAN邻居发现的节点安全注册方法，其特征在于所述DID可以是2比特或3比特或者更多。

4.如权利要求3所述的基于6LoWPAN邻居发现的节点安全注册方法，其特征在于如果DID为2比特，则A，B，C，D的取值范围为00，01，10，11的任一组合。

5.如权利要求3所述的基于6LoWPAN邻居发现的节点安全注册方法，其特征在于如果DID为3bits，则A，B，C，D对应的值分别为000，001，010，011，100，101，110，111中的任意4个。