CN113286302A - 一种用于无线传感器网络蠕虫检测的基于区块链的节点身份认证方案 - Google Patents

Abstract

本发明涉及无线传感器网络安全领域，具体讲的一种无线传感器网络节点的认证方案，是一种可用于攻击检测策略后的节点管理措施。无线传感器网络是由大量低价、低性能且自我管理的节点聚合组成的一种分布式传感网络。为了抵抗恶意攻击，保证传感数据的安全，对网络节点进行认证至关重要。节点认证不仅可以保证传感信息的机密性和可用性，还可以作为攻击检测策略后的节点管理措施。为了解决无线传感器网络遭受攻击时可能无法管理节点的问题，本发明利用区块链技术提出了一种适用于无线传感器网络的节点身份认证方案。方案中，簇头节点通过区块链网络存储认证信息，并对网络中的节点进行身份认证和管理。本发明可以保证节点认证信息的安全存储，使得网络遭受攻击时也能有效管理节点，从而保证无线传感器网络安全。

Description

一种用于无线传感器网络蠕虫检测的基于区块链的节点身份 认证方案

技术领域

本发明涉及无线传感器网络安全领域，具体讲是一种基于区块链的，用于无线 传感器网络蠕虫检测的节点身份认证方法。

背景技术

随着物联网时代的到来，人们对于信息获取技术的需求日益增加，作为物联网 底层重要技术支持的无线传感器网络受到了越来越多的关注。无线传感器网络是由 部署在监测区域内大量传感器节点相互通信形成的多跳自组织网络，可以收集环境 信息，为人类做相应决策提供帮助。无线传感器网络摆脱了电缆的限制，实现了网 络的无线通信，被广泛应用于环境监测、军事监控、建筑物安全监视、医疗保健等 领域。

无线传感器网络的传感设备部署往往具有暴露性，这使得攻击者可以通过物理方式捕获网络中的节点，读取传感器电路板上存储的数据，甚至控制节点进行网络 传输。例如，攻击者通过向捕获节点注入自我传播的恶意代码(蠕虫病毒)，感染 网络中的良性节点，最终获取整个网络的控制权。

为了抵抗蠕虫病毒攻击，一个攻击检测方案通常需要两个模块的互相协作：首先，收集网络中的信息，分析信息以检测网络中发生的主动攻击；其次，在检测到 攻击之后产生告警与响应。理想的响应方式是直接将恶意节点从网路中剔除，这种 节点管理能力可由节点认证保证。节点认证仅让合法节点参与网络，其本质原理在 于节点向网络中心的身份数据库进行登记，从而获得参与网络的许可证，只要能灵 活修改这份身份登记表，就能管控网络节点。

如何在网络已经遭受攻击的情况下保证该身份登记表的安全，是保证无线传感器网络安全的关键问题。区块链的出现为此提供了一个值得尝试的解决方案。区块 链结合密码学和工作证明概念，将交易数据以公开透明、不可篡改的方式进行分布 式存储，由所有参与节点共同维护，是一种实现信息安全数据存储和分布式计算的 新兴技术。凭借自身不可篡改、去中心化、透明化和系统自治性等特点，能有效解 决WSNs网络中恶意节点带来的隐私管理、设备安全以及网间协作等问题，使得WSNs 中不同参与节点之间能够相互信任，大大降低了WSNs网络中各节点重塑或维持信任 的成本。

发明内容

本发明的目的是克服现有技术的不足而提供一种基于区块链技术的、能用于WSN蠕虫检测的节点认证方案。

本发明聚焦于WSN的节点认证，引入基于DAG结构的区块链，利用可传递签名技 术设计新的认证数据结构：信任关系图，提出一种基于区块链的WSN节点认证模型， 模型通过将无线传感网络划分为数个独立的网络域，每个网络域中的簇头节点对其 余节点进行本地认证，而认证所需要的身份信息则存储在由所有簇头节点构建的区 块链中。

其中，基于区块链的WSN节点认证模型构成要素包括基站、簇头节点、传感器节点、无线传感网络和区块链网络5个实体，每个实体所承担的角色和功能描述如下：

基站(Base Station)：主要为网络提供无线覆盖，收集全网的传感数据，并 且实现无线传感器网络与外部网络的连接通信。

簇头节点(Sink Node)：相较普通传感器拥有更强的计算和存储能力，负责收 集和汇总本地网络域内传感器节点上传的传感数据，进而发送给基站。同时，簇头 节点利用区块链网络存储和更新认证信息，并对本地传感器节点进行认证。

传感器节点(Sensor Node)：无线传感器网络的基本功能单元，具有价格低、 功耗小、处理器能力比较弱等特点。节点把自身采集到的信息和其它节点转发给它 的信息处理成特定的格式后，以相邻节点接力传输的方式发到簇头节点。

无线传感网络(Wireless Sensor Network)：WSNs以一个簇头节点组织数个临 近普通节点的方式，自组成数个网络域，每个网络域内的传感器节点将会实时地采 集周围环境的物理信息，通过多跳转发的方式将信息发送给所在网络域的簇头节点， 簇头节点则汇聚融合本地传感信息后将其发送给基站。

区块链网络(Blockchain Network)：区块链网络使用Tangle结构存储节点身 份认证信息，簇头节点将普通节点申请注册的身份信息及其对周边关系的签名打包 成块，通过网络共识之后将区块发布到区块链上进行存储；簇头节点进行本地节点 认证的过程中，也将周期性的从区块链上下载本地所需的局部认证信息，生成最终 认证所需的认证信息。

其中，簇头节点与区块链的交互过程主要分为注册阶段及认证阶段两个阶段， 描述如下：

在注册阶段，簇头节点将合法节点的身份信息提交到区块链网络：首先，普通 节点A向簇头节点发送注册申请(step 1)；簇头节点验证注册申请，通过设备固有 信息验证其身份合法性，验证通过后为其分配密钥(step 2)；节点A对自己及周边 邻居节点的关系进行可传递签名(step 3)；簇头节点根据可引用区块列表Tips完 成此前发布区块的验证工作(step 4)；簇头节点将A节点的认证信息打包成块，引 用List列表中所含区块并发布(step 5)。

在认证阶段，簇头节点根据区块链周期性地生成本地信任关系图：首先，簇头 节点下载区块链上有关本地网络域的信息(step 6)；簇头节点将下载信息计算整 理成信任关系图TR-Graph，在认证过程中对其直接调用(step 7)；普通节点B对簇 头节点发出认证请求(step 8)；簇头节点根据TR-Graph回应节点认证请求(step 9)。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是系统模型图；

图2是方案概述图；

图3是感染节点数量变化图

图4是检测率变化图。

具体实施方式

本发明实施方式主要是由传感节点产生身份信息及关系签名并上传给簇头节点，然后簇头节点验证交易、打包区块、发布交易，并根据区块链数据更新本地的信任 关系图。具体包含以下七个步骤。

(1)生成身份信息：WSNs中的每个传感器节点都通过其设备固有编号SID向簇头节点注册，从而成为合法节点，WSNs中的合法节点描述为N＝{1,…,n,…N}。然后， 每个合法节点都将获得它自己的密钥对及私有标签{PK_n,SK_n,λ_i}，其中公钥PK_n是向 全网公开的，而密钥SK_n和私有标签λ_n则由节点自己秘密存储。接下来，计算

作为节点n的公共标签，其中Sig(.)是标准数字签名算法，SK_SN是簇头节点的私钥；计算

作为节点n的标准签名；生成节点n的证 书Σ_n＝(λ_n，w_n，σ_n)，作为该节点的身份信息。

(2)签署关系签名：拥有密钥对的合法节点可进行签名工作。若节点m在节点n 的邻居路由表中，且通过节点n的跳转完成了身份注册，那么节点n可对两节点的关 系进行可传递签名：

Sign_(n，m)＝TSig(SK_n，∑_n，∑_m)

并将签名上传至簇头节点，其中TSig(.)是可传递签名算法。基于可传递签名技术的特性，簇头节点可以对该签名进行验证：

{0，1}←TVer(pk_n，Sign_(i，j))

其中TVer(.)是可传递签名验证算法，算法将验证签名是否合法，并根据验证结果返回1或0；簇头节点也可以对具有传递性关系的两个签名进行合成：

Sign_(n，k)＝Comp(Sign_(n，m)，Sign_(m，k))

其中Comp(.)是可传递签名合成算法，该算法将两个具有传递关系的签名合成，返回一个合成签名。

(3)验证交易：簇头节点首先访问Tips列表(维护了网络中未确认的区块)， 随机选择区块进行验证。区块内容包括节点身份信息以及节点关系签名，对于节点 证书Σ_n，利用节点n所归属的簇头节点公钥

验证节点的公开标签w_n，确定节点 是否已注册为合法节点；对于关系签名Sign，利用传递签名验证算法TVer判断其是 否合法。当一个区块验证通过，簇头节点将它放入可引入列表List中，当列表添加 到2个元素时结束验证工作。

(4)打包区块：簇头节点新发布的区块需要引用此前两个通过验证的区块，区 块内容包含时间戳timeStamp、区块的ID、当前区块的hash、此前区块的hash、数据 内容data，区块结构为：

Block＝[timeStamp||blockId||hashPre||hashCur||data]

其中，数据内容data包括节点身份信息Σ_n、关系签名Sign_(n，m)还有状态标记flag，数据结构为：

Data＝[∑_n||Sign_(n，m)||flag]

其中状态标记flag用以撤除节点认证信息。

(5)发布交易：簇头节点根据可信列表List，完成新区块对此前区块的引用， 用自己的私钥加密区块并计算当前区块的hash值，最后将新区块广播到区块链网络。 新发布的区块只需要通过其余网络参与者对区块格式与来源的认可，便能添加到 Tangle的末尾，并更新网络中的Tips列表。经过几轮的区块链更新，一个区块的后 继引用将会证明该区块的可信度。

(6)生成本地TR-Graph：由于簇头节点只对本地网络域内的节点进行认证，所 以簇头节点生成的TR-Graph只需要包含本地认证所需的信息即可。簇头节点遍历区 块链所存身份信息，根据节点的公共标签w_n判断该节点是否归属于自己，并只下载 归属于自己的节点身份信息Σ_n，最后在挑选由本地节点签署的关系签名Sign_(n,m)进行 下载。对于下载的认证信息，簇头节点将其计算处理为TR-Graph，以进行本地节点 身份认证。为了解决重复关系签名带来的冗余性，簇头节点需要遍历所下载的关系 签名，忽略重复签名并合成具有传递关系的签名。这意味着TR-Graph是一份传递简 约。

(7)更新TR-Graph：簇头节点根据区块链数据在本地生成TR-Graph，使得BCNAS 可以修改节点身份信息，拥有了管理节点的能力。具体来说，BCNAS在区块格式中新 增了状态标记flag，表示该区块是登记认证信息还是删除认证信息。正常的身份登 记过程中flag为0，当需要删除某个节点的认证信息时，簇头节点会发布一个包含该 节点信息且flag为1的区块。当剔除节点的原因被事先写入机制，其他簇头节点就同 样能验证和保证该区块上链。该区块上链后，簇头节点会在新一轮TR-Graph的更新 中读取到该区块，并根据flag忽略对应节点此前的认证信息，在新一轮的TR-Graph 传递简约中不生成该节点及其周边关系。

簇头节点与区块链的交互可以用以下伪代码表示：

簇头节点承包了BCNAS的大部分工作，一方面它充当注册机构，审核节点的注 册请求，给合法节点分配密钥，将节点的身份认证信息提交到区块链上；另一方面 它也充当认证机构，从区块链周期性地下载认证信息，更新本地信任关系图，以此 对本地节点进行认证。

实施例1：

为了分析模型的相关特点，仿真比对两个遭受蠕虫攻击的WSNs，其中一个仅运 行传统蠕虫检测方案，另一个则加持BCNAS管理被检出的恶意蠕虫节点。具体来说， 簇头节点监控本地网络域的通信模式，当检测产生融合通信模式时，簇头节点运行 SPRT算法以判断蠕虫传播的可能性。设置用户误报阈值和漏报阈值均为0.01，下界 阈值γ₀和上界阈值γ₁分别为0.1和0.9，监控节点的选举概率p_d＝0.1，分组包随机广 播的概率p_f＝0.02。仿真实验在Matlab环境下进行，以90个时隙为一个周期进行仿 真，在300m×300m的方形区域中放置300个传感器节点，每个传感器节点的通信半 径为50m。

感染率分析

本文采用流行病传播模型来模拟传感器网络中的蠕虫传播，如图3所示，设定感染率为固定概率ρ，考虑在不同的总节点数下，感染节点数随时隙增加的变化，随着 时隙的增加，感染节点数递增，而总节点数量越少的网络被完全感染的速率越慢。由 于BCNAS的域间通信使用区块链技术完成，蠕虫病毒不会在各网络域中横向传播，所 以蠕虫可感染总节点数实际上就是网络总节点数除去网络域的数量，显然进行簇划分 的BCNAS对抗蠕虫感染更具优势。

检测率分析

如图4所示，随着域内节点的增多，检测率将花费更多的时隙来达到可接受的程度，表明蠕虫检测率与网络域内节点数有关。由于BCNAS划分了多个分布式网络域， 单个监控节点所面临的检测节点数只是当前网络域内的节点数量，所以加载BCNAS的 检测方案能在更短的时间内检测到蠕虫病毒的传播。

综上所述，可认为模型是安全的。

本发明针对无线传感器网络安全进行研究，将区块链技术应用于WSN节点身份认证中，提出BCNAS方案。该方案将无线传感器网络划分为多个独立的网络域，每个域 内的簇头节点对域内普通节点进行身份认证，而所有的认证信息都通过区块链网络 进行全网的共同更新存储。基于BCNAS的节点管理能力，本文还通过实施实例比对证 明了BCNAS的安全性及应用潜力。

Claims (2)

1.一种用于无线传感器网络的节点身份认证数据结构，其特征在于：除传统身份信息外还包含了由可传递签名表示的节点关系，称之为信任关系图G＝(V,E)，该图为无向图，其中V是一组有限点，E∈V×V，是一组有限的边，图中的点v对应了WSNs中的可信实体传感器节点，包括节点的设备唯一标识ID和节点证书等，而边(u,v)对应了两个节点间的可信关系，实际上是由节点签署的可传递签名。

2.根据权利要求1所述的一种基于无线传感器网络的节点身份认证方法，其特征在于：网络中的簇头节点通过DAG结构的区块链网络存储认证信息，并对网络中的节点进行身份认证和管理，主要包括如下步骤：

(1)WSNs中的每个传感器节点都通过其设备固有编号SID向簇头节点注册，从而成为合法节点，然后，每个合法节点都将获得它自己的密钥对及私有标签，接下来，计算节点n的公共标签、标准签名、和证书，作为该节点的身份信息；

(2)拥有密钥对的合法节点可进行签名工作，然后提交该签名至簇头节点，簇头节点可以对签名进行验证与合成工作；

(3)簇头节点验证区块链上此前所存的身份和签名信息，网络达成对所存信息的共识；

(4)簇头节点将传感节点提交的身份注册信息打包成区块，并广播到区块链网络中，实现对区块内容的存储；

(5)簇头节点从区块链中挑选本地认证所需要的信息，下载之后更新本地的信任关系图，用于认证本地节点。

Images