CN1953374A - 移动自组织网络中用于分布式身份认证的安全引导模型 - Google Patents

Abstract

本发明公开了一种移动自组织网络中用于分布式身份认证的安全引导模型包括两个过程：将基于门限数字签名的安全模型(包括公共变量和计算算法机制)引导给所有节点；利用已经建立好的安全模型来进行分布式身份认证。其优点是：提出并实现的模型可以使源路由在路由请求阶段不会被篡改，可以防止合法的参与者进行假“局部签名”以阻止签名验证；由于设计了路由请求信息的标识号，这样就能够保证安全通信中的“新鲜性”，一旦有数据包被窃听，也不可能再被重放，因此可以有效抵御虫洞攻击或其它重放攻击；另外由于采用了逐跳身份认证，因此可以有效防御恶意节点的拒绝服务(DoS)攻击。

Description

移动自组织网络中用于分布式身份认证的安全引导模型

                        技术领域

本发明涉及移动自组织网络的安全技术领域，特别涉及一种移动自组织网络中用于分布式身份认证的安全引导模型，该模型将门限数字签名的方法导入进整个网络，在系统正式部署前就建立了身份认证的安全基础，以此在系统运行后能够简单、高效地实现对任意节点的分布式身份认证。

                        背景技术

移动自组织网络(英文：Mobile Ad hoc Network，英文简称：MANET)通常是由一组没有固定网络连接支持的无线移动节点组成的多跳临时性自治网络。这些节点必须通过相互之间转发数据包来协同实现与超出无线距离的节点的通信。比起传统的有固定网络连接的网络而言，由于开放的介质、不断变更的网络拓扑、协同算法、缺乏集中监控和管理点等缺点，使得MANET网络更容易受到外界的攻击。移动自组织网络的安全包括安全体系的建立(安全引导)和安全体系变更(安全维护)两个部分，安全引导过程是将一个Ad hoc网络从一堆彼此分立的节点，或者说一个裸露的网络通过共有的知识和协议过程，逐渐形成一个具有坚实安全外壳保护的网络。近年来许多学者和科研机构展开了对此领域的研究，分别提出了很多方法。在移动自组织网络中SPIN(Security Protocols for Sensor Network)安全体系是较早针对传感器网络比较实用的一个网络安全方案，但该安全体系在安全引导方面仅考虑了最简单的主密钥共享方式，其安全实现还完全依赖于固定的基站，严重限制了其灵活性，仅用于规模不大的网络中。Eschenauer和Gligor首先提出了基本的随机密钥预分布模型，他们提出了生成一个密钥池，任何节点存放密钥池的一部分密钥，只要节点之间拥有一对相同的密钥，就可以建立安全通道，因此这种方法不能保证通信连通的网络一定是安全连通的，而且当一定数量的节点被捕获会造成系统中绝大部分密钥泄漏，导致系统秘密彻底暴露。Chan和Perrig等人提出了q-composite模型，该模型将公共密钥的个数要求提高到q，以调节此参数提高系统的抵抗力，但为了网络中任意两个节点之间的连通概率超过概率q，从而达到预先设定的概率值，就必须缩小密钥池的大小并增加节点之间共享密钥的交叠程度，这样会使得敌方通过俘获少数几个节点就可以获得较大的密钥空间。Wenliang Du等人利用了Blom的密钥预分布模型，给出了一个新型的多密钥空间的密钥对预分布模型，不过该模型的计算开销比较大，而且网络部署的情况将直接影响网络的安全连通性，很难有实用的可能。D.G.Liu和P.Ning等人提出了用于静态传感器网络的基于物理位置的密钥对安全引导模型，它在随机密钥对模型的基础上引入了地理位置信息，并采用C.Blundo提出的二元t次多项式的密钥对生成模型，根据位置信息把网络划分成等大小的单元(Cell)，每个单元区域共享一个多项式，但这种模型本质上讨论的是节点不移动的静态网络，因此该方法并不实用于移动自组织网络。目前安全引导模型的研究都主要集中在密钥预共享技术领域，在国内外的文献期刊中还没有查到在移动自组织网络中用于分布式身份认证的安全引导模型。

                       发明内容

本发明提供了一种在移动自组织网络中用于分布式身份认证的安全引导模型，该模型在移动自组织网络正式部署之前建立了用于身份认证的安全基础，从而使系统运行后的协商工作只需要很简单的协议过程便可以实现。

为达到上述目的，本发明采用的技术方案是：

在移动自组织网络环境中，初始安全引导模型的建立对于整个网络的安全是及其重要的，它可以将一堆分离的Ad hoc节点或一个完全裸露的网络通过共有的知识或协议过程，逐渐形成具有坚实安全外壳的网络。本发明提出了一种用于分布式身份认证的基于门限数字签名的安全引导模型。该模型分成两个过程：(1)将基于门限数字签名的安全模型(包括公共变量和计算算法机制)引导给所有节点；(2)利用已经建立好的安全模型来进行分布式身份认证。在第(1)部分过程中，首先建立用于门限数字签名的密钥，包括每个节点的公钥和私钥。由安全引导服务器在有限域GF(P′)上秘密选择一个t-1次多项式H_M(x)且满足H_M(0)□M，如

其中a_i(i□1，...，t□1)为任意整数，分布于[1，p□1]，p为大于所有系数的随机素数。在MANET网络中第i个节点通过单向HASH函数计算得到其私钥为 然后再计算第i个节点的公钥：Z_i□g^simod p′安全引导服务器将S_i导入给第i个节点，并公开z_i(i□1，...，n)、

p、p′、q(p′的素因子)、h、g和

(有限域GF(p′)上的本原元素)信息给所有n个节点。密钥生成与导入过程结束后，第i个节点上拥有的密钥信息组合为U_i□{S_i，Z}，其中Z□{Z₁，．．．，Z_n}。当完成了密钥生成与导入步骤后，移动自组织网络中的n个节点都拥有了各自的签名私钥与签名公钥等公共参数信息。再导入门限数字签名机制，该机制包括四部份签名与验证功能模块：局部签名模块、局部签名验证模块、签名生成模块、签名验证模块。在局部签名模块中，当有路由或加密数据包消息m经过第i个节点P_i(1□i□k)时，计算其局部签名的方法为：通过计算和v_i□(m□H(m)x_i)/2modq可以得到w_i□g^vimodp′，然后中途节点P_i(1□i□k)再将w_i和消息m传递给下一个路由节点P_i□1(1□i□1□k)进行局部签名。在局部签名验证模块中，当节点P_i□1。(1□i□1□k)接收到m和w_i后，将对其进行局部签名验证，方法为通过计算

来验证同余式z_i ^hiw_i ²□g^m(mod p′)。如果同余式不成立则P_i(1□i□k)为局部伪造者。如果 (没有达到门限数字签名的阈值)，且w_i为正确签名，则P_i□1(1□i□k)将P_i(1□i□k)发送来的m和w_i存储在通信数据包中，并修改通信数据包中的路由表等信息，构成新的消息m，再采用局部签名模块计算w_i□1。如果i□1□k(达到门限数字签名的阈值)，则直接进行签名生成模块，否则再重复局部签名模块和局部签名验证模块的步骤。当进行局部签名计算的节点数量达到k时，可以由路由路径上的节点计算其签名方法，方法为

。而当路由请求结束，进行局部签名计算的节点数量还是没有达到k时，则向路由路径外的节点进行局部签名计算请求，当节点数量达到k时，再由其中之一进行签名计算。在签名验证阶段中，如果有k个节点参与了局部签名计算，并由其中之一计算得到了签名值w，则再由k个节点之外的任意一个节点根据m和w来验证w是否为m的合法签名，验证同余式y^H(m)w²□g^km(mod p′)，如果同余式成立则w为m的合法签名，由此证明所有参与计算的节点的身份都是合法的。第(2)部分过程中，当安全模型引导成功后，可以通过逐跳身份认证的路由协议，实现对虫洞、路由拥塞等网络异常行为进行识别和阻止。从源节点S发送路由请求给目的节点D，中途经过邻节点P₁。当从源节点S发送到邻节点P₁时，此时逐跳身份认证机制中的消息为m₁□{S，D，ID，N₁，SR(S)}，其中S为源节点ID，D为目的节点ID，N₁为此次请求过程的标识号，SR(S)为路由表。从源节点S到邻节点P₁，再到目的节点D，然后再从邻节点P₁返回到源节点S这个阶段中的N_i+1的计算方法为N_i+1＝E_Si(N_i)，利用当前节点的私钥S_i作为密钥通过当前N_i计算下一个阶段的N_i+1。每个阶段最后的值W_i为当前路由信息m_i的局部签名。当源节点S的路由包发送给P₁后，P₁根据其中的m₁和W_s进行身份验证，如果相同则进入下一个阶段，并利用自己的私钥和N₁计算N₂，并修改路由表为SR(S，P₁)；如果不相同则将此路由包丢掉，并对源节点S的身份进行告警。当目的节点D接收到节点P₁的路由包时，不修改由邻节点P₁到目的节点D这个阶段的标识号N₂，仅修改路由表为SR(S，P₁，D)，并根据m₃计算局部签名W₃，并把相应的从目的节点D到邻节点P₁阶段的路由包发送给节点P₁，节点P₁用其私钥对标识号N₂进行解密得到N₁，重新构成m₄，并计算其局部签名，并返回给源节点S，源节点S对节点P₁的身份进行认证。为了对上述方法进行性能评估，本发明还提出了评价指标，其中包括抗俘获能力和网络支持规模。抗俘获能力计算方法为

其中T_d为恢复密钥的时间，T_w为撤除被俘节点的时间，t为门限值。支持的网络节点规模计算方法为

其中Z_i(i□1，...，n)为第i个节点的公钥，C为每个节点用于存放公共信息的内存容量，_←为其他公开参数的长度之和，Sizeof(Z_i)为公钥Z_i的长度。

本发明移动自组织网络中用于分布式身份认证的安全引导模型的优点是：提出并实现的模型可以使源路由在路由请求阶段不会被篡改，一旦有篡改，便会发现；由于在系统部署前期引导进了安全模型，因此在系统运行后期的身份认证中不用再交换会话密钥，这样可以有效降低网络通信的负荷；可以防止合法的参与者进行假“局部签名”以阻止签名验证；由于设计了路由请求信息的标识号，这样就能够保证安全通信中的“新鲜性”，一旦有数据包被窃听，也不可能再被重放，因此可以有效抵御虫洞攻击或其它重放攻击；另外由于采用了逐跳身份认证，因此可以有效防御恶意节点的拒绝服务(DoS)攻击。

具体实施方式

1．门限数字签名密钥建立与签名机制的导入

在详细介绍本发明提出的安全引导模型之前，将相关的参数提前说明如下：

p，p′：10²⁰⁰量级且满足p□1(mod8)和p′□1(mod8)的大素数；

q：为p′□1的一个大素数因子；

h：

g：g□h^(p′□1)/qmod p′，其中

y：y□g^mmod p，其中m是秘密密钥，y是公开密钥：

有限域GF(p′)的本原元素；

H(m)：有限域GF(p′)上的一个单向哈希函数；

其中参数y、p′、q、h、g、和

是公开的。

1.1门限数字签名密钥的建立过程

由安全引导服务器在有限域GF(p′)上秘密选择一个t-1次多项式H_M(x)且满足H_M(0)□M，如下：

其中a_i(i□1，...，t□1)为任意整数，分布于[1，p□1]，p为大于所有系数的随机素数。

在MANET网络中第i个节点通过单向HASH函数计算得到其私钥：

然后再计算第i个节点的公钥：

Z_i□g^simod p′；

安全引导服务器将S_i导入给第i个节点，并公开Z_i(i□1，...，n)、p、p′、q、h、g和 信息给所有n个节点。

密钥生成与导入过程结束后，第i个节点上拥有的密钥信息组合为U_i□{S_i，Z}，其中Z□{Z₁，...，Z_n}。

1.2门限数字签名协议与导入

当完成了密钥生成与导入步骤后，移动自组织网络中的n个节点都拥有了各自的签名私钥与签名公钥等公共参数信息。但还需要导入门限数字签名机制，该机制包括四部份签名与验证功能模块：局部签名模块、局部签名验证模块、签名生成模块、签名验证模块。

(1)局部签名模块

当有路由或加密数据包消息m经过第i个节点P_i(1□i□k)时，计算其局部签名的方法如下：

V_i□(m□H(m)x_i)/2modq

w_i□g^vimodp′

然后节点P_i(1□i□k)再将w_i和消息m传递给下一个路由节点

P_i□1(1□i□1□k)。

(2)局部签名验证模块

当节点P_i□1，(1□i□1□k)接收到m和w_i后，将对其进行局部签名验证，方法如下：

z_i ^hiw_i ²□g^m(mod，p′)

其中

如果同余式不成立则P_i(1□i□k)为局部伪造者。如果

(没有达到门限数字签名的阈值)，且w_i为正确签名，则p_i□1(1□i□1□k)将P_i(1□i□k)发送来的m和w_i，存储在通信数据包中，并修改通信数据包中的路由表等信息，构成新的消息m，再采用第(1)部分的局部签名模块计算w_i□1。如果i□1□k(达到门限数字签名的阈值)，则直接进行(3)生成签名模块，否则再重复(1)和(2)的步骤。

(3)签名生成模块

当进行局部签名计算的节点数量达到k时，可以由路由路径上的节点计算其签名方法，方法如下：

而当路由请求结束，进行局部签名计算的节点数量还是没有达到k时，则向路由路径外的节点进行局部签名计算请求，当节点数量达到k时，再由其中之一进行签名计算。

(4)签名验证阶段

如果有k个节点参与了局部签名计算，并由其中之一计算得到了签名值w，则再由k个节点之外的任意一个节点根据m和w来验证w是否为m的合法签名，方法如下：

y^H(m)w²□g^km(mod p′)

如果同余式成立则w为m的合法签名，由此证明所有参与计算的节点的身份都是合法的。

1.3密钥撤销方法

当节点i的私钥S_i被暴露后，第一个发现者通过发送公共密钥撤销广播给所有节点，删除掉其对应的公钥Z_i(i□1，..，n)，从而当有复制攻击时，复制节点欲和其他正常节点通信时，其对应的公钥已经被删除，不能通过其他正常节点的身份认证，从而可以达到有效抵御复制攻击的目的。

1.4逐跳身份认证的路由机制

当安全模型引导成功后，可以通过以下的路由协议，实现对虫洞、路由拥塞进行识别和阻止。如图1所示，从源节点S发送路由请求给目的节点D，中途经过邻节点P₁。当在图1所示的状态1时，从图2中的1阶段逐跳身份认证机制中的m₁□{S，D，ID，N₁，SR(S)}，其中S为源节点ID，D为目的节点ID，N₁为第1节点发出请求的标识号，SR(S)为路由表。从第1阶段到第4阶段中的N_i+1的计算方法为N_i+1＝E_Si(N_i)，利用当前节点的私钥S_i作为密钥通过当前N_i计算下一个阶段的N_i+1。每个阶段最后的值W_i为当前路由信息m_i的局部签名。当源节点S的路由包发送给P₁后，P₁根据其中的m₁和W_s进行身份验证，如果相同则进入下一个阶段，并利用自己的私钥和N₁计算N₂，并修改路由表为SR(S，P₁)；如果不相同则将此路由包丢掉，并对源节点S的身份进行告警。当目的节点D接收到节点P₁的路由包时，不修改第2阶段的标识号N₂，仅修改路由表为SR(S，P₁，D)，并根据m₃计算局部签名W₃，并把相应的第3阶段的路由包发送给节点P₁，节点P₁用其私钥对标识号N₂进行解密得到N₁，重新构成m₄，并计算其局部签名，并返回给源节点S，源节点S对节点P₁的身份进行认证。采用这种逐跳身份认证的路由机制可以实现以下的几个安全目标：

(1)源路由在路由请求阶段不会被篡改，一旦有篡改，便会发现；

(2)由于系统运行前期引导进了安全模型，因此系统运行时不用再交换会话密钥；

(3)可以防止合法的参与者进行假“局部签名”以阻止签名验证；

(4)能够保证安全通信中的“新鲜性”，一旦有数据包被窃听，也不可能再被重放，因此可以有效抵御虫洞攻击；

(5)由于采用了逐跳身份认证，因此可以有效防御恶意节点的拒绝服务(DoS)攻击。

1.5性能分析指标

(1)抗俘获的能力

当第i个节点被俘获时，网络中其他节点可以通过将其对应的公钥Z_i删除掉来恢复网络的点对点(端对端)安全认证，而只有当被俘获节点的数量超过n-t个时，也即是剩下的节点不足t个，只能进行部分签名的身份验证，而不能进行门限t的整体签名认证。

(2)支持的网络规模

本发明提出的方法中，由于MANET网络的规模和单个节点用于存放公共信息的内存大小相关，因此公开的信息Z_i、p′、q、h、g和

直接影响着节点内存的使用量。我们假定每个节点用于存放公共信息的内存容量为C，则支持的网络规模计算为：

其中←为其他公开参数的长度之和，Sizeof(Z_i)为公钥Z_i的长度。

(3)抗撤除攻击的能力

由于任何一个节点被俘获都可能暴露与它直接相连的节点的安全认证信息，由此可能会造成另外一些节点因为这个被俘节点的弹劾而被排除在网络之外。本模型提出的方法当有小于t个节点被俘获式，并不会影响到其他任何的节点的安全认证，但当被俘获的节点数量大于n-t时，网络中仅剩余的小于t个节点只能进行部分签名认证，不能进行严格的门限(t，n)数字签名认证。

(4)抗复制攻击的能力

由于采取了发送公共密钥撤销广播给所有节点，删除掉其对应的公钥Z_i(i□1，..，n)，因此当地方使用复制攻击时，其对应的原来的公钥已经被删除，因此当复制节点要求进行签名认证时，其他节点能很快发现异常，从而达到有效抵御复制攻击的目的。

Claims (5)

1.一种移动自组织网络中用于分布式身份认证的安全引导模型，其特征在于：包括：由安全引导服务器在有限域GF(p′)上秘密选择一个t-1次多项式H_M(x)且满足H_M(O)□M，通过单向HASH函数计算得到第i个节点的私钥和公钥，并由安全引导服务器将S_i导入给第i个节点，并公开Z_i(i□1，...，n)、p、p′、q、h、g和

信息给所有n个节点；

通过导入门限数字签名的方法建立用于分布式身份认证的安全基础，并利用其进行节点身份认证，从而对虫洞、路由拥塞等网络异常行为进行识别和阻止；

通过公共密钥撤销方法对抗被节点俘获情况：发送公共密钥撤销广播给所有节点，删除掉其对应的公钥，从而当有复制攻击时，复制节点欲和其他正常节点通信时，其对应的公钥已经被删除，不能通过其他正常节点的身份认证，从而可以达到有效抵御复制攻击的目的。

通过抗俘获能力和支持的网络规模指标对移动自组织网络的安全引导模型的性能进行评价。

2.根据权利要求1所述移动自组织网络中用于分布式身份认证的安全引导模型，其特征在于：由安全引导服务器在有限域GF(p′)上秘密选择一个t-1次多项式H_M(x)且满足H_M(O)□M，如下：

其中a_i(i□1，...，t□1)为任意整数，分布于[1，p□1]，p为大于所有系数的随机素数。

在MANET网络中第i个节点通过单向HASH函数计算得到其私钥：

然后再计算第i个节点的公钥：

Z_i□g^Simodp′；

安全引导服务器将S_i导入给第i个节点，并公开Z_i(i□1，...，n)、p、p′、q、h、g和 信息给所有n个节点。

密钥生成与导入过程结束后，第i个节点上拥有的密钥信息组合为U_i□{S_i，Z}，其中Z□{Z₁，...，Z_n}。

3.根据权利要求1所述移动自组织网络中用于分布式身份认证的安全引导模型，其特征在于：通过使用通过导入门限数字签名的方法建立用于分布式身份认证的安全基础，并利用其进行节点身份认证，从而对虫洞、路由拥塞等网络异常行为进行识别和阻止，主要包括以下几个模块：局部签名模块、局部签名验证模块、签名生成模块、签名验证模块，具体如下：

(1)局部签名模块

当有路由或加密数据包消息m经过第i个节点P_i(1□i□k)时，计算其局部签名的方法如下：

v_i□(m□H(m)x_i)/2modq

w_i□g^vimodp′

然后节点P_i(1□i□k)再将w_i和消息m传递给下一个路由节点P_i□1(1□i□1□k)。

(2)局部签名验证模块

当节点P_i□1(1□i□1□k)接收到m和w_i后，将对其进行局部签名验证，方法如下：

Z_i ^hiw_i ²□g^m(modp′)

其中

如果同余式不成立则P_i(1□i□k)为局部伪造者。如果

，说明参与签名的节点数量没有达到门限数字签名的阈值，且w_i为正确签名，则P_i□1(1□i□1□k)将P_i(1□i□k)发送来的m和w_i存储在通信数据包中，并修改通信数据包中的路由表等信息，构成新的消息m，再采用第(1)部分的局部签名模块计算w_i□1。如果i□1□k说明参与签名的节点数量达到了门限数字签名的阈值，则直接进行(3)生成签名模块，否则再重复(1)和(2)的步骤。

(3)签名生成模块

当进行局部签名计算的节点数量达到k时，可以由路由路径上的节点计算其签名方法，方法如下：

而当路由请求结束，进行局部签名计算的节点数量还是没有达到k时，则向路由路径外的节点进行局部签名计算请求，当节点数量达到k时，再由其中之一进行签名计算。

(4)签名验证阶段

如果有k个节点参与了局部签名计算，并由其中之一计算得到了签名值w，则再由k个节点之外的任意一个节点根据m和w来验证w是否为m的合法签名，方法如下：

y^H(m)w²□g^km(modp′)

如果同余式成立则w为m的合法签名，由此证明所有参与计算的节点的身份都是合法的。

4.根据权利要求1所述移动自组织网络中用于分布式身份认证的安全引导模型，其特征在于：密钥撤销方法具体如下：

当节点i的私钥S_i被暴露后，第一个发现者通过发送公共密钥撤销广播给所有节点，删除掉其对应的公钥Z_i(i□1，..，n)，从而当有复制攻击时，复制节点欲和其他正常节点通信时，其对应的公钥已经被删除，不能通过其他正常节点的身份认证，从而可以达到有效抵御复制攻击的目的。

5.根据权利要求1所述移动自组织网络中用于分布式身份认证的安全引导模型，其特征在于：通过系统评估指标对移动自组织网络的安全引导模型的性能进行评估，发明了抗俘获能力指标计算方法、支持的规模指标计算方法，其中抗俘获能力指标计算方法如下：

抗俘获能力A和门限t、单个节点恢复密钥的时间T_d以及撤除被俘节点的时间T_w有关，因此采用下式来评估抗俘获能力：

支持的网络节点规模计算方法如下：

由于MANET网络的规模和单个节点用于存放公共信息的内存大小相关，因此公开的信息Z_i、p′、q、h、g和 直接影响着节点内存的使用量。

假定每个节点用于存放公共信息的内存容量为C，则支持的网络规模计算为：

其中_←为其他公开参数的长度之和，Sizeof(Z_i)为公钥Z_i的长度。