ES2355302T3 - Procedimiento para agregar datos en una red. - Google Patents

Abstract

Un procedimiento para agregar datos en una red, particularmente en una red de sensores inalámbricos, en el que la red (1) comprende una pluralidad de nodos sensores (Ni) para medir datos y al menos un nodo recolector (S) en el que se agregan los datos medidos por los nodos sensores (Ni), y en el que cada nodo sensor (Ni) encripta sus datos medidos con una clave ki y remite el resultado hacia el nodo recolector (S), caracterizado porque, en el contexto de una distribución de claves dentro de la red (1), se elige una clave maestra K, y porque la clave maestra K se divide de forma autónoma por la red (1) en claves individuales ki que serán usadas por los nodos sensores (Ni) para encriptar datos medidos, con la suma de todas las claves individuales Ki siendo igual a la clave maestra K.

Description

La presente invención se refiere a un procedimiento para agregar datos en una red, particularmente en una red de sensores inalámbricos, en el que la red comprende una pluralidad de nodos sensores para medir datos y al menos un nodo recolector en el que se agregan los datos medidos por los nodos sensores, y en el que cada nodo sensor encripta 5 sus datos medidos con una clave ki y remite el resultado hacia el nodo recolector. Los procedimientos como se mencionaron anteriormente son bien conocidos en la práctica y son de especial importancia en el contexto de las redes de sensores inalámbricos (WSN). Las WSN son redes ad hoc compuestas, en general, por nodos sensores miniaturizados con capacidades de computación y energía limitadas. Los nodos sensores, en general, consisten en una sonda, una unidad de procesamiento, un dispositivo de comunicación, y una batería y 10 disponen de la funcionalidad de adquisición de datos, comunicaciones y computación. Las redes de sensores inalámbricos se están haciendo cada vez más populares en muchas esferas de la vida. El campo de aplicación de las redes de sensores incluye pero no está de ningún modo limitado a la monitorización y control de máquinas, el control de parámetros de salud (intra y extracorporal) o la monitorización del medio ambiente (como la medición de temperatura, humedad y actividad sísmica). El intervalo de posibilidades de aplicación es casi 15 infinito, sin embargo. En campos de aplicación específicos, como la inspección de la contaminación del agua o el pronóstico del tiempo, por ejemplo, es extremadamente ventajoso que los nodos sensores se puedan fabricar en tamaño miniatura haciendo posible establecer redes de sensores incluso en regiones geográficas a las que es difícil acceder. La comunicación entre los nodos sensores se realiza de forma inalámbrica a través de mensajes de difusión. Esto hace que el envío sea una operación sumamente costosa y poco fiable que se debería evitar tanto como fuera 20 posible. Como norma general el envío consume aproximadamente 100-1000 veces más energía que una etapa de computación. Por lo tanto, cualquier mecanismo que permite la reducción de la transmisión ayuda a mejorar la vida útil de una WSN. Un planteamiento posible para la reducción de transmisión es la agregación de datos. En ciertos campos de operación, el usuario no está interesado en las mediciones individuales sino más bien en su agregación, por ejemplo su 25 suma o el valor medio. En estos casos, no es necesario enviar todas las mediciones desde los nodos sensores hasta el nodo recolector. En su lugar, estos datos pueden ser procesados dentro de la red y sólo el resultado, por ejemplo la suma, es remitido. Ya que el tamaño de datos de la suma es mucho más pequeño que la concatenación de todos los sumandos, esto ayuda a disminuir la sobrecarga de transmisión. Ya que los nodos sensores, debido a sus capacidades limitadas, en general, no comprenden una unidad a 30 prueba de alteraciones, son cruciales las cuestiones de seguridad con respecto a una comunicación encubierta entre los nodos. Particularmente en las WSN con un número masivo de nodos sensores que se dirigen a un despliegue en un entorno volátil, no de confianza o incluso hostil, los nodos deben estar equipados con mecanismos de seguridad que soporten el intercambio de mensajes entre los nodos. Estimulado por la observación de que para los nodos sensores que no son a prueba de alteraciones, que son 35 más apropiados para futuras redes de sensores a gran escala, la seguridad salto por salto tal como está provista de soluciones patentadas como TinySec (el módulo de seguridad de TinyOS) o un protocolo de seguridad normalizado como IEEE 802.15.4 sólo puede proporcionar una seguridad del sistema general muy limitada, soluciones eficaces deberían apuntar a mecanismos que proporcionen seguridad extremo a extremo. En este contexto, seguridad extremo a extremo significa que sólo el nodo recolector puede acceder a los datos que fueron encriptados individualmente por los 40 diferentes nodos sensores pero ningún nodo entre medias. En el mejor caso, debería ser posible combinar la encriptación extremo a extremo con la agregación de datos. Aunque la provisión de la agregación de datos con seguridad extremo a extremo en WSN es una tarea desafiante debido a la estructura distribuida altamente auto-organizada de WSN, ya se ha hecho algún progreso en esta dirección.

Por ejemplo, en C. Castelluccia, E. Mykletun, y G. Tsudik, Efficient aggregation of encrypted data in wireless 45 sensor networks, in 2nd Annual International Conference on Mobile and Ubiquitous Systems: Networking and Services, San Diego, CA, USA, Julio 2005, la atención se centra en la encriptación extremo a extremo de tráfico en tiempo real en WSN síncronas y se propone una transformación de encriptación simétrica basada en cifras de flujo. Mediante el uso de claves por parejas, el esquema proporciona una alta seguridad del sistema. También, la pre-distribución de claves es bastante simple ya que las claves se pueden distribuir al azar a los nodos y sólo los nodos recolectores necesitan 50 almacenar todas las claves. Sin embargo, el beneficio de la seguridad del sistema general se origina en el coste de

sobrecarga adicional. En primer lugar, la configuración de los nodos antes del despliegue de nodos requiere un emparejamiento por parejas entre cada nodo sensor y el nodo recolector para coincidir en la clave compartida. En segundo lugar, aunque se considera que el nodo recolector está equipado con mucha más memoria que un nodo sensor, si nos dirigimos a redes de sensores a gran escala, el almacenamiento de miles o cientos de miles de parejas (ID, clave) puede resultar ser un serio problema. En tercer lugar, ya que la atención se centra en las soluciones de seguridad por un 5 medio muy poco fiable no se puede ignorar el impacto de la pérdida de paquetes en el medio de difusión inalámbrica. La revelación por transmisión de datos de los ID de claves y de los ID de nodos respectivamente de todos los nodos en este momento implicados por tanto pasa a ser obligatorio para el tráfico convergente hacia un nodo destino encriptado con el esquema de encriptación homomórfico de privacidad por Castelluccia, Mykletun y Tsudik. Esto aumenta enormemente el tamaño de los datos de transmisión que deben ser enviados por los nodos. Ya que el envío es con mucho la operación 10 más costosa en términos de consumo de energía, este planteamiento reduce la vida útil de una WSN y por lo tanto disminuye la aceptación del usuario. Es por tanto un objeto de la presente invención mejorar y desarrollar aún más un procedimiento del tipo descrito inicialmente para agregar datos en una red de tal manera que mediante el empleo de mecanismos que son fáciles de implementar se proporcione una alta seguridad para el proceso de agregación de datos, mientras que se reduzca la 15 sobrecarga de comunicación en comparación con los esquemas según la técnica anterior. De acuerdo con la invención, se logra el objeto antes mencionado por un procedimiento que comprende las características de la reivindicación 1. Según esta reivindicación tal procedimiento está caracterizado porque, en el contexto de una distribución de claves dentro de la red, se elige una clave maestra K, y porque la clave maestra K se divide de forma autónoma por la red en claves individuales ki que serán usadas por los nodos sensores para encriptar 20 datos medidos, con la suma de todas las claves individuales Ki siendo igual a la clave maestra K. Según la invención se ha reconocido en primer lugar que un alto nivel de seguridad con una sobrecarga de comunicación reducida se puede llevar a cabo implementando un proceso de distribución de claves dentro de una red que se basa en una clave maestra K que se divide de forma autónoma por la red en claves individuales ki que serán usadas por los nodos sensores para encriptar datos medidos. La división autónoma de la clave maestra K se realiza de 25 tal manera que la suma de todas las claves individuales Ki es igual a la clave maestra K. De este modo se lleva a cabo una distribución de claves auto-organizada, haciendo este proceso más cómodo para el propietario/administrador de la red ya que la configuración de los nodos antes del despliegue de nodos no requiere un emparejamiento por parejas entre cada nodo sensor y el nodo recolector para coincidir en una clave compartida. Asimismo, el procedimiento según la invención no requiere una sobrecarga de datos adicional cuando se envía tráfico encriptado hacia la dirección del nodo 30 recolector. Además, mediante el empleo de claves únicas por parejas para la encriptación extremo a extremo se consigue una alta seguridad del sistema general ya que no hay falta de seguridad en nodos sensores individuales. De forma ventajosa, la clave maestra K es elegida por el nodo recolector. El nodo recolector, en general, está equipado con mucha más capacidad de energía y almacenamiento que un nodo sensor. Este factor junto con su papel central dentro de la red predestina al nodo recolector para iniciar el proceso de distribución de claves. Con respecto a una 35 mejora de seguridad adicional resulta ser ventajoso que se almacene únicamente la clave maestra K en el nodo recolector. En este caso sólo el nodo recolector está habilitado para desencriptar el valor agregado final mediante la aplicación de la clave maestra K a las cifras recibidas. Se señala que el nodo recolector conoce la suma K almacenada en la red de sensores sin conocer las claves individuales Ki. Preferentemente, el flujo de datos en la red tiene una estructura de tráfico convergente hacia un nodo destino. 40 Este tipo de estructura que se dirige hacia un punto central -el nodo recolector- es el más adecuado para un esquema de distribución de claves que soporta el establecimiento de claves únicas por parejas para la encriptación extremo a extremo. Concretamente, cada nodo sensor de la red puede tener un nodo predecesor (que está más cerca del nodo recolector que el propio nodo sensor). La única excepción puede ser el nodo recolector que - como el punto de destino 45 de la estructura de tráfico convergente hacia un nodo destino - no tiene ningún nodo predecesor. Como consecuencia, mirando fuera del centro de la red, los nodos sensores pueden tener uno o más nodos sucesores. En este contexto se hace claro para alguien experto en la materia, que no todos los nodos sensores tendrán un nodo sucesor. Por ejemplo, los nodos sensores extremos de una red no tienen un nodo sucesor. Tales nodos se podrían denominar nodos hoja, refiriéndose de ese modo al árbol o estructura similar a un árbol de la red de sensores. 50

De modo especialmente ventajoso, se proporcionan medios por los que a cada nodo sensor se le informa de su posición relativa dentro de la red. En otras palabras, después de una fase de rutina de arranque inicial cada nodo sensor conoce su nodo predecesor y sus nodos sucesores. En este sentido se preferirá que los nodos sensores en la red sean

cuasi estacionarios una vez que sean distribuidos. Se debe observar que el conocimiento de un nodo sensor acerca de su posición relativa no incluye la conciencia de ubicación con respecto a su posición absoluta. En base a la información de posición relativa se puede estipular que cada nodo sensor, en el contexto del proceso de distribución de claves, al recibir un cierto subtotal Ki de la clave maestra K de su nodo predecesor divida el valor Ki en un número n de subtotales K’i. Con respecto a una adaptación óptima a la estructura de la red cada nodo 5 sensor puede definir el número n de subtotales K’i de acuerdo con el número de sus nodos sucesores directos. Por ejemplo, si un nodo sensor sabe que tiene tres nodos sucesores y si este nodo sensor recibe el valor Ki de su nodo predecesor divide este valor en cuatro subtotales con . Ki* será usado por el nodo sensor posteriormente para encriptar sus datos. Los otros subtotales se pasan a los nodos sucesores para ser divididos de nuevo según la estructura de red y así sucesivamente. Desde un punto de vista de la seguridad es ventajoso que el 10 propio nodo sensor sólo almacene Ki* de forma permanente y borre los otros subtotales de su memoria después de pasarlos a los sucesores apropiados. Al final del proceso de distribución de claves, cada nodo sensor posee una clave de tal manera que la suma de todas las claves distribuidas dentro de las redes es igual a la clave maestra K. En una realización preferida al menos algunos de los nodos sensores pueden funcionar como nodos agregadores agregando los datos medidos de sus nodos sucesores. De este modo el número de mensajes que se 15 necesita para transportar los datos medidos de todos los nodos sensores al nodo recolector se puede reducir drásticamente. Ya que el envío es la operación más costosa en las redes de sensores inalámbricos la agregación de datos es altamente favorable. El proceso de agregación llevado a cabo por un nodo agregador puede incluir las etapas de realización de una función de agregación en datos encriptados entrantes, que son remitidos al nodo agregador por sus nodos sucesores, 20 así como en sus propios datos encriptados medidos, y la etapa de remisión del resultado agregado hacia el nodo recolector. Concretamente, la función de agregación puede ser una operación de suma, una operación de resta, una operación de multiplicación o una operación de multiplicación inversa. En una realización especialmente ventajosa, el algoritmo usado para la encriptación es homomórfico con respecto a las claves ki usadas para la encriptación como con respecto a los valores vi que serán encriptados. Este tipo 25 de función de encriptación se llama bihomomórfica. Esto significa que para dos claves k1 y k2 cualquiera así como para dos valores de texto llano v1 y v2 cualquiera, sostiene que . Un simple ejemplo de tal algoritmo es , donde tanto la clave k como el valor v son algunos números enteros en el intervalo de 0 a n-1. En el caso en el que la operación de agregación sea la operación de 30 suma, el nodo recolector quiere conocer la suma de los valores medidos , donde n indica el número de nodos sensores en la red. Debido a la estructura bihomomórfica del algoritmo de encriptación, el nodo recolector que quiere desencriptar sólo necesita conocer el valor , es decir la clave maestra K. En contraste, las claves individuales ki no son 35 necesarias para la desencriptación. Ya que el procedimiento descrito se dirige a redes de sensores a gran escala, el almacenamiento de miles de pares (ID, clave), que puede resultar ser un serio problema, es indispensable. El nodo recolector o cualquier otro nodo que inicie la clave y el proceso de distribución sólo necesita conocer la clave maestra K con . No se requiere, por otro lado, que los nodos agregadores realicen ninguna operación de desencriptación en los datos entrantes de sus nodos sucesores como se requiere cuando se usa la encriptación salto por 40 salto convencional. Como se señala previamente, esto aumenta la seguridad del sistema general ya que no hay falta de seguridad en los nodos agregadores. El algoritmo bihomomórfico puede ser determinista o probabilístico. Uno determinista mapea el mismo par de clave y texto llano siempre al mismo texto cifrado, mientras que para uno probabilístico este mapeo difiere en alguna probabilidad. 45 321'''kkkkkii+++=∗ ()()()21212211vvEvEvEkkkk+=++ ()nvkvEkmod:+= nvv++1 ()()()nknknknkvvEvEvE++=++++1111 nkk++1 nkkK++=1

En una realización preferida adicional el nodo recolector elige un valor al azar R como algún valor simulado para toda la red que se puede distribuir dentro de la red de sensores en el contexto del proceso de distribución de claves. El valor R se emplea de tal modo que cada nodo sensor Ni almacena para cada uno de sus nodos sucesores el valor Eki(R), es decir los textos cifrados del valor al azar R en el que ki denomina las claves de los nodos sucesores. Con respecto a un proceso de agregación de datos altamente eficaz, cada nodo agregador en el contexto de la aplicación de la función 5 de agregación emplea el valor por defecto Eki (R) para aquellos de sus nodos sucesores que no contribuyen al proceso de agregación de datos remitiendo un valor medido al nodo agregador. De este modo se pueden gestionar los nodos que no responden (que, por ejemplo, se quedaron sin energía o se cayeron debido a otros fallos) y, al contrario de los esquemas según la técnica anterior, no se necesita proporcionar los ID de los nodos que responden/que no responden. Así, sólo se necesita remitir los textos cifrados agregados. Esto de nuevo reduce la sobrecarga de comunicación y, de 10 ese modo, aumenta la vida útil de la red de sensores. Asimismo, la robustez durante la fase de agregación se mejora lo cual es especialmente útil debido al medio muy poco fiable en el que los mensajes son difundidos y en el que el impacto de la pérdida de paquetes no se puede ignorar. Como consecuencia, incluso en casos de enlaces poco fiables o debido a situaciones en las que un subconjunto de nodos no puede participar en el proceso de detección y remisión, la agregación de datos se puede realizar con alta eficacia y seguridad. Esto es particularmente eficaz para redes de 15 sensores con una estructura de red fija como es el caso para las redes inalámbricas de área corporal (W-BAN). Las W-BAN probablemente jugarán un papel prominente en las futuras arquitecturas de e-salud ya que permiten la monitorización remota del estado de salud de los clientes. De forma ventajosa, la distribución de claves se lleva a cabo en un entorno seguro donde se supone que no existe ningún atacante. Después de la distribución de claves inicial en el contexto de una fase de inicialización, se 20 pueden proporcionar fases de refresco en las que cada clave ki de los nodos sensores se actualiza de vez en cuando. En particular, para cualquier homomorfismo de privacidad determinista usado para la encriptación es esencial refrescar las claves en el mejor de los casos después de cada fase de agregación individual. Sin embargo, para una configuración realista se debería conseguir un buen balance entre la frecuencia del refresco de claves y el nivel de seguridad requerido. Se debe observar que el refresco de claves sólo es útil para soportar un homomorfismo de privacidad 25 determinista. Para todas las transformaciones de encriptación que se incluyen dentro de la categoría de homomorfismo de privacidad probabilístico por parejas no produce ningún beneficio. En principio, la fase de refresco de las claves puede ser similar a la distribución de claves en la fase de inicialización. Las claves ki se pueden modificar de tal manera que la clave maestra K antigua se reemplaza por una maestra K* nueva de tal manera que el nodo recolector sólo elige y conoce las diferencias , pero no las 30 claves individuales. Dos realizaciones diferentes para el refresco de claves resultan ser ventajosas. Según una primera realización, la diferencia Δ se divide y se comunica a los nodos sucesores del mismo modo que la clave maestra K en la fase de inicialización. A diferencia que en la fase de inicialización en la que se supone que no existe ningún atacante, las claves actualizadas no se pueden escuchar a escondidas de manera que para las fases de refresco de claves no haya 35 necesidad de un entorno seguro. De forma alternativa, cada nodo almacena varias claves al mismo tiempo, derivadas de diferentes claves maestras. En este caso, la clave concreta es igual a una combinación lineal específica de las claves almacenadas mientras que la combinación lineal se determina de forma única. Al contrario que la primera realización, la segunda no requiere la transmisión de datos para el refresco de claves. 40 En una realización ventajosa adicional los papeles de los nodos sensores se cambian de vez en cuando. Tal cambio resulta en una vida útil más larga de la red de sensores ya que, por ejemplo, agregar datos entrantes y remitirlos es una tarea que consume más energía que sólo detectar y enviar los valores medidos. Hay varios modos de cómo diseñar y desarrollar aún más la enseñanza de la presente invención de un modo ventajoso. Para este fin se debe hacer referencia a las reivindicaciones de patente subordinadas a la reivindicación de 45 patente 1 y a la siguiente explicación de un ejemplo preferido de una realización de la invención, ilustrada por la figura por otro lado. En conexión con la explicación del ejemplo preferido de una realización de la invención con la ayuda de la figura, se explicarán en general realizaciones preferidas y desarrollos aún mayores de la enseñanza. En los dibujos: la fig. 1 es una vista esquemática de una realización de un procedimiento según la invención, que muestra la 50 distribución de claves, y ∆=−:*KK

la fig. 2 es una vista esquemática de una realización de un procedimiento según la invención que muestra la agregación de datos. La Fig. 1 ilustra esquemáticamente una realización de la presente invención. Más exactamente, se muestra el proceso de distribución de claves según la invención. A efectos de claridad e ilustración ejemplar, la Fig. 1 sólo muestra una sección muy pequeña de una red de sensores 1, comprendiendo la sección ilustrada sólo cuatro nodos sensores 5 que se denominan N0, N1, N2 y N3. En la práctica, sin embargo, la red de sensores 1 puede incluir varios miles de nodos sensores Ni. La inicialización trabaja de arriba a abajo desde la ruta de la red de sensores 1 - el nodo recolector S (no mostrado) - hasta los nodos sensores Ni. En pocas palabras, cada nodo sensor Ni recibe en un momento puntual durante la distribución de claves su parte de la clave maestra K que es elegida por el nodo recolector y que se distribuye a los 10 nodos sucesores del nodo recolector de manera controlada. En la realización mostrada en la Fig. 1, el nodo sensor N0 recibe su parte k de la clave maestra K de su nodo predecesor (no mostrado). El nodo sensor N0 es consciente de sus nodos sucesores - N1, N2, y N3 - y, como consecuencia, divide su parte k de la clave maestra K en cuatro subtotales k0, k1, k2 y k3 con y distribuye los tres últimos subtotales a sus nodos sucesores N1, N2, y N3, respectivamente. Los nodos sensores N1 y N2 tienen dos nodos sucesores, respectivamente, y, como consecuencia, 15 dividen sus partes - k1 y k2, respectivamente - de la clave maestra K al azar en tres subtotales y distribuyen estos valores a sus nodos sucesores. Por otro lado, el nodo sensor N3 tiene tres nodos sucesores, y, como consecuencia, divide su parte k3 de la clave maestra K en cuatro subtotales. Al final del proceso de distribución, cada nodo sensor Ni ha recibido una sola clave simétrica ki mientras que todas las claves ki se derivan de una clave maestra K que se almacena sola en el nodo recolector. Durante la fase de 20 inicialización como se describe anteriormente el sistema es altamente vulnerable incluso a los ataques pasivos. Por lo tanto, se asume que no existe ningún atacante durante esta fase. Además, aunque no se muestra en la Fig. 1, el nodo recolector S elige un valor al azar R. El valor R se distribuye a todos los nodos sensores Ni de la red 1. Para la robustez, cada nodo sensor Ni almacena para cada uno de sus nodos sucesores la cifra Eki(R) en la que ki son las claves respectivas de los nodos sucesores. Por motivos de 25 seguridad, cada nodo sensor Ni borra posteriormente todos los valores de su memoria excepto su propia clave ki y los valores encriptados Eki(R) para sus nodos sucesores. Con referencia ahora a la Fig. 2, se muestra la misma sección pequeña de la red de sensores 1 que en la Fig. 1. En contraste con la Fig. 1, la Fig. 2 se refiere al proceso de agregación de datos. Durante una fase de agregación se encripta tráfico convergente hacia un nodo destino extremo a extremo desde los nodos sensores Ni hasta el nodo 30 recolector. Cada nodo sensor Ni aplica una transformación de encriptación homomórfica simétrica encriptando su valor monitorizado con su propia clave única y sumando posteriormente el texto cifrado resultante a los textos cifrados recibidos de sus nodos hijos/sucesores. Con referencia más particularmente a la Fig. 2, los nodos sensores N1 y N3 tienen valores detectados v1 y v3 respectivamente. Por otro lado, el nodo sensor N2 está agotado, por ejemplo debido a baterías gastadas, y, como 35 resultado, no contribuye con un valor medido al proceso de agregación de datos. Los nodos sensores N1 y N3 encriptan sus valores medidos con sus claves simétricas individuales k1 y k3 respectivamente, y remiten los resultados Ek1(v1) y Ek3(v3), respectivamente, a su nodo predecesor N0. Ya que los nodos sensores son conscientes de su posición relativa dentro de la red, el nodo sensor N0 se percata de que no ha recibido los datos de todos sus nodos sucesores N1, N2 y N3. Como consecuencia, reemplaza las 40 cifras que faltan por las cifras de un valor R de reemplazo que se ha distribuido durante la fase de inicialización como un valor simulado para toda la red y que es almacenado por todos los nodos sensores Ni como se describe anteriormente. Como resultado, el nodo agregador N0 remite a su nodo predecesor. Al final, el nodo recolector S recibe 45 3210kkkkk+++= ()()()33211vEREvEkkk++ ()()RctrEvEkikii*ΣΣ+Σ

así como el valor ctr en el que ctr es un primer contador que indica el número de valores R simulados contenidos en la agregación. Ya que el nodo recolector S asimismo conoce K, puede derivar fácilmente la suma de todos los valores medidos y comunicados. Con respecto a los nodos sensores que no responden el nodo recolector S al final del proceso de agregación sólo necesita saber cuántos valores simulados se incluyen en el texto llano pero no qué nodos específicos

han respondido. El contador ctr se incrementa según el número de nodos que no responden y se puede transmitir junto con los valores medidos encriptados. A partir de la información que se ha descrito anteriormente, el nodo recolector S puede recuperar la suma de los valores medidos y comunicados pero no sabe cuántos valores se han agregado en total. Ya que esta información puede ser importante, se puede incorporar un segundo contador, resp, que computa el número de nodos que responden. El 5 contador resp se puede gestionar como el contador ctr. Un nodo agregador recibe de cada nodo que responde Ni un valor respi y remite la suma de ello a su nodo predecesor. En la realización mostrada en la Fig. 2 el nodo sensor N0 remitiría el contador ctr incrementado por el valor 1 (que resulta del nodo que no responde N2) y el contador resp incrementado por el valor 2 (que resulta de los dos nodos que responden N1 y N3). Ya que cada nodo sensor Ni meramente almacena su propia clave no puede desencriptar las cifras entrantes de 10 sus nodos hijos/sucesores. Sólo el nodo recolector S está habilitado para desencriptar el valor agregado final aplicando la clave maestra K a las cifras recibidas. Como se menciona previamente, ya que no siempre todos los nodos pueden haber contribuido o debido a una interferencia en el medio de transmisión inalámbrica se pueden perder paquetes, cada nodo intermedio añade esas cifras por defecto almacenadas Eki(R) a la suma de cifras agregadas que corresponden a sus hijos directos que no han proporcionado su entrada. Durante una fase de agregación el sistema es seguro contra 15 ataques pasivos y activos. Ningún nodo sensor puede desencriptar cifras recibidas. Sólo la corrupción de un subárbol total ST(N) resultaría en una ganancia de conocimiento del valor agregado que representa el valor monitorizado del subárbol concreto. El subárbol ST de un nodo N en este contexto se define como si N es un nodo hoja, si no como como el subárbol con raíz N. Muchas modificaciones y otras realizaciones de la invención expuestas en este documento le vendrán a la 20 mente al experto en la materia a la que pertenece la invención con el beneficio de las enseñanzas presentadas en la descripción precedente y los dibujos asociados. Por lo tanto, se debe entender que la invención no debe limitarse a las realizaciones específicas dadas a conocer y que modificaciones y otras realizaciones están destinadas a incluirse dentro del ámbito de las reivindicaciones anexas. Aunque se han empleado términos específicos en este documento, sólo se usan en un sentido genérico y descriptivo y no a efectos de limitación. 25 (){}NNST= (){}()()''NSTUUNNSTNSuccN∈=

Claims (2)

1. REIVINDICACIONES

   1. Un procedimiento para agregar datos en una red, particularmente en una red de sensores inalámbricos, en el que la red (1) comprende una pluralidad de nodos sensores (Ni) para medir datos y al menos un nodo recolector (S) en el que se agregan los datos medidos por los nodos sensores (Ni), y en el que cada nodo sensor (Ni) encripta sus datos medidos con una clave ki y remite el resultado hacia el nodo 5 recolector (S), caracterizado porque, en el contexto de una distribución de claves dentro de la red (1), se elige una clave maestra K, y porque la clave maestra K se divide de forma autónoma por la red (1) en claves individuales ki que serán usadas por los nodos sensores (Ni) para encriptar datos medidos, con la suma de todas las claves individuales Ki siendo igual a la clave maestra K. 10 2. El procedimiento según la reivindicación 1, en el que la clave maestra K es elegida por el nodo recolector (S). 3. El procedimiento según la reivindicación 1 ó 2, en el que la clave maestra K se almacena sola en el nodo recolector (S). 4. El procedimiento según cualquiera de las reivindicaciones 1 a 3, en el que el flujo de datos en la red (1) tiene una estructura de tráfico convergente hacia un nodo destino. 15 5. El procedimiento según cualquiera de las reivindicaciones 1 a 4, en el que los nodos sensores (Ni), con la excepción del nodo recolector (S), tienen un nodo predecesor (FNi), respectivamente, y en el que los nodos sensores (Ni), según el caso, tienen uno o más nodos sucesores (CNi), respectivamente. 6. El procedimiento según cualquiera de las reivindicaciones 1 a 5, en el que se proporcionan medios por los que cada nodo sensor (Ni) es informado de su posición relativa dentro de la red. 20 7. El procedimiento según la reivindicación 5 ó 6, en el que cada nodo sensor (Ni), en el contexto del proceso de distribución de claves, al recibir un cierto subtotal Ki de la clave maestra K de su nodo predecesor (FNi) divide el valor Ki en un número n de subtotales K’i, en el que cada nodo sensor (Ni) puede definir el número n de subtotales K’i de acuerdo con el número de sus nodos sucesores directos. 25 8. El procedimiento según cualquiera de las reivindicaciones 5 a 7, en el que al menos algunos de los nodos sensores (Ni) funcionan como nodo agregador (Ai) agregando los datos medidos de sus nodos sucesores (CAi). 9. El procedimiento según la reivindicación 8, en el que un nodo agregador (Ai) realiza una función de agregación en datos encriptados entrantes, remitidos al nodo agregador (Ai) por sus nodos sucesores (CAi), y en sus propios datos encriptados medidos antes de remitir el resultado hacia el nodo recolector (S), 30 en el que la función de agregación puede ser una operación de suma, una operación de resta, una operación de multiplicación o una operación de multiplicación inversa. 10. El procedimiento según cualquiera de las reivindicaciones 1 a 9, en el que el algoritmo usado para la encriptación es homomórfico con respecto a las claves ki usadas para la encriptación como con respecto a los valores vi que serán encriptados, 35 en el que el algoritmo homomórfico puede ser un homomorfismo de privacidad determinista o probabilístico. 11. El procedimiento según cualquiera de las reivindicaciones 5 a 10, en el que el nodo recolector (S) elige un valor al azar R como algún valor simulado para toda la red y en el que cada nodo sensor (Ni) almacena el valor al azar R encriptado con las claves ki de sus nodos sucesores (CNi) como valores de reemplazo Eki(R). 12. El procedimiento según cualquiera de las reivindicaciones 9 a 11, en el que cada nodo agregador (Ai), en el 40 contexto de la aplicación de la función de agregación, emplea los valores de reemplazo Eki(R) para aquellos de sus nodos sucesores (CAi) que no contribuyen al proceso de agregación de datos remitiendo un valor medido al nodo agregador (Ai).
2. 13. El procedimiento según cualquiera de las reivindicaciones 1 a 12, en el que la distribución de claves se lleva a cabo en un entorno seguro. 14. El procedimiento según cualquiera de las reivindicaciones 1 a 13, en el que cada clave ki de nodo sensor (Ni) se actualiza de vez en cuando durante una fase de refresco de claves, en el que el refresco de claves se puede llevar a cabo después de cada fase de agregación individual. 5 15. El procedimiento según cualquiera de las reivindicaciones 1 a 14, en el que los papeles de los nodos sensores (Ni) se cambian de vez en cuando.