ES2959495T3 - Prevención de ataques hostiles en una red - Google Patents

Abstract

Para mejorar la protección de una red contra ataques de denegación de servicio y otros ataques hostiles, manteniendo al mismo tiempo el funcionamiento de la red simple y eficiente y considerando capacidades restringidas de nodos de red individuales, una unidad de control, un sistema y un método para operar una red con se proporciona una pluralidad de nodos, en donde al menos un parámetro de operación de al menos un nodo se ajusta en base a una fase actual de la red y un paquete de datos recibido por el nodo (10) se procesa en base al parámetro de operación. (Traducción automática con Google Translate, sin valor legal)

Description

DESCRIPCIÓN

Prevención de ataques hostiles en una red

Campo de la invención

La invención se refiere a una unidad de control, un sistema y un método para controlar una red.

Antecedentes de la invención

Recientemente, las redes inalámbricas en malla atraen cada vez más atención, por ejemplo para el control remoto de sistemas de iluminación, automatización de edificios, aplicaciones de monitorización, sistemas de sensores y aplicaciones médicas. En particular, la gestión a distancia de las luminarias de exterior, la llamada telegestión, adquiere cada vez más importancia. Por un lado, esto se debe a preocupaciones medioambientales, ya que los sistemas de telegestión permiten el uso de diferentes patrones de atenuación, por ejemplo, en función del tiempo, las condiciones meteorológicas o la estación, lo que permite un uso más eficiente de la energía del sistema de iluminación exterior. Por otra parte, esto también obedece a razones económicas, ya que el aumento de la eficiencia energética también reduce los costes operativos. Además, el sistema puede supervisar a distancia el uso de la energía y detectar fallos en las lámparas, lo que permite determinar el mejor momento para reparar las luminarias o sustituir las lámparas.

Las soluciones inalámbricas actuales basadas en radiofrecuencia (RF) utilizan una topología de red en estrella o en malla. En una red en estrella, un controlador central tiene una vía de comunicación inalámbrica directa con todos los nodos de la red. Sin embargo, esto suele requerir la colocación de un controlador central tipo estación base de alta potencia y sensibilidad en un lugar elevado (por ejemplo, en lo alto de un edificio), lo que hace que la solución sea complicada de desplegar y cara. En una red en malla, la pluralidad de nodos no suele comunicarse directamente con el controlador central, sino a través de las denominadas comunicaciones multisalto. En una comunicación multisalto, un paquete de datos se transmite de un nodo emisor a un nodo destino a través de uno o más nodos intermedios. Los nodos actúan como enrutadores para transmitir paquetes de datos de nodos vecinos a nodos que están demasiado lejos para alcanzarlos en un solo salto, lo que da lugar a una red que puede abarcar distancias mayores. Al dividir las distancias largas en una serie de saltos más cortos, se mantiene la intensidad de la señal. En consecuencia, todos los nodos de una red de malla deciden a qué nodo vecino debe enviarse el paquete de datos. Por tanto, una red en malla es una red muy robusta y estable, con una gran conectividad y, por tanto, una gran redundancia y fiabilidad

En la figura 1 se muestra una red inalámbrica típica con topología de malla. La red inalámbrica comprende un controlador central 60 y una pluralidad de nodos 10 (N) conectados entre sí por vías de comunicación inalámbricas 40 en una topología de malla. Las vías de comunicación inalámbrica 40 entre los nodos 10 pueden estar constituidas por transmisiones de RF. Para ello, los nodos 10 y el controlador central 60 pueden comprender un transceptor para transmitir o recibir paquetes de datos a través de rutas de comunicación inalámbricas 40, por ejemplo, mediante transmisión de RF. En el backend, se sitúa un centro de servicios 80 que sirve para la gestión del sistema. Esta entidad se comunica normalmente con una o más redes inalámbricas a través de un canal de comunicación de terceros, como Internet o redes de comunicación móviles u otros sistemas de transmisión de datos por cable o inalámbricos. En particular, el centro de servicio 80 se comunica con un controlador central 60 de una red correspondiente como herramienta de puesta en servicio encargada de controlar o configurar dicha red. En el caso de un sistema de iluminación o de cualquier otra red inalámbrica de gran tamaño, una red también puede dividirse en segmentos, de modo que un nodo 10 pertenezca exactamente a un segmento que tenga un controlador de segmento 60. Por lo tanto, los términos "controlador de segmento" y "controlador central" deben considerarse intercambiables a lo largo de esta descripción.

Dentro de la red en malla, cualquier par de nodos 10 puede comunicarse entre sí a lo largo de varios saltos mediante un protocolo de encaminamiento. Por razones de seguridad, todos los nodos 10 de la red pueden compartir una clave común K de autenticación que se utiliza para verificar salto a salto si el paquete de datos procede de un nodo 10 de la red o de un nodo interferente. Por lo tanto, si un nodo emisor 10 envía un mensaje a un nodo destino 10 a través de un nodo intermedio 10, el nodo emisor 10 puede proteger el mensaje en la capa MAC ("Control de Acceso al Medio"). En este caso, la protección se refiere a la prestación de servicios de seguridad de base como la autenticación, la integridad, la frescura o incluso la confidencialidad mediante un modo de cifrado por bloques estándar como AES-CCM (Estándar de cifrado avanzado en modo CCM). Para ello, el nodo emisor 10 puede, por ejemplo, tomar el mensaje y adjuntarle al menos un MIC (Código de Integridad del Mensaje) generado con el AESCCM, la clave común K, y un contador C asociado al nodo emisor y utilizado para garantizar la frescura del mensaje. Tras la recepción de este mensaje, el nodo intermedio 10 procederá a descodificarlo utilizando la clave K y verificará la integridad del mensaje utilizando el MIC y la frescura del mensaje basándose en el contador C. Si todas las verificaciones son satisfactorias, el nodo intermedio 10 protegerá de nuevo el mensaje como hizo el nodo emisor 10 y lo reenviará al nodo destino 10.

Si cada nodo 10 de la red de malla verifica la autenticidad utilizando la clave K y la frescura basándose en el contador C de un mensaje reenviado, se puede proporcionar una protección básica de la red. Sin embargo, esto no cubre dos situaciones importantes, en las que la red es muy vulnerable y puede quedar totalmente rota por un ataque de denegación de servicio (ataque DoS). El primer problema está relacionado con la fase de puesta en servicio de la red, en la que no todos los nodos 10 de la red han sido puestos en servicio con éxito todavía. Por lo tanto, no todos los nodos 10 disponen de la clave K utilizada para realizar la seguridad salto a salto. Sin embargo, durante la puesta en servicio, es necesario intercambiar una pluralidad de mensajes con el controlador de segmento 60 o incluso con el centro de servicio 80, por lo que surge el problema de la seguridad. Así, un atacante podría enviar mensajes de puesta en servicio falsos sobrecargando la red. A modo de ejemplo, se puede suponer que los nodos A y B ya se han unido a la red y, por lo tanto, conocen la clave común K, mientras que los nodos C y D todavía tienen que unirse a la red y aún no se han puesto en servicio con éxito (no conocen K). En caso de que el nodo A o el nodo B tengan que reenviar mensajes de puesta en servicio procedentes de los nodos C o D, los nodos A y B no podrán comprobar si estos mensajes de puesta en servicio son auténticos y recientes, ya que los nodos C y D no han utilizado la clave K. Por lo tanto, en esta situación, un atacante podría enviar muchos mensajes de puesta en servicio rompiendo la red y provocando una denegación de servicio. Cabe señalar que este problema no sólo se plantea al principio de la configuración de la red, sino también, por ejemplo, cuando se añaden nuevos nodos 10 a una red. Así pues, el hecho de que los nodos 10 se encuentren en diferentes estados o fases de funcionamiento representa un grave problema de seguridad para la red.

El segundo problema de seguridad surge debido al limitado conocimiento regional de los nodos 10 individuales. En general, debido a las estrictas limitaciones de memoria de un nodo 10, éste no puede almacenar todos los contadores C o similares de todos los demás nodos 10 de la red. Por lo tanto, un atacante podría, por ejemplo, espiar un enlace de comunicación en un lado de la red y reproducir esos mensajes en otras partes de la red. Esto se denomina "ataque de gusano" y se ilustra en la fig. 2. En la figura 2, un nodo A intercepta una comunicación en la parte 1 de la red y la envía a través de un enlace de gusano (flecha) al nodo B en la parte 2 de la red para reproducir el mensaje en la parte 2 de la red o viceversa. Uno de los efectos de este ataque es que todos los nodos 10 de la parte 1 de la red asumen que los nodos 10 de la parte 2 de la red son nodos vecinos y viceversa. Como resultado, esto afecta al enrutamiento y a otros protocolos basados en la conectividad de la red. Además, si se establecen las nuevas "rutas" y el tráfico de datos en la red empieza a utilizar el atajo a través del enlace de gusano, los nodos A y B del gusano pueden empezar a dejar caer paquetes de datos y causar interrupciones en la red. Además, aunque el contador C correspondiente a un nodo 10 de la parte 1 de la red no sea conocido por los nodos 10 de la parte 2 de la red, los nodos 10 de la parte 2 de la red se limitarán a reenviar todos los mensajes reproducidos, ya que el código de integridad del mensaje MIC puede ser verificado. Por lo tanto, un ataque puede provocar el bloqueo de todos los mensajes procedentes de la parte 2 de la red mediante mensajes generados en la parte 1 de la red.

El documento WO 2009/031112 A2 se refiere a un nodo y a un método para establecer una arquitectura de seguridad distribuida para una red inalámbrica.

El documento EP 2120181 A1 divulga un método para clasificar datos generados por al menos un nodo sensor de una red de sensores para detectar comportamientos anómalos en la red de sensores mediante el procesamiento estadístico de dichos datos basado en el análisis discriminante lineal.

Resumen de la invención

En vista de las desventajas y problemas mencionados en la técnica anterior, es un objeto de la presente invención proporcionar una unidad de control, un sistema y un método para operar una red inalámbrica con una pluralidad de nodos, en la que se mejora la protección de la red contra ataques de denegación de servicio u otros ataques hostiles, manteniendo al mismo tiempo el funcionamiento de la red simple y eficiente y considerando las capacidades restringidas de los nodos de red individuales.

La invención se basa en la idea de considerar las diferencias entre las distintas fases de la red para definir un sistema sensible a las fases. Por ejemplo, las características de las fases de puesta en servicio, aprendizaje y funcionamiento pueden distinguirse fácilmente, en particular en lo que se refiere a la vulnerabilidad a los ataques hostiles. Por lo tanto, una fase de puesta en servicio puede ser en general menos segura, ya que los nodos vecinos, los parámetros de red y las claves de seguridad pueden ser generalmente desconocidos para un nodo cuando se une a la red. Por lo tanto, se sugiere que un nodo pueda operar de una manera consciente de la fase y manejar al menos uno de los parámetros de nodo, parámetros de vecindad u otros parámetros de red de acuerdo con una fase de red actual. Esto puede referirse en particular a la gestión de los mensajes entrantes, las conexiones a nodos nuevos o desconocidos, las solicitudes de actualización de las tablas de encaminamiento, etc., en función de la fase actual de la red. Por estos medios, los agujeros de seguridad, que son necesarios o inevitables para una determinada fase de red, pueden limitarse en el tiempo a la fase respectiva, reduciendo así la vulnerabilidad de la red al mínimo.

De acuerdo con un aspecto de la presente invención, se proporciona una unidad de control para un nodo de una red inalámbrica, que es capaz de ajustar al menos un parámetro de funcionamiento del nodo basado en una fase de red actual y de procesar un paquete de datos recibido basado en el parámetro de funcionamiento ajustado, en el que el nodo es conmutable a una fase de red intermedia, en la que la fase de red intermedia está limitada en el tiempo o en el área. Para ello, la unidad de control puede comprender un módulo de adaptación de fase para establecer los parámetros de funcionamiento del nodo correspondientes a la fase de red actual y un módulo consciente de la fase para operar el nodo en consecuencia. De este modo, el comportamiento del nodo puede adaptarse a las diferentes fases de la red. Una fase de red puede referirse, por ejemplo, a una fase de puesta en servicio, durante la cual un nodo se une a la red y recibe el encargo de ser miembro de la misma, una fase de aprendizaje, durante la cual un nodo aprende acerca de sus vecinos, o una fase de trabajo u operación, en la que un nodo opera dentro de la red. Sin embargo, en general puede definirse cualquier número N de fases de red. Adaptando el funcionamiento o el comportamiento de los nodos individuales a una fase de red en curso, se pueden cerrar agujeros de seguridad innecesarios y reducirlos al mínimo según los requisitos de la fase respectiva.

La fase de red actual puede determinarse mediante características de fase predefinidas, como un número, tasa o frecuencia de mensajes (por ejemplo, diferenciados para mensajes que tengan un determinado tipo de mensaje, un determinado remitente) o cualquier otro rasgo, que sea característico de una determinada fase de red. Preferiblemente, las características de la fase pueden determinarse basándose en el comportamiento común de la red durante esta fase. La fase de red actual puede ser determinada localmente por el propio nodo y/o centralmente por un controlador central/segmento o un centro de servicio. En un ejemplo, un nodo puede estar adaptado para determinar una fase de red actual basándose en el tráfico de datos, por ejemplo, monitorizando el tráfico de red de forma continua o en determinados intervalos de tiempo. En caso de determinar la fase de red de forma centralizada, el controlador central/segmento y/o el centro de servicio pueden proporcionar la información correspondiente a los nodos mediante difusión segura o unidifusión o cualquier otro tipo de transmisión. Posiblemente, el controlador central/segmento y/o el centro de servicio también proporcionan información adicional junto con la información sobre la fase de red actual, por ejemplo, para indicar los valores correspondientes de uno o más parámetros de funcionamiento y/o para establecer un periodo de tiempo para esta fase de red, tras el cual la red vuelve automáticamente a una fase de red anterior o a otra fase de red predefinida. Por lo tanto, también los valores de los parámetros de funcionamiento pueden establecerse de forma centralizada para esta fase de red. Sin embargo, también es posible que al menos un parámetro de funcionamiento o un conjunto de parámetros de funcionamiento esté predefinido para al menos una fase de red, es decir, estos parámetros de funcionamiento pueden definirse localmente y almacenarse en los nodos individuales. En este caso, estos parámetros de funcionamiento pueden, no obstante, ser ajustables para un controlador central/segmento o centro de servicio.

Alternativa y/o adicionalmente, un controlador central/segmento y/o centro de servicio puede anunciar una determinada fase de la red, es decir, independientemente de cualquier proceso de determinación de la situación actual de la red. Por estos medios, es posible volver a cambiar la red de una fase de funcionamiento a una fase anterior, como una fase de puesta en servicio, por ejemplo, para permitir que nuevos nodos se unan a la red. Así, la unidad de control o el módulo de adaptación de fase del nodo pueden adaptarse para cambiar el nodo a cualquiera de las fases de la red ajustando el parámetro o parámetros de funcionamiento en consecuencia.

Al menos una fase de la red está limitada a un intervalo de tiempo o área operativa. El intervalo de tiempo puede ser predefinido o ajustable, por ejemplo, por un controlador central/segmento o un centro de servicio. El área operativa puede representar la totalidad o una parte de la red. Esto puede permitir una mayor seguridad, ya que una fase vulnerable, como una fase de aprendizaje o de puesta en servicio, puede detenerse automáticamente y la red puede volver a una fase de red más segura. En una realización, la red o los nodos son conmutables a cualquier fase de red intermedia, limitada en el tiempo o en el área. Así, la red o los nodos detienen esta fase intermedia de la red automáticamente, una vez transcurrido el tiempo. A continuación, pueden volver a otra fase de red predefinida o a la fase de red anterior, a partir de la cual se inició la fase de red intermedia.

Preferiblemente, los parámetros de funcionamiento de un nodo incluyen al menos uno de un número máximo o mínimo de mensajes o una frecuencia o tasa máxima o mínima de mensajes o un umbral de área o un umbral de tiempo máximo. Los mensajes pueden reconocerse por su tipo, por su nodo emisor, por su destino o por cualquier otra característica. Por ejemplo, durante una fase de puesta en servicio, puede permitirse o incluso exigirse un gran número de mensajes de puesta en servicio, mientras que durante una fase de funcionamiento de la red, puede no permitirse procesar ningún mensaje de puesta en servicio. Del mismo modo, es posible que sólo se permita un determinado número de mensajes de un determinado remitente y/o a un determinado destino. Esto es para evitar multiplicar y reproducir un mensaje escuchado en un ataque de denegación de servicio. Alternativa o adicionalmente, los parámetros de operación pueden incluir al menos uno de los siguientes: un índice de actualización de enrutamiento que indica si se permite la actualización de una tabla de enrutamiento, un índice de actualización de configuración que indica si se permite la actualización de la configuración de un nodo, un índice de puesta en servicio que indica si se permiten los mensajes de puesta en servicio y un índice de aceptación de extraños que indica si se permiten los mensajes de nodos desconocidos. Por ejemplo, durante la puesta en servicio, un nodo no conoce sus nodos vecinos, mientras que durante la fase de funcionamiento, el nodo puede considerar que la red es estática. Por lo tanto, durante la fase de funcionamiento, el al menos un parámetro de funcionamiento del nodo puede establecerse de forma que no se permita al nodo actualizar (completamente) su tabla de encaminamiento y/o aceptar o reenviar mensajes de nodos extraños. Como se ha mencionado anteriormente, los parámetros de funcionamiento pueden definirse localmente para una o más fases de red, de modo que el módulo de adaptación de fase busque los valores correspondientes de los parámetros de funcionamiento en función de la fase de red actual.

En una realización preferida de la presente invención, la unidad de control o el módulo de reconocimiento de fase de un nodo está adaptado para analizar un paquete de datos recibido para determinar si el comportamiento de la red y/o el tráfico de datos es normal para la fase de red actual. Por ejemplo, un comportamiento de red puede determinarse basándose en el tráfico de datos. Sin embargo, el comportamiento de la red también puede depender de otros parámetros, como la hora del día, el estado de la fuente de alimentación y similares. Por lo tanto, estos parámetros pueden tenerse en cuenta para observar el comportamiento de la red. A continuación, el comportamiento observado de la red puede compararse con características de fase predefinidas. Para ello, un paquete de datos puede analizarse con respecto a su tipo, su remitente, su destino o un último nodo de reenvío. Alternativa o adicionalmente, se puede determinar la frecuencia o el número de paquetes de datos recibidos y/o reenviados. Como se ha mencionado anteriormente, durante una fase de red concreta, puede que sólo se reenvíe un cierto número de paquetes de datos, por ejemplo, de un cierto tipo. Otro ejemplo es el comportamiento de procesamiento del nodo con respecto a los paquetes de datos cuyo remitente o destino se desconoce.

Preferiblemente, si se determina que el comportamiento de la red no es normal, por ejemplo, si el comportamiento de la red se desvía de una o más características de fase predefinidas de la fase de red correspondiente, la unidad de control o el módulo de reconocimiento de fase puede determinar un estado de ataque. En dicho estado de ataque, el comportamiento del nodo puede adaptarse en consecuencia. Por ejemplo, la unidad de control del nodo puede aplicar contramedidas con el fin de bloquear el ataque, por ejemplo, los mensajes a reenviar pueden ser descartados, el procesamiento de paquetes de datos puede ser rechazado y/o un dispositivo culpable puede ser identificado y marcado como no fiable. De este modo, cuando se rechaza el reenvío de paquetes de datos recibidos en un estado de ataque, se puede evitar inundar la red con mensajes falsos y bloquear así los enlaces de comunicación de la red. Alternativa y/o adicionalmente, la unidad de control puede estar adaptada para activar una alarma de ataque. Esto puede referirse a la transmisión, inundación o difusión de un mensaje de alarma a los nodos vecinos o al controlador central/segmento o centro de servicio. Por estos medios, los nodos circundantes y/o el controlador responsable pueden ser informados de un posible ataque y ponerse en estado de ataque, de modo que puedan reaccionar en consecuencia. Por lo tanto, un controlador central/segmento o un centro de servicios pueden tomar las contramedidas adecuadas. En lugar de que el comportamiento observado de la red se desvíe de las características de fase predefinidas, también puede determinarse el estado de ataque y/o activarse una alarma de ataque, si la unidad de control rechaza el procesamiento de un paquete de datos recibido basándose en los parámetros de funcionamiento ajustados del nodo. De este modo, se puede evitar un ataque de denegación de servicio.

En otra realización, el procesamiento de un paquete de datos recibido incluye al menos una de las siguientes acciones: reenviar el paquete de datos hacia su destino, aceptar el paquete de datos como destino y actualizar la configuración del nodo o la información de enrutamiento basándose en la información incluida en el paquete de datos.

En una realización preferida, el nodo es un nodo de luminaria de un sistema de iluminación, como un sistema de iluminación de calles, un sistema de iluminación de una zona pública o cualquier otro sistema de iluminación a gran escala.

Según otro aspecto de la presente invención, se proporciona un sistema para una red inalámbrica que comprende una pluralidad de nodos, de los cuales al menos algunos incluyen una unidad de control según una de las realizaciones precedentes, y un controlador central o controlador de segmento, en el que la pluralidad de nodos y el controlador central comprenden medios para la comunicación inalámbrica. Preferiblemente, la red inalámbrica es una red de radiofrecuencia, por ejemplo, una red de control remoto o telegestión de un sistema de iluminación. El controlador central puede estar adaptado para determinar una fase actual de la red mediante la supervisión del estado de uno o más nodos. Por ejemplo, el controlador central puede determinar si uno o más nodos han sido puestos en servicio con éxito o si un porcentaje predefinido de nodos ha sido puesto en servicio con éxito. El estado de una pluralidad de nodos puede determinarse mediante un estado medio o promedio de los nodos. Además, el controlador central puede estar adaptado para informar a los nodos sobre la fase de red actual determinada. Esto puede realizarse mediante la difusión, unidifusión, multidifusión o inundación de un mensaje correspondiente en la red. Alternativa o adicionalmente, el controlador central también puede informar a los nodos de la red sobre uno o más valores de uno o más parámetros de funcionamiento de acuerdo con la fase actual de la red.

De acuerdo con otro aspecto de la presente invención, se proporciona un método para operar una red inalámbrica con una pluralidad de nodos, que comprende los pasos de ajustar al menos un parámetro de operación de un nodo basado en una fase de red actual y procesar un paquete de datos recibido por el nodo basado en el parámetro de operación ajustado, en el que el nodo es conmutable a una fase de red intermedia, en el que la fase de red intermedia está limitada en el tiempo o en el área. Así, el método según la actual invención se puede adaptar para ser realizado por una unidad o un sistema de control según uno de las realizaciones antedichas de la actual invención.

Estos y otros aspectos de la invención serán evidentes y se aclararán con referencia a las realizaciones descritas a continuación. La invención se describirá con más detalle con respecto a las realizaciones ejemplares que se ilustran en las figuras adjuntas. Sin embargo, la invención no se limita a estas realizaciones ejemplares.

Breve descripción de los dibujos

En las figuras:

La Fig. 1 ilustra un ejemplo de red inalámbrica en malla;

La Fig. 2 ilustra un ataque denominado "gusano";

La Fig. 3 muestra una unidad de control según una realización de la presente invención;

La Fig. 4 muestra un ejemplo para determinar una fase de red según una realización de la presente invención; La Fig. 5 muestra un diagrama de flujo para ilustrar el comportamiento consciente de fase de un nodo según una realización de la presente invención; y

La Fig. 6 muestra un diagrama de flujo de un proceso de supervisión del comportamiento de la red según una realización de la presente invención.

Descripción detallada

Las aplicaciones preferidas de la presente invención son las redes de actuadores o las redes de sensores para diferentes aplicaciones, como la asistencia sanitaria, la gestión de la energía o los sistemas de iluminación, como los sistemas de iluminación exterior (por ejemplo, para calles, aparcamientos y zonas públicas) y los sistemas de iluminación interior para la iluminación general de zonas (por ejemplo, para centros comerciales, estadios, aparcamientos, estaciones, túneles, etc.). A continuación, la presente invención se explicará con más detalle utilizando el ejemplo de un sistema de iluminación exterior para la iluminación de calles, aunque sin limitarse a esta aplicación. En el campo del control del alumbrado, la telegestión de luminarias exteriores mediante tecnologías de redes de radiofrecuencia está recibiendo un interés creciente, en particular soluciones con aplicabilidad para instalaciones a gran escala con segmentos de más de 200 nodos de luminarias. Dado que las transmisiones por radiofrecuencia (RF) no requieren una gran potencia de transmisión y son fáciles de implantar y desplegar, pueden reducirse los costes de creación y funcionamiento de una red. Sin embargo, la transmisión de paquetes de datos puede utilizar alternativamente la comunicación por infrarrojos, la comunicación por luz visible en el espacio libre o la comunicación por línea eléctrica.

En un sistema de telegestión para el control de la iluminación, el número de nodos de luminaria 10 es extremadamente elevado. Por lo tanto, el tamaño de la red es muy grande, especialmente si se compara con las redes inalámbricas en malla comunes, que suelen contener menos de 200 nodos. Además, los nodos 10 suelen tener capacidades de procesamiento limitadas debido a consideraciones de coste, por lo que los recursos de procesamiento y memoria de los nodos de luminaria 10 serán limitados. Por lo tanto, las medidas de seguridad y los protocolos de comunicación para transmitir paquetes de datos entre nodos individuales 10 deben considerar los recursos limitados para una transmisión de paquetes de datos eficiente y segura. Por último, en comparación con otras redes en mallas ad hoc, el sistema de telegestión para una red de control de iluminación exterior es estacionario, es decir, los nodos de luminaria 10 no se mueven. Dado que los nodos de luminaria 10 (por ejemplo, los postes de la lámpara) son estacionarios, las posiciones de los nodos no cambiarán con el tiempo. Así pues, las posiciones físicas de los nodos 10, por ejemplo las coordenadas GPS u otros datos de posición, pueden conocerse en el sistema, lo que permite el encaminamiento geográfico o basado en la posición utilizando posiciones preprogramadas o predefinidas, de modo que no se requiere un receptor GPS en los nodos 10 individuales. Además, los nodos 10 no necesitan enviar actualizaciones de información de posición a otros nodos 10.

En la Fig. 3, se muestra una realización ejemplar de una unidad de control 100 según la presente invención. Esta unidad de control puede configurarse para ser insertable en un nodo de luminaria 10 ya existente para actualizar el mismo, tal vez como software de actualización o similar. La unidad de control 100 comprende un módulo de adaptación de fase 110 y un módulo de reconocimiento de fase 120 para adaptar el comportamiento operativo del nodo 10 a una fase de red actual. Por supuesto, el módulo de adaptación de fase 110 y el módulo de reconocimiento de fase 120 también pueden realizarse como un módulo combinado. Además, la unidad de control 100 puede incluir una memoria 130 para almacenar parámetros de funcionamiento, tablas de enrutamiento, fases de red y otros ajustes del nodo. Además, puede incluirse una unidad de transmisión para la comunicación inalámbrica, como la comunicación basada en radiofrecuencia (GPRS) y similares.

Según una realización, el módulo de adaptación de fase 110 ajusta los parámetros de funcionamiento del nodo 10 de acuerdo con la fase de red actual. Por ejemplo, cuando se determina que la fase de red ha cambiado, el módulo de adaptación de fase 110 de la unidad de control 100 ajusta uno o más de los parámetros de funcionamiento en consecuencia. Los valores de los parámetros de funcionamiento pueden predefinirse para las diferentes fases de la red y almacenarse localmente en los nodos 10. Alternativamente, los parámetros de operación pueden ser comunicados a los nodos 10 por el centro de servicio 80 o el controlador de segmento 60. Cuando se recibe un paquete de datos, el módulo de reconocimiento de fase 120 de la unidad de control 100 gestiona el paquete de datos recibido de acuerdo con la configuración de los parámetros de funcionamiento. Por lo tanto, los nodos 10 de la red son conscientes de la fase de red actual y sus parámetros de funcionamiento asociados.

Por ejemplo, los parámetros de funcionamiento pueden estar relacionados con el reenvío, la aceptación o el procesamiento de un paquete de datos, la actualización de las tablas de enrutamiento o la aceptación de mensajes de configuración o de puesta en servicio. Por ejemplo, durante una fase de puesta en servicio de la red, el parámetro de funcionamiento del nodo 10 relativo a la aceptación de mensajes de puesta en servicio (índice de puesta en servicio) se configurará de forma que el nodo 10 acepte mensajes de puesta en servicio y los procese adecuadamente. Por el contrario, en una fase de aprendizaje o en una fase de funcionamiento, es posible que no se acepten mensajes de puesta en servicio. Del mismo modo, puede determinarse mediante un parámetro de funcionamiento, por ejemplo mediante un índice de aceptación de extraños, que los mensajes recibidos de nodos emisores desconocidos o de nodos intermedios desconocidos sean admisibles durante la fase de puesta en servicio o la fase de aprendizaje, pero no durante la fase de funcionamiento. Como otro parámetro de funcionamiento, puede definirse un número de mensajes por unidad de tiempo, que puede establecerse para un determinado tipo de mensaje. Por ejemplo, durante la fase de puesta en servicio, a cualquier nodo 10 se le permite enviar un número predefinido n1 de mensajes de puesta en servicio por unidad de tiempo, pero durante la fase de funcionamiento, a un nodo 10 sólo se le permite enviar hasta n2 mensajes de puesta en servicio por unidad de tiempo, por ejemplo, con n1>n2. Para realizar esto, el módulo de reconocimiento de fase 120 puede adaptarse para mantener un registro del número n de mensajes de puesta en servicio reenviados durante la última unidad de tiempo ADt. Cuando este número n supera un umbral determinado (por ejemplo, n>n<fase>), que puede establecerse de forma diferente para cada fase de la red, por ejemplo, n1 para la fase de puesta en servicio y n2 para la fase de funcionamiento, el nodo 10 abandona todos estos mensajes de puesta en servicio para evitar inundar la red con mensajes de puesta en servicio falsos. Del mismo modo, es posible que el número de mensajes tenga que estar dentro de un rango específico. Obviamente, en lugar de un número por unidad de tiempo, se puede definir una frecuencia como parámetro de funcionamiento. Otro ejemplo de parámetro de operación es un índice de actualización de enrutamiento que indica si se permite la actualización de las tablas de enrutamiento. Por ejemplo, un nodo 10 aprende qué nodos 10 son sus vecinos o cercanos. Esta información puede ser utilizada en protocolos de enrutamiento, por ejemplo, un nodo 10 sólo reenvía mensajes de/a aquellos nodos listados en su tabla de enrutamiento. Por ejemplo, la creación de tablas de enrutamiento puede limitarse a un cierto periodo de tiempo, por ejemplo, el correspondiente a la fase de aprendizaje. Una vez transcurrido este periodo de tiempo, el módulo de adaptación de fase 110 puede establecer el índice de actualización de enrutamiento de "actualización permitida" a "actualización prohibida". De este modo, durante la fase de funcionamiento, la información de enrutamiento queda bloqueada, de modo que la tabla de enrutamiento no puede modificarse. Por lo tanto, cuando se recibe un mensaje que contiene nueva información de enrutamiento, el módulo de reconocimiento de fase 120 puede comprobar el parámetro de operación del índice de actualización de enrutamiento para determinar si se admite la actualización de la tabla de enrutamiento. En general, durante la fase de funcionamiento sólo deben permitirse cambios mínimos. Por lo tanto, después de la fase de aprendizaje, un nodo 10 de la red considera que la red es sustancialmente estática y puede no permitir una actualización de la tabla de encaminamiento. Por estos medios, se puede evitar que nodos atacantes lejanos, por ejemplo, los nodos de gusano A o B, se integren en las tablas de enrutamiento de los nodos 10 como nodos vecinos en un momento posterior, causando así la interrupción de la red o la denegación de servicio.

La fase de red actual puede determinarse localmente en los nodos individuales 10 o de forma centralizada por el centro de servicio 80 o por el controlador de segmento 60. Para una gestión central de las fases de red, el controlador de segmento 60 o el centro de servicio 80 pueden adaptarse para supervisar el estado de los nodos 10 con el fin de determinar la fase de red actual. Alternativamente, la fase de red puede definirse en términos de tiempo. Después de determinar la fase de red, el controlador de segmento 60 o el centro de servicio 80 pueden difundir de forma segura a la red o unidifundir a cada nodo 10 información sobre la fase de red actual. Además, el controlador de segmento 60 también puede difundir o unidifundir parámetros de funcionamiento asociados a la fase de red respectiva. Mediante este enfoque centralizado, el comportamiento de los nodos 10 y, por tanto, de la red puede adaptarse a la fase de red.

Para determinar la fase actual de la red, el controlador de segmento 60 o el centro de servicio 80 pueden, por ejemplo, monitorizar los nodos 10 de la red y el tráfico de red. Por ejemplo, cuando un nodo 10 se une a la red, se encuentra en modo de puesta en servicio. Este estado puede preconfigurarse, por ejemplo, en fábrica. El porcentaje de nodos 10 que ya se han unido a la red puede ser observado de forma centralizada, por ejemplo, por el controlador de segmento 60 o por el centro de servicio 80, con el fin de determinar la fase actual de la red. A modo de ejemplo, si el porcentaje de nodos 10 puestos en servicio con éxito supera un umbral predeterminado, normalmente cercano a 100, el controlador de segmento 60 o el centro de servicio 80 pueden informar a la red de que la fase de puesta en servicio se ha completado y que la fase de red ha cambiado a la fase de aprendizaje. Al ser informados de que la fase de red actual ha cambiado a la fase de aprendizaje, los módulos de adaptación de fase 110 de los nodos 10 ajustan los parámetros de funcionamiento en consecuencia. Si los valores de los parámetros de funcionamiento asociados a la nueva fase de red también son comunicados por el controlador de segmento 60 o el centro de servicio 80, los módulos de adaptación de fase 110 ajustan los parámetros de funcionamiento de los nodos 10 en consecuencia. Tras un periodo de tiempo determinado, que puede fijarse en función del tamaño de la red o de la información obtenida de los nodos 10 de la red, el centro de servicio 80 o el controlador de segmento 60 pueden decidir cambiar la fase actual de la red de la fase de aprendizaje a la fase de funcionamiento. De nuevo, los nodos 10 de la red son informados sobre la nueva fase de red.

En una realización alternativa, se sugiere una gestión distribuida de las fases de red. En esta realización, la fase de red actual se determina localmente en el nodo 10, por ejemplo, basándose en los mensajes recibidos o mediante la observación del tráfico de la red. En un ejemplo, cada nodo 10 sabe que pasará por al menos tres fases de red, es decir, una fase de puesta en servicio, una fase de aprendizaje y una fase de funcionamiento. Cuando un nodo 10 se instala en la red, se unirá a la red para ser puesto en servicio. Durante este periodo de tiempo, el nodo 10 observará la aparición de nuevos nodos 10 y el nodo 10 tendrá que reenviar mensajes de puesta en servicio de otros nodos 10. Por lo tanto, el nodo 10 puede llevar un registro del número de mensajes de puesta en servicio reenviados por unidad de tiempo, como se ilustra en el gráfico superior de la fig. 4. Después de algún tiempo, es decir, hacia el final de la puesta en servicio de la red, el nodo 10 observará una caída en el número de mensajes de puesta en servicio en algún momento. Si la tasa de mensajes de puesta en servicio o la frecuencia de mensajes de puesta en servicio se mantiene baja durante un cierto intervalo de tiempo Beta, el nodo 10 determinará que la fase de puesta en servicio se ha completado y que la fase actual de la red ha cambiado, por ejemplo, a la fase de funcionamiento, tal y como se representa en el gráfico inferior de la fig. 4. De este modo, el nodo 10 puede basarse en su propia información para obtener información sobre la fase actual de la red sin requerir la intervención del controlador de segmento 60 o del centro de servicio 80.

En otra realización, los nodos de red 10 son conmutables a cualquiera de las fases de red, independientemente de si han estado en esta fase anteriormente. Por ejemplo, un sistema de iluminación de RF, que ya se encuentra en la fase de funcionamiento, puede tener que ampliarse ocasionalmente con nodos de luminaria 10 adicionales. En este caso, puede resultar ventajoso conmutar la red a una fase de red intermedia, por ejemplo, a una de las fases de red iniciales, como la fase de puesta en servicio o de aprendizaje, dependiendo de las circunstancias. En una realización de gestión de fase central, el controlador de segmento 60 se encarga de la gestión de la red. Antes de ampliar la red para añadir nuevos nodos de luminaria 10, el controlador de segmento 60 informa a la red de la situación, por ejemplo, mediante difusión segura o unidifusión. Por ejemplo, se puede informar a la red de que se incluirán nuevos nodos de luminaria 10 y de que se permite el reenvío de mensajes no verificables, tales como mensajes de puesta en servicio. Asimismo, se puede informar a los nodos 10 de la red de que está permitido actualizar las tablas de enrutamiento o los parámetros o ajustes generales del nodo 10. De este modo, los módulos de adaptación de fase 110 de los nodos individuales 10 pueden establecer parámetros operativos, por ejemplo, el índice de actualización de enrutamiento o el índice de actualización de configuración, correspondientemente para indicar las nuevas reglas de procesamiento al módulo de reconocimiento de fase 120. Por supuesto, el controlador de segmento 60 puede establecer una combinación adecuada de parámetros de funcionamiento que incluya, por ejemplo, al menos uno de los siguientes: el índice de puesta en servicio, el índice de aceptación de extraños, el número umbral de mensajes, el índice de actualización de enrutamiento, un umbral de área, un umbral de tiempo máximo y el índice de actualización de configuración.

Sin embargo, al permitir estos cambios o actualizaciones en los nodos 10, se debilita la seguridad de la red. Por lo tanto, uno o más de estos ajustes de parámetros de funcionamiento pueden limitarse a una ventana de tiempo determinada. Alternativamente, el controlador de segmento 60 informa a los nodos de red 10, cuando la fase de red intermedia se ha completado. A continuación, los módulos de adaptación de fase 110 de los nodos 10 restablecerán los parámetros de funcionamiento modificados temporalmente a los valores de los parámetros de funcionamiento correspondientes a la fase de red, a partir de la cual se ha iniciado la fase temporal. Por estos medios, la red permanece flexible a los cambios.

En la fig. 5, se muestra un ejemplo para procesar un paquete de datos recibido correspondiente a la fase de red actual. Como se ha descrito anteriormente, la fase de red actual se determina de forma centralizada o local (S500). Sin embargo, un nodo 10 conoce la fase actual de la red y sus parámetros de operación son configurados en consecuencia por el módulo de adaptación de fase 110 (S510). Si el nodo 10 recibe un paquete de datos (S520), se analiza el paquete de datos (S510). Este análisis puede referirse únicamente a la comprobación de si el paquete de datos cumple los parámetros de funcionamiento establecidos del nodo 10, es decir, si se admite el procesamiento del paquete de datos de acuerdo con los parámetros de funcionamiento. Por ejemplo, si el parámetro de operación índice de aceptación de extraños se establece en " falso ", el paquete de datos sólo se acepta si el nodo remitente y/o el nodo de reenvío es conocido, por ejemplo, aparece en la tabla de enrutamiento del nodo receptor 10. Del mismo modo, se pueden comprobar todos los demás parámetros de funcionamiento para determinar si se acepta el paquete de datos. Sin embargo, el análisis en el paso S530 puede incluir adicionalmente un análisis adicional, por ejemplo, con respecto a al menos uno de los nodos remitente, el nodo de reenvío, desde el cual se recibe el paquete de datos, el nodo de destino, o parámetros de seguridad incluidos en el paquete de datos tales como un contador C asociado al nodo de reenvío, un código de integridad de mensaje MIC o similares. Basándose en el resultado del análisis, se decide si se acepta o no el paquete de datos (S540). Si el análisis del paquete de datos es negativo o si se determina que el paquete de datos no es aceptable debido a los parámetros de operación del nodo 10, el paquete de datos es descartado (S540). Sin embargo, si el paquete de datos cumple con las condiciones de los parámetros de operación y si todos los análisis adicionales han sido positivos, el paquete de datos es aceptado en el paso (S550) y el módulo de reconocimiento de fase 120 procede a procesar el paquete de datos basándose en los parámetros de operación actuales. Por ejemplo, dependiendo de la situación, el paquete de datos puede ser reenviado a su nodo de siguiente salto hacia su destino final o puede ser decodificado, si el nodo receptor 10 es el destino final. Asimismo, el procesamiento puede comprender el uso de la información incluida en el paquete de datos para actualizar las tablas de encaminamiento o los ajustes del nodo 10, si esto está permitido de acuerdo con los parámetros de funcionamiento del nodo 10. Por lo tanto, dado que los parámetros de funcionamiento del nodo 10 se establecen en función de la fase de red actual y los paquetes de datos recibidos se procesan en consecuencia, el comportamiento de los nodos de red 10 puede adaptarse a la fase de red actual. De este modo, la vulnerabilidad de la red puede reducirse al mínimo.

En la fig. 6, se ilustra la detección de un ataque según una realización de la presente invención. En general, el nodo 10 es consciente de la fase actual de la red y sus parámetros de funcionamiento se establecen en consecuencia. Para la detección de ataques, el nodo 10 observa el comportamiento de la red de forma continua o en intervalos de tiempo predeterminados (S600). Por ejemplo, el nodo 10 monitoriza el tráfico de datos, por ejemplo mediante paquetes de datos recibidos, paquetes de datos a reenviar y similares. En el paso S610, se analiza el comportamiento de la red para determinar si está permitido. Esto puede ser realizado por el módulo de reconocimiento de fase 120 del nodo 10 basándose en los parámetros de operación actuales. En un ejemplo, este proceso de determinación del paso S 610 corresponde al análisis de paquetes de datos individuales, por ejemplo, como se describe con respecto a la fig. 5, paso S530. Cuando se determina que el comportamiento de red es inusual o no está permitido para la fase de red actual, el nodo 10 pasa a un estado de ataque (S620). En particular, si un nodo 10 advierte que se rechaza el procesamiento de un paquete de datos, por ejemplo debido al resultado del análisis en el paso S530 o que no se le permite realizar una acción solicitada sobre el paquete de datos, tal como reenviar un paquete de datos recibido, el nodo 10 puede determinar un estado de ataque (S620). Preferiblemente, el estado de ataque no se activa por un único incidente, sino tras un cierto número de incidentes de este tipo. Puede predefinirse un umbral correspondiente en el nodo 10. Una vez activado el estado de ataque, el nodo 10 puede actuar en consecuencia. Por ejemplo, el nodo 10 puede transmitir una alarma de ataque a la red o al controlador de segmento 60 o al centro de servicio 80, utilizando difusión, unidifusión, inundación o similares, con el fin de activar el estado de ataque en otros nodos 10 o para informar al controlador de segmento 60 o al centro de servicio 80. Además, los parámetros de funcionamiento del nodo 10 en estado de ataque pueden ajustarse a la configuración más restrictiva y segura. Preferiblemente, también se descartan todos los mensajes recibidos que deban reenviarse. Por estos medios, un ataque puede ser rechazado, antes de que pueda hacer ningún daño a la red.

Por lo tanto, de acuerdo con la presente invención, el inicio de ataques hostiles puede ser impedido y los ataques hostiles en curso pueden ser bloqueados por medio de un comportamiento de nodo consciente de la fase. Al admitir agujeros de seguridad en la red sólo durante las fases de la red, en las que esto es absolutamente necesario para el funcionamiento de la red, se minimiza la vulnerabilidad de la red. Además, al poder conmutar la red a cualquiera de las fases de red, ésta se mantiene flexible para actualizaciones, cambios o ampliaciones. Todo ello puede conseguirse de acuerdo con la presente invención, sin complicar el funcionamiento del nodo único ni degradar la eficacia de la comunicación.

En la descripción anterior, las realizaciones de la invención se han descrito utilizando el ejemplo de un sistema de iluminación. Sin embargo, muchas otras redes y sistemas, en particular las redes inalámbricas que utilizan estándares como ZigBee-IP ligero, 6LoWPAN/CoRE pueden beneficiarse de los mismos principios básicos para evitar que los atacantes lancen ataques DoS y otros ataques hostiles.

Claims (14)

REIVINDICACIONES

1. Una unidad de control (100) para un nodo (10) de una red, que comprende:

un módulo de adaptación de fase (110) para ajustar al menos un parámetro de funcionamiento del nodo (10) basándose en una fase de red actual de entre una pluralidad de fases de red; y en el que un nodo (10) está adaptado para ser conmutado a una de la pluralidad de fases de red;

un módulo consciente de la fase (120) para procesar un paquete de datos recibido basado en el parámetro de funcionamiento,

en donde el nodo (10) es conmutable a una fase de red intermedia, en donde la fase de red intermedia está limitada en el tiempo o en el área.

2. Una unidad de control (100) según la reivindicación 1, en la que el ajuste de al menos un parámetro de funcionamiento del nodo (10) se limita a un período de tiempo basado en la fase de red intermedia.

3. Una unidad de control (100) según la reivindicación 2, en la que los módulos de adaptación de fase 110 están dispuestos para restablecer los parámetros de funcionamiento modificados temporalmente a los valores de los parámetros de funcionamiento correspondientes a la fase de red, a partir de la cual se ha iniciado la fase de red intermedia.

4. Una unidad de control (100) según la reivindicación 1, en la que el módulo de reconocimiento de fase (120) está además adaptado para analizar paquetes de datos recibidos para observar el comportamiento de red y comparar el comportamiento de red observado con una o más características de fase predefinidas.

5. Una unidad de control (100) según la reivindicación 1, en la que si un comportamiento de red observado se desvía de una o más características de fase predefinidas, se determina un estado de ataque y/o se activa una alarma.

6. Una unidad de control (100) según una cualquiera de las reivindicaciones precedentes, en la que un paquete de datos recibido se deja caer en un estado de ataque.

7. Unidad de control (100) según una cualquiera de las reivindicaciones precedentes, en la que el parámetro de funcionamiento del nodo (10) incluye al menos uno de un umbral de número de mensajes, un umbral de frecuencia de mensajes, un umbral de área, un umbral de tiempo máximo, un índice de aceptación de extraños, un índice de puesta en servicio, un índice de actualización de configuración y un índice de actualización de enrutamiento.

8. Unidad de control (100) según una cualquiera de las reivindicaciones precedentes, en la que una fase de red actual se determina basándose en características de fase.

9. Una unidad de control (100) según una cualquiera de las reivindicaciones precedentes, en la que una fase de red actual se determina basándose en información proporcionada por un controlador central (60) o centro de servicio (80).

10. Una unidad de control (100) según una cualquiera de las reivindicaciones precedentes, en la que el parámetro de funcionamiento o un conjunto de parámetros de funcionamiento está predefinido para al menos una fase de red.

11. Unidad de control (100) según una cualquiera de las reivindicaciones precedentes, en la que el nodo (10) es un nodo de luminaria de un sistema de iluminación.

12. Un sistema para una red, que comprende:

una pluralidad de nodos (10), de los cuales al menos algunos comprenden

una unidad de control (100) según una de las reivindicaciones precedentes; y

un controlador central (60);

en el que la pluralidad de nodos (10) y el controlador central (60) están adaptados para la comunicación inalámbrica.

13. El sistema para una red según la reivindicación 12, en el que el controlador central (60) o los nodos (10) están adaptados para determinar una fase de red basada en un estado medio de al menos un subconjunto de nodos (10).

14. Un método para operar una red con una pluralidad de nodos (10), que comprende los pasos de: ajustar al menos un parámetro de funcionamiento de al menos un nodo (10) en función de una fase de red actual de entre una pluralidad de fases de red;

en la que un nodo (10) está adaptado para ser conmutado a una de las fases de red; y

procesamiento de un paquete de datos recibido por el nodo (10) basado en el parámetro de funcionamiento; en donde el nodo (10) es conmutable a una fase de red intermedia, en donde la fase de red intermedia está limitada en el tiempo o en el área.