胡伏湘

（長(zhǎng)沙民政學(xué)院，湖南 長(zhǎng)沙 410004）

無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)（Wireless Mesh Network-WMN）是一種多跳、具有自組織和自愈合等特點(diǎn)的新型寬帶無(wú)線(xiàn)網(wǎng)絡(luò)，是一種高容量、高速率的分布式網(wǎng)絡(luò)，不同于傳統(tǒng)的無(wú)線(xiàn)網(wǎng)絡(luò)，它既吸收了無(wú)線(xiàn)局域網(wǎng)的特點(diǎn)，又融合了移動(dòng)Ad Hoc 網(wǎng)絡(luò)多跳的優(yōu)勢(shì)，是解決最后一公里無(wú)線(xiàn)寬帶接入瓶頸問(wèn)題的理解方案。無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)基于IP 協(xié)議，任何無(wú)線(xiàn)設(shè)備節(jié)點(diǎn)接入網(wǎng)絡(luò)后，既能發(fā)送和接收信號(hào)，又具備路由轉(zhuǎn)發(fā)功能，充當(dāng)路由器，能與一個(gè)或多個(gè)對(duì)等節(jié)點(diǎn)進(jìn)行直接通信，其最大好處在于：如果鄰近的AP 由于流量過(guò)大而導(dǎo)致?lián)砣脑?huà)，數(shù)據(jù)可以自動(dòng)重新路由到一個(gè)通信流量較小的相鄰節(jié)點(diǎn)進(jìn)行傳輸，直到到達(dá)最終目的地為止，即多跳（multi-hop）訪問(wèn)。

一、無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)的體系結(jié)構(gòu)

WMN 的體系結(jié)構(gòu)由無(wú)線(xiàn)骨干網(wǎng)和無(wú)線(xiàn)移動(dòng)接入部分組成，前者的位置相對(duì)固定，由無(wú)線(xiàn)Mesh 路由器組成，提供無(wú)線(xiàn)回程功能，具有較少的移動(dòng)性，無(wú)線(xiàn)移動(dòng)接入部分由用戶(hù)節(jié)點(diǎn)連接接入點(diǎn)AP 和無(wú)線(xiàn)用戶(hù)終端節(jié)點(diǎn)組成。近端用戶(hù)節(jié)點(diǎn)可以直接關(guān)聯(lián)接入點(diǎn)，而距離骨干網(wǎng)節(jié)點(diǎn)較遠(yuǎn)的用戶(hù)，可以通過(guò)其它用戶(hù)中繼后進(jìn)入WMN，用戶(hù)節(jié)點(diǎn)之間的互聯(lián)具有自組織、自配置的特性。如圖1 所示：

無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)通常包括三類(lèi)節(jié)點(diǎn)：客戶(hù)端（移動(dòng)終端）節(jié)點(diǎn)、路由節(jié)點(diǎn)和網(wǎng)關(guān)節(jié)點(diǎn)，它是一個(gè)可靠、冗余的無(wú)線(xiàn)網(wǎng)絡(luò)。當(dāng)一個(gè)節(jié)點(diǎn)發(fā)生故障，其它節(jié)點(diǎn)還是可以通過(guò)一個(gè)或者多個(gè)中間節(jié)點(diǎn)互相連接后通訊，節(jié)點(diǎn)的接入和撤出都容易實(shí)現(xiàn)。

二、無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)的安全威脅

無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)是WLAN（無(wú)線(xiàn)局域網(wǎng)）和Ad Hoc（自組織）網(wǎng)絡(luò)技術(shù)的結(jié)合，其體系結(jié)構(gòu)決定了它固有的脆弱性和漏洞。

（一）通信鏈路的開(kāi)放性

圖1 無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)體系結(jié)構(gòu)

WMN 節(jié)點(diǎn)之間的通信是建立在互相信任和協(xié)作的基礎(chǔ)上，相鄰節(jié)點(diǎn)的路由轉(zhuǎn)發(fā)都是真實(shí)信息，事實(shí)上這種機(jī)制給竊聽(tīng)者提供了方便之門(mén)，在無(wú)線(xiàn)鏈路上增加節(jié)點(diǎn)無(wú)須認(rèn)證和身份識(shí)別，因此易于受到主動(dòng)攻擊和被動(dòng)攻擊，也會(huì)導(dǎo)致信息失真，主動(dòng)攻擊會(huì)泄露機(jī)密，被動(dòng)攻擊使通信內(nèi)容的可用性、完整性、不可否認(rèn)性失效，一個(gè)偽造的節(jié)點(diǎn)可能導(dǎo)致網(wǎng)絡(luò)通信過(guò)程的混亂。

（二）網(wǎng)絡(luò)攻擊

缺少物理層的保護(hù)導(dǎo)致網(wǎng)絡(luò)不但容易遭受外部攻擊，而且容易受到來(lái)自?xún)?nèi)部的攻擊，WMN 沒(méi)有控制中心，所有骨干節(jié)點(diǎn)和終端節(jié)點(diǎn)的地位平等，所以無(wú)法使用有線(xiàn)網(wǎng)絡(luò)和無(wú)線(xiàn)網(wǎng)絡(luò)中的CA 認(rèn)證等控制中心進(jìn)行安全管理，相應(yīng)的保障措施與安全協(xié)議不能直接應(yīng)用于無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)，而網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的動(dòng)態(tài)性導(dǎo)致節(jié)點(diǎn)間的信任度不穩(wěn)定，安全認(rèn)證難度增加。外部攻擊利用共享無(wú)線(xiàn)介質(zhì)偽裝成合法節(jié)點(diǎn)、攔截路由信息、插入偽造的路由信息造成節(jié)點(diǎn)無(wú)法通信，內(nèi)部攻擊則通過(guò)控制合法節(jié)點(diǎn)生成錯(cuò)誤的路由信息進(jìn)行攻擊。

（三）路由攻擊

WMN 的拓?fù)浣Y(jié)構(gòu)和節(jié)點(diǎn)位置的動(dòng)態(tài)變化，攻擊者主要針對(duì)路由信息和路由發(fā)現(xiàn)過(guò)程，對(duì)合法節(jié)點(diǎn)的路由表進(jìn)行攻擊，主要表現(xiàn)為五種形式：1.篡改路由表：惡意節(jié)點(diǎn)發(fā)送偽造的路由信息，或者篡改其他節(jié)點(diǎn)的有效信息，導(dǎo)致節(jié)點(diǎn)在選擇路由時(shí)采用非優(yōu)化路徑甚至出現(xiàn)路由環(huán)，影響節(jié)點(diǎn)的正常通信或者信息泄露。2.黑洞攻擊（blackhole）：惡意節(jié)點(diǎn)向接收到的路由請(qǐng)求包中加入虛假可用路由信息，欺騙其他節(jié)點(diǎn)同自己建立路由連接，竊取數(shù)據(jù)包并丟棄待轉(zhuǎn)發(fā)的部分?jǐn)?shù)據(jù)包。3.蟲(chóng)洞攻擊（wormhole）：通常是由兩個(gè)及以上處于較遠(yuǎn)位置的惡意節(jié)點(diǎn)合作完成，一個(gè)惡意節(jié)點(diǎn)運(yùn)用用隧道方式將報(bào)文傳給另一個(gè)惡意節(jié)點(diǎn)，造成兩個(gè)節(jié)點(diǎn)間不超過(guò)兩跳的假象，誘使其它節(jié)點(diǎn)通過(guò)此路由傳送數(shù)據(jù)包，擾亂正常通信秩序。4.泛洪攻擊（flooding）。惡意節(jié)點(diǎn)不斷向合法節(jié)點(diǎn)發(fā)送通向無(wú)效節(jié)點(diǎn)的路由請(qǐng)求，通過(guò)網(wǎng)絡(luò)泛洪消耗占用節(jié)點(diǎn)有限的路由表存儲(chǔ)空間和處理時(shí)間，消耗系統(tǒng)資源，使合法節(jié)點(diǎn)無(wú)法及時(shí)接收和處理其它節(jié)點(diǎn)的連接請(qǐng)求，從而降低節(jié)點(diǎn)的處理能力乃至拒絕服務(wù)（DoS）。5.女巫攻擊（Sybil）：一個(gè)節(jié)點(diǎn)通過(guò)將一個(gè)物理設(shè)備偽裝成多個(gè)節(jié)點(diǎn)身份，獲取多個(gè)節(jié)點(diǎn)的網(wǎng)絡(luò)資源，影響路由協(xié)議的運(yùn)行，導(dǎo)致資源分配的混亂。

三、無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)安全體系設(shè)計(jì)

在設(shè)計(jì)無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)的安全機(jī)制時(shí)，首先需要提供合法用戶(hù)與非法用戶(hù)的檢測(cè)方法，將外部攻擊阻止在骨干網(wǎng)以外；同時(shí)不能給網(wǎng)絡(luò)增加過(guò)多的負(fù)擔(dān)，盡量減少對(duì)帶寬資源和處理速度的占用；還要有較好的容錯(cuò)性和擴(kuò)充性，當(dāng)自身遭受攻擊時(shí)，能夠自我修復(fù)，快速響應(yīng)拓?fù)浣Y(jié)構(gòu)的變化。

（一）基本安全框架設(shè)計(jì)

根據(jù)無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)存在的主要安全隱患，設(shè)計(jì)出由身份認(rèn)證服務(wù)器、防火墻（FW）、入侵檢測(cè)系統(tǒng)、故障診斷與自修復(fù)四個(gè)部分組成的安全防制體系，如圖2 所示。

圖2 無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)安全框架

防火墻通過(guò)包過(guò)濾等手段隔離外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)，阻止來(lái)自Internet 的攻擊，身份認(rèn)證服務(wù)用于識(shí)別合法用戶(hù)并分配權(quán)限，阻止非法用戶(hù)進(jìn)入，入侵檢測(cè)系統(tǒng)IDS 通過(guò)分析通信流，檢測(cè)出已經(jīng)成功穿過(guò)網(wǎng)絡(luò)邊界的攻擊者的惡意行為，防止破壞性信息的擴(kuò)散。

（二）通過(guò)身份認(rèn)證阻止外部攻擊

身份認(rèn)證以建立在內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)（主要是Internet）之間的一道關(guān)卡，所有由外部網(wǎng)絡(luò)進(jìn)入WMN 的用戶(hù)必須經(jīng)過(guò)身份認(rèn)證服務(wù)器的識(shí)別，采用網(wǎng)絡(luò)身份證和動(dòng)態(tài)口令相結(jié)合的方法。訪問(wèn)網(wǎng)絡(luò)資源的用戶(hù)，向認(rèn)證服務(wù)器發(fā)出請(qǐng)求，認(rèn)證服務(wù)器記錄其IP 地址和機(jī)器名等相關(guān)信息，然后創(chuàng)建一個(gè)唯一的網(wǎng)絡(luò)身份證分發(fā)給用戶(hù)，并設(shè)置類(lèi)型和操作權(quán)限，在用戶(hù)登錄時(shí)，隨機(jī)產(chǎn)生一個(gè)動(dòng)態(tài)口令，要求在較短的時(shí)間范圍內(nèi)輸入口令，超時(shí)作廢，反復(fù)發(fā)送請(qǐng)求或者多次輸入無(wú)效者將被視為非法用戶(hù)，處理方式是凍結(jié)此賬戶(hù)。

（三）運(yùn)用加密技術(shù)防御竊聽(tīng)攻擊

無(wú)線(xiàn)介質(zhì)的開(kāi)放性，更加容易受到入侵者的監(jiān)聽(tīng)，入侵者通過(guò)安置木馬等方式向網(wǎng)絡(luò)發(fā)送大量的虛假數(shù)據(jù)包，回收其它節(jié)點(diǎn)的響應(yīng)包，從而對(duì)這些包進(jìn)行分析以獲取合法用戶(hù)的通信內(nèi)容和敏感信息。針對(duì)這一類(lèi)型的攻擊，可以在骨干網(wǎng)的節(jié)點(diǎn)上采用加密技術(shù)來(lái)防御。通過(guò)對(duì)無(wú)線(xiàn)信道傳輸?shù)臄?shù)據(jù)進(jìn)行加密處理，保證節(jié)點(diǎn)的認(rèn)證過(guò)程和傳送的路由信息都得到加密算法的支持，即使通信雙方的數(shù)據(jù)被截獲，也難以破解其真實(shí)內(nèi)容，保證了通信過(guò)程的安全性。

（四）運(yùn)用入侵檢測(cè)系統(tǒng)防御路由攻擊

入侵檢測(cè)系統(tǒng)（IDS）是依照一定的安全策略，通過(guò)軟硬件和網(wǎng)絡(luò)系統(tǒng)的運(yùn)行狀況進(jìn)行監(jiān)視，盡可能發(fā)現(xiàn)各種攻擊企圖、攻擊行為或者攻擊結(jié)果，以保證網(wǎng)絡(luò)資源的機(jī)密性、完整性和可用性，基于主機(jī)的IDS 以操作系統(tǒng)記錄、應(yīng)用程序日志以及加載的內(nèi)核模塊作為審計(jì)日志進(jìn)行入侵檢測(cè)，基于網(wǎng)絡(luò)的IDS以捕獲的數(shù)據(jù)包作為審計(jì)日志進(jìn)行入侵檢測(cè)。

入侵檢測(cè)過(guò)程的設(shè)計(jì)方法是：首先，將合法用戶(hù)的正常行為特征保存在IDS 服務(wù)器數(shù)據(jù)庫(kù)中，利用IDS 的信息收集模塊捕獲泛洪等方式發(fā)出的異常數(shù)據(jù)，運(yùn)用入侵檢測(cè)分析算法將異常信息和行為特征文件進(jìn)行比較，任何超過(guò)基線(xiàn)的行為將被視為入侵，激活響應(yīng)機(jī)制，屏蔽信息源節(jié)點(diǎn)。其次，建立并逐步完善入侵模型庫(kù)，將收集到的異常代碼與入侵模型逐一對(duì)比，當(dāng)相似度達(dá)到一定的閾值時(shí)即可認(rèn)定為入侵。第三，在網(wǎng)絡(luò)中安裝適當(dāng)數(shù)量的匯聚點(diǎn)，實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)流量，如果某一節(jié)點(diǎn)頻繁發(fā)出無(wú)效數(shù)據(jù)包，則啟動(dòng)預(yù)警程序，進(jìn)入警戒狀態(tài)，對(duì)可疑節(jié)點(diǎn)全方面監(jiān)聽(tīng)與處理。其入侵檢測(cè)算法如下：

四、結(jié)語(yǔ)

針對(duì)無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)體系結(jié)構(gòu)的特點(diǎn)，分析了它存在的安全威脅，以此為基礎(chǔ)設(shè)計(jì)了這種網(wǎng)絡(luò)的安全框架并探討了相關(guān)算法。但由于無(wú)線(xiàn)網(wǎng)絡(luò)鏈路的開(kāi)放性和拓?fù)浣Y(jié)構(gòu)的不穩(wěn)定性，決定了其安全技術(shù)涉及到硬件、軟件和接入管理的各個(gè)方面，在安全路由算法、入侵檢測(cè)模型的設(shè)計(jì)和鏈路加密等領(lǐng)域并未做過(guò)多的研究，這也是下一步要研究的內(nèi)容。

[1]李宏建,徐明,李洋.無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)入侵檢測(cè)關(guān)鍵技術(shù)研究[J].計(jì)算機(jī)工程與科學(xué).2009，(31).

[2]劉振華.無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)安全機(jī)制研究[D].中國(guó)科學(xué)技術(shù)大學(xué),2011.

[3]李宏建.無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)安全關(guān)鍵技術(shù)研究[D].國(guó)防科學(xué)技術(shù)大學(xué),2011.

[4]郭淵博,楊奎武,張暢.無(wú)線(xiàn)局域網(wǎng)安全設(shè)計(jì)與實(shí)現(xiàn)[M].北京:國(guó)防工業(yè)出版社,2010.

[5]Debdutta Barman Roy, Rituparna Chaki, Nabendu Chaki: A New Cluster-based Wormhole Intrusion detection algorithm for Mobile Ad -Hoc Networks [M].CoRR abs/1004:0587,2010.

[6]隋雷,姜文博,楊奎武等.無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)安全攻擊及防御[J].互聯(lián)網(wǎng)天地.2013，(2).

[7]王翔宇,易平,杜尚鑫.無(wú)線(xiàn)Mesh 網(wǎng)絡(luò)路由攻擊及防范[J].計(jì)算 機(jī)應(yīng)用.2011,(6).

[8]劉 源,阮 清 強(qiáng),何 遠(yuǎn).無(wú) 線(xiàn)Mesh 網(wǎng) 絡(luò) 安 全 研 究[J].學(xué) 術(shù) 研究,2010,(3).

[9]于文乾.無(wú)線(xiàn)網(wǎng)絡(luò)安全關(guān)鍵技術(shù)研究與分析[D].山東大學(xué),2006.

[10]余海,曹蕾.基于WiFi 的無(wú)線(xiàn)網(wǎng)狀（Mesh）組網(wǎng)技術(shù)[J].現(xiàn) 代 電 子 技 術(shù).2011，(5).