基于云信任模型的多宿移動(dòng)子網(wǎng)可信移動(dòng)路由器選擇方法
【專利摘要】本發(fā)明公開了一種基于云信任模型的多宿移動(dòng)子網(wǎng)可信移動(dòng)路由器選擇方法，主要解決現(xiàn)有技術(shù)安全信任評(píng)估過(guò)于靜態(tài)的問(wèn)題。其實(shí)現(xiàn)步驟為：（1）移動(dòng)路由器在歸屬代理路由器端進(jìn)行注冊(cè)綁定；（2）歸屬代理路由器監(jiān)控記錄移動(dòng)路由器的負(fù)載、移動(dòng)節(jié)點(diǎn)數(shù)和生存期三種行為信息；（3）構(gòu)建反映信任評(píng)估不確定性的云信任參數(shù)計(jì)算模型；（4）歸屬代理路由器根據(jù)上述的三種行為信息，通過(guò)云信任參數(shù)計(jì)算模型計(jì)算移動(dòng)路由器的信任值；（5）歸屬代理路由器向移動(dòng)節(jié)點(diǎn)安全傳送移動(dòng)路由器的信任值；（6）移動(dòng)節(jié)點(diǎn)根據(jù)移動(dòng)路由器的信任值選擇信任值最大的移動(dòng)路由器接入。本發(fā)明具有信任評(píng)估動(dòng)態(tài)化和節(jié)省移動(dòng)設(shè)備資源的優(yōu)點(diǎn)，可用于智能交通、空天無(wú)線通信。
【專利說(shuō)明】基于云信任模型的多宿移動(dòng)子網(wǎng)可信移動(dòng)路由器選擇方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明屬于網(wǎng)絡(luò)安全【技術(shù)領(lǐng)域】，特別涉及一種可信移動(dòng)路由器選擇方法，可以用于抵抗多宿移動(dòng)子網(wǎng)中移動(dòng)路由器的惡意行為。
【背景技術(shù)】
[0002]MIPv6 (Mobile IPv6)協(xié)議為移動(dòng)節(jié)點(diǎn)MN在移動(dòng)過(guò)程中通信不中斷提供了支持，移動(dòng)節(jié)點(diǎn)麗從舊的接入點(diǎn)PAR切換到新的接入點(diǎn)NAR時(shí)，會(huì)執(zhí)行切換過(guò)程。移動(dòng)節(jié)點(diǎn)麗需要從新的接入點(diǎn)處獲得新的轉(zhuǎn)交地址CoA，并通過(guò)發(fā)送綁定更新消息BU告知?dú)w屬代理HA其獲得新的轉(zhuǎn)交地址CoA。歸屬代理HA在綁定緩存中存儲(chǔ)移動(dòng)節(jié)點(diǎn)MN的歸屬地址HoA和轉(zhuǎn)交地址CoA的綁定，然后向移動(dòng)節(jié)點(diǎn)MN發(fā)送綁定確認(rèn)消息BA，并將所有發(fā)往移動(dòng)節(jié)點(diǎn)MN歸屬地址HoA的分組轉(zhuǎn)發(fā)到新的歸屬地址CoA。雖然MIPv6支持移動(dòng)節(jié)點(diǎn)在移動(dòng)時(shí)通信不中斷，但是如果有大量移動(dòng)節(jié)點(diǎn)同時(shí)發(fā)生接入點(diǎn)切換時(shí)，如在汽車或者火車上乘客們的手持移動(dòng)設(shè)備，網(wǎng)絡(luò)中將瞬間出現(xiàn)大量綁定更新消息BU和綁定確認(rèn)消息BA，由于無(wú)線網(wǎng)絡(luò)鏈路的帶寬較小，這些消息將造成網(wǎng)絡(luò)瞬間擁塞甚至中斷癱瘓。
[0003]為了解決這個(gè)問(wèn)題，IETF的NEMO (Network Mobility)工作組在2005年提出了網(wǎng)絡(luò)移動(dòng)支持協(xié)議NBSP(Network Mobility Support Protocol)。網(wǎng)絡(luò)移動(dòng)支持協(xié)議NBSP指出一個(gè)移動(dòng)子網(wǎng)NEMO是可以移動(dòng)并能附著到路由基礎(chǔ)設(shè)施中任意點(diǎn)的一個(gè)網(wǎng)絡(luò)段或者子網(wǎng)絡(luò)，每個(gè)移動(dòng)子網(wǎng)至少包含一個(gè)移動(dòng)路由器MR，并可以包含多個(gè)移動(dòng)節(jié)點(diǎn)MN。移動(dòng)路由器MR可以為多個(gè)移動(dòng)節(jié)點(diǎn)MN提供接入服務(wù)，且移動(dòng)子網(wǎng)在移動(dòng)過(guò)程中發(fā)生網(wǎng)絡(luò)接入點(diǎn)切換時(shí)，只有移動(dòng)路由器會(huì)執(zhí)行切換過(guò)程，所有的移動(dòng)節(jié)點(diǎn)MN不發(fā)起切換過(guò)程。網(wǎng)絡(luò)移動(dòng)支持協(xié)議NBSP有效地解決了大量移動(dòng)節(jié)點(diǎn)同時(shí)切換時(shí)的網(wǎng)絡(luò)擁塞問(wèn)題，但是，只有一個(gè)移動(dòng)路由器MR的移動(dòng)子網(wǎng)是不可靠的，如果移動(dòng)路由器MR出現(xiàn)問(wèn)題，整個(gè)移動(dòng)子網(wǎng)的通信將完全中斷。因此，需要在一個(gè)移動(dòng)子網(wǎng)中設(shè)置多個(gè)移動(dòng)路由器，移動(dòng)子網(wǎng)中的移動(dòng)節(jié)點(diǎn)MN可以選擇任意一個(gè)移動(dòng)路由器接入。設(shè)置有多個(gè)移動(dòng)路由器的移動(dòng)子網(wǎng)稱為多宿移動(dòng)子網(wǎng)。
[0004]無(wú)線網(wǎng)絡(luò)的開放性和移動(dòng)路由器MR的網(wǎng)關(guān)特性使得移動(dòng)路由器MR很容易遭受各類網(wǎng)絡(luò)威脅，這些網(wǎng)絡(luò)威脅分為三類:來(lái)自移動(dòng)子網(wǎng)外部的攻擊，如無(wú)線干擾、非法接入訪問(wèn)等；移動(dòng)路由器自身的惡意行為，如流量重定向、竊聽(tīng)分析、惡意丟包等；移動(dòng)路由器的故障，如隊(duì)列錯(cuò)誤、轉(zhuǎn)發(fā)時(shí)延增大、宕機(jī)等。上述移動(dòng)路由器自身的惡意行為可能是由于移動(dòng)路由器遭到黑客滲透、入侵和控制，或者移動(dòng)路由器在生產(chǎn)時(shí)被植入惡意芯片等。
[0005]如果進(jìn)入多宿移動(dòng)子網(wǎng)的移動(dòng)節(jié)點(diǎn)接入了一個(gè)具有惡意行為的移動(dòng)路由器，就會(huì)威脅到自身的通信安全，因此移動(dòng)節(jié)點(diǎn)應(yīng)該選擇一個(gè)安全可信的移動(dòng)路由器接入。
[0006]雖然在移動(dòng)子網(wǎng)安全方面已經(jīng)有很多的研究，但這些研究都是采用傳統(tǒng)的安全機(jī)制，即基于身份的認(rèn)證、加密、授權(quán)及訪問(wèn)控制。如果移動(dòng)路由器MR和移動(dòng)節(jié)點(diǎn)MN能夠相互確認(rèn)對(duì)方身份的真實(shí)性，則認(rèn)為對(duì)方是絕對(duì)可信的，即這種安全保證是靜態(tài)的。傳統(tǒng)安全機(jī)制可以抵抗一部分外部網(wǎng)絡(luò)攻擊，如非法接入訪問(wèn)等，但無(wú)法抵御移動(dòng)路由器自身的惡意行為和移動(dòng)路由器故障異常這兩種威脅。例如一個(gè)移動(dòng)路由器MR在遭到黑客滲透和控制后，會(huì)向移動(dòng)子網(wǎng)內(nèi)所有的移動(dòng)節(jié)點(diǎn)發(fā)送虛假路由通告消息以吸引更多的移動(dòng)節(jié)點(diǎn)接入，然后通過(guò)控制此移動(dòng)路由器MR將所有接入的移動(dòng)節(jié)點(diǎn)的通信分組重定向到一個(gè)指定的惡意節(jié)點(diǎn)，此惡意節(jié)點(diǎn)能夠竊取分組中的信息或進(jìn)行流量分析，導(dǎo)致移動(dòng)子網(wǎng)內(nèi)多個(gè)移動(dòng)節(jié)點(diǎn)的通信信息泄露。另外，如果一個(gè)移動(dòng)路由器MR發(fā)生故障，例如隊(duì)列錯(cuò)誤或者時(shí)延變大，會(huì)導(dǎo)致接入此移動(dòng)路由器MR的所有移動(dòng)節(jié)點(diǎn)的分組丟包率上升、時(shí)延增大，如果這個(gè)移動(dòng)子網(wǎng)是一個(gè)災(zāi)害救援小組的通信網(wǎng)絡(luò)，將會(huì)造成內(nèi)外通信不暢，導(dǎo)致救援時(shí)機(jī)的延誤。

【發(fā)明內(nèi)容】

[0007]本發(fā)明的目的在于針對(duì)上述已有技術(shù)的不足，提供一種基于云信任模型的多宿移動(dòng)子網(wǎng)可信移動(dòng)路由器選擇方法，以保證移動(dòng)子網(wǎng)內(nèi)移動(dòng)節(jié)點(diǎn)的通信安全，并能節(jié)省移動(dòng)路由器和移動(dòng)節(jié)點(diǎn)的計(jì)算資源和電池資源，提高多宿移動(dòng)子網(wǎng)的網(wǎng)絡(luò)性能。
[0008]實(shí)現(xiàn)本發(fā)明目的技術(shù)方案是:歸屬代理HA監(jiān)控移動(dòng)子網(wǎng)中每個(gè)移動(dòng)路由器的動(dòng)態(tài)行為信息，并將其輸入到云信任模型；通過(guò)云信任模型對(duì)動(dòng)態(tài)行為信息進(jìn)行評(píng)估并輸出信任值；歸屬代理HA將所有移動(dòng)路由器的信任值信息廣播到移動(dòng)子網(wǎng)；移動(dòng)子網(wǎng)中的移動(dòng)節(jié)點(diǎn)收到移動(dòng)路由器的信任值后選擇一個(gè)可信移動(dòng)路由器接入。
[0009]一.符號(hào)說(shuō)明:
[0010]麗:移動(dòng)節(jié)點(diǎn)
[0011]MR:移動(dòng)路由器
[0012]HA:歸屬代理
[0013]AR:外地接入路由器
[0014]CoA:轉(zhuǎn)交地址
[0015]HoA:家鄉(xiāng)地址
[0016]BU:綁定更新消息
[0017]BA:綁定確認(rèn)消息
[0018]CMsg:證書消息
[0019]TA:信任通告消息
[0020]二.實(shí)現(xiàn)步驟
[0021]本發(fā)明基于云信任模型的多宿移動(dòng)子網(wǎng)可信移動(dòng)路由器選擇方法，包括如下步驟:
[0022](I)將配置有多個(gè)移動(dòng)路由器的多宿移動(dòng)子網(wǎng)，從其所歸屬的網(wǎng)絡(luò)中引入到外地網(wǎng)絡(luò)；
[0023](2)外地網(wǎng)絡(luò)中的接入路由器AR廣播帶有地址前綴信息的路由通告消息，移動(dòng)路由器MR收到路由通告消息后根據(jù)地址前綴信息配置一個(gè)轉(zhuǎn)交地址CoA ；
[0024](3)移動(dòng)子網(wǎng)中的多個(gè)移動(dòng)路由器由同一個(gè)歸屬代理路由器HA提供服務(wù)，移動(dòng)路由器MR向歸屬代理路由器HA發(fā)送帶有歸屬地址HoA與轉(zhuǎn)交地址CoA的綁定更新消息BU ；
[0025](4)歸屬代理路由器HA收到綁定更新消息BU后，在綁定緩存中插入一個(gè)表項(xiàng)，記錄移動(dòng)路由器MR的歸屬地址HoA和轉(zhuǎn)交地址CoA的綁定關(guān)系，并向移動(dòng)路由器MR發(fā)送一個(gè)綁定確認(rèn)消息BA ；
[0026](5)移動(dòng)路由器MR收到綁定確認(rèn)消息BA后，開始路由服務(wù)；[0027](6)歸屬代理路由器HA在內(nèi)存空間中創(chuàng)建一個(gè)信任信息緩存，并在信任信息緩存中為每個(gè)移動(dòng)路由器MR插入一個(gè)表項(xiàng)，記錄移動(dòng)路由器MR的三種行為信息，即負(fù)載信息L，接入移動(dòng)節(jié)點(diǎn)數(shù)信息N，生存期信息A ；
[0028](7)歸屬代理路由器HA對(duì)每個(gè)移動(dòng)路由器MR的三種行為信息進(jìn)行歸一化，得到歸一化后的負(fù)載信息L'，接入移動(dòng)節(jié)點(diǎn)數(shù)信息N'與生存期信息A':
【權(quán)利要求】
1.一種基于云信任模型的多宿移動(dòng)子網(wǎng)可信移動(dòng)路由器選擇方法，包括如下步驟: (1)將配置有多個(gè)移動(dòng)路由器的多宿移動(dòng)子網(wǎng)，從其所歸屬的網(wǎng)絡(luò)中引入到外地網(wǎng)絡(luò)； (2)外地網(wǎng)絡(luò)中的接入路由器AR廣播帶有地址前綴信息的路由通告消息，移動(dòng)路由器MR收到路由通告消息后根據(jù)地址前綴信息配置一個(gè)轉(zhuǎn)交地址CoA ； (3)移動(dòng)子網(wǎng)中的多個(gè)移動(dòng)路由器由同一個(gè)歸屬代理路由器HA提供服務(wù)，移動(dòng)路由器MR向歸屬代理路由器HA發(fā)送帶有歸屬地址HoA與轉(zhuǎn)交地址CoA的綁定更新消息BU ； (4)歸屬代理路由器HA收到綁定更新消息BU后，在綁定緩存中插入一個(gè)表項(xiàng)，記錄移動(dòng)路由器MR的歸屬地址HoA和轉(zhuǎn)交地址CoA的綁定關(guān)系，并向移動(dòng)路由器MR發(fā)送一個(gè)綁定確認(rèn)消息BA ； (5)移動(dòng)路由器MR收到綁定確認(rèn)消息BA后，開始路由服務(wù)； (6)歸屬代理路由器HA在內(nèi)存空間中創(chuàng)建一個(gè)信任信息緩存，并在信任信息緩存中為每個(gè)移動(dòng)路由器MR插入一個(gè)表項(xiàng)，記錄移動(dòng)路由器MR的三種行為信息，即負(fù)載信息L，接入移動(dòng)節(jié)點(diǎn)數(shù)信息N，生存期信息A ； (7)歸屬代理路由器HA對(duì)每個(gè)移動(dòng)路由器MR的三種行為信息進(jìn)行歸一化，得到歸一化后的負(fù)載信息L'，接入移動(dòng)節(jié)點(diǎn)數(shù)信息N'與生存期信息A':
2.根據(jù)權(quán)利要求1所述的方法，其中所述步驟(11)中將信任通告消息TA安全傳送給移動(dòng)子網(wǎng)中的移動(dòng)節(jié)點(diǎn)MN，按如下步驟進(jìn)行: (Ila)歸屬代理路由器HA向移動(dòng)節(jié)點(diǎn)麗發(fā)送證書消息CMsg:
3.根據(jù)權(quán)利要求2所述的方法，其中所述(Ilb)中移動(dòng)節(jié)點(diǎn)MN收到歸屬代理路由器HA發(fā)來(lái)證書消息CMsg后，驗(yàn)證消息中歸屬代理路由器HA的數(shù)字證書的正確性，按如下步驟進(jìn)行: (Ilbl)移動(dòng)節(jié)點(diǎn)麗取出數(shù)字證書CertHA中認(rèn)證機(jī)構(gòu)CA的數(shù)字簽名SigCA ； (llb2)移動(dòng)節(jié)點(diǎn)MN用預(yù)置的認(rèn)證機(jī)構(gòu)CA的公鑰Ka解密數(shù)字簽名SigeA，獲得數(shù)字證書哈希值Hl ； (llb3)移動(dòng)節(jié)點(diǎn)MN對(duì)數(shù)字證書CertHA中的信息進(jìn)行哈希運(yùn)算，得到數(shù)字證書校驗(yàn)哈希值H2 ； (llb4)移動(dòng)節(jié)點(diǎn)MN對(duì)比數(shù)字證書哈希值Hl和數(shù)字證書校驗(yàn)哈希值H2，如果H1=H2，則數(shù)字證書正確，否則，數(shù)字證書錯(cuò)誤。
4.根據(jù)權(quán)利要求2所述的方法，其中所述(Ilb)中移動(dòng)節(jié)點(diǎn)MN收到歸屬代理路由器HA發(fā)來(lái)證書消息CMsg后，驗(yàn)證消息中歸屬代理路由器HA的數(shù)字簽名的正確性，按如下步驟進(jìn)行: (llb5)移動(dòng)節(jié)點(diǎn)MN取出歸屬代理路由器HA的數(shù)字證書Certm中的公鑰Kha ； (llb6)移動(dòng)節(jié)點(diǎn)麗用公鑰Kha解密證書消息CMsg中的數(shù)字簽名SigHA(*)，獲得證書消息哈希值H3 ； (llb7)移動(dòng)節(jié)點(diǎn)MN對(duì)證書消息CMsg中的所有信息進(jìn)行哈希運(yùn)算，得到證書消息校驗(yàn)哈希值H4 ； (Ilb8)移動(dòng)節(jié)點(diǎn)MN對(duì)比證書消息哈希值H3和證書消息校驗(yàn)哈希值H4，如果H3=H4，則數(shù)字簽名正確，否則，數(shù)字簽名錯(cuò)誤。
5.根據(jù)權(quán)利要求2所述的方法，其中所述(Ild)中移動(dòng)節(jié)點(diǎn)MN收到信任通告消息TA后，驗(yàn)證消息中歸屬代理路由器HA的數(shù)字簽名正確性，按如下步驟進(jìn)行: (Ildl)移動(dòng)節(jié)點(diǎn)MN取出歸屬代理路由器HA的數(shù)字證書CertHA中的公鑰Kha ； (lld2)移動(dòng)節(jié)點(diǎn)MN用公鑰Kha解密信任通告消息TA中的數(shù)字簽名Sigm(*)，獲得信任通告哈希值H5 ； (lld3)移動(dòng)節(jié)點(diǎn)MN對(duì)信任通告消息TA中的所有信息進(jìn)行哈希運(yùn)算，得到信任通告校驗(yàn)哈希值H6 ； (I ld4)移動(dòng)節(jié)點(diǎn)MN對(duì)比信任通告哈希值H5和信任通告校驗(yàn)哈希值H6，如果H5=H6，則數(shù)字簽名正確，否則，數(shù)字簽名錯(cuò)誤。
【文檔編號(hào)】H04W12/08GK103686734SQ201310646048
【公開日】2014年3月26日 申請(qǐng)日期:2013年12月3日 優(yōu)先權(quán)日:2013年12月3日
【發(fā)明者】劉彥明, 譚帥帥, 董慶寬, 李小平, 劉曉婷 申請(qǐng)人:西安電子科技大學(xué)