26、拯救无线传感器网络安全：从科幻走向现实

拯救无线传感器网络安全：从科幻走向现实

在无线传感器网络（WSN）的安全研究领域，存在着诸多亟待解决的问题。从攻击优先级的判断，到节点移动性对网络性能的影响，再到跨层设计的权衡，以及流量分析问题的应对，每一个方面都关系着WSN能否在实际应用中安全、高效地运行。

1. 攻击优先级判断难题

在WSN安全研究中，一个关键问题是难以判断哪些问题需要优先解决。我们并不清楚真正的攻击者（与学术攻击者相对）的真实需求，因此很难确定哪些漏洞对攻击者最有价值，哪些攻击最常发生。不过，Giannetsos等人发布的针对传感器网络的攻击工具框架，在一定程度上改变了这种状况。这个可扩展工具对某些安全弱点的关注，决定了哪些漏洞会首先被利用。然而，我们仍然面临着解决虚拟问题的困境，即现有的解决方案是否真的解决了实际问题。只有在进行了适当的威胁建模并正确排列弱点优先级的情况下，才能得到实用的解决方案，而这需要结合具体应用进行分析。

2. 节点移动性对网络的影响

在WSN中，节点可能是移动的。虽然一些典型的WSN场景（如建筑物结构监测）通常不期望传感器节点移动，但许多其他场景中节点是会移动的。节点移动性会影响路由协议，因为节点的可达性会不断变化，进而影响路由决策、数据聚合和声誉协议。

在模拟和评估WSN协议时，为了确保评估结果的可重复性，有两种方法可以考虑：
- 使用真实运动轨迹 ：记录真实世界中节点的运动轨迹，在每次模拟运行时进行回放。这种方法最接近真实的节点移动情况，但存在轨迹数据库较少，且记录的轨迹难以后续调整的问题。
- 使用数学模型 ：通过数学模型计算每次运行时节点的移动。数学移动模型易于获取和参数化，因此在模拟运行中考虑节点移动性时是首选。数学移动模型可分为实体移动模型和组移动模型，前者如随机路点模型或随机游走模型，后者如参考点组模型或游牧社区模型。

在使用声誉系统（如CONFIDANT）进行模拟运行时，有两个观察结果：
- 声誉系统的使用不会提高网络性能，只是限制了性能下降，即与没有声誉系统相比，行为不端的节点对网络性能的影响没有那么严重。
- 即使没有攻击者存在，结合节点移动性时，网络性能也会下降。这是因为在没有节点实际偏离指定行为的情况下，仍会有节点被排除，“更多移动性”与“更多被误判的节点”之间的联系很明显。

在存在行为不端节点的情况下，节点移动性对网络性能的影响更大。例如，在测试的两个类似场景中，50个节点中有30个表现出自私行为，丢弃所有传递给它们的数据包。在静态场景中，正常节点的数据包吞吐量仍能达到73%；而在移动场景中，吞吐量降至21%，相应的数据包丢弃率分别为33%和85%。

目前，MANET和WSN模拟中最常用的移动模型通常不能反映节点在现实中的情况。自然界中的大多数过程遵循路径和组模式，并且受到环境的限制，但大多数模拟只应用随机路点模式或类似方案。这种移动模型的选择往往是不合理的假设，但会影响路由协议的性能。

下面是一个简单的mermaid流程图，展示节点移动性对网络性能的影响过程：

graph LR
    A[节点移动性] --> B[节点可达性变化]
    B --> C[影响路由协议]
    C --> D[影响路由决策]
    C --> E[影响数据聚合]
    C --> F[影响声誉协议]
    D & E & F --> G[网络性能变化]

3. 跨层设计的权衡

分层是一种基本的软件设计原则，广泛应用于商业应用（如用户界面、业务逻辑层、数据库层）和网络栈（如ISO/OSI模型）。分层引入了抽象，使得各层可以独立设计和交换，替换某一层的协议理论上不会影响其他层，因为各层只依赖于相邻层接口的正确实现。然而，这种优势是以额外的开销为代价的。

以WSN操作系统TinyOS为例，其架构由通过接口链接的组件组成，只要组件正确实现接口定义，就可以进行替换。这使得TinyOS可以在不同的传感器节点硬件上运行，也可以替换MAC协议或路由协议，而不影响应用或其他层。

跨层优化是指从一层获取信息并使用，这违反了分层设计原则。虽然一般不希望这样做，因为会损失通用性和清晰度，但有时为了提高性能或实现某些功能，会进行跨层优化。常见的跨层优化示例包括：
- 路由层结合收发器芯片信息 ：路由层可以结合收发器芯片的信息，考虑无线电链路的质量，从而做出更可靠、节能的路由决策，提高网络的连通性和电池寿命。
- 声誉系统访问收发器芯片 ：声誉系统可以访问收发器芯片，判断相邻节点是停止为其他节点路由数据包，还是因为移动而超出了通信范围。
- 子系统针对具体应用定制 ：路由或声誉系统等子系统可以针对具体应用进行定制，而不是像互联网那样进行通用设计。例如，在用于森林野火监测的传感器网络中，路由决策应考虑应用层的温度信息，因为高温节点很可能会因火灾而失去连接，网络应做好将其排除的准备。

下面是一个表格，总结了分层设计和跨层设计的特点：
| 设计类型 | 优点 | 缺点 |
| ---- | ---- | ---- |
| 分层设计 | 各层独立设计、可交换，实现透明 | 额外开销 |
| 跨层设计 | 提高性能、实现特定功能 | 损失通用性和清晰度 |

4. 实际应用驱动的安全研究方向

在设计WSN安全解决方案时，必须首先明确问题所在。安全需求取决于具体应用，WSN中的资产、其价值以及需要防范的威胁都与应用目的密切相关。从标准假设出发进行研究很难推动WSN安全研究的发展，更有前景的方法是先深入研究特定应用领域的特点。

例如，人体内部的传感器植入物无线传感器网络，由于交换的信号涉及医疗和隐私敏感信息，此前因节点不具备防篡改能力而对使用加密技术保护节点间流量存在疑虑。但攻击者要篡改传感器植入物，首先需要篡改人体，因此在这种情况下使用加密技术是合理的，研究人员可以进一步研究密钥管理问题。

再如，智能电表应用中的传感器节点可以获得持续的能源供应，并且可能配备强大的微控制器。因此，电池寿命和计算资源作为限制因素的标准假设在这种情况下不再适用。

在缺乏具体应用的情况下，对基于声誉的路由协议的研究仅通过调整声誉和推荐计算算法难以取得进展，因为没有合适的标准来判断哪种方案性能更好。研究可以从调查说谎者如何影响WSN中的路由入手，例如探讨攻击者通过干扰信号（蛮力攻击）或传播误导性推荐来选择性地从邻居的路由表中移除节点，哪种方式更有利。这种优势可以从功耗、攻击精度或需要被攻击的节点数量及其攻击成本等方面来定义。当然，通过模拟进行验证需要更复杂的行为不端模型，而不是简单地丢弃固定百分比的数据包。

5. 流量分析问题及应对

在战术无线传感器网络中，流量分析一直是一个重大威胁。攻击者可以通过获取网络测量数据（如各链路的数据包计数、发送和接收时间的相关性等）推断出敏感信息，包括通信模式、节点位置以及正在进行的任务相关信息。

这类WSN与传统的分层（树状）WSN有很大不同。传感器的概念更加多样化，不仅包括低能力的简单测量设备，还包括高端、资源丰富的系统，如复杂的分布式数据库和提供音频、视频馈送的平台。节点的位置有的相对固定，有的则不断移动。应用层也具有很高的多样性，节点可以采用类似Twitter的发布 - 订阅模型和社交网络应用来形成兴趣社区并共享信息。此外，某些信息的传输可能有服务质量（QoS）约束，例如国际电信联盟（ITU）建议语音通信单向延迟不超过250ms，延迟超过400ms会显著降低语音通话质量。当网络由不同部门的力量组成时，还会带来访问和共享控制方面的问题，以及安全服务组合的复杂性。

隐私增强技术领域针对类似的流量分析问题进行了大量研究，提出了一些适用于移动自组网（MANET）的匿名路由协议，如ANODR、ASR、MASK和ARM等。然而，这些解决方案并不适用于上述WSN，原因包括许多传感器没有足够的计算资源参与这些协议，以及网络的不同部分可能属于不同的部门，有些部门可能由于技术或操作原因不愿意或无法合作。

传统WSN的隐私研究采用了一些更轻量级的技术来解决流量分析问题，通过解相关网络操作产生的流量模式，为攻击者提供一定程度的不可观测性。这些技术包括消息填充、插入虚拟数据包和精心选择传输速率等。

下面是一个流程图，展示流量分析问题的产生和应对思路：

graph LR
    A[网络流量] --> B[攻击者获取测量数据]
    B --> C[推断敏感信息]
    D[传统隐私技术] --> E[解相关流量模式]
    E --> F[提供不可观测性]
    F --> G[应对流量分析]

综上所述，WSN安全研究需要结合具体应用，综合考虑节点移动性、跨层设计和流量分析等多个方面的因素，才能开发出切实可行的安全解决方案，使WSN从科幻走向现实应用。

拯救无线传感器网络安全：从科幻走向现实

6. 战术WSN流量去相关的最优策略

在战术无线传感器网络中，隐藏网络流量中隐含的敏感信息（如通信模式、节点位置）是一个重要目标。与现有的基于启发式方法不同，有研究以更正式的方式提出了该问题，具体探讨了如何在满足一定服务质量（QoS）限制的情况下，推导最小化路径可预测性的路由策略。

研究表明，推导最优路由策略可以被表述为一个具有线性约束的非线性优化问题。通过适当的重新表述，可以使用数值最小二乘误差求解器高效地解决这个问题。最终得到的方案是一种自适应多路径路由协议，它在路由模式的不可知性和端到端通信成本之间实现了最佳平衡。

以下是该研究的一些关键信息总结：
| 研究内容 | 详情 |
| ---- | ---- |
| 研究目标 | 隐藏战术WSN网络流量中的敏感信息 |
| 问题提出方式 | 更正式的方式，与现有启发式方法不同 |
| 问题类型 | 具有线性约束的非线性优化问题 |
| 解决方法 | 数值最小二乘误差求解器 |
| 最终方案 | 自适应多路径路由协议 |
| 方案优势 | 平衡路由模式不可知性和端到端通信成本 |

7. 战术WSN的特点及挑战

战术无线传感器网络具有一些独特的特点，这些特点使其与传统的分层WSN有所不同，也带来了一些特殊的挑战。
- 传感器多样性 ：传感器不仅包括低能力的简单测量设备，还涵盖高端、资源丰富的系统，如复杂的分布式数据库和提供音视频馈送的平台。
- 节点位置差异 ：部分节点位置相对固定，而另一些则不断移动。
- 应用层多样性 ：节点采用类似Twitter的发布 - 订阅模型和社交网络应用，形成兴趣社区并共享信息。
- QoS约束 ：某些信息传输有服务质量要求，如语音通信对延迟敏感。
- 多部门合作问题 ：当网络由不同部门的力量组成时，会出现访问和共享控制问题，以及安全服务组合的复杂性。

下面是一个mermaid流程图，展示战术WSN特点带来的挑战：

graph LR
    A[传感器多样性] --> B[资源管理挑战]
    C[节点位置差异] --> D[路由决策挑战]
    E[应用层多样性] --> F[服务定制挑战]
    G[QoS约束] --> H[性能保障挑战]
    I[多部门合作] --> J[安全服务组合挑战]
    B & D & F & H & J --> K[战术WSN整体挑战]

8. 现有解决方案的局限性

在隐私增强技术领域，针对移动自组网（MANET）提出的一些匿名路由协议（如ANODR、ASR、MASK和ARM等）并不适用于战术WSN。主要原因如下：
- 计算资源限制 ：许多传感器没有足够的计算资源参与这些协议。
- 部门合作问题 ：网络的不同部分可能属于不同的部门，有些部门可能由于技术或操作原因不愿意或无法合作。

9. 传统WSN隐私研究技术

传统WSN的隐私研究采用了一些技术来解决流量分析问题，主要包括：
- 消息填充 ：通过填充消息来掩盖真实的流量模式。
- 插入虚拟数据包 ：增加网络中的数据包数量，使真实流量不那么明显。
- 精心选择传输速率 ：调整传输速率，避免出现明显的流量特征。

下面是一个表格，对比传统WSN隐私研究技术的优缺点：
| 技术 | 优点 | 缺点 |
| ---- | ---- | ---- |
| 消息填充 | 简单易行，可掩盖部分流量特征 | 增加网络开销 |
| 插入虚拟数据包 | 混淆真实流量，提高隐私性 | 增加网络负担 |
| 精心选择传输速率 | 不额外增加数据包，相对节能 | 调整难度较大，可能影响性能 |

10. 未来研究展望

为了更好地解决无线传感器网络的安全问题，未来的研究可以从以下几个方面展开：
- 结合具体应用深入研究 ：继续深入研究特定应用领域的特点，根据不同应用的需求设计更合适的安全解决方案。
- 优化移动性模型 ：开发更符合实际情况的节点移动性模型，以提高模拟和评估的准确性。
- 改进跨层设计 ：在保证一定通用性和清晰度的前提下，进一步优化跨层设计，提高网络性能。
- 完善基于声誉的路由协议 ：结合具体应用，研究更有效的声誉和推荐计算算法，以及应对说谎者影响的方法。
- 探索新的流量去相关策略 ：除了现有的研究，寻找更多优化的路由策略，更好地隐藏网络中的敏感信息。

总之，无线传感器网络的安全研究是一个复杂且具有挑战性的领域，需要综合考虑多个方面的因素，结合实际应用不断探索和创新，才能使无线传感器网络真正安全、高效地应用于各个领域。