王佳佳

(泰州職業(yè)技術(shù)學(xué)院電子與信息工程系，江蘇泰州225300)

近幾年來，隨著無線電技術(shù)的不斷發(fā)展和無線電設(shè)備價(jià)格的不斷降低，無線局域網(wǎng)(WLAN)技術(shù)得到了迅猛的發(fā)展。1997年，美國電機(jī)電子工程師協(xié)會(huì)(IEEE)發(fā)布了802.11協(xié)議，這是在無線局域網(wǎng)領(lǐng)域內(nèi)第一個(gè)國際上被認(rèn)可的協(xié)議[1]。無線局域網(wǎng)是采用無線傳輸媒介的局域網(wǎng)，特點(diǎn)是成本低，靈活性、移動(dòng)性強(qiáng)，吞吐量高，通信可靠。但是，這種發(fā)展使得基于IEEE802.11的局域網(wǎng)成為攻擊者關(guān)注的目標(biāo)，事實(shí)上，無線局域網(wǎng)對(duì)于惡意的拒絕服務(wù)攻擊特別敏感。因此，本文將對(duì)無線局域網(wǎng)的安全性進(jìn)行探討。

1 無線局域網(wǎng)的安全機(jī)制

802.11協(xié)議定義了兩種模式的網(wǎng)絡(luò)結(jié)構(gòu)：基礎(chǔ)結(jié)構(gòu)(infrastructure)模式和Ad-hoc模式。Infrastructure模式是一種整合有線與無線局域網(wǎng)架構(gòu)的應(yīng)用模式，配備無線網(wǎng)卡的移動(dòng)設(shè)備必須通過AP來進(jìn)行無線通訊，通過這種架構(gòu)模式，即可實(shí)現(xiàn)網(wǎng)絡(luò)資源的共享。Ad-hoc模式是無線局域網(wǎng)設(shè)備提供的應(yīng)用模式中的一種，在這種模式下，移動(dòng)設(shè)備配備無線網(wǎng)卡即可通訊，而不需要再通過AP[2]。實(shí)際應(yīng)用中，基礎(chǔ)結(jié)構(gòu)模式的無線網(wǎng)絡(luò)的應(yīng)用更為廣泛。本文所討論的網(wǎng)絡(luò)均工作在基礎(chǔ)結(jié)構(gòu)模式下。在無線局域網(wǎng)最初產(chǎn)生的幾年中，人們想用有線等效私密性(WEP，Wried Equivalent Privacy)對(duì)在空中傳輸?shù)?02.11數(shù)據(jù)幀加密來保證網(wǎng)絡(luò)的安全，但很快就發(fā)現(xiàn)了其中的缺陷。2004年6月，IEEE正式通過了802.11i標(biāo)準(zhǔn)[3]，附加到標(biāo)準(zhǔn)中定義了新一代的安全保障的部分就稱為IEEE 802.11i。新加入的內(nèi)容定義了一種新型的無線網(wǎng)絡(luò)，名為健壯安全網(wǎng)絡(luò)(RSN，Robust Security Network)。在RSN中，安全進(jìn)行了嚴(yán)格的限制。RSN支持TKIP(Temporal Key Integrity Protocol，臨時(shí)密鑰完整性協(xié)議)和AES(Advanced Encryption Standard，先進(jìn)加密標(biāo)準(zhǔn))加密算法。

但是RSN也不是絕對(duì)安全的。802.11i獨(dú)特的設(shè)計(jì)也為其帶來了一些弱點(diǎn)。如：不認(rèn)證攻擊[4](Deauthentication Attack)；針對(duì)基于Wi-Fi標(biāo)準(zhǔn)(IEEE定義的一個(gè)無線網(wǎng)絡(luò)通信的工業(yè)標(biāo)準(zhǔn))的數(shù)據(jù)鏈路層拒絕服務(wù)攻擊[3]；載波偵聽攻擊；資源耗盡[5]。

2 系統(tǒng)結(jié)構(gòu)

首先，為了減小不認(rèn)證攻擊造成的影響，應(yīng)當(dāng)關(guān)閉管理幀的廣播功能。

本文采用了Agent技術(shù)來檢測DDoS攻擊，并作出及時(shí)地響應(yīng)。文中Agent是一個(gè)智能實(shí)體，既能夠響應(yīng)Client端的需求，又能夠保護(hù)移動(dòng)節(jié)點(diǎn)免受黑客的攻擊[6]。一個(gè)在經(jīng)濟(jì)上和效率上均可行的結(jié)構(gòu)不必要對(duì)所有的移動(dòng)設(shè)備都實(shí)施監(jiān)測，只需要對(duì)高帶寬、高計(jì)算量或者可能成為瓶頸的設(shè)備進(jìn)行有效的保護(hù)。文中使用的Agent技術(shù)只對(duì)AP實(shí)施有效的保護(hù)，如圖1所示。因?yàn)橥ㄐ胚^程中的能量消耗是移動(dòng)節(jié)點(diǎn)能量損耗的主要方面，而無線局域網(wǎng)一個(gè)最重要的要求就是降低節(jié)點(diǎn)的能量消耗，所以需要一個(gè)能夠高效利用能量的通信來延長移動(dòng)節(jié)點(diǎn)的生存時(shí)間。如果將Agent放置在移動(dòng)節(jié)點(diǎn)與網(wǎng)絡(luò)服務(wù)器通信的路徑之外，則AP除了消耗與Network Servicer通信的能量還必須消耗與Agent通信的能量，增加了節(jié)點(diǎn)的能量消耗降低了節(jié)點(diǎn)的生存時(shí)間，是不可取的。如果將Agent放置在移動(dòng)節(jié)點(diǎn)與Network Servicer通信的路徑當(dāng)中且Agent與AP一一對(duì)應(yīng)，則在經(jīng)濟(jì)上提高了對(duì)系統(tǒng)的要求，也不可行。因此為了節(jié)約成本同時(shí)避免移動(dòng)節(jié)點(diǎn)與A-gent通信時(shí)消耗額外的能量，本文將Agent放置在移動(dòng)節(jié)點(diǎn)與網(wǎng)絡(luò)服務(wù)器通信的路徑當(dāng)中，且將Agent作為AP的簇頭節(jié)點(diǎn)，Agent既能夠知道所有移動(dòng)節(jié)點(diǎn)的通信情況，又能夠不額外損耗能量，同時(shí)還能夠與網(wǎng)絡(luò)服務(wù)器合作解決所在局域網(wǎng)的安全問題。

3 關(guān)鍵技術(shù)分析

本文中自信息I(xm)是指某個(gè)無線設(shè)備(Client端或者AP端)某一事件xm發(fā)生時(shí)所包含的信息量，當(dāng)不同的事件發(fā)生時(shí)，其所包含的信息量不同，所以自信息I(xi)是一個(gè)隨機(jī)變量，它不能用來作為整個(gè)無線局域網(wǎng)的信息的度量。Shannon定義自信息的數(shù)學(xué)期望為信息熵，即某個(gè)無線設(shè)備的平均信息量：文中信息熵的物理含義可作如下解釋：信息熵表征了某無線設(shè)備整體的統(tǒng)計(jì)特征，是總體平均不確定性的度量。對(duì)于某一個(gè)特定的無線設(shè)備，其信息熵只有一個(gè)，不同的無線設(shè)備，因統(tǒng)計(jì)特性不同，其信息熵也不同。P(xm)是網(wǎng)絡(luò)未遭受攻擊時(shí)移動(dòng)設(shè)備x的事件m發(fā)生時(shí)的概率，可由A-gent通過日常觀察得出P(xm)，進(jìn)而計(jì)算出無線設(shè)備x的信息熵H(x)。

Agent工作流程如圖2所示。其中Hi為信息源端無線設(shè)備i當(dāng)前的信息熵。紅名單、灰名單和黑名單也是表示信任關(guān)系的。紅名單是可信度較高的設(shè)備的集合，當(dāng)其他設(shè)備遭受攻擊時(shí)，可以從紅名單中挑選候選設(shè)備；灰名單是疑似遭受攻擊或者疑似攻擊源的設(shè)備的集合，應(yīng)重點(diǎn)監(jiān)控；黑名單是攻擊源或者受到嚴(yán)重攻擊的設(shè)備的集合，應(yīng)從通信路徑中刪除并受到隔離。Nlinkj為目的端無線設(shè)備j當(dāng)前連接的數(shù)量。

如果Hi超過了閾值，則移動(dòng)設(shè)備i的信息量太多，并且已經(jīng)影響其他移動(dòng)設(shè)備的通信，此時(shí)應(yīng)將該信息源加入黑名單不允許該信息源再次進(jìn)行通信，如果該信息源想要再次通信，必須通過很強(qiáng)的認(rèn)證?？梢员苊夤粽咭院芨叩念l率占有信道，通過以上判斷可以避免移動(dòng)設(shè)備受到資源耗盡攻擊。當(dāng)熵值檢測器檢測到熵值Hi低于正常水平，這意味著來自移動(dòng)設(shè)備i的報(bào)文的概率增大，信息源有可能正在發(fā)起攻擊或受到攻擊，但是檢測報(bào)文不一定為非法報(bào)文，也可能是信息源端無線設(shè)備受到不認(rèn)證攻擊后企圖重新連接，此時(shí)應(yīng)加入灰名單。如果灰名單中已經(jīng)存在該信息源的信息，則說明該設(shè)備已經(jīng)以較高的頻率占有信道，并且影響到了其它設(shè)備的通信，不管什么原因都應(yīng)立刻從灰名單中刪除并加入黑名單；如果灰名單中還沒有該設(shè)備的信息，則說明該設(shè)備開始以較高的頻率占有信道，該設(shè)備可能是攻擊源也可能是受到不認(rèn)證攻擊的受害設(shè)備在連接斷開后企圖重新連接，為了不讓受害設(shè)備和攻擊源一起被隔離，該設(shè)備可以進(jìn)行下一步通信但必須加入灰名單受到網(wǎng)絡(luò)管理員的監(jiān)控。如果被確認(rèn)為攻擊源則加入黑名單，如果確認(rèn)為受害設(shè)備則網(wǎng)絡(luò)管理員負(fù)責(zé)幫助該設(shè)備解除攻擊，通過以上判斷可以避免不認(rèn)證攻擊。驗(yàn)證了信息源的合法身份之后，在為信息源端與目的端設(shè)備建立通信路徑前，應(yīng)清除一些長時(shí)間占用信道但不傳輸數(shù)據(jù)的移動(dòng)設(shè)備，這樣可以避免通信雙方中的一方已經(jīng)斷開連接而另一方仍然在等待傳輸數(shù)據(jù)的情況，因此可避免針對(duì)基于Wi-Fi標(biāo)準(zhǔn)的數(shù)據(jù)鏈路層拒絕服務(wù)攻擊。然后還要計(jì)算連接數(shù)是否大于信息目的端的最大連接數(shù)，為了防止接入站點(diǎn)太多導(dǎo)致AP資源枯竭必須將Nlinkj控制在一定范圍內(nèi)，如果Nlinkj超過最大值則拒絕接收該數(shù)據(jù)包，可以避免攻擊者利用空閑信道不斷發(fā)送數(shù)據(jù)消耗AP的資源，以上判斷可避免載波偵聽攻擊。同時(shí)為了防止攻擊者擾亂信息目的端的時(shí)鐘，Agent還必須使得信息目的端與自己的時(shí)鐘同步(避免載波偵聽攻擊中攻擊設(shè)備修改受害設(shè)備的時(shí)鐘)，此時(shí)可以認(rèn)為移動(dòng)設(shè)備i在發(fā)送該數(shù)據(jù)包期間沒有受到拒絕服務(wù)攻擊，該設(shè)備在短時(shí)間內(nèi)是可以信任的，再次查看灰名單，如果灰名單中沒有移動(dòng)設(shè)備i的信息則將該地址添加進(jìn)紅名單，否則不添加。最后Agent才將數(shù)據(jù)包解密并且發(fā)送到目的端。

網(wǎng)絡(luò)管理員全面監(jiān)控Agent工作過程，及時(shí)監(jiān)控灰名單成員，隔離黑名單成員。一旦發(fā)現(xiàn)黑名單成員有所增加立即從紅名單成員中挑選合適的AP作為候補(bǔ)成員（如圖3所示）。

4 實(shí)驗(yàn)結(jié)果及評(píng)價(jià)

實(shí)驗(yàn)平臺(tái)為PentiumⅣ1.8G，256MB RAM，操作系統(tǒng)為Red Hat Linux7．2，網(wǎng)絡(luò)仿真平臺(tái)是ns-22．26(network simulatorversion2．26)。實(shí)驗(yàn)中，移動(dòng)節(jié)點(diǎn)的個(gè)數(shù)設(shè)為20。

本實(shí)驗(yàn)所檢測到的攻擊是以Agent已知有攻擊為前提的。我們一共進(jìn)行了三次實(shí)驗(yàn)，第一次是在網(wǎng)絡(luò)沒有遭受攻擊的情況下測試了網(wǎng)絡(luò)運(yùn)行的分組傳遞率，第二次實(shí)驗(yàn)是在網(wǎng)絡(luò)遭受以上攻擊的情況下測試了以上的指標(biāo)，第三次實(shí)驗(yàn)是在網(wǎng)絡(luò)遭受了攻擊之后使用了本文提到的方法后，又測試了網(wǎng)絡(luò)運(yùn)行的分組傳遞率。實(shí)驗(yàn)結(jié)果如下：

圖4是三次實(shí)驗(yàn)中網(wǎng)絡(luò)性能的比較，其中——線條表示網(wǎng)絡(luò)各節(jié)點(diǎn)在遭受攻擊的情況下的分組傳遞率，……線條表示遭受攻擊并且使用了本文方法時(shí)網(wǎng)絡(luò)各節(jié)點(diǎn)的分組傳遞率，——線條表示正常情況時(shí)網(wǎng)絡(luò)節(jié)點(diǎn)的性能，總體說來效果比較明顯。

圖5表示的是網(wǎng)絡(luò)判斷的正確性，在錯(cuò)誤的報(bào)告率不變的前提下，報(bào)告的正確率不斷上升。

從實(shí)驗(yàn)可以看出本方法不更新移動(dòng)設(shè)備，沒有增加移動(dòng)設(shè)備的負(fù)載，且能夠解決以上四種攻擊比文獻(xiàn)[2]、[4]、[7]的方法更加易于實(shí)現(xiàn)，更加高效，具有良好的可行性。

5 結(jié)語

本文分析了無線局域網(wǎng)絡(luò)中可能出現(xiàn)的拒絕服務(wù)攻擊，并提出了一種解決方案，目的是為了無線網(wǎng)絡(luò)的安全問題得到更進(jìn)一步的研究。本文使用了Agent技術(shù)，結(jié)構(gòu)簡單且對(duì)移動(dòng)設(shè)備沒有增加額外的負(fù)擔(dān)，在技術(shù)上和經(jīng)濟(jì)上具有良好的可行性。

[1]金純,陳林星,楊吉云.IEEE 802.11無線局域網(wǎng)[M].北京:電子工業(yè)出版社,2004.

[2]Pradeep Kyasanu,NitinH.Vaidya.Detection and Handlingof MACLayer Misbehavior in Wireless Networks[EB/OL].(2011-07-20)[2012-07-13].http://wenku.baidu.com/view/b5029529cfc789eb172dc800.html.

[3]周正.無線局域網(wǎng)安全務(wù)實(shí)—WPA與802.11i[M].北京:人民郵電出版社,2006.

[4]John Bellardo,Stefan Stefan Savag,802.11 Denial-of-Service Attacks Real Vulnerabilitiesand Practical Solutions[EB/OL].(2011-11-26)[2012-07-13].hrrp://wenku,baidu.com/view/view/afcd37aedd3383c4bb4cd2b.html.

[5]夏新軍,俞能海,劉洋.WLAN環(huán)境下拒絕服務(wù)攻擊問題研究[J].計(jì)算機(jī)工程與應(yīng)用2005,(25):129-132.

[6]Elhadi Shakshuki,Sajid Hussain,Abdur R.Matin,Abdul W.Matin.Routing agent for Wireless sensor network[EB/OL].(2012-05-31)[2012-07-13].http://www.docin.com/p-86157562.html.

[7]Vikram Gupta,Srikanth Krishnamurthy,Michalis Faloutsos.Denial of Service Attacks at the MAC Layer in Wireless Ad Hoc Networks[EB/OL].(2012-6-17)[2012-7-13].http://citeseerx.ist.psu.edu/viewdoc/summary?doi=10.1.1.20.668.