专利名称：一种节点资源受限的无线网络的广播认证方法
技术领域：
本发明涉及信息安全技术中无线网络安全应用领域，尤其涉及一种节点资源受限 的无线网络的广播认证方法。
背景技术：
随着技术的发展，传感器网络、Zigbee网络、RFID网络、无线个域网等资源受限的 无线网络拓展了人类的远程监测和远程控制能力，在军事、环境监测、森林防火、健康医疗、 物流等领域有着广阔的应用前景。当这类无线网络部署在敌对环境中时，由于其无线及广 播特性，广播信息可能被攻击者篡改或插入恶意信息，需要引入认证机制确保广播信息的 合法性和完整性。广播认证是无线网络的基本安全服务之一。目前的无线网络广播认证方法主要分为三类一、基于公钥密码体制的方法， 由于该类方法需要较高的计算、通信和存储开销，目前较难适用节点资源受限的无线网 络；二、基于一次性签名的方法，一次性签名基于哈希运算实现签名和验签，因此计算效 率较高，但由于其签名和公钥尺寸较大，因此该类方法目前也较难适用节点资源受限的 无线网络；三、基于消息认证码的方法，该类方法具体可参考文献[1]传感器网络安全协 议(A.Perrig, R. Szewczyk. SPINS-Security Protocols for Sensor Networks[J]. In Wireless Networks Journal (WINE), September 20028 (5) pp. 521-534.)和文献[2]基 于丰对白勺以 TESLA 义(D Liu, P. Ning, S. Zhu. Practical broadcast authentication in sensor networks[A]. Proceedingsof The 2nd Annual International Conference on Mobile and Ubiquitous SystemsNetworking and Services[C] Piscataway，USA :IEEE， 2005. pp. 118-129.)，该类方法由于其开销小、效率高，因此较为适用节点资源受限的无线 网络。该类方法中，基于树的PTESLA协议[2]对yTESLA协议[1]进行改进，解决了以下 问题①网络中存在多个广播节点；②对P TESLA参数分发过程的DoS攻击；③撤销被俘广 播节点的认证能力。但该协议仍存在两点不足一、当网络中存在大量广播节点时，参数分 发过程产生的开销迅速增加，使其适用的网络规模受到限制；二、其撤销方法中，撤销树方 法要求大量的存储空间，先验式认证密钥更新方法不能及时撤销被俘节点的认证能力，且 通信开销较大，因此难以完全满足节点资源受限的无线网络的需要。
发明内容
为改进基于树的P TESLA协议的不足，本发明引入单向链和Merkle哈希树机制， 通过构造 U TESLA 参数链 u TPC ( u TESLA Parameters Hash Chain)和 u TESLA 参数链树 U TPCT ( u TPC Merkle Hash Tree)，提出一种基于P TPCT的无线网络广播认证方法。本发明的技术解决方案是本发明为一种节点资源受限的无线网络的广播认证方 法，其特殊之处在于该方法包括以下步骤1)协议初始化；1.1)网络部署之前，存在一个后端服务器BServeHBack Server)，该后端服务器BServer根据网络广播节点的特征参数FP(Feature Parameters)构造ii TESLA实例 U Tinst ( u TESLA instance)；1. 2)后端服务器BServer基于y TESLA实例构造P TESLA参数链；1. 3)后端服务器BServer基于广播节点BNode (Broadcast Node)的数量(以m为 例)和y TESLA参数链构造y TESLA参数链树，并将y TESLA参数链树的根R分发给网络 中的接收节点 RNode (Receive Node)。2)广播节点BNode向后端服务器BServer请求y TESLA参数链；
3)接收节点RNode验证广播节点BNode身份；4)广播节点BNode分发i TESLA参数；5)接收节点RNode认证广播节点BNode的广播消息。上述步骤1. 1)的具体步骤如下1. 1. 1)后端服务器BServer将广播节点BNode的生命周期划分为N个长度为TN 的时间间隔，使得Tn恰好可以运行一个P TESLA实例，再根据广播节点BNode的广播频率 和实时性要求，将Tn划分为n个更小的长度为Tn的时间间隔；1. 1.2)根据N和n，后端服务器BServer使用伪随机函数F依次产生N个密钥链， 即N个y TESLA实例y Tinst，产生过程如下后端服务器BServer随机产生第N个密钥链 的初始密钥KN,n，利用哈希函数H(例如SHA-1)，根据等式KN,i =H(KN,i+1)生成链中的其余 密钥；然后，将前一密钥链的第二个密钥做为初始密钥，生成下一个密钥链；据此方法，直 到生成最后一条密钥链；1. 1.3)密钥链产生后，后端服务器BServer为每个Tn分配一个密钥，从而N个密 钥链构成N个y TESLA实例；其中，第i个P TESLA参数为y = {Ts| Kij0 Tj Tint | d}， 其中，Ts、K.,0. T” Tint、(！分别表示网络当前时间、密钥链的密钥头、当前同步间隔的起始时 间、同步间隔、密钥透露延迟时间(单位为Tint)。上述步骤1. 2)的具体步骤如下1. 2. 1) u TESLA参数确定后，后端服务器BServer随机产生一个值Un ；1.2.2)后端服务器BServer通过等式U" = H恥| | u TP』依次生成仏值，直到 U。，该单向链为PTESLA参数链11了 (，式中“||”表示信息串联。上述步骤1. 3)的具体步骤如下1. 3. 1)后端服务器BServer预先构造m个y TESLA参数链，构造过程如下设m =2% t为整数，并为每个P TESLA参数链分配一个1到m之间的ID，将第i个y TESLA参 数链中的第j个U值记作&」，第j个y TESLA参数记作P TPp，把第i个y TESLA参数链 的初始参数，包括Uy、IDp表示为Sp对所有S”计算& = H(S》，将礼，K2，. . .，Kffl_J作为 叶子节点构造Merkle哈希树，称为P TESLA参数链树y TPCT ；1.3.2)后端服务器BServer将P TESLA参数链树的根R分发给所有接收节点 RNode。上述步骤2)的具体步骤如下2. 1)加入网络前，广播节点BNode向后端服务器BServer发送包含特征参数的 U TESLA参数链请求包；2. 2)后端服务器BServer根据广播节点BNode的特征参数查找到匹配的P TESLA参数链，并连同相应的证书以及所有P TESLA实例的初始密钥Kgen发送给广播节点BNode。上述步骤3)的具体步骤如下3. 1)广播节点BNode公布证书，其中包括P TESLA参数链中的第一个链值U0 ；3. 2)接收节点RNode利用R验证广播节点BNode证书的有效性，若验证成功，接收 节点RNode保存广播节点BNode证书中y TESLA参数链的初始参数以及P TESLA参数链中 U TESLA参数的相同部分，否则丢弃广播节点BNode的证书。上述步骤4)的具体步骤如下4. 1)广播节点BNode根据第一个P TESLA实例的初始密钥Kgen和哈希函数H生成 认证密钥链，然后广播P TESLA参数链中的第二个值仏和第一个y TESLA参数y TP。；4.2)接收节点RNode根据等式队=对仏| U TP0)判断P 的合法性，若等式成 立，将PTPJS存，否则将其丢弃；4. 3)广播节点BNode紧接着广播U2，同时用第二个Kgen生成下一条认证密钥链；4. 4)接收节点RNode收到U2后，将其保存，并删除U0 ；为提高分发的可靠性，广播 节点BNode将进行定期重复广播。上述步骤5)的具体步骤如下5. 1)接收节点RNode获得第一个P TESLA参数y TP0,接收节点RNode和广播节 点BNode之间即建立起一条基于第一个P TESLA实例的广播认证通道，双方基于该通道实 现广播认证，具体认证过程参考P TESLA方法；5. 2)广播认证过程中，当距第一个P TESLA实例的生命周期结束还有2Tint时，协 议并发执行阶段P TESLA参数分发，广播节点BNode广播y TESLA参数y ；5. 3)接收节点RNode根据等式= H(U21 | u TP)验证u TP”从而确保接收节点 RNode能够继续认证第二个P TESLA实例生命周期内的广播信息。上述步骤5)之后还包括步骤6)网络撤销被俘广播节点BNode的认证能力。上述步骤6)的具体步骤如下6. 1)以被俘广播节点是BNodei、其当前正在使用y TPC,分发和认证参数、且正在 使用yTPQ中与yTPw对应的PTESLA实例认证广播信息为例，后端服务器BServer立即 向网络中广播由P TPQ的链值y TPi, j+2、u TPijJ+3以及仏,j+4构成的撤销信息；6. 2)接收节点 RNode 根据等式仏，J+2 = H(u TP^ J+2 |H(u TP^ j+3 | | U^ J+4))证实该 信息后，将不再保存和验证被俘广播节点BNodei的广播信息。本发明提供基于P TPCT的无线网络广播认证方法的执行流程，通过构造单向链 U TPC和Merkle哈希树y TPCT，对现有无线网络广播认证方法进行改进，提出一种适用于 节点资源受限的无线网络的广播认证方法。此方法能够抵抗针对PTP分发过程的DoS攻 击，且能够立即撤销被俘广播节点的认证能力。另外，本发明针对网络中广播节点的多样性 问题，提出根据特征参数构造PTPC的方法，能够节约节点资源，提高认证效率。而且，本发 明还提出了一种高效的被俘广播节点的撤销方法。实验和分析表明，本发明有效地降低了网 络的广播认证开销，提高了被俘节点的撤销效率，更为适用大规模多广播节点的无线网络。
图1为ii TESLA参数链中y TESLA密钥链之间的连接方式；
图2为ii TESLA参数链的构造；图3为一棵具有8个叶子节点的P TESLA参数链树的结构。
具体实施例方式根据本发明的优选实施例，其具体方法如下1)协议初始化；1. 1)网络部署之前，BServer根据BNode的FP构造u Tinst ；参见图1，步骤1. 1)的具体步骤如下1. 1. 1)BServer将BNode的生命周期划分为N个长度为TN的时间间隔，使得TN恰 好可以运行一个P Tinst，再根据BNode的广播频率和实时性要求，将TN划分为n个更小的 长度为Tn的时间间隔；1. 1. 2)根据N和n，BServer使用伪随机函数F依次产生N个密钥链，具体过程如 下^Server随机产生第N个密钥链的初始密钥KN,n，利用哈希函数H，根据等式KN,i = H(Kn, i+1)生成链中的其余密钥；然后，将前一密钥链的第二个密钥做为初始密钥，生成下一个密 钥链，直到生成最后一条密钥链；1. 1. 3)密钥链产生后，BServer为每个Tn分配一个密钥，从而N个密钥链构成N 个 y TESLA 实例。其中，第 i 个 iiTP 为 yTPi = {Ts Kij0 | 凡 | | Tint | | d}，其中，Ts、&,。、T” Tint、(！分别表示网络当前时间、密钥链的密钥头、当前同步间隔的起始时间、同步间隔、密钥 透露延迟时间(单位为Tint)。1. 2) BServer 基于 ii Tinst 构造 u TPC ；参见图2，步骤1. 2)的具体步骤如下1. 2. 1) u TP确定后，BServer构造ii TPC,过程如下BServer随机产生一个值Un，1.2.2)856作吐根据等式^_1 = 11恥| U TP,^)依次生成Ui值，直到UQ，式中“ | | ”
表不信息串联。1. 3) BServer 基于 BNode 的数量(以 m 为例)和 u TPC 构造 u TPCT,并把 u TPCT 的根R分发给RNode。参见图3，步骤1. 3)的具体步骤如下1.3. 1) BServer预先构造m个yTPC，为便于描述，假设m = 2% t为整数。并为每 个P TPC分配一个1到m之间的ID，为表达方便，将第i个P TPC中的第j个U值记作仏’」， 第j个P TP记作y TPy，把第i个y TPC的初始参数，包括Ui.pIDi，表示为Sp对所有S” 计算& = H(S》，将礼，K2， ，Kffl_J作为叶子节点构造U TPCT ；1. 3. 2) BServer将y TPCT的根R(此处为K18)分发给所有接收节点。2) BNode 向 BServer 请求 y TPC ；2. 1)加入网络前，BNode向BServer发送包含FP的ii TPC请求包；2. 2) BServer根据FP查找到匹配的y TPC，并连同证书PCert4以及所有P Tinst 的初始密钥Kgen发送给BNode，此处以图3中的y TPC4的初始参数S4为例。3) RNode 验证 BNode 身份；3. 1)BNode公布自己的证书PCert4 = {S4，K3，K12，K58}，见图3方框中的信息；3. 2) RNode 利用 K18 以及等式 H(H(H(H(S4) | |K3) | |K12) | |K58) = K18 验证 PCert4 的有效性。若验证成功，RNode保存PCert4中y TPC的初始参数U4,Q、ID4以及y TPC中y TP 的相同部分，否则丢弃PCert4。4) BNode 分发 ii TESLA 参数；4. 1) BNode根据第一个P Tinst的初始密钥Kgen和哈希函数H生成认证密钥链，然 后广播p tpc4中的U4,i和i! TP4j0 ；4. 2) RNode根据等式U4,0 = H(U4a | u TP4,Q)判断y TP4,Q的合法性。若等式成立， 将存，否则将其丢弃。4. 3)BNode广播U4,2，同时用第二个Kgen生成下一条认证密钥链。4. 4) RNode收到U4,2后，将其保存，并删除U4,0。5) RNode认证BNode的广播消息；5. 1) RNode获得i TP4,Q后，即在BNode之间即建立起一条基于P Tinst4j0的广播 认证通道，双方基于该通道实现广播认证，具体认证过程见P TESLA方法；5. 2)广播认证过程中，当距P Tinst4j0的生命周期结束还有2Tint时，BNode广播 yTP4,1;5. 3) RNode 根据等式 U4>1 = H(U4,2| | u TP4a)验证 ii TP^，从而确保 RNode 能够继 续认证P Tinst4a生命周期内的广播信息。此外，本发明的流程中还包括步骤6)网络撤销被俘BNode的认证能力；6. 1)以被俘广播节点为BNodei、且其当前正在使用y TPC,分发和认证参数、并正 在使用yTPQ中与yTPu对应的PTESLA实例认证广播信息为例，BServer立即向网络中 广播由P TPQ的链值y TPi, j+2、u TPijJ+3以及仏,j+4构成的撤销信息；6. 2)RNode 根据等式仏，J+2 = H(u TP^ J+2 |H(u TP^ j+3| |U^ J+4))证实该信息后，将 不再保存和验证BNodei的广播信息。
权利要求
一种节点资源受限的无线网络的广播认证方法，其特征在于该方法包括以下步骤1)协议初始化；1.1)网络部署之前，后端服务器BServer根据广播节点BNode的特征参数FP构造μTESLA实例μTinst；1.2)后端服务器BServer基于μTESLA实例构造μTESLA参数链；1.3)后端服务器BServer基于广播节点BNode的数量和μTESLA参数链构造μTESLA参数链树，并把μTESLA参数链树的根R分发给接收节点RNode；2)广播节点BNode向后端服务器BServer请求μTESLA参数链；3)接收节点RNode验证广播节点BNode身份；4)广播节点BNode分发μTESLA参数；5)接收节点RNode认证广播节点BNode的广播消息。
2.根据权利要求1所述的节点资源受限的无线网络的广播认证方法，其特征在于所 述步骤1. 1)的具体步骤如下1. 1. 1)后端服务器BServer将广播节点BNode的生命周期划分为N个长度为TN的时 间间隔，使得Tn恰好可以运行一个P TESLA实例，再根据广播节点BNode的广播频率和实 时性要求，将Tn划分为n个更小的长度为Tn的时间间隔；1. 1. 2)根据N和n，后端服务器BServer使用伪随机函数F依次产生N个密钥链，即N 个ii TESLA实例ii Tinst，产生过程如下后端服务器BServer随机产生第N个密钥链的初 始密钥KN,n，利用哈希函数H，根据等式KN,i = H(Kn, i+1)生成链中的其余密钥；然后，将前一 密钥链的第二个密钥做为初始密钥，生成下一个密钥链；据此方法，直到生成最后一条密钥 链；1. 1.3)密钥链产生后，后端服务器BServer为每个Tn分配一个密钥，从而N个密钥链 构成N个y TESLA实例；其中，第i个PTESLA参数为y TPi = {Ts Kij0 Tj Tint | d}，其 中，Ts、Kw、凡、Tint、(！分别表示网络当前时间、密钥链的密钥头、当前同步间隔的起始时间、 同步间隔、密钥透露延迟时间(单位为Tint)。
3.根据权利要求2所述的节点资源受限的无线网络的广播认证方法，其特征在于所 述步骤1. 2)的具体步骤如下1. 2. 1) u TESLA参数确定后，后端服务器BServer随机产生一个值Un，1.2.2)后端服务器BServer通过等式仏—二！！恥！ | pTPh)依次生成仏值，直到UQ，该 单向链为P TESLA参数链y TPC，式中“ | | ”表示信息串联。
4.根据权利要求3所述的节点资源受限无线网络的广播认证方法，其特征在于所述 步骤1. 3)的具体步骤如下1.3.1)后端服务器BServer预先构造m个y TESLA参数链，构造过程如下设m =t为整数，并为每个P TESLA参数链分配一个1到m之间的ID，将第i个P TESLA参数链中 的第j个U值记作Uy，第j个y TESLA参数记作yTPi，，把第i个PTESLA参数链的初始 参数，包括Uy、IDp表示为Sp对所有S”计算& = H(S》，将礼，K2，. . .，Kffl_J作为叶子节 点构造Merkle哈希树，称为P TESLA参数链树y TPCT ；1. 3. 2)后端服务器BServer将y TESLA参数链树的根R分发给所有接收节点。
5.根据权利要求4所述的节点资源受限的无线网络的广播认证方法，其特征在于所 述步骤2)的具体步骤如下·2. 1)加入网络前，广播节点BNode向后端服务器BServer发送包含特征参数的 U TESLA参数链请求包；·2.2)后端服务器BServer根据广播节点BNode的特征参数查找到匹配的P TESLA参数 链，并连同相应的证书以及所有P TESLA实例的初始密钥Kgm发送给广播节点。
6.根据权利要求5所述的节点资源受限的无线网络的广播认证方法，其特征在于所 述步骤3)的具体步骤如下·3.1)广播节点BNode公布证书，其中包括P TESLA参数链中的第一个链值U0 ；·3.2)接收节点RNode利用R验证广播节点BNode证书的有效性，若验证成功，接收节 点RNode保存广播节点BNode证书中y TESLA参数链的初始参数以及P TESLA参数链中 U TESLA参数的相同部分，否则丢弃广播节点BNode的证书。
7.根据权利要求6所述的节点资源受限的无线网络的广播认证方法，其特征在于所 述步骤4)的具体步骤如下·4.1)广播节点BNode根据第一个P TESLA实例的初始密钥Kgen和哈希函数H生成认证 密钥链，然后广播P TESLA参数链中的第二个值仏和第一个y TESLA参数y TP。；·4. 2)接收节点RNode根据等式U0 =鸣| | u TP。)判断u 的合法性，若等式成立， 将PTPJS存，否则将其丢弃；·4. 3)广播节点BNode紧接着广播U2，同时用第二个Kgen生成下一条认证密钥链；·4.4)接收节点RNode收到U2后，将其保存，并删除U0。
8.根据权利要求7所述的节点资源受限的无线网络的广播认证方法，其特征在于所 述步骤5)的具体步骤如下·5.1)接收节点RNode获得第一个P TESLA参数y TP0,接收节点RNode和广播节点 BNode之间即建立起一条基于第一个P TESLA实例的广播认证通道，双方基于该通道实现 广播认证；·5. 2)广播认证过程中，当距第一个P TESLA实例的生命周期结束还有2Tint时，协议并 发执行阶段P TESLA参数分发，广播节点BNode广播y TESLA参数y ；·5.3)接收节点RNode根据等式= H(U21 | u TP)验证u TP”从而确保接收节点RNode 能够继续认证第二个P TESLA实例生命周期内的广播信息。
9.根据权利要求1至8任一权利要求所述的节点资源受限的无线网络的广播认证方 法，其特征在于所述步骤5)之后还包括步骤6)网络撤销被俘广播节点BNode的认证能 力。
10.根据权利要求9所述的节点资源受限的无线网络的广播认证方法，其特征在于所 述步骤6)的具体步骤如下·6.1)以被俘广播节点是BNodei、其当前正在使用PTPCi*发和认证参数、且正在使用 U TPCi中与i! TPi, j对应的i! TESLA实例认证广播信息为例，后端服务器BServer立即向网 络中广播由P TPQ的链值y TPi, j+2、u TPijJ+3以及仏,j+4构成的撤销信息；·6. 2)接收节点RNode根据等式仏,」+2 = H(uTPijJ+2 H(uTPijJ+3 UijJ+4))证实该信息 后，将不再保存和验证被俘广播节点BNodei的广播信息。
全文摘要
本发明提供了一种节点资源受限的无线网络的广播认证方法，该方法包括以下步骤1)协议初始化；2)广播节点BNode向后端服务器BServer请求μTESLA参数链；3)接收节点RNode验证广播节点BNode身份；4)广播节点BNode分发μTESLA参数；5)接收节点RNode认证广播节点BNode的广播消息。本发明基于单向链和Merkle树机制，通过构造μTESLA参数链μTPC和μTPC树μTPCT实现安全高效的μTESLA参数分发，对基于树的μTESLA方法进行改进，更适用于节点资源受限的无线网络的广播认证，且能够抵抗针对μTESLA参数分发过程的DoS攻击，具有计算、通信和存储开销小，能够立即撤销被俘节点的认证能力，适用于大规模、多广播节点的无线网络中。
文档编号H04L29/06GK101877690SQ20091002183
公开日2010年11月3日 申请日期2009年4月3日 优先权日2009年4月3日
发明者曹军, 杜志强, 赖晓龙, 铁满霞, 黄振海 申请人:西安西电捷通无线网络通信股份有限公司