Ad Hoc网络中合谋攻击研究综述

第３６卷　第３期　Ｉ１ｏＬ３６　・计算机工程　２０１０年２月　Ｆｅｂｒｕａｒｙ　２０１０　Ｎｏ．３　Ｃｏｍｐｕｔｅｒ　Ｅｎｇｉｎｅｅｒｉｎｇ　安全技术・　文章编号：１０ｏｏ—３４２８（２ｏ１ｏ）ｏ３．＿＿０１７７—－＿ｏ３　文献标识码：Ａ　中围分类号：ＴＰ３９３　Ａｄ　Ｈｏｃ网络中合谋攻击研究综述　谭长庚，李婧榕　（中南大学信息科学与工程学院，长沙４１００８３）　摘要：恶意节点利用协议漏洞发起合谋攻击，将严重影响网络的正常运行。针对Ａｄ　Ｈｏｃ网络的系统脆弱性，分析节点攻击问题，介绍　４类合谋攻击解决方案，并指出各自优缺点。分析结果表明，现有方案都存在一定缺陷，需要对方案的可靠性和可扩展性方面做改进。　关健词：自组织网络；合谋攻击；虫洞攻击　Ｓｕｒｖｅｙ　０ｆ　Ｒｅｓｅａｒｃｈ　０ｎ　Ｃｏｌｌｕｓｉｏｎ　Ａｔｔａｃｋ　ｉｎ　Ａｄ　Ｈ０ｃ　Ｎｅｔｗｏｒｋ　ＴＡＮ　Ｃｈａｎｇ—ｇｅｎｇ，ＬＩ　Ｊｉｎｇ－ｒｏｎｇ　・　（Ｃｏｌｌｅｇｅ　ｏｆＩｎｆｏｒｍａｔｉｏｎ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｅｎｇｉｎｅｅｒｉｎｇ，Ｃｅｎｔｒａｌ　Ｓｏｕｔｈ　Ｕｎｉｖｅｒｓｉｔｙ，Ｃｈａｎｇｓｈａ　４１００８３）　［Ａｂｓｔｒａｃｔ］Ｍａｌｉｃｉｏｕｓ　ｎｏｄｅ　ｕｓｅｓ　ｐｒｏｔｏｃｏｌ　ｌｏｏｐｈｏｌｅ　ｌａｕｎｃｈｉｎｇ　ｃｏｌｌｕｓｉｏｎ　ａｔｔａｃｋ，ｉｔ　ｂａｄｌｙ　ａｆｆｅｃｔｓ　ｔｈｅ　ｎｏｒｍａｌ　ｏｐｅｒａｔｉｏｎ　ｏｆ　ｎｅｔｗｏｒｋ．Ａｉｍｉｎｇ　ａｔ　ｔｈｅ　ｓｙｓｔｅｍ　ｖｕｌｎｅｒａｂｉｌｉｔｙ　ｏｆ　Ａｄ　Ｈｏｃ　ｎｅｔｗｏｒｋ，ｔｈｉｓ　ｐａｐｅｒ　ａｎａｌｙｓｅｓ　ｔｈｅ　ａｔｔａｃｋ　ｌａｕｎｃｈｅｄ　ｂｙ　ｍａｌｉｃｉｏｕｓ　ｎｏｄｅｓ，ｉｎｔｒｏｄｕｃｅｓ　ｆｏｕｒ　ｋｉｎｄｓ　ｏｆ　ｃｏｌｌｕｓｉｏｎ　ａｔｔａｃｋ　ｓｏｌｕｔｉｏｎｓ，ｇｉｖｅｓ　ｔｈｅｉｒ　ｍｅｒｉｔｓ　ａｎｄ　ｆａｕｌｔｓ．Ａｎａｌｙｓｉｓ　ｒｅｓｕｌｔｓ　ｓｈｏｗ　ｔｈａｔ　ｅｘｉｓｔｉｎｇ　ｓｏｌｕｔｉｏｎｓ　ａｌｌ　ｅｘｉｓｔ　ｄｅｆｉｎｉｔｅ　ｄｅｆｅｃｔ，ｔｈｅｙ　ｎｅｅｄ　ｉｍｐｒｏｖｅ　ｉｎ　ｔｈｅ　ａｓｐｅｃｔｓ　ｏｆ　ｒｅｌｉａｂｉｌｉｔｙ　ａｎｄ　ｅｘｔｅｎｄｉｂｉｌｉｔｙ．　［Ｋｅｙ　ｗｏｒｄｓ】Ａｄ　Ｈｏｃ　ｎｅｔｗｏｒｋ；ｃｏｌｌｕｓｉｏｎ　ａｔｔａｃｋ；ｗｏｒｍｈｏｌｅ　ａｔｔａｃｋ　Ａｄ　Ｈｏｃ网络具有广阔的应用前景，但其安全问题一直困　码技术的合谋攻击解决方案，信任模型与密码技术相结合的　合谋攻击解决方案，虫洞攻击与Ｓｙｂｉｌ攻击的解决方案，其　他类型的合谋攻击解决方案。　扰研究者，节点合谋攻击是问题之一。本文针对传统安全路　由协议容易忽视节点合谋攻击的问题，重点讨论现有典型的　合谋攻击解决方案。　２．１基于密码技术的合谋攻击解决方案　在部分合作性方案中，节点转发数据包给予虚拟货币作　１　Ａｄ　Ｈｏｃ网络的安全威胁　Ａｄ　Ｈｏｃ网络的安全需求与传统网络一致，包括机密性、　完整性、有效性、身份认证和不可否认性。Ａｄ　Ｈｏｃ网络的安　全现状与安全需求相差甚远，其固有的特性及安全漏洞容易　引发各种类型的攻击。按照攻击性质，攻击行为可分为２类ｌ】Ｊ：　一为奖励，持有货币能发送自己的信息。恶意节点合谋工作后，　部分节点获取大量货币，另一部分节点消耗很多，它们通　过平分所得货币便于继续合谋。平分货币的前提是消耗货币　的节点必须使其合作方相信它们确实消耗了那么多货币。节　点问一般采取２种方法获取信任，文献［２］采用密码技术，分　别对这２种方法给出了对策，假设Ａ表示消耗货币的节点集，　Ｂ表示获取货币的节点集。（１）Ａ让Ｂ查看自己发给源节点的　信息，该信息说明了它们所消耗的货币数量。采取对策：允　许每个节点向Ａ发送信息更新自己的货币数量。因此，即使　（１）被动攻击。攻击者通过无线信道窃听节点间的通信，　获取有价值的信息。由于被动攻击只窃取信息，不会破坏协　议的正常工作，因此通常很难被检测到。　（２）主动攻击。恶意节点通过删除信息、插入错误信息、　修改信息等手段，主动破坏网络协议、违反安全策略，直接　影响网络的可用性。按照攻击来源，主动攻击分为外部攻击　和内部攻击。外部攻击是指没有通过验证的网络外节点对网　络的攻击；内部攻击是指网络中的节点被侵占或本身就是叛　Ｂ看到了这条信息，也不能确定它所表示的货币数量是否已　由源节点认证。（２）Ａ让Ｂ查看接收到的来自源节点的货币信　息，这条信息是源节点直接根据Ａ所声明的货币数量支付的　货币数。采取对策：源节点对信息签名，这个签名只有Ａ和　中央银行才能检验。因此，Ｂ无法检验源节点的签名真伪，　将会怀疑签名是伪造的。这种方法依赖于一定的硬件或者中　心机构来破坏节点间的信任，阻止合谋攻击。由于其扩展性　不强，因此不适用于大型的和对实时性要求较高的移动自组　网络。　徒，通过窃听、发布错误路由信息等方法对网络进行攻击。　由于内部的恶意节点是网络的授权主体，受到协议的保护，　因此更难于检测，对Ａｄ　Ｈｏｃ网络危害更大。　在Ａｄ　Ｈｏｃ网络中，把２个或者２个以上的恶意节点通　过相互掩饰联合破坏正常节点和网络的行为称为合谋攻击。　合谋攻击除具备一般攻击的基本特性外，还具备以下３个特　点：（１）互相担保，使攻击节点看似合法节点；（２）互相伪装，　建立虚假链路；（３）做伪证陷害合法节点。由于合谋攻击破坏　为了限制已退出网络的节点利用旧秘密份额进行合谋攻　基金项目：国家自然科学基金资助项目（６０８７３２６５）；教育部博士点基　金资助项［１（２００６０５３３０５７）　力度大，又有一定隐蔽性，因此有效解决节点合谋攻击的方　案至关重要。　作者倚介：谭长庚（１９６３一），男，副教授、博士研究生，主研方向：　移动自组网的路由协议和性能评价；李婧榕，硕士研究生　２　Ａｄ　Ｈｏｃ网络中的合谋攻击解决方案　目前，节点合谋攻击的解决方案大致分为４类：基于密　收稿日期：２００９—０６—０５　Ｅ—ｍａｉｌ：ｃｇｔａｎ＠１６３．ｔｏｍ　１７７—　击，文献【３】基于可验证秘密分享机制和门限密码技术，提出　一项（ＭＡＣ项包括上游节点的ｔｒｕｓｔ—ｌｅｖｅｌ值、节点ＩＰ以及节点　的私钥）附加在ＲＲＥＱ包头。当节点质疑另一节点的信任度　时，就广播一个警告信息ＲＷＡＲＮ（ＲＷＡＲＮ包含被告节点的　种分布式组密钥管理方案。采用前摄门限密码技术，在不　泄露组秘密的条件下更新所有节点的秘密份额，重新计算新　的组秘密份额。所有更新的组秘密份额组成组秘密的一个新　门限分享后，节点删除旧份额。那么，恶意节点无法将新旧　份额联系起来恢复组秘密，从而防止了已退出网络的节点参　与合谋攻击。该方案有效抵制了恶意节点的合谋攻击，具有　鲁棒性和自适应性的特点。在敌对环境下，该方案的组密钥　更新效率和成功率均优于其他协议。该方案的缺点是门限值　不能根据用户的需求动态调节。　ＩＰ和ＭＡＣ值）控告这个节点，收到ＲＷＡＲＮ的节点，若不能　用被告节点的私钥解译ＭＡＣ项，则推导出原告节点为恶意　节点；若能解密ＭＡＣ项，则检查被告节点与原告节点的　ｔｒｕｓｔ—ｌｅｖｅｌ值是否相等，若相等，则说明被告节点正确评价了　原告节点行为，推导出原告节点为恶意诬陷，否则被告节点　就为恶意节点。　文献［４］讨论了在传感器网络中，不同通信区域的节点互　相伪装，利用成对密钥创建许多错误身份对密钥预分配机制　●　●　进行合谋攻击，使更多的节点成为受控节点，严重影响网络　的通信安全。该文有效地证明了即使网络中存在小部分合谋　节点，也可以“劫持”大量的通信信道，并提出２种方法：　（１）减少妥协节点的利用率，但这种办法受网络条件的局限性　影响；（２）探测成对密钥的重复利用，但开销太大。该文的主　要贡献在于定义了一种在分布式传感器网络中的合谋攻击形　式，并分析了其破坏性，但未给出合理的解决方案。　２．２信任模型与密码技术相结合的合谋攻击解决方案　文献【５］定义了一个簇网络模型，并结合信任机制提出一　种分布式公钥认证方法来发现并隔离合谋节点。同一个簇的　节点互相监测，根据节点行为计算相应的信任值；认证服务　依赖于可信节点签发的公钥证书。假设源节点ｓ和目的节点　Ｄ不属于同一个簇，Ｓ向Ｄ索要公钥证书。Ｓ从ｉｎｔｒｏｄｕｃｅｒ（与　Ｄ在同一个簇，但已与ｓ建立联系的节点集）中选取前”个信　任值最高的节点，询问Ｄ的公钥和推荐信任值。通过比较　这ｎ个信息，ｓ选出正确的Ｄ的公钥并计算其信任值。然而，　ｉｎｔｒｏｄｕｃｅｒ中可能包含恶意节点，它们合谋返回错误的公钥或　推荐信任值给Ｓ，诬陷正常节点。针对这种情况，采取以下　方法：Ｓ在发现Ｄ正确的公钥后，降低给予错误公钥的节点　信任值，阻止它们再次成为ｉｎｔｒｏｄｕｃｅｒ；通过偏离测试过滤掉　不合理的信任值，再计算Ｄ的信任值，同时降低恶意节点的　信任值，并广播一个消息隔离它。该方案通过建立簇网络模　型加强了邻居节点检测力度和公钥认证服务的有效性，较好　地解决了节点合谋诬陷正常节点的问题，隔离并惩罚了恶意　节点。但是，在合谋节点多于正常节点的情况下，该方案找　不到节点的正确公钥。　文献【６］提出一系列解决节点恶意行为的方案。￣ＡＯＤＶ　提供了一个防范单个节点攻击的安全路由算法。源节点在　ＲＲＥＱ包头定义一个ｔｒｕｓｔ—ｌｅｖｅｌ值，当中间节点收到ＲＲＥＱ　包后，根据上游节点的行为修改ｔｒｕｓｔ—ｌｅｖｅｌ值并重新广播　ＲＲＥＱ包。上游节点检验该重新广播的ＲＲＥＱ包，检查其提　供的ｔｒｕｓｔ－ｌｅｖｅｌ是否与实际相符合，若不符合，则立刻广播　一个警告信息，阻止恶意节点进入网络。文献［７］是对￣ＡＯＤＶ　的扩展，解决了恶意节点合谋攻击的问题，该文首先定义了　一种合谋攻击模型，如图１所示。其中，Ａ，Ｂ，Ｃ，Ｍ，Ｎ为网　络节点，Ｍ和Ｎ为合谋节点。当Ｍ收到Ａ和Ｂ的ＲＲＥＱ包　后，将其转发给Ｎ和Ｃ。由于Ｍ和Ｎ是合谋节点，因此Ｎ　给予Ｍ很高的ｔｕｒｓｔ—ｌｅｖｅｌ值，Ｃ呗０对Ｍ进行正常的ｔｒｕｓｔ—ｌｅｖｅｌ　评价。Ｍ对ｔｒｕｓｔ．１ｅｖｅｌ值检验后，诬陷ｃ为恶意节点，使其　受到网络的孤立，而合谋节点Ｍ和Ｎ就顺利地加入到路径中。　针对该情况，笔者给出了解决方案。每个节点都有一对公钥　和私钥，在收到并重新广播ＲＲＥＱ包前，需计算一个ＭＡＣ　１７８一　●　●　图１攻击模型　文献［８］在上述研究基础上，建立信任模型评价节点的信　任度，分析３种不同的恶意攻击行为：节点自私丢包或有选　择性丢弃“大”包，诬陷节点不传包，节点突然中断路由，　使网络重新发起路由发现。这种方法可以有效地阻止恶意节　点加入到路由选择中。　在ＡＯＤＶ协议的基础上，笔者有效解决了单个节点攻击　与合谋诬陷正常节点的问题，其仿真结果表明协议在网络开　销和错误路径率方面都有较好的性能。但由于节点必须参与　整个检测过程，因此会使其能量过早耗完。并且，若所有节　点都不诬陷其他节点，那么协议很可能找不到一条端到端的　安全路由。　文献［９］在链路状态路由协议ＯＬＳＲ基础上提出基于信任　保留的安全路由协议ＴＰＳＲＰ。该协议采用信任保留方式对节　点进行认证，即对每个步骤的认证结果进行保留，下一次节　点相遇时可以继续认证。另一方面，ＴＰＳＲＰ采用数据挖掘技　术中基于关联规则的行为检测方法，提取节点的行为特征，　总结恶意行为的规律，建立比较完备的信任规则库辨别恶意　行为。主机定时进行流量分析与关联规则匹配，对不符合关　联规则的网络流量，认为是恶意行为。由于每条路径都由通　过认证的节点构成，恶意节点无法进入网络，因此有效地检　测和抵抗了Ａｄ　Ｈｏｃ网络中的合谋攻击。　ＴＰＳＲＰ将认证服务与数据挖掘技术相结合，具有一定的　创新性。在节点移动性较强的情况下，它的认证效率要高于　传统认证协议，并能够有效地孤立攻击节点。这种方法节点　的开销过大，容易缩短网络寿命。　２．３虫洞攻击与Ｓｙｂｉｌ攻击的合谋攻击解决方案　在Ａｄ　Ｈｏｃ网络中，虫洞攻击和Ｓｙｂｉｌ攻击属于节点的合　谋攻击形式。　２．３．１　虫洞攻击及其解决方案　虫洞攻击是２个或多个节点间建立私有通道，攻击者通　过私有通道传递窃取的信息。虫洞能造成比实际路径短的假　象，扰乱网络的路由机制，导致路由发现过程失败。目前，　虫洞攻击的解决方案大致分为２类：　（１）基于位置信息的方法。此类协议主要利用定向天　线＿ｌ。１、超声　或ＧＰＳｌ　】等技术计算网络节点的相对位置，推　导数据包是否从虫洞发送。但该类方法需要额外的设备，检　测能力有限。　（２）数据包限制”　。该方法分为时间限制和位置限制２种。　源节点给每个数据包打上了精确的时间信息或几何位置信息　标签，目的节点将数据包到达的时间和位置信息与标签进行　比较，如果数据在不切实际的时间内传送了不切实际的距离，　那么就认为网络中有虫洞。但该方法存在很大的误差，因为　在实际运行中，很难准确计算出数据包传输的时间和距离。　２．３．２　Ｓｙｂｉｌ攻击及其解决方案　Ｓｙｂｉｌ攻击是针对地理位置协议的一种攻击行为，网络节　点同时冒充几个节点身份出现，破坏资源分配和路由算法的　节点签名认证，因此，该阶段有效地防御了节点问建立虚假　链路的合谋攻击。由于该阶段不考虑任何性能指标，所生成　的路径可能包含大量的攻击节点，因此在路由选择阶段，由　路径的性能指标组成一个判定公式来衡量路径质量的好坏，　从而排除包含恶意节点的路径。　Ｓｐｒｏｕｔ有效阻止了节点合谋建立虚假链路。即使网络中　存在大量的攻击节点，Ｓｐｒｏｕｔ仍能找到目的节点的路径。但　是在概率路由产生阶段，存在大量邻居节点被阻止加入路由　选择，可能找不到从源节点到目的节点的路径。　可靠性。目前，Ｓｙｂｉｌ攻击的解决方案大致分为２类：　（１）身份认证技术　。　。。节点通过唯一对称密钥验证其邻　居节点的身份，防止节点身份假冒。此外，限制邻居节点的　数量，使其只能与有限个可信任节点通信，从而孤立一部分　妥协节点。这类方法采用节点间共享密钥进行身份认证，使　节点的计算量和能量消耗都很大，占用节点的存储空间多，　缩短了网络的使用寿命，部分协议还需要硬件设备的支持。　（２）无线资源检测法ＬＪ　。若节点要检测其邻居节点是否为　Ｓｙｂｉｌ身份，则为每个邻居分配一个信道，并广播消息，然后　随机选择一个信道进行监听，如果邻居是合法节点，那么能　监听到应答消息。由于信道有限，因此造成节点的检测范围　受限，而且节点的能量消耗过快，加速了节点自身的失效。　（３）基于接收信号强度指示（Ｒｅｃｅｉｖｅｄ　Ｓｉｇｎａｌ　Ｓｔｒｅｎｇｔｈ　Ｉｎｄｉｃａｔｏｒ，ＲＳＳＩ）￣检测机制…ｊ。此类方法利用对不同接收者　发送过来的消息包的ＲＳＳＩ比值来检测Ｓｙｂｉｌ攻击。它的优点　是无须计算发送者的位置，只需要２个节点就可以检测出　Ｓｙｂｉｌ攻击。该方法无法检测网络中已有的Ｓｙｂｉｌ攻击，只能　检测网络节点布置好后新增加的节点中存在的Ｓｙｂｉｌ攻击，　且需要硬件支持。　２．４其他类型的合谋攻击解决方案　文献［１８］提出一种在包含合谋节点的无线网络中进行路　由选择的方案Ｓｐｒｏｕｔ。Ｓｐｒｏｕｔ由概率路由产生和路由选择　２个阶段组成。在概率路由产生阶段，路由选择无须考虑网　络性能，如图２所示。　一　冲　（ａ）阶段１　．　（ｂ）阶段２　一一　（ｃ）阶段３　（ｄ）阶段４　图２概率路由产生阶段　由源节点Ｓ出发，从其邻居节点中随机选择一个节点作　为其下一跳，剩余邻居节点加入ｃｏｎｓｉｄｅｒｅｄ数组（黑色节点），　选入路径的节点包含在ｓｅｌｅｃｔ—ｏｎｅ数组（白色节点）中，网络其　他节点则加入ａｖａｉｌａｂｌｅ数组（灰色节点），下一跳节点将从　ａｖａｉｌａｂｌｅ中挑选。若ｓｅｌｅｃｔ－ｏｎｅ数组包含目的节点Ｄ，则找到　了目的节点的路径，否则，重新寻路。由于节点的某一跳邻　居一旦成为其下一跳，该节点剩下的一跳邻居节点都直接被　包含到ｃｏｎｓｉｄｅｒｅｄ数组中，而且链路的建立与删除需要２端　文献［１９］提出一种ＬｅａｋＤｅｔｅｃｔｏｒ机制，用于解决Ａｄ　Ｈｏｃ　网络中邻居节点合谋隐瞒丢包的问题，弥补了现有安全路由　协议只能监测一跳邻居行为的缺陷。ＬｅａｋＤｅｔｅｃｔｏｒ的主要思　想是由目的节点建立一张虚拟图，用于模拟从源节点到目的　节点的多条路径。通过周期性更新包的传输情况，每个中间　节点计算从上游节点接收的包百分比，并将此数据传送给目　的节点。目的节点收集到这些数据后，将其标记在虚拟图的　边上，用于表示每个节点接收与转发的包百分比，从而比较　这２个百分比值。若两者偏离太大，则判定该节点为恶意　节点。　ＬｅａｋＤｅｔｅｃｔｏｒ机制能够有效解决带有类似于ｗａｔｃｈｄｏｇ监　测器的路由协议无法检测节点合谋掩饰丢包的情况。不过，　该方案需要周期性地更新虚拟图信息，使节点开销较大，容　易缩短网络寿命，不适合拓扑结构复杂的网络。　３结束语　节点合谋攻击的破坏性和难防御性严重影响了网络性　能，而现有解决方案都存在一定缺陷。因此，在Ａｄ　Ｈｏｃ，网　络中设计合谋攻击解决方案时，可以从２个方面考虑：（１）综　合分析合谋攻击的多种表现形式，采用有效的密码技术防止　恶意节点窃取信息，提出分布式的合谋攻击解决方案；（２）由　于Ａｄ　Ｈｏｃ网络的拓扑结构动态变化，因此应当考虑解决方　案的可扩展性和可靠性，能够适应不同规模的网络。　参考文献　［１］王建新，张亚男，王伟乎，等．移动自组网中基于声誉机制的安　全路由协议设计与分析［Ｊ］＿电子学报，２００５，３３（４）：５９６—６０　１．　［２】Ｚｈｏｎｇ　Ｓｈｅｎｇ，Ｗｕ　Ｆａｎ．Ｏｎ　Ｄｅｓｉｇｎｉｎｇ　Ｃｏｌｌｕｓｉｏｎ—ｒｅｓｉｓｔａｎｔ　Ｒｏｕｔｉｎｇ　Ｓｃｈｅｍｅｓ　ｆｏｒ　Ｎｏｎｃｏｏｐｅｒａｔｉｖｅ　Ｗｉｒｅｌｅｓｓ　Ａｄ　Ｈｏｃ　Ｎｅｔｗｏｒｋｓ［Ｃ］／／Ｐｒｏｃ．　ｏｆ　ｔｈｅ　１３ｔｈ　Ａｎｎｕａｌ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｍｏｂｉｌｅ　Ｃｏｍｐｕｔｉｎｇ　ａｎｄ　Ｎｅｔｗｏｒｋｉｎｇ．Ｍｏｎｔｒｅａｌ，Ｑｕｅｂｅｃ，Ｃａｎａｄａ：［Ｓ．ｎ．］，２００７：２７８—２８９．　［３］李俊，崔国华，郑明辉．移动自主网络安全分布式组密钥管理　方案［Ｊ１＿小型微型计算机系统，２００７，２８（６）：９９１－９９７．　［４］Ｍｏｏｒｅ　Ｔ．Ａ　Ｃｏｌｌｕｓｉｏｎ　ＡＲａｃｋ　ｏｎ　Ｐａｉｒｗｉｓｅ　Ｋｅｙ　Ｐｒｅｄｉｓｔｒｉｂｕｔｉｏｎ　Ｓｃｈｅｍｅｓ　ｆｏｒ　Ｄｉｓｔｒｉｂｕｔｅｄ　Ｓｅｎｓｏｒ　Ｎｅｔｗｏｒｋｓ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ｔｈｅ　４ｔｈ　Ａｎｎｕａｌ　ＩＥＥＥ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｐｅｒｖａｓｉｖｅ　Ｃｏｍｐｕｔｉｎｇ　ａｎｄ　Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ　Ｗｏｒｋｓｈｏｐｓ．Ｗａｓｈｉｎｇｔｏｎ　Ｄ．Ｃ．，ＵＳＡ：［Ｓ．ｎ．］，２００６：　２５１．２５５．　【５］Ｎｇａｉ　Ｅ　Ｃ　Ｈ，Ｌｙｕ　Ｍ　Ｒ．Ａｎ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｓｅｒｖｉｃｅ　Ｂａｓｅｄ　ｏｎ　Ｔｒｕｓｔ　ａｎｄ　Ｃｌｕｓｔｅｒｉｎｇ　ｉｎ　Ｗｉｒｅｌｅｓｓ　Ａｄ　Ｈｏｃ　Ｎｅｔｗｏｒｋｓ：Ｄｅｓｃｒｉｐｔｉｏｎ　ａｎｄ　Ｓｅｃｕｒｉｔｙ　Ｅｖａｌｕａｔｉｏｎ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ＩＥＥＥ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｓｅｎｓｏｒ　Ｎｅｔｗｏｒｋｓ，Ｕｂｉｑｕｉｔｏｕｓ，ａｎｄ　Ｔｒｕｓｔｗｏｒｔｈｙ　Ｃｏｍｐｕｔｉｎｇ．Ｔａｉｗａｎ，　Ｃｈｉｎａ：ＩＥＥＥ　Ｐｒｅｓｓ．２００６：９４－１Ｏ３．　［６］Ｐｉｓｓｉｎｏｕ　Ｎ，Ｇｈｏｓｈ　Ｍａｋｋｉ　Ｋ．Ｃｏｌｌａｂｏｒａｔｉｖｅ　Ｔｒｕｓｔ—ｂａｓｅｄ　Ｓｅｃｕｒｅ　Ｒｏｕｔｉｎｇ　ｉｎ　Ｍｕｌｔｉｈｏｐ　Ａｄ　Ｈｏｃ　Ｎｅｔｗｏｒｋｓ［Ｊ］．Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ，２００４，３０４２（１１）：１４４６—１４５１．　（下转第１８３页）　】７９—　完成的。ｓｐｙ比例是指间谍节点占恶意节点总数的比例。“差”　服比例是指所有交易次数中提供的服务为“差”所占的比率。　图３中可看出，类ＰＳＭ在对恶意节点中存在问谍节点的抑　制上是几乎无效的，随着ｓｐｙ百分比的增加，“差”服务比例　也随着增加。ＴＭＦＴ则能有效地抑制此类行为。实验中发现，　对间谍节点的抑制是缓慢的，原因是网络中推荐行为的次数　远小于网络中交易行为的次数。　平均交易次数　薹　娄　ＪＦ　Ｉ一　ｌ＋　．７Ｉ　警　二兰＝　习　５Ｉ　．图４交易次数对恶意节点的抑捌　上述３个实验表明，与类ＰＳＭ相比，ＴＭＦＴ能更容易的　发现间谍行为，而且能较快地驱除网络中的恶意节点。　５结束语　１０　１５　２Ｏ　２５　３Ｏ　３５　４ｏ　４５　５Ｏ　恶意节点比钟（％）　信任评价是Ｐ２Ｐ安全问题中的一个重点，由于信任具有　模糊性等特点，因此会存在评价不准确问题。本文构造的信　任模型，使节点之间的信任评价更加准确，同时能较好地抑　制恶意同伙合谋和间谍行为，达到驱除恶意节点的目的。　图２恶意节点对优质服务的影喃　萋　要　塞　参考文献　【１］Ｋａｍｖａｒ　Ｓ　Ｄ，Ｓｃｈｌｏｓｓｅｒ　Ｍ　Ｇａｒｃｉａ　Ｍ　Ｈ．Ｔｈｅ　Ｅｉｇｅｎｔｒｕｓｔ　Ａｌｇｏｒｉｔｈｍ　ｆｏｒ　Ｒｅｐｕｔａｔｉｏｎ　Ｍａｎａｇｅｍｅｎｔ　ｉｎ　Ｐ２Ｐ　Ｎｅｔｗｏｒｋｓ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ｔｈｅ　１２ｔｈ　Ｉｎｔ’１　ＷＷＷ　Ｃｏｎｆ．．Ｂｕｄａｐｅｓｔ，Ｈｕｎｇａｒｙ：ＡＣＭ　Ｐｒｅｓｓ，２００３：６４０—６５１．　［２］Ｘｉｏｎｇ　Ｌｉ，Ｌｉｕ　Ｌｉｎｇ．ＰｅｅｒＴｒｕｓｔ：Ｕｐｐｏｒｔｉｎｇ　Ｒｅｐｕｔａｔｉｏｎ－ｂａｓｅｄ　Ｔｒｕｓｔ　ｉｎ　ｓｐｙ比ｔ￣ｌ／（Ｖｏ）　Ｐｅｅｒ－ｔｏ—Ｐｅｅｒ　Ｃｏｍｍｕｎｉｔｉｅｓ［Ｊ］．ＩＥＥＥ　Ｔｒａｎｓａｃｔｉｏｎｓ　ｏｎ　Ｋｎｏｗｌｅｄｇｅ　ａｎｄ　Ｄａｔａ　Ｅｎｇｉｎｅｅｒｉｎｇ，２００４，１６（７）：８４３—８５４．　圈３　ｓｐｙ节点对差服务的影响　实验３对恶意节点的抑制。此实验是在恶意节点比例为　３０％，ｓｐｙ比例为４０％的条件下完成的。图４中可看出，随　着平均交易次数的增加，恶意节点的交易行为将减少，最终　将从网络上被驱除。与类ＰＳＭ相比，ＴＭＦＴ能较快地驱除网　络中的恶意节点。　［３］王亮，郭亚军．电子商务系统的信任建模与评估【Ｊ】．计算机工　程，２００９，３５（１０）：１２９—１３１．　［４】胡宝清，模糊理论基础［Ｍ］．武汉：武汉大学出版社，２００４．　［５】Ｋｏｔｓ　Ｓ，吴喜之．现代贝叶斯统计学［Ｍ］．北京：中国统计出版社，　２０００．　编辑金胡考　（上接第１７９页）　ｆ７１　Ｇｈｏｓｈ　Ｐｉｓｓｉｎｏｕ　Ｎ，Ｍａｋｋｉ　Ｋ．Ｃｏｌｌａｂｏｒａｔｉｖｅ　Ｔｒｕｓｔ—ｂａｓｅｄ　Ｓｅｃｕｒｅ　［１４］Ｋａｒｌｏｆ　Ｃ，Ｗａｇｎｅｒ　Ｄ．Ｓｅｃｕｒｅ　Ｒｏｕｔｉｎｇ　ｉｎ　Ｗｉｒｅｌｅｓｓ　Ｓｅｎｓｏｒ　Ｎｅｔｗｏｒｋｓ：　Ａｔｔａｃｋｓ　ａｎｄ　Ｃｏｕｎｔｅｒ—ｍｅａｓｕｒｅｓ［ｃ］／／Ｐｒｏｃ．ｏｆ　ｔｈｅ　ｌ　ｓｔ　ＩＥＥＥ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｗｏｒｋｓｈｏｐ　ｏｎ　Ｓｅｎｓｏｒ　Ｎｅｔｗｏｒｋ　Ｐｒｏｔｏｃｏｌｓ　ａｎｄ　Ｒｏｕｔｎｇ　Ａｇａｉｉｎｓｔ　Ｃｏｌｌｕｄｉｎｇ　Ｍａｌｉｃｉｏｕｓ　Ｎｏｄｅｓ　ｉｎ　Ｍｕｌｔｉ—ｈｏｐ　Ａｄ　Ｈｏｃ　Ｎｅｔｗｏｒｋｓ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ｔｈｅ　２９ｔｈ　ＩＥＥＥ　Ａｎｎｕａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｌｏｃａｌ　Ｃｏｍｐｕｔｅｒ　Ｎｅｔｗｏｒｋｓ．Ｔａｍｐａ，Ｆｌｏｒｉｄａ，ＵＳＡ：ＩＥＥＥ　Ｃｏｍｐｕｔｅｒ　Ｓｏｃｉｅｔｙ，　２００４：２２４—２３１．　Ａｐｐｌｉｃａｔｉｏｎ．Ａｎｃｈｏｒａｇｅ，ＵＳＡ：［ｓ．ｎ．］，２００３：１１３—１２７．　［１５］Ｚｈａｎｇ　Ｑｉｎｇｈｕａ，Ｗａｎｇ　Ｐａｎ，Ｄｏｕｇｌａｓ　Ｓ　Ｒ，ｅｔ　ａ１．Ｄｅｆｅｎｄｉｎｇ　Ａｇａｉｎｓｔ　Ｓｙｂｉｌ　Ａｕａｃｋｓ　ｉｎ　Ｓｅｎｓｏｒ　Ｎｅｔｗｏｒｋｓ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ｔｈｅ　２５ｔｈ　ＩＥＥＥ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｄｉｓｔｒｉｂｕｔｅｄ　Ｃｏｍｐｕｔｉｎｇ　Ｓｙｓｔｅｍｓ　Ｗｏｒｋｓｈｏｐｓ．　Ｗａｓｈｉｎｇｔｏｎ　Ｄ．Ｃ．，ＵＳＡ：ＩＥＥＥ　Ｐｒｅｓｓ，２００５：１８５—１９１．　［８］Ｇｈｏｓｈ　Ｌ　Ｐｉｓｓｉｎｏｕ　Ｎ．Ｔｏｗａｒｄｓ　Ｄｅｓｉｇｎｉｎｇ　ａ　Ｔｒｕｓｔｅｄ　Ｒｏｕｔｉｎｇ　Ｓｏｌｕｔｉｏｎ　ｉｎ　Ｍｏｂｉｌｅ　Ａｄ　Ｈｏｃ　Ｎｅｔｗｏｒｋｓ［Ｊ］．Ｍｏｂｉｌｅ　Ｎｅｔｗｏｒｋｓ　ａｎｄ　Ａｐｐｌｉｃａｔｉｏｎｓ，　２００５，１０（６）：９８５—９９５．　［９］付才，洪帆，洪亮，等．基于信任保留的移动ＡｄＨｏｅ网络　安全路由协议ＴＰＳＲＰ［Ｊ］．计算机学报，２００７，３０（１０）：１８５３—１８６４．　［１０】Ｈｕ　Ｌｉｎｇｘｕａｎ，Ｅｖａｎｓ　Ｄ．Ｕｓｉｎｇ　Ｄｉｒｅｃｔｉｏｎａｌ　Ａｎｔｅｎｎａｓ　ｔｏ　Ｐｒｅｖｅｎｔ　Ｗｏｒｍｈｏｌｅ　Ａｔｔａｃｋｓ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ｔｈｅ　１　１ｔｈ　Ａｎｎｕａｌ　Ｎｅｔｗｏｒｋ　ａｎｄ　Ｄｉｓｔｒｉｂｕｔｅｄ　Ｓｙｓｔｅｍ　Ｓｅｃｕｒｉｔｙ　Ｓｙｍｐｏｓｉｕｍ．Ｓａｎ　Ｄｉｅｇｏ，Ｃａｌｉｆｏｒｎｉａ，　［１６］Ｎｅｗｓｏｍｅ　Ｊ，Ｓｈｉ　Ｅ，Ｓｏｎｇ　Ｄ，ｅｔ　ａ１．Ｔｈｅ　Ｓｙｂｉｌ　Ａｔｔａｃｋ　ｉｎ　Ｓｅｎｓｏｒ　Ｎｅｔｗｏｒｋｓ：Ａｎａｌｙｓｉｓ　ａｎｄ　Ｄｅｆｅｎｓｅｓ［Ｃ］／／Ｐｒｏｃ．ｏｆｔｈｅ　３ｒｄ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｓｙｍｐｏｓｉｕｍ　ｏｎ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｐｒｏｃｅｓｓｉｎｇ　ｉｎ　Ｓｅｎｓｏｒ　Ｎｅｔｗｏｒｋｓ．　Ｐｉｔｔｓｂｕｒｇｈ，ＵＳＡ：［ｓ．ｎ．］，２００４：２５９—２６８．　［１７］Ｄｅｍｉｒｂａｓ　Ｍ，Ｓｏｎｇ　Ｙｏｕｎｇ—ｗｈａｎ．Ａｎ　ＲＳＳＩ—ｂａｓｅｄ　Ｓｃｈｅｍｅ　ｆｏｒ　Ｓｙｂｉｌ　Ａｔｔａｃｋ　Ｄｅｔｅｃｔｉｏｎ　ｉｎ　Ｗｉｒｅｌｅｓｓ　Ｓｅｎｓｏｒ　Ｎｅｔｗｏｒｋｓ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ｔｈｅ　２００６　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｓｙｍｐｏｓｉｕｍ　ｏｎ　Ｗｏｒｌｄ　ｏｆ　Ｗｉｒｅｌｅｓｓ，Ｍｏｂｉｌｅ　ａｎｄ　ＵＳＡ：［ｓ．ｎ．］，２００４．　［１　１］Ｎａｖｅｅｎ　Ｓ，Ｓｈａｎｋａｒ　Ｕ，Ｗａｇｎｅｒ　Ｄ．Ｓｅｃｕｒｅ　Ｖｅｒｉｉｆｃａｔｉｏｎ　ｏｆ　Ｌｏｃａｔｉｏｎ　Ｃｌａｉｍｓ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ｔｈｅ　２ｎｄ　ＡＣＭ　Ｗｏｒｋｓｈｏｐ　ｏｎ　Ｗｉｒｅｌｅｓｓ　Ｓｅｃｕｒｉｔｙ．　Ｄｏｈａ，Ｑａｔａｒ：［ｓ．ｎ．］，２００３：１—１０．　［１２］Ｈｅ　Ｔｉａｎ，Ｈｕａｎｇ　Ｃｈｅｎｇｄｕ，Ｂｌｕｍ　Ｂ　Ｍ，ｅｔ　ａ１．Ｒａｎｇ—ｆｒｅｅ　Ｌｏｃａｌｉｚａｔｉｏｎ　Ｍｕｌｔｉｍｅｄｉａ　Ｎｅｔｗｏｒｋｓ．Ｂｕｆｆａｌｏ，Ｎｅｗ　Ｙｏｒｋ，ＵＳＡ：［ｓ．ｎ．］，２００６：　５６４—５７０．　［１８］Ｅｒｉｋｓｓｏｎ　Ｆａｌｏｕｔｓｏｓ　Ｍ，Ｓｒｉｋａｎｔｈ　Ｖ　Ｋ．Ｒｏｕｔｉｎｇ　Ａｍｉｄ　Ｃｏｌｌｕｄｉｎｇ　Ａｔｔａｃｋｅｒｓ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ｔｈｅ　ＩＥＥＥ　Ｉｎｔｅｒｎａｔｉｏｎａ１　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｓｃｈｅｍｅｓ　ｆｏｒ　Ｌａｒｇｅ　Ｓｃａｌｅ　Ｓｅｎｓｏｒ　Ｎｅｔｗｏｒｋｓ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ｔｈｅ　９ｔｈ　Ａｎｎｕａｌ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｍｏｂｉｌｅ　Ｃｏｍｐｕｔｉｎｇ　ａｎｄ　Ｎｅｔｗｏｒｋｉｎｇ．Ｎｅｗ　Ｙｏｒｋ，ＵＳＡ：ＡＣＭ　Ｐｒｅｓｓ，２００３．　Ｎｅｔｗｏｒｋ　Ｐｒｏｔｏｃｏｌｓ．Ｂｅｉｊｉｎｇ，Ｃｈｉｎａ：ＩＥＥＥ　Ｐｒｅｓｓ，２００７：１８４—１９３．　【１９】Ｇｒａｆｔ　Ｋ，Ｍｏｇｒｅ　Ｐ　Ｓ，Ｈｏｌｌｉｃｋ　Ｍ，ｅｔ　ａ１．Ｄｅｔｅｃｔｉｏｎ　ｏｆ　Ｃｏｌｌｕｄｉｎｇ　Ｍｉｓｂｅｈａｖｉｎｇ　Ｎｏｄｅｓ　ｉｎ　Ｍｏｂｉｌｅ　Ａｄ　Ｈｏｃ　ａｎｄ　Ｗｉｒｅｌｅｓｓ　Ｍｅｓｈ　［１３］Ｈｕ　Ｙｉｈ—Ｃｈｕｎ，Ｐｅｒｒｉｇ　Ａ，Ｊｏｈｎｓｏｎ　Ｄ　Ｂ．Ｐａｃｋｅｔ　Ｌｅａｓｈｅｓ：Ａ　Ｄｅ￣ｎｓｅ　Ａｇａｉｎｓｔ　Ｗｏｒｍｈｏｌｅ　Ａｔｔａｃｋｓ　ｉｎ　Ｗｉｒｅｌｅｓｓ　Ｎｅｔｗｏｒｋｓ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ｔｈｅ　２２ｔｈ　Ａｎｎｕａｌ　Ｊｏｉｎｔ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｆ　ｔｈｅ　ＩＥＥＥ　Ｃｏｍｐｕｔｅｒ　ａｎｄ　Ｎｅｔｗｏｒｋｓ［Ｃ］／／Ｐｒｏｃ．ｏｆ　ＧＬＯＢＥＣＯＭ’０７．Ｗａｓｈｉｎｇｔｏｎ　Ｄ．Ｃ．，ＵＳＡ：　【ｓ．ｎ．１，２００７：５０９７—５１０１．　Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ．『Ｓ．１．］：ＩＥＥＥ　１ＮＦＯＣＯＭ　Ｐｒｅｓｓ，２００３：１９７６　１９８６．　编辑陆燕菲　１８３—