无线接入网互联网化（精选3篇）
无线接入网互联网化 篇1
一、无线移动自组织互联网概述
“无线移动自组织互联网络”, 简称为“无线自组织网络”。其结合通信系统的移动特点与Ad hoe动态组网的基本特性, 形成一个与普通意义不同的Ad Hoc网络, 同时也有别于利用AP接入的WLAN。它基于IEEE802 llb无线局域网络协议提供的无线通信基础, 以满足普通便携式PC宽带接入业务需求为目的, 在多条Ad Hoc上构建并形成一个宽带移动无线网络。
无线自组织网络中所使用的设备都是无线移动设备, 这使得整个网络具有自组织能力, 可以根据网络中各个节点的具体分布情况以及位置变化情况, 动态的掌握整个网络拓扑结构, 形成一个通信终端路由, 保证整个网络的各个节点都能够完成相互通信, 最终形成一个统一、自适应的无线网络。
二、无线移动自组织互联网主要技术
2.1自适应移动分群路由技术
(1) 自适应移动分群技术
分群目的是为了达到分层式控制的目的, 最终实现节省网络资源的目的。网络中各个节点的自组织功能就是指各个移动终端能够利用定期发布其周围网络拓扑信息的方式得到整个无线网络的拓扑结构信息, 以适应由于网络内节点的移动导致的拓扑结构变化。同时, 根据获得的信息按照设定的协议而自主形成单个群组, 最终达到移动分群的目的。
(2) 自适应移动路由技术
无线路由主要采用表格驱动以及按需查找两种方式。其中, 表格驱动就是指无线网络节点通过接收到其他节点的定期路由信息之后, 对所有保存的路由信息持续更新。该种方式的优点在于需要发送数据时, 网络中的各个节点就需要形成一个包含了整个网络路由信息的路由表。这种方式是用于网络规模较小的自适应网络, 在大规模的网络中若使用该技术, 则会造成网络运营成本的增加。
而按需查找则是在节点产生业务之后, 源节点能根据信息目的节点自主向整个网络路由搜寻信息, 一旦目的节点接收到相关信息之后, 将向源节点返回一个响应信息, 从而在两者之间建立了一个路由。
2.2无线移动自组织网络管理技术
当前的无线自组织网络中的所有用户的接入管理广泛采用WH-WR-RDIUS Server形成的三级管理模式。其中, RADIUS协议只是对WR与RADIUS Server之间的信息交互进行了规范, 而没有对WH与WR之间的交互操作进行限制。因此, 无线移动自组织网络管理模型的构建本质上就是要定制WH与WR之间的通信协议。
同时, 当前的RADIUS协议仅仅只提供AAA管理, 为了满足网络节点的移动性需求, 应该对RADIUS协议进行适当扩展, 实现用户之间的位置管理及切换认证。
无线自组织网络用户接入挂历结构如图1所示。
2.3网络互联集成技术
网络互联集成技术, 就是根据网络应用节点需要, 将网络设备、硬件平台、系统软件、操作软件以及应用软件等集成成为一个具有优良性能的无线计算机网络结构。
通过利用系统工程科学方法, 根据用户的实际需要, 对各种技术、产品等进行优选, 形成针对无线网络的系统性应用方案, 同时按照相应方案对系统的多个子系统以及部件进行综合集成, 使之形成一个完整、高效、可靠、经济的系统, 达到整体优化的目的。
2.4无线主机通信
因为自组网中的无线用户带有支持网络协议的无线网卡, 采用了无线信道 (AP模式) 接入到WR网络中, 实现IP通信, 而该网络的主机就叫做无线主机WH。与普通的移动通信系统通信方式相比, WH可以在多个基站的无线网络覆盖范围内自由移动, 实现IP通信。而接入设备在移动的过程中可以根据基站的网络覆盖情况, 采用切换接入WR的方式确保通信的畅通。
而网络通信信道采用的是当前广泛应用的无线局域网通信协议 (IEEE802.11) 作为通信链路层。其中, WR采用了两个独立的无线通信信道, 一个称为接入信道, 其接入WH;另一个是网络信道, 它是与WR进行通信的信道。接入信道采用的是8022.11b的基本工作模式, 通过在链路层为WH提供一个常规的无线通信接入访问点AP。而网络信道则工作于对等模式, 实现多个WR之间的通信。
三、无线移动自组织互联网用户接入管理技术的实现
根据2.3中的分析, 无线移动自组织互联网用户接入管理技术主要包括WH与WR之间的交互、WR与RA-DIUS Server之间的交互两个部分。
3.1WH与WR之间的信息交互
(1) 基于Web的接入认证信息交互
在整个无线自组织网络的用户接入管理系统当中, WH与WR之间的交互属于一种典型的Client/Server信息模式, 在设计过程中必须注重对WH的多种操作系统予以考虑、操作系统对协议软件的影响、认证信息的安全保护能力等因素。若采用基于Web的认证技术, WH将不需要安装特定的客户认证软件, 只需要在WR上嵌入一个Web服务器就能够实现客户认证。
而WH与WR间之间通过HTTP协议实现通信。由于HTTP属于文本协议, 即客户与服务器之间的数据时采用文本方式进行传输的, 所有想侦听信息的人都能够获得所有通信信息, 这在很大程度上破坏了网络传输的安全性。因此, 为了保证HTTP的通信安全性, 还需要使用安全套接字层对之加以保护。
(2) 基于keep-alive的切换认证信息交互
IUS Server WH向接入WR提交网络通信接入申请之后, WR将代替WH将用户的请求信息发送到RADIUS Server服务器上进行验证, 而WR则将RADIUS Server中的认证结果信息传递给WH。若用户合法, 则为其建立起通信路由。
在WH应用网络的过程中, 通常会出现移动, 往往会从一个WR的通信覆盖域计入到另一个WR的通信覆盖域, 即出现了“越区切换”的现象。这时, 一个新接入的WR在发现有新的WH进入其自身的覆盖域之后, 必须对该WH的合法性进行判断, 根据其合法性为决定是否为该WH建立起对应的路由。
3.2WR与RADIUS Server之间的信息交互
因为WH不能自主的感知器接入位置的改变, 所以WR必须能够根据Keep—alive的信息接收情况来对WH的位置变化情况进行判断, 并通过WR对WH发出位置改变信号。因此, 在整个网络中对WH进行位置改变管理时, 不能由WH自主报告期位置, 而只能根据网络中各个WR向RADIUS Server上传其覆盖域中接入的WH信息, 之后通过RADIUS Server来掌握网络中WH所在的网络位置。这时, WR中的RADIUS Client与RADIUS Server之间的信息交互不但包括了认证信息的交互, 同时还包括了对WH的位置管理信息通信。
(1) 认证信息交互
RADIUS协议采用了口令认证协议 (PAP) 与质询认证协议 (CHAP) 两种。该两种协议主要用于接入认证的信息交互, 其优缺点各不相同。PAP实现较为简单, 但是其安全可靠性较低。而CHAP则能够很好的避免重发攻击, 但是其构建较为复杂。所以, 在系统设计过程中应该根据用户的实际需要进行合理配置。
(2) 用户位置管理信息交互
为了保证用户接入账号的安全性, 在同一个时间内, 同一个账号只能为一台WH提供网络接入服务。若一台WH使用一个账号接入网络时, 有别的WH使用同一个账号进行网络接入申请时, 则RADIUS Server将自动拒绝接入申请。也就是说, 虽然账号没有与主机绑定, 但是账号并不能在网络中多机使用。因此, 当RADIUS Server在对各个处理申请进行处理时, 不但要对账号名称与密码的匹配性进行检测, 还应该对接入网络中的WH接入信息记录进行检查。因此, 在WH接入到网络中后, RADIUS Server必须记录下该WH的相关信息, 诸如其使用的账号、接入主机IP、接入状态灯信息, 并显示该账号处于被“占用状态”。当WH退出网络接入之后, RADIUS Server则立即将该账号记录删除, “释放”该接入账号。
参考文献
[1]王琰.无线移动自组织网络中用户接入管理方案的设计与实现[D].电子科技大学, 2009-06.
[2]程琳.无线自组织互联网的用户管理——的功能设计与实现[D].电子科技大学, 2010-05.
[3]IEEE-SA Standarts Board.IEEE Std802.1x.Port-Based Network Access Control.US American National Standards Institute, June2001.
无线接入网互联网化 篇2
目前消防支队现有的无线通信指挥系统是基于传统的无线同播方式的通信系统，通常在全市选取地势较高的地点架设了中转基站，主要覆盖市区及周边县市的主城区。由于同播站多数建设在山上，常因为停电、雷击等各种因素会出现停机，导致信号中断，各山头的地形、路程等原因又造成维修时间长，一般维修一个基站需要一至三个月，对消防指挥通信影响较大，严重制约了消防部队日常的执勤备战，并且该系统只能实现无线网内调度，灵活性差，可扩展性低，不能适应当前消防的各类应急指挥、紧急调度并配合社会联动的要求。
为改变上述现状并达到当前消防工作要求，设计在消防支队指挥中心建设综合语音调度系统，该系统具备IP网络/GSM/CDMA传输功能，并在各中队配置远程接入设备，将无线电台和有线电话接入，利用IP网络进行连接，指挥中心既可以通过原来无线同播网对覆盖区域进行直接指挥，也可以通过IP网络或GSM/CDMA网络对各中队及火场进行指挥，扩大了指挥覆盖范围。
基本方案：烟台消防支队指挥中心配备互联互通综合调度系统，下辖的五个中队，每个中队配备一套语音组网终端系统接入设备，将各中队自己的常规无线对讲系统接入，各中队和支队指挥中心能够组成一个大的通讯网络，支队指挥中心通过互联互通综合调度系统可以及时调度各中队及火场。
2 方案概述
消防互联互通综合调度系统采用集中调度指挥、星型分布响应的配置方式。具体资源配置如下：
消防支队指挥中心为中心节点，配一套中心设备，包括：调度主机、调度管理中心、无线通道，GSM/CDMA模块，网络模块，电话中继模块等。指挥中心可以通过G/C网模块、网络模块、电话中继模块实现对各消防中队的直接管理调度。
各消防中队配备专用远程接入设备，在正常情况下通过对讲机与指挥中心通讯，当遇到特殊情况时，支队指挥中心可以在接警的同时，通过IP网络利用远程接入设备及时调度相应辖区的中队融合通信，更深入的了解警情，下发处置决策命令。同时把情况通过G/C网链路或电话中继和相应的领导进行多方的会议实时的汇报、请示具体的任务。
支队指挥中心无线通道可以接进常规对讲机或集群(如公安350兆集群、卫星电话)等其他无线设备，正常的使用过程中支队指挥中心可以使用同播网进行调度，在特殊情况下需要公安等其他部门支援时，指挥中心可以通过综合调度系统将公安的350兆集群或其他部门的无线设备接入进行通信。
综合调度系统的调度管理中心包括调度维护终端、录音终端、通信服务器等，主要用于系统维护、呼叫转接、通话录音等多种处理，并可对整个系统的工作状态进行监视和控制，为工作人员提供友好的人机界面。
接入设备支持：集群车台、常规车台、基地台、短波电台、GSM模块、有线电话、内部电话、卫星电话等。系统已为各种接入设备留有足够的标准接口。
电源模块用于交换控制器的供电，支持12V直流或220V交流等多种供电方式。
系统拓扑结构如下所示：
3 系统功能
具备多网交换功能，可在IP网络系统、GSM/CDMA移动电话通信系统、无线对讲系统等不同系统间进行话音通信，实现不同地区不同设备间的互连互通。
具备座席调度功能，即多个通过不同通信手段呼入时，控制台可进行调度把呼叫分配给不同的座席。具备超强的业务功能，支持有无线通话自动或人工转接两种方式。
具备级联和分布式组网功能，通过专网或根据情况选择不同的中继方式，可以实现异地通信终端的接入，实现中心对移动设施及其它固定分中心的统一指挥调度。
单呼、组呼、群呼。调度员直接点击调度用户所在键位即可向调度用户发起呼叫。调度员通过逐个点击调度用户所在键位或直接点击事先编辑的小组即可向一组调度用户呼出。调度员通过逐个点击群用户所在键位或直接点击事先编辑的小组即可将全体调度用户呼出。
会议功能：此功能可实现电话会议的功能，调度员可以通过调度终端建立并发起会议，可随意添加或删除会议的参与者，并且可以控制会议加入方的权限，可以参与发言或者只能接听。
强插及强拆功能：调度员进行调度时，如果有两个用户正在通话，可以通过强插功能形成三方通话。也可以通过强拆功能将某个正在通话的用户拆线，实现调度员与该用户通话。
监听和录音功能：调度员可以监听系统中任何用户之间的通话，并可以把通话内容录制到计算机中。
语音发布功能：调度员可以定制一段语音，然后向指定的用户或用户组发布该语音信息。此功能可方便的实现调度员发布通知，而不需要重复的向每个用户发布。
状态显示、实现定位调度：调度界面具备用户及外线状态显示功能，可以正确显示用户的各种状态，包括空闲、通话、未注册等状态，调度员可以直接根据用户对应的图标信息来判定该用户当前的状态。
无线接入网互联网化 篇3
伴随着国内中国电信、中国移动及中国联通三大运营商大规模建设基于WiFi (Wireless Fidelity:WiFi) 技术的“无线城市”, 如图1所示的物联网应用架构已然形成。WiFi技术在物联网中广泛应用于工业生产线监控、城市安全巡查、城市交通监控、食品物流监控、火灾现场抢救监控、供水监控、洪灾现场抢救监控、电力监控、油田监测、环境监测、学校安全监控、反恐防暴安全监控及小区安全监控等[1-4]。
图1所涉及的工业生产及民生工程的物联网应用中, 使用大量的WiFi设备, 这些设备可以是无线网络摄像头、智能手机、PDA、平板电脑、笔记本电脑、智能家居网关和工业自动化控制网关等。这些WiFi物联网终端设备是物联网的节点, 它们处于物联网应用的数据收集层。WiFi物联网终端之间可以组成移动的Ad-Hoc信息采集局域网, 也可以组成静态的Ad-Hoc信息采集局域网, 所采集的数据通过WiFi网关被发送到数据服务中心。在图1中, 各种WiFi物联网节点需要较大的宽带通信资源将收集到的实时音像数据汇聚到WiFi网关。WiFi网关通过使用WiFi接入点网络进一步将数据传输到数据服务中心, WiFi节点和WiFi网关所需要的局部通信线路带宽可高达5Mbit/s。依照传输速率的不同, 802.11无线局域网可分为传统802.11网络、802.11b网络、802.11g网络、802.11a网络和802.11n网络。保障这些WiFi通信网络不受到恶意的无线安全攻击, 使它们能够高性能及稳定地运行, 这将是物联网应用在很多领域成功实施的关键。
基于WiFi的物联网应用大都涉及工业生产及民生的关键领域, 对物联网应用中无线数据传输的实时性及可靠性要求较高, 如有数据丢失或传输滞后, 将会影响物联网应用系统决策的及时性和准确性, 也会进一步造成重大经济及生命损失。目前, 造成物联网应用中数据传输实时性及可靠性不稳定的首要因素为802.11无线拒绝服务攻击 (Denial of Service:DoS) 。802.11 DoS攻击将导致WiFi网关、WiFi节点与无线接入点 (Access Point:AP) 之间的通信资源耗尽或者无法做出正确的响应而瘫痪, 从而无法提供正常通信服务。主要的针对物联网WiFi设备的无线DoS攻击为取消认证洪水 (DeauthenticationFlooding : DeauthF ) 拒绝服务 攻击和取 消联结洪 水 (Disassociation Flooding:DisassF) 拒绝服务攻击[5-7], 这些攻击将会导致无线网络摄像头、智能手机、PDA、平板电脑、笔记本电脑、智能家居网关和工业自动化控制网关等设备无法正常工作。
DeauthF DoS和DisassFDoS是基于非法接入点 (Rogue AP:RAP) 所实施的攻击, 它们的攻击对象是使用AP的WiFi设备。DeauthF DoS攻击是一种针对WiFi物联网节点设备的无线网络拒绝服务攻击;DeauthF攻击者向WiFi设备发送取消身份认证帧 (Deauthentication Frame) 将WiFi节点转为未关联的/未认证的状态, 从而中断WiFi物联网节点的无线数据传输。持续的DeauthF DoS攻击将导致无线数据通信完全停止。DisassFDoS攻击与DeauthF相似, 它的攻击对象也是WiFi物联网节点。DisassF攻击者向WiFi物联网节 点发送取 消联结帧 (Disassociation Frame) ;当WiFi节点收到取消联结帧时, 其将中断无线数据传输。
有两种方法可以解决基于RAP的DeauthF和DisassF DoS攻击。一种解决DoS攻击的方法是发现、定位、警告或抓住攻击者, 使其停止攻击。另外一种解决无线DoS攻击的方法是增强WiFi节点、网关及接入点的抗DoS攻击能力, 使其免受各种DoS攻击造成的负面影响。对于第二种方法, 主要是要让WiFi设备具有一种能力来判断所收到的取消身份认证帧或取消联结帧是否合法, 如果所收到的帧是合法的, 就执行断网命令操作, 否则将不执行断网命令操作。IEEE 802.11w工作组于2009年9月30发表的802.11w标准就是为使WiFi设备具有认证管理帧 (取消身份认证帧、取消联结帧等) 是否合法而专门制定的。虽然, 802.11w标准已于2009正式发表, 但是目前市场上支持802.11w的WiFi设备还不是太多, 95%以上的正在使用的WiFi设备还不支持802.11w标准。
解决基于RAP的DeauthF和DisassF DoS攻击的长远方案为所有的WiFi设备都支持完善的802.11w标准。自802.11w标准发表以来, Eian[8], Weijia[9], Sohail Ahmad[10]等的研究表明当前的802.11w标准还存在着一些未解问题。Eian研究团队指出802.11w协议的管理帧认证过程中存在三种死锁 (deadlock) 弱点, 它们会导致新的无线拒绝服务攻击。Weijia的研究表明802.11w可以防止四次握手和组握手 (Four-waysHandshake and Group Handshake) 完成之后针对取消身份认证帧和取消联结帧进行的攻击, 但却不能够防御四次握手完成之前所进行的取消身份认证帧或取消联结帧相关的无线攻击。另外, Sohail Ahmad的研究发现IEEE 802.11w协议引入的新的属性可能被滥用, 进一步导致WiFi无线网络的数据通信被严重中断。第一种脆弱性和启用BSS BIP相关, 第二种脆弱性和非正常操纵SA查询相关, 第三种脆弱性是802.11w可能造成联接饥饿型 (Association Starvation) 攻击。总的来说, 802.11w标准还存在着一些问题, 在大规模应用之前还需要进一步的完善。
目前, 正在使用的95%WiFi接入点设备 (AP) 和WiFi客户端设备 (WiFi网关、WiFi音像设备等) 都不支持802.11w, 而且在不更换设备芯片的情况下, 也很难通过软件升级来支持802.11w。这些不支持802.11w协议的WiFi设备是当前很多重要领域物联网应用系统的重要组成部分, 使这些设备具有防御DeauthF和DisassF DoS攻击的能力具有重要的经济和社会意义。基于WiFi的无线通信分为静态无线数据通信和动态无线数据通信两种形式。在静态无线数据通信中, WiFi终端 (网关或节点) 一般不变换AP或WiFi节点, 静态WiFi应用主要集中在家庭、办公场所、机场、咖啡厅和大学校园等场所。在多数基于WiFi的物联网应用中, WiFi网关和节点 (图1) 是移动的, 它可以通过使用不同的AP或节点将数据传输到目的地, 我们将这种应用称为动态WiFi应用。目前, 现有的来自AirDefense、AirMagnet和AirTight的防御DeauthF和DisassFDoS攻击的方案主要针对静态的WiFi应用, 它们不能解决那些发生在WiFi物联网应用领域的无线DoS攻击。
本论文主要讨论如何解决当前物联网应用中未支持802.11w的WiFi设备如何防御DeauthF和DisassF DoS攻击的问题。在接下去的各部分中, 第1部分讨论无线DoS攻击实验环境, 第2部分是基于RAP的DoS攻击结果及分析, 第3部分为基于RAP的DoS攻击过程及原理, 第4部分是基于RAP的DoS攻击防御方案, 第5部分为本论文的结论。
1 无线DoS 攻击实验环境
物联网应用系统DoS攻击实验环境的具体组成如图2所示。利用此环境可以模拟DoS攻击者对WiFi物联网应用系统所实行的DeauthF和DisassF DoS攻击。同时, 利用此实验环境可研究准确探测DoS攻击及有效消除DoS攻击负面影响的技术。
此实验环境由一台服务器、一个局域网、3个WiFi接入点 (AP) 、一台DoS攻击设备、一套WiFi网关数据收集单元。网关数据收集单元由一台嵌入式电脑、一个WiFi摄像设备、一个WiFi语言设备及一个WiFi传感器组成。网关配有3个无线网卡, 网卡1同摄像设备、语言设备及传感器一起形成Ad-Hoc数据收集子网;网卡2用来和AP通信并将数据传输到服务器;网卡3为NW330网卡, 它被Sniffer用来进行无线网络抓包。在实际的物联网应用测试中, 数据收集单元可以到处移动并不断更换AP (AP1、AP2或AP3) 。DoS攻击者是一个RAP, 它可以在远处对整个基于WiFi的物联网应用系统实施DoS攻击。在这个实验环境中, 被攻击的对象可包括WiFi摄像设备、WiFi语言设备、WiFi传感器和网关。在没有安全保护的情况下, 当WiFi摄像设备、WiFi语言设备、WiFi传感器和网关收到来自DoS攻击者的取消身份认证帧和取消联结帧时, 这些WiFi设备就会中断正常数据通信, 对物联网应用带来严重的负面影响。同时, 在网关和服务器中安装了Test TCP (TTCP) 数据吞吐量测试软件和Wireshark数据包抓取及分析软件, 它们可以用来定量及定性地测试DeauthF和DisassF DoS攻击对于正常的TCP和UDP数据通信性能的影响。同时, 图2所示的网关上面安装了Kismet程序, 它是一个无线网络扫描程序, 通过测量周围的WiFi无线信号来找目标无线网络, 它也可以捕获无线网络数据通信包。
2 基于RAP的DoS攻击结果及分析
在本论文中, 我们利用WiFi网关和服务器之间基于传输控制协议 (Transmission Control Protocol:TCP) 和用户数据报协议 (User Datagram Protocol:UDP) 数据通信特征变化, 来研究DeauthF和DisassF DoS攻击对于WiFi物联网应用的影响。对于TCP数据通信, 描述它的通信性能的一个重要方面是TCP数据包序列号随时间变化的关系。利用Stevens的时间序列图 (Time-Sequence-Graph) , 可以研究网关和服务器之间TCP数据通信的性能特征。在正常的TCP时间序列图中, 序列号随着时间的变化一般为一条连续上升的直线。在异常的情况下, TCP时间序列图中的曲线将会出现断线或序列号长时间不随着时间的增加而上升。我们科研团队研究了DeauthF和DisassF DoS攻击对TCP数据通信的影响, 所测得的实验结果如图3和图4所示。TCP数据传输时间序列图实验结果表明, 在DeauthF和DisassF DoS攻击下, TCP数据通信将会受到严重影响, TCP数据通信会不断地被中断。在所做的实验中, DeauthF和DisassFDoS攻击的速率为0.2fps (Frame per second:fps, 帧每秒) , 也就是每隔5秒的时间攻击者发送一个取消认证帧或取消联结帧。实验结果显示, 每一个伪造的取消认证帧或取消联结帧都将导致大约2.0秒的TCP数据通信中断。
同时, 我们的实验还研究了DeauthF和DisassF DoS攻击对于UDP数据通信的影响。在DeauthF和DisassF DoS攻击下, 我们测定了UDP数据接收者所接收到UDP数据包的速率 (Kbps:每秒传送多少个千位的信息) , 实验结果如图5和图6所示。在所做的实验中, DeauthF和DisassF DoS攻击的速率为0.2fps, 攻击导致UDP数据通信极其不稳定, 每一个伪造的取消认证帧或取消联结帧都将导致大约2.0秒的UDP数据通信中断。
3 基于RAP的DoS攻击过程及原理
本论文第2部分的DoS攻击结果表明, 在DeauthF和DisassF DoS攻击下, 每一个伪造的取消认证帧或取消联结帧都会导致大约2.0秒的TCP及UDP数据通信中断。其内部原因可以从如图7所示的DeauthF和DisassF攻击过程来分析获取。对于正常的WiFi无线通信, 它一般由无线客户端设备 (WirelessSTA) 和合法无线接入点 (Legitimate AP) 组成, 两者之间在完成认证后, 可进行正常的TCP和UDP数据通信。
如图7所示, 在DeauthF和DisassF DoS攻击的情况下 (Time1:时间1) , 攻击者通过使用合法无线接入点的MAC地址, 将自己伪装成合法的无线接入点, 向无线客户端设备发送伪造的取消认 证帧 ( Deauthentication ) 或取消联 结帧 (Disassociation) 。当无线客户端设备, 比如无线网络摄像头、智能手机、PDA、平板电脑、笔记本电脑、智能家居网关和工业自动化控制网关等, 接收到这些伪造的取消认证帧或取消联结帧时, 将会中断同合法无线接入点之间的数据通信及无线连接, 使该设备处于无线未连接状态。此时, 很多无线设备将会重新发出探测请求帧 (Probe Request) 。当合法无线接入点收到探测请求帧时 (Time 2:时间2) , 它将回应探测响应帧 (ProbeResponse) 到无线客户端设备。然后 (Time 3:时间3) , 无线客户端设备和合法无线接入点之间通过使用认证请求 (Authenticaiton Request) 帧和认证响应 (AuthenticationResponse) 帧来完成它们之间的设备认证过程。在完成认证之后 (Time 4:时间4) , 无线客户端设备和合法无线接入点之间通过使用重新连接请求 (Reassociation Request) 帧和重新连接响应 (Reassociation Response) 帧来完成它们之间的无线连接过程。如图7所示, Time 1到Time 4时间段内, 完成了无线客户端设备同无线接入点之间的认证和连接。对于使用802.11i安全措施的WiFi无线通信网络, 无线客户端设备和无线接入点还要使用IEEE 802.1X认证机制来完成它们之间的用户认证。在完成用户认证之后 (Time 5:时间5) , 无线客户端设备和无线接入点可进行正常的数据通信 (Time 6:时间6) 。
在图7所示的DeauthF和DisassF攻击及认证过程中, 完成Time 1到Time 5所需要的时间大约为2秒, 在这段认证时间内, 无法进行正常的数据通信。这就解释了为什么在DeauthF和DisassF DoS攻击下, 每一个伪造的取消认证帧或取消联结帧都会导致大约2.0秒的TCP及UDP数据通信中断 (见图3至图6) 。同时, 图7还表明, 在完成用户认证后 (Time 5) , 如果无线客户端继续接收到来自攻击者伪造的取消认证帧或取消联结帧, 它将重新进入Time 1的中断无线连接状态, 并开始重新探测、设备认证、设备连接和用户认证过程, 设备将无法进行数据通信。为了进一步探讨DeauthF和DisassF DoS攻击速率和TCP及UDP数据通信的关系, 使攻击者发送伪造取消认证帧或取消联结帧的速率为0.5fps, 所得实验结果如图8和图9所示。实验结果表明, 在10秒攻击时间段内, 攻击者每2秒发送一个伪造的取消认证帧或取消联结帧到无线客户端, 无线抓包工具Sniffer (图2) 所获取的无线数据包分析结果表明, 无线设备客户端在完成用户认证后 (Time 5) , 就重新进入探测、设备认证、设备连接和用户认证过程, 进而导致被攻击时间段内无法进行正常的数据通信 (见图8和图9) 。如果攻击者发送伪造取消认证帧或取消联结帧的速率大于0.5fps, 也同样无法进行正常的数据通信。
4 基于RAP的DoS攻击防御方案
对于静态无线局域网 (Wireless Local Area Network:WLAN) (比如家庭、办公室等无线局域网) , WiFi终端 (无线笔记本电脑等) 一般只使用一个固定的AP。静态WLAN的无线通信环境比较简单, 当遭受DoS攻击时, 其无线环境的变化较为明显, 也比较容易研发算法准确探测DoS攻击。而对于基于动态WLAN的物联网应用系统, 即使在没有DoS攻击的情况下, 其无线通信环境也已经非常复杂, 难以用探测静态WLAN DoS攻击的方法来准确探测针对WiFi物联网系统的DoS攻击。我们研究组利用粗集数据融合理论来分析复杂的物联网应用无线通信环境, 研发了准确探测WiFi物联网系统中DoS攻击的方法, 其详细技术路线如图10所示。
WiFi通信所涉及的帧包括控制帧 (Control frame) 、管理帧 (Management frame) 及数据帧 (Data frame) 。控制帧和管理帧对建立及维护较好的无线数据传输环境起着极大的作用;空间中所传输的各种控制帧、管理帧及数据帧构成了无线通信环境。常见的控制帧包括ACK帧、RTS帧及CTS帧;常见的管理帧包括Beacon帧、Probe帧、Authentication帧、Association帧、Reassociation帧、Deauthentication帧和Disassociation帧等;一般来说只有一种数据 (Data) 帧。我们的研究利用无线Sniffer收集以上所有帧的有关信息:收到帧的时间、帧的名称、帧的种类、帧发送者地址、帧目的地地址等。然后按照图10所描述的技术路线从历史数据获取探测DoS攻击的决策规则;进一步采集实时无线环境数据, 研究复杂的无线通信环境信息变化, 建立数学模型, 研发准确探测DeauthF和DisassF DoS攻击的算法。
同时, 我们利用探测及消除DoS攻击的研究成果, 设计并制作智能无线路由器及相关信息处理系统。此硬件设备及信息系统有效地将DoS攻击的探测与消除有机地结合起来, 实现精确探测DoS攻击并采取措施来消除DoS攻击。所开发的无线路由器及相关信息处理系统主要的模块为:嵌入式电脑模块、WiFi物联网终端设备通信模块、远程数据传输模块和物联网安全保障模块。嵌入式电脑模块是此高性能设备的主体硬件设备, 用来完成各种数据处理及通信操作;WiFi物联网终端设备通信模块将收集来自各种物联网节点的实时数据;远程数据传输模块用来管理网关的广域接入、事件警报及数据传输;物联网安全保障模块一方面具有对网关及WiFi物联网终端设备控制及安全管理的能力, 另一方面可监测网关及WiFi物联网终端设备所受到的安全攻击, 并采取相应措施来消除探测到的攻击威胁。
在制作智能无线路由器时, 我们使用了树莓派嵌入式电脑设备, 它安装了Raspbian操作系统。树莓派有两个USB接口, 其中一个USB口接上一个EP-N8508GS USB无线网卡, 通过相应配置, 使其具有无线路由器的功能。另一个USB接口给NW330 USB无线网卡使用, 它可以进行无线通信环境监测。在NW330 USB无线网卡正式工作之前, 需要完成一定的软件安装及配置。利用命令lsusb可查看NW330网卡是否加载。同时, 利用命令sudo apt-get install kismet可以安装Kismet无线抓包软件。Kismet是一个802.11 MAC层的无线网络探测器、嗅探器和无线入侵检测软件。支持RFMON (Raw FrameMonitoring:RFMON) 模式的无线网卡使用Kismet软件可嗅出802.11b、802.11a、802.11g和802.11n无线信息包。安装完Kismet软件之后, 使用sudo nano /etc/kismet/kismet.conf命令进行文件编辑, 将该文件中的最后一行sources = xxx, xxx, xxx中的参数改为无 线网卡参 数。比如 使用RTL8187B就改成source=rt8180, wlan1, wlan1。
运行Kismet所使用的命令为sudo kismet。如图11所示, 当Kismet开始运行时, 它将会显示被监控区域内所找到的无线接入点, “Name”那一列中所显示出来的内容就是那一个WLAN中无线接入点的SSID值, 在这一行中, CH列的值为无线接入点所使用的频道。Kismet所收集的信息还包括被捕捉下来了的数据包、已加密了的数据包的数目等等。在Kismet监控界面中, 可按S再查看某一个被监测到的无线接入点的详细信息 (图12) 。
NW330 USB网卡可以监控无线路由器周围的无线通信环境, 收集的信息包括控制帧、管理帧及数据帧, 并可以将相关数据存入Sqlite3嵌入式数据库中。对实时无线环境数据进行智能化处理, 可以探测DeauthF和DisassF DoS攻击, 并通过WiFi定位, 将攻击者的信息及时通知网络管理人员, 可及时消除DeauthF和DisassF DoS攻击, 进一步保障WiFi物联网应用中数据通信的稳定高效运行。
5 结语
随着移动通信技术的发展, 基于WiFi设备的物联网应用的范围也变得越来越大, 所涉及的数据通信的安全成为了人们关注的焦点。基于非法接入点的无线拒绝服务攻击可以导致物联网应用中TCP和UDP数据通信的中断, 对WiFi物联网应用带来严重的影响。本文首先研究了DeauthF和DisassF DoS攻击对TCP和UDP的影响, 分析了这些攻击所带来恶劣影响的内在原因。同时, 为了防御DeauthF和DisassF DoS攻击, 我们制作了智能无线路由器, 它不但可以为WiFi物联网终端设备提供无线通信服务, 而且它还具有监控周围无线通信环境、探测及定位无线攻击者的能力。基于智能无线路由器的解决方案可以有效遏制DeauthF和DisassF DoS攻击, 并保障WiFi物联网应用实时系统的稳定及高效运行。
参考文献
[1]姚仲敏, 林大伟.基于物联网的低成本农区奶牛信息平台设计.黑龙江畜牧兽医, 2014, (3) :66-69, 72.
[2]宋威, 黄进, 尹航, 庞志远, 梁鹏程.基于WiFi物联网的家电智能控制系统信息控制端的研究.信息通信, 2013, (1) :199-200.
[3]致远电子.物联网无线应用分析.电子技术应用.2011, (1) :24-25.
[4]Tabish, R., Ghaleb, A.M., Hussein, R., Touati, F., Ben Mnaouer, A., Khriji, L., Rasid, M.F.A.A 3G/WiFi-enabled6LoWPAN-based U-healthcare system for ubiquitous real-time monitoring and data logging.2014 Middle East Conference on Biomedical Engineering (MECBME) , 2014:277-280.
[5]Liu Chibiao, Qiu Jinming, Lu Changjing.Security Study of Voice Communication over Wireless Local Area Network.The International Conference on Electronics, Communications and Control (ICECC2011) , 2011:459-462.
[6]Chibiao Liu, James Yu, Greg Brewster.Empirical Studies and Queuing Modeling of Denial of Service Attacks against 802.11WLANs.IEEE International Symposium on a World of Wireless, Mobile and Multimedia Networks (WoWMoM 2010) , 2010:1-9.
[7]Chibiao Liu, James Yu.Rogue Access Point Based DoS Attacks against 802.11 WLANs.Proceedings of the 2008 Fourth Advanced International Conference on Telecommunications, 2008:271-276.
[8]Eian, M., Mjolsnes, S.F.A formal analysis of IEEE 802.11w deadlock vulnerabilities.INFOCOM, 2012 Proceedings IEEE, 2012:918-926.
[9]Weijia Wang, Haihang Wang.Weakness in 802.11w and an improved mechanism on protection of management frame.2011International Conference on Wireless Communications and Signal Processing (WCSP) , 2011:1-4.