物聯(lián)網(wǎng)信息安全 課件 第5章 網(wǎng)絡(luò)層安全需求、6LoWPAN安全

網(wǎng)絡(luò)層安全需求網(wǎng)絡(luò)層的概述一網(wǎng)絡(luò)層安全威脅二網(wǎng)絡(luò)層安全特點三網(wǎng)絡(luò)層安全需求四網(wǎng)絡(luò)層解決方法五網(wǎng)絡(luò)層的概述Networklayersolution物聯(lián)網(wǎng)是一種虛擬網(wǎng)絡(luò)和現(xiàn)實世界實時交互的新型系統(tǒng)，物聯(lián)網(wǎng)通過網(wǎng)絡(luò)層實現(xiàn)更加廣泛的互聯(lián)功能。物聯(lián)網(wǎng)的網(wǎng)絡(luò)層主要用于把感知層收集到的信息安全可靠地傳輸?shù)叫畔⑻幚韺?，然后根?jù)不同的應(yīng)用需求進(jìn)行信息處理，實現(xiàn)對客觀世界的有效感知及有效控制。1.網(wǎng)絡(luò)層的概述網(wǎng)絡(luò)層位于物聯(lián)網(wǎng)三層結(jié)構(gòu)中的第二層，其功能為“傳送”，即通過通信網(wǎng)絡(luò)進(jìn)行信息傳輸。網(wǎng)絡(luò)層作為紐帶連接著感知層和應(yīng)用層，它由各種私有網(wǎng)絡(luò)、互聯(lián)網(wǎng)、有線和無線通信網(wǎng)等組成，相當(dāng)于人的神經(jīng)中樞系統(tǒng)，負(fù)責(zé)將感知層獲取的信息，安全可靠地傳輸?shù)綉?yīng)用層，然后根據(jù)不同的應(yīng)用需求進(jìn)行信息處理。網(wǎng)絡(luò)層安全威脅Networklayersolution物聯(lián)網(wǎng)終端自身安全承載網(wǎng)絡(luò)信息傳輸安全核心網(wǎng)絡(luò)安全2.網(wǎng)絡(luò)層安全威脅★物聯(lián)網(wǎng)終端自身安全隨著物聯(lián)網(wǎng)業(yè)務(wù)終端的日益智能化，物聯(lián)網(wǎng)應(yīng)用更加豐富，同時也增加了終端感染病毒、木馬或者惡意代碼所入侵的渠道。同時，網(wǎng)絡(luò)終端自身系統(tǒng)平臺缺乏完整性保護(hù)和驗證機(jī)制。平臺/硬件模塊容易被攻擊者篡改，一旦被竊取或篡改，其中存儲的私密信息將面臨泄露風(fēng)險★承載網(wǎng)絡(luò)信息傳輸安全物聯(lián)網(wǎng)的承載網(wǎng)絡(luò)是一個多網(wǎng)絡(luò)疊加的開放性網(wǎng)絡(luò)，隨著網(wǎng)絡(luò)融合地加速及網(wǎng)絡(luò)結(jié)構(gòu)的日益復(fù)雜，物聯(lián)網(wǎng)基于無線和有線鏈路進(jìn)行數(shù)據(jù)傳輸面臨更大的威脅。攻擊者可以隨意竊取、篡改或刪除鏈路上的數(shù)據(jù)，并偽裝成網(wǎng)絡(luò)實體截取業(yè)務(wù)數(shù)據(jù)及對網(wǎng)絡(luò)流量進(jìn)行主動與被動分析★核心網(wǎng)絡(luò)安全未來，全I(xiàn)P化的移動通信網(wǎng)絡(luò)和互聯(lián)網(wǎng)及下一代互聯(lián)網(wǎng)將是物聯(lián)網(wǎng)網(wǎng)絡(luò)層的核心載體。對于一個全I(xiàn)P化開放性網(wǎng)絡(luò)，將面臨傳統(tǒng)的DOS攻擊、假冒攻擊等網(wǎng)絡(luò)安全威脅，且物聯(lián)網(wǎng)中業(yè)務(wù)節(jié)點數(shù)量將大大超過以往任何服務(wù)網(wǎng)絡(luò)，在大量數(shù)據(jù)傳輸時將使承載的網(wǎng)絡(luò)堵塞，產(chǎn)生拒絕服務(wù)攻擊網(wǎng)絡(luò)層安全的特點Networklayersolution（1）物聯(lián)網(wǎng)是在移動通信網(wǎng)絡(luò)和互聯(lián)網(wǎng)基礎(chǔ)上的延伸和擴(kuò)展的網(wǎng)絡(luò)，但由于不同應(yīng)用領(lǐng)域的物聯(lián)網(wǎng)具有不同的網(wǎng)絡(luò)安全和服務(wù)質(zhì)量要求，使得它無法再復(fù)制互聯(lián)網(wǎng)成功的技術(shù)模式。針對物聯(lián)網(wǎng)不同應(yīng)用領(lǐng)域的專用性，需要客觀的設(shè)定物聯(lián)網(wǎng)的網(wǎng)絡(luò)安全機(jī)制，科學(xué)的設(shè)定網(wǎng)絡(luò)安全技術(shù)研究和開發(fā)的目標(biāo)的內(nèi)容。3.網(wǎng)絡(luò)層安全特點（2）物聯(lián)網(wǎng)的網(wǎng)絡(luò)層將面臨現(xiàn)有TCP/IP網(wǎng)絡(luò)的所有安全問題，還因為物聯(lián)網(wǎng)感知層所采集的數(shù)據(jù)格式多樣，來自各種各樣感知節(jié)點的數(shù)據(jù)是海量的并且是多源異構(gòu)數(shù)據(jù)，帶來的網(wǎng)絡(luò)安全問題將更加復(fù)雜（3）物聯(lián)網(wǎng)對于實時性、安全可信性、資源保證性等方面有很高的要求。如醫(yī)療衛(wèi)生的物聯(lián)網(wǎng)必須要求具有很高的可靠性，保證不會因為由于物聯(lián)網(wǎng)的誤操作而威脅患者生命。（4）物聯(lián)網(wǎng)需要嚴(yán)密的安全性和可控性，具有保護(hù)個人隱私、防御網(wǎng)絡(luò)攻擊的能力。網(wǎng)絡(luò)層安全需求Networklayersolution★業(yè)務(wù)數(shù)據(jù)在承載網(wǎng)絡(luò)中的傳輸安全?！锍休d網(wǎng)絡(luò)的安全維護(hù)★終端及異構(gòu)網(wǎng)絡(luò)的鑒權(quán)認(rèn)證★異構(gòu)網(wǎng)絡(luò)下終端安全接入★物聯(lián)網(wǎng)應(yīng)用網(wǎng)絡(luò)統(tǒng)一協(xié)議棧需求★大規(guī)模終端分布式安全管控4.網(wǎng)絡(luò)層安全需求需要保證物聯(lián)網(wǎng)業(yè)務(wù)數(shù)據(jù)在承載網(wǎng)絡(luò)傳輸過程中數(shù)據(jù)內(nèi)容不被泄露、篡改及數(shù)據(jù)流量不被非法獲取物聯(lián)網(wǎng)中需要解決如何對脆弱傳輸點或核心網(wǎng)絡(luò)設(shè)備的非法攻擊進(jìn)行安全防護(hù)在網(wǎng)絡(luò)層，為物聯(lián)網(wǎng)終端提供輕量級鑒別認(rèn)證和訪問控制，實現(xiàn)對物聯(lián)網(wǎng)終端接入認(rèn)證、異構(gòu)網(wǎng)絡(luò)互連的身份認(rèn)證、鑒權(quán)管理等等是物聯(lián)網(wǎng)網(wǎng)絡(luò)層安全的核心需求之一物聯(lián)網(wǎng)應(yīng)用業(yè)務(wù)承載包括互聯(lián)網(wǎng)、移動通信網(wǎng)、WLAN網(wǎng)絡(luò)等多種類型的承載網(wǎng)絡(luò)，針對業(yè)務(wù)特征，對網(wǎng)絡(luò)接入技術(shù)和網(wǎng)絡(luò)架構(gòu)都需要改進(jìn)和優(yōu)化，以滿足物聯(lián)網(wǎng)業(yè)務(wù)網(wǎng)絡(luò)安全應(yīng)用需求物聯(lián)網(wǎng)需要一個統(tǒng)一的協(xié)議棧和相應(yīng)的技術(shù)標(biāo)準(zhǔn)，以此杜絕通過篡改協(xié)議、協(xié)議漏洞等安全威脅網(wǎng)絡(luò)應(yīng)用安全。物聯(lián)網(wǎng)應(yīng)用終端的大規(guī)模部署、安全檢測、應(yīng)急聯(lián)動、安全市計等方面提出了新的安全需求。網(wǎng)絡(luò)層解決方法Networklayersolution構(gòu)建物聯(lián)網(wǎng)與互聯(lián)網(wǎng)、移動通信網(wǎng)絡(luò)相融合的網(wǎng)絡(luò)安全體系結(jié)構(gòu)。01030402提高物聯(lián)網(wǎng)系統(tǒng)各應(yīng)用層次之間的安全應(yīng)用與保障措施建設(shè)物聯(lián)網(wǎng)網(wǎng)絡(luò)安全統(tǒng)一防護(hù)平臺建立全面的物聯(lián)網(wǎng)網(wǎng)絡(luò)安全接入與應(yīng)用訪問控制機(jī)制5.網(wǎng)絡(luò)層解決方法★重點對網(wǎng)絡(luò)體系架構(gòu)、網(wǎng)絡(luò)與信息安全、加密機(jī)制、密鑰管理體制、安全分級管理機(jī)制、節(jié)點通信、網(wǎng)絡(luò)入侵檢測、路由尋址、組網(wǎng)及鑒權(quán)認(rèn)證和安全管控等進(jìn)行全面設(shè)計★完成對終端安全管控、安全授權(quán)、應(yīng)用訪問控制、協(xié)同處理、終端態(tài)勢監(jiān)控與分析等管理★重點規(guī)劃異構(gòu)網(wǎng)絡(luò)集成、功能集成、軟/硬件操作界面集成及智能控制、系統(tǒng)級軟件和安全中間件等技術(shù)應(yīng)用★建立全面的物聯(lián)網(wǎng)網(wǎng)絡(luò)安全接入與應(yīng)用訪問控制機(jī)制，滿足物聯(lián)網(wǎng)終端產(chǎn)品的多樣化網(wǎng)絡(luò)安全需求謝謝/Thanks物聯(lián)網(wǎng)核心網(wǎng)安全----6LoWPAN的安全性兩大主講內(nèi)容：一、核心IP骨干網(wǎng)的安全二、6LoWPAN適配層的安全一、核心IP骨干網(wǎng)的安全

目前，以TCP/IP協(xié)議簇為基本通訊機(jī)制的互聯(lián)網(wǎng)取得了飛速發(fā)展。IPv4在互聯(lián)網(wǎng)在實際應(yīng)用中越來越暴露其脆弱性，成為制約互聯(lián)網(wǎng)發(fā)展的瓶頸因素。比如地址空間有限、路由選擇效率不高、缺乏服務(wù)質(zhì)量保證、IPv4的安全性等等問題的存在，1994年7月，IETF決定以SIPP作為IPng的基礎(chǔ)，同時把地址數(shù)由64位增加到128位。新的Ip協(xié)議稱為IPv6[4]

[5]。IPv6繼承了IPv4的優(yōu)點，摒棄其缺點。主要體現(xiàn)在簡化的報頭和靈活的擴(kuò)展、層次化的地址結(jié)構(gòu)、即插即用的連網(wǎng)方式、網(wǎng)絡(luò)層的認(rèn)證與加密、服務(wù)質(zhì)量的優(yōu)化、對移動通訊更好的支持等幾個方面。

安全機(jī)制可以處在協(xié)議棧的不同層次，通常密鑰協(xié)商和認(rèn)證協(xié)議在應(yīng)用層定義，而保密性和完整性可在不同的層次完成，下圖為不同層次的安全協(xié)議。這里主講SSL/TLS安全機(jī)制SSL/TLS安全協(xié)議分為兩個部分，SSL是套接層安全協(xié)議；TLS為安全傳輸層協(xié)議。

傳輸層安全協(xié)議通常指的是套接層安全協(xié)議SSL和傳輸層安全協(xié)議TLS兩個協(xié)議。SSL是美國Netscape公司于1994年設(shè)計的，為應(yīng)用層數(shù)據(jù)提供安全服務(wù)和壓縮服務(wù)。SSL雖然通常是從HTTP接收數(shù)據(jù)，但SSL其實可以從任何應(yīng)用層協(xié)議接收數(shù)據(jù)。IETF于1999年將SSL的第3版進(jìn)行了標(biāo)準(zhǔn)化，確定為傳輸層標(biāo)準(zhǔn)安全協(xié)議TLS。TLS和SSL第3版只有微小的差別，故人們通常把它們一起表示為SSL/TLS。另外，在無線環(huán)境下，由于手機(jī)及手持設(shè)備的處理和存儲能力有限，原WAP論壇在TLS的基礎(chǔ)上做了簡化，提出了WTLS協(xié)議(WirelessTransportLayerSecurity)，以適應(yīng)無線網(wǎng)絡(luò)的特殊環(huán)境。 SSL由兩部分組成，第一部分稱為SSL記錄協(xié)議，置于傳輸協(xié)議之上：第二部分由SSL握手協(xié)議、SSL密鑰更新協(xié)議和SSL提醒協(xié)議組成，置于SSL記錄協(xié)議之上和應(yīng)用王序（如HITP)之下。下表顯示了SSL協(xié)議在應(yīng)用層和傳輸層之間的位置。1）SSL握手協(xié)議 SSL握手協(xié)議用于給通信雙方約定使用哪個加密算法、哪個數(shù)據(jù)壓縮算法以及些參數(shù)。在算法確定了加密算法、壓縮算法和參數(shù)以后，SSL記錄協(xié)議將接管雙方的通信,包括將大數(shù)據(jù)分割成塊、壓縮每個數(shù)據(jù)塊、給每個壓縮后的數(shù)據(jù)塊簽名、在數(shù)據(jù)塊前加上記錄協(xié)議包頭并傳送給對方。SSL密鑰更新協(xié)議允許通信雙方在一個會話階段中更換算法或參數(shù)。SSL提醒協(xié)議是管理協(xié)議，用于通知對方在通信中出現(xiàn)的問題以及異常情況。 SSL握手協(xié)議是SSL各協(xié)議中最復(fù)雜的協(xié)議，它提供客戶和服務(wù)器認(rèn)證并允許雙方協(xié)商使用哪一組密碼算法，交換加密密鑰等。它分四個階段，SSL握手協(xié)議的工作過程如圖5-31.圖中帶*號是可選的，括號[]中不是TLS消息。第1階段：協(xié)商確定雙方將要使用的密碼算法。

這一階段的目的是客戶立和月務(wù)器各自宣布自己的安全能力，從而雙方可以建立共同支持的安全參數(shù)?？蛻舳耸紫认蚍?wù)器發(fā)送問候信息，包括：客戶端主機(jī)安裝的SSL最高版本號，客戶端偽隨機(jī)數(shù)生成器秘密產(chǎn)生的一個隨機(jī)串rc防止重放攻擊，會話標(biāo)志，密碼算法組，壓縮算法（ZIP、PKZIP等）。其中密碼算法組是指客戶端主機(jī)支持的所有公鑰密碼算法、對稱加密算法和Hash函數(shù)算法。按優(yōu)先順序排列，排在第一位的算是客戶主機(jī)最希望使用的算法。例如，客戶的三種算法分別為

公鑰密碼算法：RSA、Ecc

、Diffie-Hellman;

對稱密碼算法：AES·128、3DES/3、Rc5; Hash函數(shù)算法：SHA巧12、SHA-I、MD50

然后，服務(wù)器向客戶端回送問候信息。包括：服務(wù)器主機(jī)安全的SSL最高版本號，服務(wù)器偽隨機(jī)數(shù)生成器秘密產(chǎn)生的隨機(jī)串RS，會話標(biāo)識，密碼算法組（例如RSA、3DES/3、SHA-1),壓縮算法。第2階段：對服務(wù)器的認(rèn)證和密鑰交換。

服務(wù)器程序向客戶程序發(fā)送如下信息：服務(wù)器的公鑰證書。包含x.509類型的證書列表，如果密鑰交換算法是匿名Diffie-blellman'就不需要證書。(2)服務(wù)器端的密鑰交換信息。包括對預(yù)備主密鑰的分配。如果密鑰交換方法是RSA或者固定Diffie-Hellmam

就不需要這個信息。

(3)詢問客戶端的公鑰證書。向客戶端請求第3階段的證書。如果給客戶使用的是匿名Diffie-He11man,服務(wù)器就不向客戶端請求證書。

(4)完成服務(wù)器問候。該信息用ServerHe110Done表示，表示階段2結(jié)束，階段3開始。第3階段：對客戶端的認(rèn)證和密鑰交換?？蛻舫绦蛳蚍?wù)器程序發(fā)送如下信息：

(1)客戶公鑰證書。和第2階段第(1)步信息格式相同，但內(nèi)容同,它包含證明客戶的證書鏈。只有在第2階段第(3)步請求了客戶端的證書，才發(fā)送這個信息。如果有證書請求，但客戶沒有可發(fā)送的證書，它就發(fā)送一個SSL提醒信息（攜帶一個沒有證書的警告）服務(wù)器也許會繼續(xù)這個會話，也可能會決定終止。(2)客戶端密鑰交換信息。用于產(chǎn)生雙方將使用的主密鑰,包含對預(yù)備主密鑰的貢獻(xiàn)。信息的內(nèi)容基于所用的密鑰交換算法。如果密鑰交換算法是RSA,客戶就創(chuàng)建完整的預(yù)備主密鑰并用服務(wù)器RSA公鑰進(jìn)行加密。如果是若名Diffie-Hellman或暫時Diffie_Hellman,客戶就發(fā)送Diffie-Hellman半密鑰，等等。(3)證書驗證。如果客戶發(fā)送了一個證書，宣布它擁有證書中的公鑰，就需要證實它知道相關(guān)的私鑰。這對于阻止一個發(fā)送了證書并聲稱該證書來自客戶的假冒者是必需的。通過創(chuàng)建一個信息并用私鑰對該信息進(jìn)行簽名，可證明它擁有私鑰。例如客戶用私鑰對前面發(fā)送的明文的Hash值進(jìn)行簽名。假設(shè)服務(wù)器在第1階段選取了RSA作為密鑰交換手段，則客戶程序用如下方法產(chǎn)生密鑰交換信息：客戶程序驗證服務(wù)器公鑰證書的服務(wù)器公鑰，然后用偽隨機(jī)數(shù)生成器產(chǎn)生一個48字節(jié)長的比特字符串Spm，稱為前主密鑰。然后用服務(wù)器公鑰加密Spm將密文作為密鑰交換信息傳給服務(wù)器。這時，客戶端和服務(wù)器端均擁有rc、rs、Spm

且，是僅僅被客尸和服務(wù)器所擁有。此后，雙方計算主密鑰如下圖其中，H1和H2是Hash函數(shù)(SSL用MD5作為H1的默認(rèn)Hash函數(shù)，用SHA-I作為的默認(rèn)Hash函數(shù)），'A','BB',‘CCC’分別表示A、BB、CCC的ASCII碼。第4階段：結(jié)束。

雙方互送結(jié)束信息完成握手協(xié)議，并確認(rèn)雙方計算的主密鑰相同。為達(dá)到此目的，結(jié)束信息將包含雙方計算的主密鑰的Hash值。握手協(xié)議完成后，雙方用產(chǎn)生主密鑰的方法，用取代“并根據(jù)雙方商定的密碼算法，產(chǎn)生一個足夠長的密鑰塊如下：

然后SSL將分割成6段，每一段自成一個密鑰。這6個密鑰分成如下兩組：第1組為（Kc1,Kc2,kc3）；第2組為（Ks1,Ks2,Ks3）。每組3個密鑰，即：Kb=Kc1||Kc2||Kc3||Ks1||Ks2||Ks3||Z,其中z是剩余的字符串。

第1組密鑰用于客戶到服務(wù)器的通信，記（Kc1,Kc2,kc3=(Kchmac,Kce,IVc),分別為認(rèn)證密鑰、加密密鑰和初始向量。

第2組用于服務(wù)器到客戶的通信，記為：（Ks1,Ks2,Ks3）=(Kshmac,Kse,IVs)和第1組類似。

此后，客戶和服務(wù)器將轉(zhuǎn)用SSL記錄協(xié)議進(jìn)行后續(xù)的通信。2）SSL記錄協(xié)議

執(zhí)行完握手協(xié)議之后，客戶和服務(wù)器雙方統(tǒng)一了密碼算法、算法參數(shù)、密鑰及壓縮算法。SSL記錄協(xié)議便可使用這些算法、參數(shù)和密鑰對數(shù)據(jù)進(jìn)行保密和認(rèn)證處理。令M為客戶希望傳送給服務(wù)器的數(shù)據(jù)。客戶端SSL記錄協(xié)議首先將M分成若干長度不超過214字節(jié)的分段：M1,M2,…,Mk。令cx、H和E分別為客戶端和服務(wù)器雙方在ssl握手協(xié)議中選定的壓縮函數(shù)、HMAC算法和加密算法?？蛻舳薙SL記錄協(xié)議按如下步驟將每段Mi進(jìn)行壓縮、認(rèn)證和加密處理，然后將其發(fā)送給服務(wù)器,i=1,2……,k,如下圖（1）、將M’i=CX(Mi)。（2）、將M”i進(jìn)行認(rèn)證的Ci=M’||HkcHMAC(M’)。（3）

將M”加密得ci=Ekc(M“i)。（4）

將Ci封裝得Pi=[SSL錄協(xié)議包頭]llCi。服務(wù)器收到客戶送來的SSL記錄協(xié)議包后，首先將Ci解密得M‘iIl

HKcHMAC(M’i)，驗證HMAC，然后將M’解壓還原成Mi.。同理，從服務(wù)器發(fā)送給客戶的數(shù)據(jù)也按上述方式處理。雙方間的通信保密性和完整性由此得到保護(hù)。3）SSLJTLS協(xié)議的安全機(jī)制 SSL/TLS協(xié)議實現(xiàn)的安全機(jī)制包括身份驗證機(jī)制和數(shù)據(jù)傳輸?shù)臋C(jī)密性與完整性的控制。（1）、身份驗證機(jī)制。 SSL/TLS協(xié)議基于證書并利用數(shù)字簽名方法對服務(wù)器和客戶端進(jìn)行身份驗證，其中客戶端的身份驗證可選。在該協(xié)議機(jī)制中，客戶端必須驗證SSL/TLS服務(wù)器的身份，SSL/TLS服務(wù)器是否驗證客戶端身份，自行決定。SSL/TLS利用PK提供的機(jī)制保證公鑰的真實性。

(2)數(shù)據(jù)傳輸?shù)臋C(jī)密性。

可以利用對稱密鑰算法對傳輸?shù)臄?shù)據(jù)進(jìn)行加密。網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)很容易被非法用戶竊取,SSL/TLS協(xié)議采用在通信雙方之間建立加密通道的方法保證數(shù)據(jù)傳輸?shù)臋C(jī)密性。所謂加密通道,是指發(fā)送方在發(fā)送數(shù)據(jù)前,使用加密算法和加密密鑰對數(shù)據(jù)進(jìn)行加密,然后將數(shù)據(jù)發(fā)送給對方;接收方接收到數(shù)據(jù)后,利用解密算法和解密密鑰從密文中獲取明文,從而保證數(shù)據(jù)傳輸?shù)臋C(jī)密性。沒有解密密鑰的第三方,無法將密文恢復(fù)為明文。SSL/TLS加密通道上的數(shù)據(jù)加解密使用對稱密鑰算法,目前主要支持的算法有DES、3DES、AES等,這些算法都可以有效防止交互數(shù)據(jù)被竊聽。（3）消息完整性驗證。

消息傳輸過程中使用MAC算法來檢驗消息的完整性。為了避免網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)被非法篡改，SSL/TLS利用基于MD5或SHA的MAC算法來保證消息的完整性。MAC算法可以將任意長度的數(shù)據(jù)轉(zhuǎn)換為固定長度的數(shù)據(jù)。發(fā)送者利用己知密鑰和MAC算法計算出消息的MAC值，并將其加在消息之后發(fā)送給接收者。接收者利用同樣的密鑰和MAC算法計算出消息的MAC值，并與接收到的MAC值比較。如果二者相同，則報文沒有改變；否則，報文在傳輸過程中被修改。

二、

6LoWPAN適配層的安全

為了讓IPv6協(xié)議能在IEEE802.15.4協(xié)議之上工作，導(dǎo)致了6LoWPAN適配層的提出。這一解決方法正在被IPS0聯(lián)盟所推廣，是IPSO提出的智能物體（smartObject)、基于Internet(lnternet-based，Web·enabled）的無線傳感器網(wǎng)絡(luò)等應(yīng)用的基本技術(shù)。由27個公司發(fā)起的針對智能對象聯(lián)網(wǎng)的IP標(biāo)準(zhǔn)協(xié)作組織--IPSO(IPforSmartObjectalliance)，目前己有45個成員，包括Cisco、SAP、SUN、Bosch、Intel等，該組織提出的IPv6協(xié)議棧ulPv6可以和主流廠商的協(xié)議?；ゲ僮鳎漭p量級的代碼只需要1巧kB的內(nèi)存。1·6LoWPAN協(xié)議簡介 IETF于2004年成立6LoWPAN(IPv6overLow-powerWirelessPersonalAreaNetwork)工作組，致力于將TCP/IPv6協(xié)議棧構(gòu)建于IEEE802.15.4標(biāo)準(zhǔn)之上，并且通過路由協(xié)議構(gòu)建起自組織方式的低功耗、低速率的6LoWPAN網(wǎng)絡(luò)。第一個6LoWPAN規(guī)范RFC4919給出了標(biāo)準(zhǔn)的基本目標(biāo)和需求，然后RFC4944中規(guī)范了6LoWPAN的格式和功能。通過部署和實現(xiàn)的經(jīng)驗，6LoWPAN工作組進(jìn)一步公布了包頭壓縮（HeaderCompression)、鄰居發(fā)現(xiàn)(NeighborDiscovery)、用例(Usecase）及路由需求等文檔。2008年IETF成立了一個新的工作組：ROLL(RoutingOverLow-powerandLossyNetworks)，規(guī)范了低功耗有損網(wǎng)絡(luò)(Low-powerandLossyNetwork，LLN）中路由的需求及解決方案。在6LoWPAN提出后，很多組織、標(biāo)準(zhǔn)或聯(lián)盟都提出了相應(yīng)的兼容性方案。

在2008年，ISA開始為無線工業(yè)自動化控制系統(tǒng)制定標(biāo)準(zhǔn)，稱為SP100.la（也稱為ISA100),該標(biāo)準(zhǔn)基于6LoWPAN。

同樣是2008年，IPS0聯(lián)盟成立，推動在智能物體上使用IP協(xié)議。IP500聯(lián)盟主要致力于針對商業(yè)和企業(yè)建筑自動化及過程控制系統(tǒng)的開放無線Mesh網(wǎng)絡(luò)，是一個在IEEE802.15.4（sub一GHz）無線電通信上建立6LoWPAN的聯(lián)盟，sub-GHzISM頻段是433MHz、868MHz和915MHz，使用該頻段的原因是當(dāng)2.4GHzISM頻段變得擁擠時，sub-GHz比2·4GHz有更好的低頻穿透能力，導(dǎo)致更大的傳輸距離。開放地理空間論壇（openGeospatialConsortium，OGC)規(guī)范了一個基于IP的地理空間和感知應(yīng)用的解決方案。

2009年，歐洲通信標(biāo)準(zhǔn)研究院（EuropeanTelecommunicationStandardsInstitute，ETSI)成立了一個工作組，制定M2M標(biāo)準(zhǔn)，其中包括端到端的與6LoWPAN兼容的架構(gòu)。如下圖所示給出了6LoWPAN與相關(guān)標(biāo)準(zhǔn)和聯(lián)盟的關(guān)系。

物聯(lián)網(wǎng)中特別是可通過Internet訪問的傳感器網(wǎng)絡(luò)，其節(jié)點數(shù)目巨大，分布在戶外并且位置可能是動態(tài)變化的。IPv6山于具有地址空間大、地址自動配置、鄰居發(fā)現(xiàn)等特性，因此特別適合作為此類物聯(lián)網(wǎng)的網(wǎng)絡(luò)層。同時在技術(shù)上，IPv6的巨大地址空間能夠滿足節(jié)點數(shù)量龐大的網(wǎng)絡(luò)地址需求；IPv6的一些新技術(shù)（如鄰居發(fā)現(xiàn)、無狀態(tài)的地址自動配置等技術(shù)）使自動構(gòu)建網(wǎng)絡(luò)時要相對容易一些。IPv6與IEEE802.15.4的MAC層的結(jié)合，可以輕松實現(xiàn)大規(guī)模傳感器（智能物體）網(wǎng)絡(luò)與Internet的互連，并能夠遠(yuǎn)程訪問這些傳感器（智能物體）節(jié)點的數(shù)據(jù)。6LoWPAN就是介于IPv6和IEEE802.15.4之間的一個適配層，其協(xié)議棧如右圖所示。應(yīng)用層傳輸層精簡IPv6協(xié)議層6LOWPAN適配層IEEE802.15.4MAC層IEEE802.15.4PHY層

在構(gòu)造物聯(lián)網(wǎng)時，往往涉及傳統(tǒng)IP網(wǎng)絡(luò)和基于IP的WPAN（無線個域網(wǎng)）的互連。具有6LoWPAN的協(xié)議棧和傳統(tǒng)IP協(xié)議棧的比較如下圖IP和6LoWPAN協(xié)議棧的比較。

相應(yīng)地,在傳統(tǒng)IP網(wǎng)絡(luò)和物聯(lián)網(wǎng)之間的邊界路由器上，需要實現(xiàn)兩類數(shù)據(jù)包的處理和轉(zhuǎn)發(fā)，下圖-支持6LoWPAN的IPv6邊界路由器協(xié)議棧IPv6以太網(wǎng)MAC6LOWPAN802.15.4MAC以太網(wǎng)PHY802.15.4PHY2、6LoWPAN要解決的問題 IETF6LoWPAN草案標(biāo)準(zhǔn)是專門為將IP擴(kuò)展到低速率有損無線網(wǎng)絡(luò)而設(shè)計的，其在整個TCP/IP協(xié)議棧中的位置如圖5-37所示，是處于IP和802.15.4之間的一個適配層。該適配層的功能包括包的分片/組裝、試運行/啟動（自動配置）、鄰居發(fā)現(xiàn)的優(yōu)化、Mesh路由等功能。下圖--

6LoWPAN節(jié)點協(xié)議架構(gòu)在TCP/IP協(xié)議棧中的位置SNMP管理服務(wù)命名與發(fā)現(xiàn)傳感器應(yīng)用輕量級套接字APITCP/UDPIPICMP適配層分片/組裝試運行/啟動鄰居發(fā)現(xiàn)的優(yōu)化Mesh路由802.15.4傳感器節(jié)點硬件具體而言，6LOWPAN需要解決的問題包括：（1）、IP連接向題。（2）、網(wǎng)絡(luò)拓?fù)?。?）、報文長度限制。（4）、有限的配置和管理。（5）、組播限制。（6）、安全問題。 6LoWPAN工作組提出了一些解決方案，解決方案的性能評價指標(biāo)主要是報文消耗、帶寬消耗、處理需求及能量消耗，這四個方面也是影響6LoWPAN網(wǎng)絡(luò)性能的主要因素。下面簡介該解決方案。

（1）、分片與重組。為了解決IPv6最小MTU為1280字節(jié)與IEEE802.15.4Payload長度僅有81字節(jié)沖突的問題，6LoWPAN需要對IPv6報文進(jìn)行鏈路層的分片和重組。

（2）、報頭壓縮。在使用IEEE802.15.4安全機(jī)制時，IP報文只有81字節(jié)的空間，而IPv6頭部需要40字節(jié)，傳輸層的UDP和TCP頭部分別為8和20字節(jié)，這就只留給了上層數(shù)據(jù)33或21字節(jié)。如果不對這些報頭進(jìn)行壓縮的話，6LoWPAN數(shù)據(jù)傳輸?shù)男蕦⑹欠浅５偷摹?/p>

（3）、組播支持。IEEE802.15.4并不支持組播也不提供可靠的廣播，6LoWPAN需要提供額外的機(jī)制以支持IPv6在這方面的需要。

（4）、網(wǎng)絡(luò)拓?fù)涔芾怼EEE802.15.4MAC層協(xié)議僅提供基本的點對點的傳輸，無法很好地支持IPv6。因此必須在IP層以下、MAC層以上構(gòu)建一定的網(wǎng)絡(luò)拓?fù)?，形成合適的拓?fù)浣Y(jié)構(gòu)，如星形、樹形或者M(jìn)esho6LowPAN負(fù)責(zé)調(diào)用MAC層提供的原語，以形成正確的多跳拓?fù)洹?/p>

（5）、Mesh路由。一個支持多跳的Mesh路由協(xié)議是必要的，但現(xiàn)有的一些無線網(wǎng)絡(luò)路由協(xié)議（如AODV等）并不能很好地適應(yīng)LoWPAN

的特殊情況，這些路由協(xié)議大多是通過廣播方式進(jìn)行路由詢問，對于能量供應(yīng)相當(dāng)有限的節(jié)點來講是很不現(xiàn)實的。

（6）、安全性。6LoWPAN需要考慮安全性。這一方面還有很多工作要開展。對應(yīng)于上面的6LoWPAN

引入的新處理，可能存在的安全問題包括：分片與重組攻擊，報頭壓縮相關(guān)的攻擊（如錯誤的壓縮、拒絕服務(wù)攻擊），輕量級組播安全，Mesh路由安全等。3，6LoWPAN的安全性分析

因為分片與重組的存在，報文中與分片/重組過程相關(guān)的參數(shù)有可能會被攻擊者修改或重構(gòu)，如數(shù)據(jù)長度(datagram-size)、數(shù)據(jù)標(biāo)簽(datagram-tag)、數(shù)據(jù)偏移(datagram-offset)等，從而引起意外重組、重組溢出、重組亂序等問題，進(jìn)而使節(jié)點資源被消耗、停止工作、重啟等，以這些現(xiàn)象為表現(xiàn)的攻擊被稱為IP包碎片攻擊（IPPacketFragmentationAttack)，進(jìn)而可引發(fā)Dos攻擊和重播攻擊。所以，H.Kim

等人提出了在6LoWPAN適配層增加時間戳（Timestamp）和隨機(jī)序列（№nce

）選項來保證收到的數(shù)據(jù)包是最新的，從而防止數(shù)據(jù)包在傳輸過程被攻擊者修改或重構(gòu)，進(jìn)而有效地防止IP包碎片攻擊。w.Jung等人提出并實現(xiàn)了一整套在6LoWPAN網(wǎng)絡(luò)中實現(xiàn)SSL(SecuresocketsLayer,安全套接層）的方案，他們在密鑰分發(fā)上對ECC和RSA做了比較，在密碼算法上對RC4、DES、3DES做了比較，在消息認(rèn)證上使用MD5和SHAI函數(shù)，最后發(fā)現(xiàn)ECC-RC4-MD5的組合消耗的資源最小，分別占用64KB的Flash和7KB的RAM，實現(xiàn)一次完整的SSL握手需要2s。RFC工作文檔給出了一些對6LoWPAN安全的分析。

關(guān)于IEEE802.15.4的安全性。IEEE802.15.4MAC層提供了安全服務(wù)，由MACPIB控制，MAC子層在PIB中維護(hù)一個訪問控制列表（ACL）。通過針對某個通信方設(shè)定一個ACL中的安全套件(Securitysuite)，設(shè)備可以確定使用什么安全級別（即無安全、訪問控制、數(shù)據(jù)加密、幀完整性等）與該通信方通信。

IEEE802.15.4MAC的一個關(guān)鍵功能就是提供了幀安全性。幀安全性其實是MAC層提供給上層的可選服務(wù)。取決于應(yīng)用的需求，若應(yīng)用并沒有設(shè)定任何安全參數(shù)，則這一安全功能缺省是中止的。IEEE802.15.4定義了四種包類型：Beacon包、數(shù)據(jù)包、確認(rèn)包以及控制包。對于確認(rèn)包沒有安全機(jī)制，其他的包類型可以選擇是否需要完整性保護(hù)或者保密性保護(hù)。山于IEEE802.15.4的應(yīng)用十分廣泛，因此認(rèn)證和密鑰交換機(jī)制在標(biāo)準(zhǔn)中并沒有定義，留給上層應(yīng)用來定義。

關(guān)于IP的安全性，IPSec

可以保證IP包的完整性和保密性。IPSec

支持AH來認(rèn)證IP頭，以及ESP來認(rèn)證和加密包負(fù)載。IPSec

的主要問題是處理能耗和密鑰管理。目前并不清楚在6LoWPAN節(jié)點上實現(xiàn)SADB、策略庫、動態(tài)密鑰管理協(xié)議是