無線Mesh網(wǎng)絡(luò)認證研究.pdf

1、無線Mesh網(wǎng)絡(luò)是近年來一種新興的無線局域網(wǎng)技術(shù)。無線Mesh網(wǎng)絡(luò)在提供網(wǎng)絡(luò)服務(wù)的Mesh節(jié)點之間建立路由聯(lián)系，不需要每個Mesh節(jié)點都與有線網(wǎng)絡(luò)直接連接，極大地方便了無線網(wǎng)絡(luò)的部署。但Mesh網(wǎng)絡(luò)這種新的特點，也對基于802.11AP模式制定的無線局域網(wǎng)安全標準在Mesh網(wǎng)絡(luò)的適用性提出了挑戰(zhàn)。本論文著重研究802.11i無線局域網(wǎng)絡(luò)安全標準提出的認證機制在Mesh網(wǎng)絡(luò)中的適用性。 無線Mesh網(wǎng)絡(luò)是移動自組織網(wǎng)絡(luò)與802.1

2、1無線局域網(wǎng)的一種融合，本文首先對802.11局域網(wǎng)、移動自組織網(wǎng)絡(luò)以及Mesh網(wǎng)絡(luò)進行了介紹。802.11局域網(wǎng)絡(luò)作為一種IEEE國際標準，提出了兩種網(wǎng)絡(luò)拓撲形式。一種是基于集中式訪問點的AP方式，另一種是無線客戶端之間直接通信的對等網(wǎng)絡(luò)方式。移動自組織網(wǎng)絡(luò)是一種一般用于軍事等特殊用途的無線局域網(wǎng)絡(luò)，其拓撲形式是節(jié)點之間建立路由關(guān)系，組網(wǎng)非常靈活。在無線Mesh網(wǎng)絡(luò)中，提供網(wǎng)絡(luò)服務(wù)的Mesh節(jié)點物理位置比較固定，Mesh節(jié)點之間建立路

3、由關(guān)系，可以轉(zhuǎn)發(fā)數(shù)據(jù)包。傳統(tǒng)的802.11局域網(wǎng)絡(luò)具有無線單跳的特點，而Mesh網(wǎng)絡(luò)則具有無線多跳的特點。 本文接著對已有的無線局域網(wǎng)絡(luò)安全標準提出的認證機制進行了研究，包括WEP認證機制、WPA、80211i認證機制。WEP采用基于共享密鑰的認證方式，不僅密鑰長度較小，認證協(xié)議也存在漏洞。WPA和802.11i都采用802.1x認證機制。在802.1x認證機制中，訪問點僅是無線客戶端和認證服務(wù)器之間的一座橋梁，無線客戶端和認證

4、服務(wù)器之間的認證協(xié)議只要遵從可擴展認證協(xié)議框架(EAP)，可以采用任何一種具體的認證協(xié)議。WPA和802.11i的不同主要是在于認證完成后，無線訪問點與客戶端之間的消息鑒別和加密算法不同。總的來說，無線局域網(wǎng)絡(luò)安全標準所提出的認證方案依賴于專門的認證服務(wù)器。 本文接著對這些認證機制在無線Mesh網(wǎng)絡(luò)的適用性進行了分析。采用共享密鑰的認證機制在Mesh網(wǎng)絡(luò)中存在著難以擴充和單點失敗的弱點。而802.1x認證機制由于需要集中的認證服

5、務(wù)器，限制了Mesh網(wǎng)絡(luò)的分布式特性。已有的無線局域網(wǎng)認證機制在Mesh網(wǎng)絡(luò)中存在不適應(yīng)之處。 本文隨后提出了一種新的Mesh網(wǎng)絡(luò)認證協(xié)議。即在數(shù)字證書認證機制的基礎(chǔ)上，混合了Mesh節(jié)點的位置信息。數(shù)字證書的認證機制一般需要訪問一個集中的存放吊銷證書列表的目錄服務(wù)器。而新的認證協(xié)議根據(jù)Mesh節(jié)點比較固定的特點，在每一個Mesh節(jié)點上配置一個鄰居列表(如管理員手工配置)，每一個節(jié)點的認證除了證書是權(quán)威CA頒發(fā)外，還需要該節(jié)點存

6、在于鄰居節(jié)點上的鄰居列表內(nèi)，才能與鄰居節(jié)點通信。當某個節(jié)點證書失效時，我們只需要在其鄰居節(jié)點上的鄰居列表內(nèi)刪除該節(jié)點信息，就可以達到吊銷證書的目的，從而不需要集中的目錄服務(wù)器。 本文最后對實現(xiàn)該Mesh認證協(xié)議的軟件系統(tǒng)的結(jié)構(gòu)進行了分析，對所用到的關(guān)鍵技術(shù)和算法進行了介紹。包括：采用Socket通信技術(shù)完成認證的初始化，采用Linux內(nèi)核的數(shù)據(jù)包過濾技術(shù)截獲數(shù)據(jù)包完成后續(xù)消息的簽名和鑒別，采用OpenSSL提供的加解密庫完成各種